场景：2026年8月，某大型跨境物流平台。安全团队在例行流量审计时，发现核心订单库存在非正常高频查询，一场针对物流API的数据狩猎已持续三天。
攻击 / 事件时间线
初始访问与侦察
攻击者并未直接攻击核心业务，而是将目光投向了一个存在已久的物流轨迹查询API（/v1/track/query）。通过前期在GitHub上搜集到的某离职员工泄露的API调试文档，构造了包含异常参数的请求，成功触发了一个未被发现的SQL注入漏洞。注入点为`waybill_no`参数，数据库类型为PostgreSQL。初步利用`UNION SELECT`确认了数据库版本和当前用户权限，发现该API连接数据库账号权限过高，为后续利用铺平了道路。
SQLMapBurp Suite
提权与数据定位
攻击者利用SQLMap的`--os-shell`功能，尝试直接写文件，但被服务器WAF拦截。转而使用`COPY ... FROM PROGRAM`命令，通过报错回显确认命令执行成功，最终利用`dblink`扩展建立持久化连接。随后，攻击者查询了`information_schema.tables`，迅速定位到包含敏感信息的核心表：orders（订单）、customers（客户）、payment_records（支付记录）。为规避检测，并未直接Dump全表，而是编写了复杂的存储过程，通过时间盲注的方式，每三秒提取一条记录，持续低缓地向外传输。
PostgreSQL dblinkSQLMap
横向移动与数据窃取
通过读取数据库中的`pg_hba.conf`文件，攻击者获得了内网PostgreSQL集群的IP列表。利用从`customers`表中提取的明文密码（该平台存在密码复用问题），成功登录了内部运维跳板机。在跳板机上发现了一个用于数据同步的脚本，该脚本连接着灾备数据库。攻击者修改了脚本，将窃取的数据通过DNS隧道（利用`iodine`工具）分段外传，成功绕过防火墙的流量监控。整个过程持续近48小时，分批次窃取了近三个月的历史订单和客户信息。
iodinexshellcrontab
蓝队视角 · 发现与处置
安全团队通过部署的UEBA（用户实体行为分析）系统发现异常：一个运维账号在凌晨3点至5点间，频繁从内网跳板机向海外DNS服务器发起大量TXT记录查询，且数据包大小异常。SOC分析师立即联动网络组抓包，确认存在DNS隧道通信。同时，数据库审计日志显示，核心订单表存在周期性的`SELECT`操作，与业务峰值不符。应急处置小组第一时间切断跳板机外连权限，在防火墙封禁恶意DNS服务器IP，并溯源定位到被篡改的同步脚本。通过分析脚本中的外连域名，成功提取出攻击者使用的C2服务器指纹，为后续取证提供了关键证据。
涉及关键技术 / 工具
SQL注入与PostgreSQL高级利用DNS隧道数据外传UEBA异常行为检测数据库审计日志分析
防护经验总结
- 对暴露在公网的API进行全量参数级WAF规则加固，重点拦截`UNION SELECT`、`COPY FROM PROGRAM`等危险SQL关键字，并对数据库账号实行最小权限原则，禁止业务API使用高权限账号连接。
- 部署独立的DNS监控策略，对内部用户向公网发起的DNS请求进行深度检测，限制TXT记录等非常用记录类型的请求量，并设置大小阈值告警，可有效发现DNS隧道。
- 建立核心数据表的访问基线模型，通过UEBA对非工作时间的批量查询行为进行实时告警，并强制要求所有内部系统（包括运维跳板机）启用多因素认证（MFA），禁止明文密码存储与复用。
#API安全#SQL注入#数据泄露#DNS隧道