CN101594266A

CN101594266A - 一种结构化查询语言注入攻击检测方法和装置

Info

Publication number: CN101594266A
Application number: CNA2009100880621A
Authority: CN
Inventors: 周欣
Original assignee: Hangzhou H3C Technologies Co Ltd
Current assignee: Hangzhou H3C Technologies Co Ltd
Priority date: 2009-07-01
Filing date: 2009-07-01
Publication date: 2009-12-02

Abstract

本发明公开了一种结构化查询语言SQL注入攻击检测方法和装置。所述方法包括：对所接收的报文先进行基于SQL注入攻击特征的检测，然后进行基于SQL注入攻击行为的检测，并统计每个命中报文的源IP地址的攻击次数，对攻击次数超过预设值的IP地址进行告警。本发明的技术方案大大减少了攻击漏报的情况。

Description

一种结构化查询语言注入攻击检测方法和装置

技术领域

本发明涉及网络通信技术领域，尤指一种结构化查询语言注入攻击检测方法和装置。

背景技术

结构化查询语言(SQL，Structured Query Language)是用来和关系数据库进行交互的文本语言。SQL允许用户数据进行有效的管理，包含了对数据的查询、操作、定义和控制等几个方面，例如向数据库写入数据、插入数据，从数据库读取数据等。

关系数据库广泛应用于网站中，用户一般通过动态网页和关系数据库进行交互。常见的动态网页一般都通过形如“http://domain-name/page.asp？arg＝value”等带有参数的统一资源定位符(URL，Uniform Resource Locator)来访问。动态网页可以是asp、php、jsp或perl等类型。一个动态网页中可以有一个或多个参数，参数类型可能是整型或字符串型等。

SQL注入攻击(SQL Injection Attack)是攻击者对数据库进行攻击的常用手段之一。SQL注入攻击就其本质而言，利用的工具是SQL语法，针对的是应用程序开发者在编程过程中的漏洞。安全性考虑不周的网站应用程序(动态网页)使得攻击者能够构造并提交恶意URL，将特殊构造的SQL语句插入到提交的参数中，在和关系数据库进行交互时获得私密信息，或者直接篡改web数据。

SQL注入攻击一般是基于环球网WEB的应用程序，这类应用程序允许用户输入查询条件，并将查询条件嵌入SQL请求语句中发送到与该应用程序相关联的数据库服务器中去执行。攻击者通过在应用程序中预先定义好的查询语句结尾上加上额外的SQL语句元素，欺骗数据库服务器执行非授权的查询。通过构造一些畸形的输入，攻击者能够操作这种请求语句获取预先未知的结果。SQL注入攻击一定发生在和数据库交互的网页中，网页的格式也一定如下：http://XXX.com.cn/***.asp？id＝123。其中网页使用的脚本可以是asp、php、jsp、perl等脚本语言，这些脚本语言可以和数据库进行交互，获取信息。

目前，入侵防护系统(IPS，Intrusion Prevention System)设备对于SQL注入攻击的检测方式主要是依据SQL注入的攻击特征进行检测。这种检测方式主要是根据SQL注入攻击的各个阶段的行为，提取攻击特征，检测网络中的流量是否满足SQL注入攻击特征，以此来判断网络中是否存在SQL注入攻击。

但是，这种基于攻击特征的检测方式存在以下缺点：

(1)漏报的可能性比较大，攻击者很容易构造攻击绕过特征检测，达到攻击的目的。例如在检测网站是否存在SQL注入漏洞时，攻击者一般通过在URL的尾部提交and 1＝1，然后根据网页返回情况判断是否存在SQL注入漏洞，如果特征提取了and 1＝1，而攻击者构造and 3＝3，就非常轻松的绕过IPS设备的攻击检测，达到攻击的目的。

(2)目前SQL注入攻击可以针对不同的后台数据库，每一个数据库又有不同的SQL注入工具，要完整的阻断这些特征，需要提取大量特征，而工具稍微变换，就可能导致已有特征无法命中常见的SQL攻击特征。这导致特征的提取永远落后于攻击的发展，每一条特征的改变都是依靠攻击的改变驱动的，这种方式就不容易发现潜在的尚未公布的SQL注入漏洞。

