SQL注入攻擊及防御研究.pdf

1、隨著互聯網技術的快速發展，基于數據庫的Web應用程序己經廣泛應用于企業的各種業務系統中。然而由于人為和技術等因素限制，使得Web應用程序存在大量安全隱患。在影響Web應用程序安全的諸多因素中，SQL(Structured Query Language，SQL)注入攻擊是最常見且危害最廣的攻擊，因此，如何有效的防御SQL注入攻擊成為保證Web應用程序安全性的關鍵。
　　近幾年來，對于SQL注入攻擊防御的研究已經取得一些進展，但現有的

2、SQL注入攻擊防御措施仍存在局限性。首先，用戶輸入過濾措施存在對正常數據的誤報問題和對惡意數據的漏報問題。用戶輸入過濾措施對所有的數據采用相同的方法進行過濾，而且不允許數據中包含SQL關鍵字，但是以Post方式提交到服務端的數據允許包含關鍵字，這就造成了對正常數據的誤報問題。用戶輸入過濾措施采用的過濾方法，只能過濾常見的SQL注入攻擊，無法過濾未知攻擊或著多變的攻擊，這就造成了對惡意數據的漏報問題。其次，語法結構比較措施存在檢測效率低的

3、問題。語法結構比較措施通過在Web應用程序的后臺數據庫中維持一個SQL語句主文件（SQLMF）來和Web應用程序運行時動態產生的SQL語句進行比較，檢測是否發生SQL注入攻擊，當SQLMF中SQL語句的數量比較大時，會使得匹配的效率降低，匹配檢測需要兩個過程，因此匹配檢測過程也是比較繁瑣的。本文對SQL注入攻擊防御中存在的上述問題進行了研究，主要工作如下:
　?。?）針對用戶輸入過濾措施存在對正常數據的誤報問題，提出一種基于Htt

4、p請求分類的用戶輸入過濾措施，該措施對通過Post方式提交的數據采取基于規則的方法進行過濾，對通過Get方式提交的數據先采取基于關鍵字的方法進行過濾，然后采用基于規則的方法過濾，從而避免了誤報問題。而針對用戶輸入過濾措施存在對惡意數據的漏報問題，只要增加語法結構比較措施即可，因為語法結構比較措施可以從語法結構的角度預防未知攻擊或著多變的攻擊。
　?。?）針對語法結構比較措施存在檢測效率低的問題，提出一種基于參數化分類的動態查詢匹配

5、措施，首先把主文件SQL語句中的用戶輸入采用參數占位符替換，然后根據SQL語句操作類型不同，可以把原主文件劃分為多個新的主文件，這樣主文件的大小得到了降低，而且匹配檢測階段也進行了簡化，只進行精確匹配檢測，不需要模糊匹配檢測，從而提高了檢測效率。
　?。?）基于以上兩種措施，提出一種基于分類的SQL注入攻擊雙層防御模型。該模型包括輸入過濾模塊和語法比較模塊，并以J2EE平臺的Web應用程序為防御的對象。本模型利用Filter程序實