CN102682047A - 一种混合的sql注入防护方法 - Google Patents

Abstract

本发明公开了一种混合的SQL注入防护方法，该方法融合了静态模式匹配技术以及动态特征过滤技术。该方法通过在安全环境下自动学习业务系统所有合法SQL语句，构建知识库；然后在实时工作环境下，利用模式匹配算法将SQL语句与知识库进行匹配，匹配成功则判定为合法SQL语句。对于匹配失败的SQL语句并不立即判定为非法，而是采用基于风险值的特征过滤算法进行深度特征检查，识别真正的非法SQL语句。通过将模式匹配与特征过滤两种方法配合使用，相互弥补，从而达到良好的效果，并能够很好解决一般防注入方法带来的准确率与误报率之间的矛盾。

Description

一种混合的SQL注入防护方法

技术领域

本发明涉及一种数据库SQL注入防护方法，特别是涉及一种模式匹配与特征过滤混合使用的SQL注入防护方法。

背景技术

随着Internet的发展，基于B／S模式的商业动态网站的开发越来越受到各大公司的青睐，该模式大多采用ASP (．NET)+SQL+IIS的平台架构，因此使用这种模式编写应用程序的程序员也越来越多。但编程人员水平的参差不齐以及安全防御技术的不成熟，给应用系统带来了很多不安全因素。大部分web应用系统需要与用户进行交互，从用户那里接受数据并进行处理，如果攻击者故意输入含有恶意构造的数据，则在系统执行处理时，这些数据中包含的恶意代码就会被系统或者其它客户端执行，从而对服务器或客户端造成损害，这就是所谓的SQL注入。由于SOL注入从正常的WWW端口访问，并且看起来和正常的web页面访问没有什么区别，所以目前常见的防火墙检测不到SQL注入。不久之前，OWASP（Open Web Application Security Project开源Web应用安全组织）公布了2010年10大Web攻击，而注入攻击被列为十大攻击之首。

SQL注入的产生经常是由于开发人员没有对用户输入部分做充分的安全检查。因此可以通过提高应用程序的代码质量，抵御SQL注入攻击。但仅仅通过提高代码的质量或者减少代码漏洞并不能解决所有问题，黑客依然可以寻找新的攻击字符串来规避这些程序检测点。其他SQL防护手段还包括注入特征检查以及模式匹配等。SQL注入特征过滤是在网络服务前端增加一个应用级的防火墙,在接收到用户输入信息时进行集中检查，过滤掉恶意输入，例如Snort以及PHP 中实现的“MagicQuotes”。相对而言，特征过滤实现较为简单，然而过滤程序通常采用特征字符串匹配算法，往往仅凭预先定义好的一系列正则表达式进行过滤。一方面如果进行大量的特征检查，性能下降较快，另一方面准确率以及误报率难以平衡。与特征过滤不同，模式匹配的方法并不是检查注入特征，而是将SQL语句与预定义的合法SQL语句进匹配，通过接收合法SQL语句来达到过滤恶意SQL语句的目的。模式匹配的方法能够很好的解决SQL注入问题，而且效率较高。然而它的成功率依赖于模式建立的准确率，同时它的覆盖率也很难以达到百分之百，而且一定程度上可能需要修改应用程序。

本发明通过分析合法SQL语句的特征构造知识库，现实环境下利用模式匹配算法将SQL语句与知识库进行匹配，匹配成功则判定为合法SQL语句。对于匹配失败的SQL语句并不立即判定为非法，而是采用基于风险值的特征过滤算法进行深度特征检查，识别真正的非法SQL语句，从而过滤非法SQL语句。在工作流程上，与申请日为20070917，专利号：200710145398.8的“一种SQL注入攻击检测方法及系统”类似，都包括知识库构建的步骤（类似学习步骤）以及实时SQL注入攻击检测步骤（类似过滤步骤），不过两者在实现上有较大差别。“一种SQL注入攻击检测方法及系统”知识库的构建是基于分析SQL注入样本，实时检测步骤主要是根据已知的SQL注入特征进行过滤。而本发明知识库的构建是基于学习合法SQL语句，实时工作环境下根据检测SQL语句的合法特征来过滤非法语句。对于特定的应用业务系统，合法的SQL语句的特征相对比较固定，因此通过识别这些合法SQL语句来阻断含有注入特征的非法SQL语句能够极大提高整个系统的防御能力，同时对于上层应用系统完全透明。同时本发明在过滤阶段采用了动态特征过滤方法，将模式匹配方法与特征过滤方法混合使用，充分发挥两种方法的优点。