(3)现有特征检测不是从SQL注入的整体过程进行把握，而仅仅是通过特征检测SQL注入的某种情况是否发生，经验丰富的攻击者完全可以绕过安全检测。

综上所述，现有的基于特征的SQL注入攻击检测方式还存在漏报情况较多的问题。

发明内容

本发明提供了一种SQL注入攻击检测方法，该方法大大减少了攻击漏报的情况。

本发明还提供了一种SQL注入攻击检测装置，该装置大大减少了攻击漏报的情况。

为达到上述目的，本发明的技术方案具体是这样实现的：

本发明公开了一种结构化查询语言SQL注入攻击检测方法，建立用于记录攻击者IP地址和攻击次数的SQL注入攻击黑名单，该方法对所接收到的报文执行以下步骤：

A、对所述报文进行基于SQL注入攻击特征的检测，如果命中则执行步骤C，否则执行步骤B；

B、对所述报文进行基于SQL注入攻击行为的检测，如果命中则执行步骤C，否则转发所述报文；

C、查询SQL注入攻击黑名单中是否存在所述报文的源IP地址；如果不存在，则将所述报文的源IP地址添加到SQL注入攻击黑名单中，并设置相应的攻击次数为1，转发所述报文；如果已存在，则将相应的攻击次数加1，并判断加1后的攻击次数是否已超过了预设值，是则告警，并丢弃所述报文，否则转发所述报文。

本发明公开了一种SQL注入攻击检测装置，该装置包括：存储模块、报文接收模块、特征检测模块、行为检测模块、统计告警模块和报文转发模块，其中，

存储模块，用于保存记录攻击者IP地址和攻击次数的SQL注入攻击黑名单；

报文接收模块，用于接收报文，并发送给特征检测模块；

特征检测模块，用于对所接收到的报文进行基于SQL注入攻击特征的检测，如果命中则将报文发送给统计告警模块，否则将报文发送给行为检测模块；

行为检测模块，用于对来自特征检测模块的报文进行基于SQL注入攻击行为的检测，如果命中则将报文发送给统计告警模块，否则将报文发送给报文转发模块；

统计告警模块，用于查询SQL注入攻击黑名单中是否存在所接收报文的源IP地址；如果不存在，则将报文的源IP地址添加到SQL注入攻击黑名单中，并设置相应的攻击次数为1，将报文发送给报文转发模块；如果已存在，则将相应的攻击次数加1，并判断加1后的攻击次数是否已超过了预设值，是则告警，并丢弃报文，否则将报文发送给报文转发模块；

报文转发模块，用于将所接收到的报文转发出去。

由上述技术方案可见，本发明这种先对报文进行基于SQL注入攻击特征的检测，然后进行基于SQL注入攻击行为的检测，并统计每个命中报文的源IP地址的攻击次数，对攻击次数超过预设值的IP地址进行告警的技术方案，相对于现有的单纯做基于特征的检测的方案，大大减少了攻击漏报的情况。

附图说明

图1是本发明实施例一种SQL注入攻击检测方法的流程图；

图2是本发明实施例一种SQL注入攻击检测装置的组成结构框图。

具体实施方式

因此本发明的核心思想是：采用特征检测和行为检测相结合的方式，检测网络中的报文是否存在SQL注入攻击。

为使本发明的目的、技术方案及优点更加清楚明白，以下对本发明进一步详细说明。

图1是本发明实施例一种SQL注入攻击检测方法的流程图。该方法实现于IPS设备中，首先，建立一个SQL注入攻击黑名单，用于记录攻击者的IP地址和攻击次数，然后，对于IPS设备接收到的网络报文，执行如图1所示的如下步骤：

步骤101，检测所接收到的报文是否为通过环球网WEB与数据库进行交互的报文，是则执行步骤102，否则，直接转发所述报文，结束SQL注入攻击检测流程。

本步骤中，检测所接收到的报文是否为通过环球网WEB与数据库进行交互的报文的方式为现有技术，具体为：首先解析报文是否是http报文，如果是http报文头，则解析出URL字段，检测提交的网页是否是与数据库进行交互的格式，如果是，则该报文是通过WEB与数据库进行交互的报文。

步骤102，对所述报文进行基于SQL注入攻击特征的检测，如果命中则执行步骤104，否则执行步骤103。

本步骤中，对所述报文进行基于SQL注入攻击特征的检测的方式与现有技术相同，即检验报文的URL字段是否能够匹配SQL注入攻击特征库中的特征。

步骤103，对所述报文进行基于SQL注入攻击行为的检测，如果命中则执行步骤104，否则转发所述报文，结束流程。

本步骤中，对报文进行基于SQL注入攻击行为的检测具体为：将报文的URL字段的内容与预先设置的敏感字符文件中的敏感字符进行匹配。

SQL注入攻击者可以对SQL攻击进行变形，但无论怎样变形，如果攻击者需要进行SQL注入，SQL注入一些敏感字符一定会被用到。所以在本发明实施例中，建立一个敏感字符文件，该敏感字符文件包含SQL注入可能出现的各种敏感字符。敏感字符包括两种：一种字符串，如“union”、“xp_cmdshell”等SQL关键字或命令字等；另一种是表达式，如“and？＝？”，其中问号代表任意数字。因此本发明实施例中，将报文的URL字段的内容，与敏感字符文件中的字符串或表达式进行匹配，以完成基于SQL注入攻击行为的检测。

