我在apache日志中一直看到+ - +,它是什么？

Question

我正在查看我的apache服务器日志,几乎总是当有人在扫描服务器的漏洞时,我总是在他们的查询字符串中看到这个...

+ - +

比如下面的各种例子......

.
.
.
/includes/usercp_register.php?phpbb_root_path=1'+--+?
/includes/profilcp_constants.php?module_root_path=1'+--+?
/includes/functions_user_viewed_posts.php?phpbb_root_path=1'+--+?
/includes/orderSuccess.inc.php?&glob=1&cart_order_id=1&glob[rootDir]=1'+--+
.
.
.

我知道他们正在扫描流行的漏洞,但我想知道的是+ - +的目的是什么？

我想把它用作我可以过滤使用fail2ban的东西

Answer 1

在查询字符串中,加号字符是空格的简写表示法.请记住,URL中不允许使用空格,因此它们必须是百分比编码(%20),或者仅在URL的查询字符串部分中,用加号表示.(因此,这意味着实际的加号必须在查询字符串中进行百分比编码,而不是URL中的其他位置.)

在这种情况下,攻击者正在尝试简单的SQL注入.这'是一个quote('),+URL解码到一个空格.最终会发生这种情况:

phpbb_root_path=1' -- 

(这--是一条SQL评论.)

小心禁止+--+URL中的请求; 这可能是合法的输入 - 即https://www.google.com/search?q=dash+--+separated