发明内容

本发明通过在学习阶段（安全环境下）对应用程序产生的所有SQL语句进行语法解析得到SQL语法树，然后基于SQL语法树进行语法结构特征提取，构建知识库。然后在实时工作阶段（普通环境下）将所有SQL语句与知识库进行模式匹配，匹配成功即判定为合法SQL语句。由于知识库的覆盖率以及模式匹配的准确率难以达到100%，对于匹配失败的SQL语句并不立即判定为非法SQL语句，而是进行深度SQL注入特征过滤，检查不通过才被判定为非法SQL语句。通过将两种方法配合使用，一方面能够很好缓解模式匹配可能带来的覆盖率以及匹配准确率不足的问题；另一方面可以解决特征过滤方法可能带来的高识别率和高误判率之间的矛盾；其次由于模式匹配效率高于特征过滤，相比单独使用特征过滤方法，本方法在性能上有较大提升。

本发明通过以下技术方案实现：

一种混合的SQL注入安全防护方法，该方法融合了静态模式匹配技术以及动态特征过滤技术。该方法通过在安全环境下自动学习业务系统所有合法SQL语句，构建知识库；然后在实时工作环境下，利用模式匹配算法将SQL语句与知识库进行匹配，匹配成功则判定为合法SQL语句。对于匹配失败的SQL语句并不立即判定为非法，而是采用基于风险值的特征过滤算法进行深度特征检查，识别真正的非法SQL语句。通过将模式匹配与特征过滤两种方法配合使用，相互弥补，从而达到良好的效果，并能够很好解决一般防注入方法带来的准确率与误报率之间的矛盾。

学习步骤包括如下步骤：

301．接收一条SQL语句；

302．对SQL语句进行解析，产生SQL语法树，如果解析出错，跳转至步骤301，重新接受SQL语句；

303．对语法树进行分析，获取访问行为特征；

304．根据预定规则对语法树进行裁剪，得到规范语法树，获取SQL语法树的主干结构特征；

305．将SQL语法树与知识库进行匹配，将匹配失败的SQL语句加入知识库；

306．通过一段时间全面的学习，构建完整的知识库。

    过滤步骤包括如下步骤：

401．接收一条SQL语句；

402．对SQL语句进行解析，产生语法树，如果解析出错，跳转至步骤407；

403．对语法树进行分析，获取访问行为特征，将访问行为特征与知识库进行匹配，匹配不成功则跳转至步骤407，否则跳转至步骤404；

404．根据预定规则对语法树进行裁剪，获取SQL语句的主干结构特征，将其与知识库进行模式匹配，匹配不成功跳转至步骤407，否则跳转至步骤405； 

405．对SQL语句进行深度特征检查，检查通过跳转至步骤406，否则跳转至步骤407；

406．判定SQL语句合法，允许其通行；

407．判定SQL语句非法，阻断该SQL，产生报警信息。

一种混合的SQL注入安全防护系统，包括SQL解析器、模式匹配引擎、 SQL特征过滤单元、知识库单元、控制管理模块、日志报警单元、远程管理客户端。

SQL解析器：负责解析SQL语句，包括词法解析、语法解析、语义解析。词法解析负责对存储一段连续缓冲区的原始SQL语句进行分解，得到一个个独立的单词，并且组织成为单词链表形式。语法解析负责根据特定数据库的SQL语法对词法解析后的单词链进行语法结构分析，构造出SQL语法树。语义分析负责根据SQL语法树分析该SQL语句的语义特征。