步骤104，查询SQL注入攻击黑名单中是否存在所述报文的源IP地址，是则执行步骤106，否则执行步骤105。

步骤105，如果SQL注入攻击黑名单中不存在所述报文的源IP地址，则将所述报文的源IP地址添加到SQL注入攻击黑名单中，并设置相应的攻击次数为1，转发所述报文；

步骤106，如果SQL注入攻击黑名单中已存在所述报文的源IP地址，则将相应的攻击次数加1，并判断加1后的攻击次数是否已超过了预设值，是则告警，并丢弃所述报文，否则转发所述报文。

通常情况下，一些敏感字符不应该出现在http报文的URL字段中，但是出现了也不一定就是SQL注入攻击。而且，真正在网络上进行SQL注入的，一般都是通过自动测试工具检测网络是否存在漏洞，这些工具还会不停地发送报文。所以在本发明实施例中，发现特征匹配或敏感字符匹配时，并不立刻阻断该IP地址的报文，而是采用累计攻击次数的方式，针对每一个攻击测试，继续进行特征检测和行为检测，直到攻击次数达到预设值。

在上述步骤104中，将报文的源IP地址添加到SQL注入攻击黑名单中，并设置相应的攻击次数为1的同时，还可以进一步启动一个定时器，如果在该定时器超时时，所述源IP地址对应的攻击次数仍没有超过预设值，则将所述源IP地址从SQL注入攻击黑名单中删除。设置定时器的具体实现方式可以为：为SQL注入攻击黑名单中的相应IP设置一个起始时间，即SQL注入攻击黑名单中的每一个条目包括：IP地址，攻击次数和起始时间；设置一个轮询进程依次轮询SQL黑名单中的每一个条目，根据其起始时间判断该条目当前是否已经超时。例如，定时器的定时时间为1个小时，在2009年6月18日的10点钟在SQL注入攻击黑名单中新增了一个攻击者IP地址条目，其攻击次数为1，初始时间设置为2009-6-18:10AM；当时间推移到2009-6-18:11AM时就可以确定该条目超时。

在上述步骤104中，如果发生告警，则认定发生攻击，可以采取一些阻止攻击的措施，例如，在预设的一段时间(如1个小时)内禁止转发具有所述源IP地址的报文，即封所述IP地址一段时间。

通过图1所示的，结合特征检测和行为检测，并配合攻击次数统计的技术方案，相对于现有的单纯做基于特征的检测的方案，整个检测过程更加完善合理，能够大大提高IPS设备检测SQL注入攻击的水平，减少由于攻击变形导致的攻击漏报，避免网站受到大规模SQL注入攻击探测。

基于上述实施例给出本发明中的一种SQL注入攻击检测装置的组成结构。

图2是本发明实施例一种SQL注入攻击检测装置的组成结构框图。该装置可以设置与IPS设备中，完成SQL注入攻击的检测。如图2所示，该装置包括：存储模块201、报文接收模块202、特征检测模块203、行为检测模块204、统计告警模块205和报文转发模块206，其中：

存储模块201，用于保存记录攻击者IP地址和攻击次数的SQL注入攻击黑名单；

报文接收模块202，用于接收报文，并发送给特征检测模块203；

特征检测模块203，用于对所接收到的报文进行基于SQL注入攻击特征的检测，如果命中则将报文发送给统计告警模块205，否则将报文发送给行为检测模块204；

行为检测模块204，用于对来自特征检测模块203的报文进行基于SQL注入攻击行为的检测，如果命中则将报文发送给统计告警模块205，否则将报文发送给报文转发模块206；

统计告警模块205，用于查询SQL注入攻击黑名单中是否存在所接收报文的源IP地址；如果不存在，则将报文的源IP地址添加到SQL注入攻击黑名单中，并设置相应的攻击次数为1，将报文发送给报文转发模块206；如果已存在，则将相应的攻击次数加1，并判断加1后的攻击次数是否已超过了预设值，是则告警，并丢弃报文，否则将报文发送给报文转发模块206；

报文转发模块206，用于将所接收到的报文转发出去。

在图2中，报文接收模块202，还进一步用于检测所接收的报文是否为通过环球网WEB与数据库进行交互的报文，是则将报文发送给特征检测模块203，否则直接将报文发送给报文转发模块206。

