面试题：MySQL慢查询日志在数据安全审计中的应用

分析慢查询日志发现潜在数据安全风险

检查特殊字符和语法异常：在慢查询日志中，查看SQL语句是否包含单引号、双引号、分号、注释符（--、#）等特殊字符，这些字符常被用于SQL注入。例如，正常SQL语句一般不会出现多个连续单引号或奇怪位置的分号等情况。如果出现 SELECT * FROM users WHERE username = 'admin' OR '1'='1'; 这种明显带有注入特征的语句，就需要高度警惕。
关注动态SQL的拼接：对于使用动态SQL拼接的场景，查看拼接逻辑是否有漏洞。例如，如果通过字符串拼接的方式构建SQL，且未对用户输入进行严格过滤，就容易产生注入风险。如 String sql = "SELECT * FROM orders WHERE order_id = " + userInput;，若 userInput 被恶意赋值为 1 OR 1=1，就会造成注入。
统计异常的查询模式：统计不同SQL语句的出现频率和执行时间。如果发现一些不常见但执行缓慢且带有可疑字符的查询频繁出现，很可能是注入攻击。例如，某个很少使用的表突然出现大量异常查询，且查询语句包含奇怪的逻辑。

排查措施

详细日志分析：对发现可疑的慢查询，进一步分析其来源，包括应用程序中对应的代码位置、发起请求的IP地址等。通过日志记录的时间戳，结合应用服务器的访问日志，追踪请求的源头，确定是来自内部异常操作还是外部攻击。
模拟注入测试：在测试环境中，根据发现的可疑模式，模拟可能的SQL注入攻击，观察数据库的响应和行为，验证是否真的存在注入漏洞。例如，尝试构造类似的恶意语句，看是否能绕过认证或获取额外数据。
代码审查：针对发现问题的相关代码部分，进行详细的代码审查。检查SQL拼接处对用户输入的处理逻辑，是否使用了预编译语句，是否对特殊字符进行了转义或过滤。

防范措施

使用预编译语句：在开发过程中，无论是使用JDBC、MyBatis等框架，都应使用预编译语句（PreparedStatement）。预编译语句会将SQL语句和参数分开处理，避免参数被当作SQL语法解析，从而有效防止注入。例如在Java的JDBC中：

String sql = "SELECT * FROM users WHERE username =? AND password =?";
PreparedStatement pstmt = connection.prepareStatement(sql);
pstmt.setString(1, username);
pstmt.setString(2, password);
ResultSet rs = pstmt.executeQuery();

输入验证和过滤：对所有来自用户的输入进行严格的验证和过滤。只允许合法的字符和数据格式进入SQL语句。可以使用正则表达式等方式进行验证，例如验证邮箱格式、电话号码格式等。对于通用输入，过滤掉特殊字符，如对单引号、双引号等进行转义处理。
最小权限原则：为数据库用户分配最小权限，只授予其业务所需的权限。例如，一个只负责查询的用户，不应授予其插入、更新、删除等权限。这样即使发生SQL注入，攻击者也无法对数据库进行严重破坏。
安全框架和工具：使用安全框架（如Spring Security等），这些框架提供了一些防范SQL注入的功能和机制。同时，可以部署数据库防火墙等工具，对外部传入的SQL语句进行检测和拦截，阻止可疑的SQL语句执行。

星途面试题库

面试题：MySQL慢查询日志在数据安全审计中的应用

知识考点

面试题答案

分析慢查询日志发现潜在数据安全风险

排查措施

防范措施