模式匹配引擎：负责将解析后的SQL语法树按照预定义的策略进行裁剪，包括替换用户输入部分，删除无用的节点等，然后提取特征，初始化特征向量。然后利用HASH算法计算特征值。以特征值为索引，与知识库中的SQL语法树进行匹配。如果匹配通过则成功退出，如果匹配失败，则说明知识库内不存在相同的SQL语法树。学习阶段，模式匹配引擎负责将新的SQL语法树加入知识库；过滤阶段，模式匹配引擎将该SQL语句提交给SQL过滤模块进行注入特征检查。SQL特征过滤单元：根据预先定义的注入特征表，对SQL语句进行详细的特征检查，计算SQL语句的风险值。根据风险值与预先定义的阈值进行比较，判定是否为非法SQL语句。

知识库单元：负责存储学习阶段获取的具有不同主干特征的SQL语法树。为提高存储与删除的效率，采用静态数组链表形式进行存储，内部存储采用多级别的索引进行组织。

控制管理单元：负责接收本地管理员或者远程管理客户端指令，动态更新本地策略，以及实时切换系统工作模式（学习步骤、过滤步骤）。

日志报警单元：负责接收其他单元的报警信息，记录日志，同时将报警信息发送至远程管理客户端，或者以邮件的方式发送给相关管理员。

远程管理客户端：负责远程监控管理系统，比如接收各种实时状态信息以及下发策略，切换工作模式等。

 本发明专利的有益效果在于，通过将模式匹配与特征过滤两种方法配合使用，很好地解决了采用单一SQL注入方法存在的缺陷，大幅度提高SQL注入检测的准确率，而且很好地避免了准确率与误报率之间的矛盾。同时本方法易于实现，适合于各种典型部署的Web应用，具有较好的可扩展性以及应用前景。

附图说明

图1为本发明学习步骤流程图；

图2为本发明过滤步骤流程图；

图3为本发明数据库行为池匹配流程图；

图4为本发明SQL池匹配流程图；

图5为本发明防注入系统组成示意图；

图6为语法数生成流程示意图；

图7为规范语法树示意图。

具体实施方式

下面结合附图以及具体实例对本发明进一步说明。  

本发明所述一种混合的SQL注入防护方法，包括两个工作步骤：学习步骤、过滤步骤。

如图1所示，学习步骤在安全环境中，学习所有的合法SQL语句，提取特征，从而构建知识库，具体步骤如下：

301：接收一条SQL语句；

假设下面为学习步骤将被学习的合法SQL语句：

（1）    select * from a where username = ‘liming’ and passwd = 123456;

（2）    select * from USER_CATALOG;

（3）    select * from person where cardNum = 124 and name = ‘li’ and 1=1;

（4）    insert into Employees (FirstName, LastName, Title) values ('Harry', 'Washington', 'Trainee') ;

（5）    update  Employees set  ReportsTo = 5 WHERE ReportsTo = 2;

（6）    delete * from Employees where FirstName = ‘Harry’。

302：对SQL语句进行解析，产生SQL语法树，如果解析出错，跳转至步骤301，重新接受SQL语句；

该步骤利用SQL解析模块对原始SQL进行解析，根据词法分析将SQL分解为不同的单词，通过语法分析生成语法树,类似过程如图6所示。

每一条SQL语句都将会解析为语法树结构。对于不符合相关SQL语法的语句，将会抛出错误提示，重新读取下一条语句。

303：对语法树进行分析，获取访问行为特征；

对语法树特定域进行分析，获取该SQL语句的数据库访问行为，包括数据库对象名称以及对其的操作。如（1）select * from a where username = ‘liming’ and passwd = 123456，数据库访问行为如下：