在图2中，行为检测模块204，用于对来自特征检测模块203的报文的统一资源定位符URL字段的内容与预先设置的敏感字符文件中的敏感字符进行匹配，如果命中则将报文发送给统计告警模块205，否则将报文发送给报文转发模块206。

在图2中，统计告警模块205，进一步用于在SQL注入攻击黑名单中不存在所接收报文的源IP地址时，将所述报文的源IP地址添加到SQL注入攻击黑名单中，并设置相应的攻击次数为1的同时，启动一个定时器，如果在该定时器超时时，所述源IP地址对应的攻击次数仍没有超过预设值，则将所述源IP地址从SQL注入攻击黑名单中删除。具体可以为：统计告警模块205，将报文的源IP地址添加到SQL注入攻击黑名单中，并设置相应的攻击次数为1的同时，设置其起始时间；统计告警模块205，依次轮询SQL注入攻击黑名单中的每个攻击者条目，根据其起始时间以及当前时间判断该条目是否超时，是则在相应的攻击次数没有超过预设值时，删除该条目。

在图2中，统计告警模块205，进一步用于在发生告警时，向报文接收模块202发送包含所述源IP地址的告警通知；报文接收模块202，在接收到所述告警通知后，在预设的一段时间内直接丢弃所接收的具有所述源IP地址的报文。

综上所述，本发明这种先对报文进行基于SQL注入攻击特征的检测，然后进行基于SQL注入攻击行为的检测，并统计每个命中报文的源IP地址的攻击次数，对攻击次数超过预设值的IP地址进行告警的技术方案，相对于现有的单纯做基于特征的检测的方案，大大减少了漏报的情况。

以上所述，仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围，凡在本发明的精神和原则之内所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims

1、一种结构化查询语言SQL注入攻击检测方法，其特征在于，建立用于记录攻击者IP地址和攻击次数的SQL注入攻击黑名单，该方法对所接收到的报文执行以下步骤：

2、如权利要求1所述的方法，其特征在于，该方法在步骤A之前进一步包括：检测所述报文是否为通过环球网WEB与数据库进行交互的报文，是则执行步骤A以及后续步骤，否则，直接转发所述报文。

3、如权利要求1所述的方法，其特征在于，对所述报文进行基于SQL注入攻击行为的检测包括：

将所述报文的统一资源定位符URL字段的内容与预先设置的敏感字符文件中的敏感字符进行匹配。

4、如权利要求1所述的方法，其特征在于，该方法进一步包括：在步骤C中，将所述报文的源IP地址添加到SQL注入攻击黑名单中，并设置相应的攻击次数为1的同时，启动一个定时器；如果在该定时器超时时，所述源IP地址对应的攻击次数仍没有超过预设值，则将所述源IP地址从SQL注入攻击黑名单中删除。

5、如权利要求1所述的方法，其特征在于，当发生告警时，该方法进一步包括：在预设的一段时间内禁止转发具有所述源IP地址的报文。

6、一种SQL注入攻击检测装置，其特征在于，该装置包括：存储模块、报文接收模块、特征检测模块、行为检测模块、统计告警模块和报文转发模块，其中，

报文接收模块，用于接收报文，并发送给特征检测模块；

报文转发模块，用于将所接收到的报文转发出去。

7、如权利要求6所述的装置，其特征在于，

所述报文接收模块，进一步用于检测所接收的报文是否为通过环球网WEB与数据库进行交互的报文，是则将报文发送给特征检测模块，否则直接将报文发送给报文转发模块。

8、如权利要求6所述的装置，其特征在于，

所述行为检测模块，用于对来自特征检测模块的报文的统一资源定位符URL字段的内容与预先设置的敏感字符文件中的敏感字符进行匹配，如果命中则将报文发送给统计告警模块，否则将报文发送给报文转发模块。

9、如权利要求6所述的装置，其特征在于，

所述统计告警模块，进一步用于在SQL注入攻击黑名单中不存在所接收报文的源IP地址时，将所述报文的源IP地址添加到SQL注入攻击黑名单中，并设置相应的攻击次数为1的同时，启动一个定时器，如果在该定时器超时时，所述源IP地址对应的攻击次数仍没有超过预设值，则将所述源IP地址从SQL注入攻击黑名单中删除。

10、如权利要求1所述的装置，其特征在于，

所述统计告警模块，进一步用于在发生告警时，向报文接收模块发送包含所述源IP地址的告警通知；

所述报文接收模块，在接收到所述告警通知后，在预设的一段时间内直接丢弃所接收的具有所述源IP地址的报文。