57448 2026-01-09 16:24:40 +0300 SQL Injection через лог Squid 2026-01-12 19:21:31 +0300 1 1 4 Development Sisyphus squidmill unstable all Linux ASSIGNED P5 major --- 1 vsu manowar manowar qa-sisyphus oldest_to_newest 280016 0 20455 vsu 2026-01-09 16:24:40 +0300 Created attachment 20455 bad.log — строка из access.log, на которой падает squidmill squidmill-2.7.0-alt2 Текстовые поля из access.log (например, поле ident) вставляются в SQL-запрос без экранирования символа "'", что приводит как минимум к падению squidmill при обработке строки лога, содержащей этот символ в одном из полей (Squid считает, что этот символ допустимо писать в лог без дополнительного экранирования). $ /usr/sbin/squidmill -d bad.db bad.log SQLite3 error (1): near "', '": syntax error *** ERROR -- This object was raised: (sqlite3-err 1 "near \"', '\": syntax error") Отдельный вопрос — нужно ли вообще обрабатывать строки с TCP_DENIED/407 (в них в поле ident пишется любое значение, присланное клиентом, даже если аутентификация не пройдена, но текущая реализация squidmill просто добавляет эти записи в статистику, учитывая в качестве трафика выданное Squid сообщение об ошибке аутентификации). 20455 2026-01-09 16:24:40 +0300 2026-01-09 16:24:40 +0300 bad.log — строка из access.log, на которой падает squidmill bad.log text/x-log 142 vsu MTczNjg1MzgwOS45MzMgICAgICAxIDE5Mi4xNjguMTEuNTQgVENQX0RFTklFRC80MDcgNDU5NiBH RVQgaHR0cDovL2RldGVjdHBvcnRhbC5maXJlZm94LmNvbS9jYW5vbmljYWwuaHRtbCB2cyUyMHIl MjAncnBmdnR5ZSBOT05FLy0gdGV4dC9odG1sCg==