	数据库对象名称	类型	操作
				1	a	表	查询
2	username	列	查询
				3	passwd	列	查询

其他语句如上例所示。

304：根据预定规则对语法树进行裁剪，得到规范语法树，获取SQL语法树的主干结构特征；

对语法树进行语法进行裁剪，成为规范语法树，获取SQL语句的主干结构。裁剪过程负责将SQL语句中用户输入部分，比如数据以及字符串，用通配符进行替换，同时将一些无用的节点删除。

对于select * from person where cardNum = 124 and name = ‘li’ and 1=1解析后的语法树。将用户输入字段（字符串、数字），用一些特殊通配符进行替换。我们假设将数字替换为‘$’，将输入字符串替换为‘&’，通过替换后，产生的规范语法树如图7所示。通过语法树的裁剪，将用户输入部分进行替换，可以获取所有的SQL主干结构。

305：将SQL语法树与知识库进行匹配，将匹配失败的SQL语句加入知识库；

将步骤303得到的访问行为特征以及304得到的SQL主干结构，以一定的方式存储起来，分别加入知识库中的数据库行为池以及SQL池中。加入知识库的过程中需要将该特征与现有的知识库进行匹配，如果匹配成功说明存在相同特征，不需要加入，否则将该特征加入相应位置。

306：通过一段时间全面的学习，构建完整的知识库。

经过学习合法的SQL语句，知识库内的SQL池将会记录所有合法的SQL语句的不同的主干架构。数据库行为池将会记录所有的数据库访问行为，具体内容如下表所示：

编号	对象名称	对象类型	对象操作
				1	A	表	查询
2	Username	列	查询
				3	Passwd	列	查询
4	USER_CATALOG	表	查询
				5	Person	表	查询
6	cardNum	列	查询
				7	Name	列	查询
8	Employees	表	查询/插入/更新/删除

 一种混合的SQL注入防护方法，其过滤步骤负责在现实环境中，对所有经过的SQL语句与知识库进行匹配，根据匹配结果判断该SQL语句是否为合法的SQL语句。具体步骤如图2所示。下面以具体实例详细进行介绍。

401：接收一条SQL语句；

我们以如下几条SQL语句为具体实例：

（1）    select * from a where username = ‘chenfeng’ and passwd = 123；

（2）    select * from USER_CATALOG where name = ‘chen’or 1=1；

（3）    select * from person where age = 24 and name = ‘li’ and 1=1；

402：对SQL语句进行解析，产生语法树，如果解析出错，跳转至步骤407；

403：对语法树进行分析，获取访问行为特征，将访问行为特征与知识库进行匹配，匹配不成功则跳转至步骤407，否则跳转至步骤404；

对于（1）select * from a where username = ‘chenfeng’ and passwd = 123，其数据库访问行为：

	数据库对象名称	类型	操作
				1	a	表	查询
2	username	列	查询
				3	passwd	列	查询

将访问行为与数据库行为池进行匹配，匹配过程参考图3；

如上步骤，select * from USER_CATALOG where name = ‘chen’or 1=1访问行为合法。而对于select * from person where age = 24 and name = ‘li’ and 1=1，由于包含新的数据库对象age，导致数据库行为匹配不成功，跳至407；

404．根据预定规则对语法树进行裁剪，获取SQL语句的主干结构特征，将其与知识库进行模式匹配，匹配成功跳转至步骤406，否则跳转至步骤405；

SQL语句（1）和（2）通过了数据库访问行为特征匹配，这一步通过获取SQL语句主干，进行SQL池的匹配，SQL池的匹配过程参考图4，分别利用两个不同的HASH函数，对规范的语法树的不用域求出两个不同的HASH值：hash1，hash2。以hash1为索引进行查找，缩小查找范围。最后同时比较hash1、hash2以判断是否存在完全相同SQL主干结构。通过裁剪的语句（1）的主干特征与SQL池匹配，而语句（2）的主干特征不匹配。因此（1）为合法跳至406，（2）为可疑语句，跳至405进行特征检查；

405．对SQL语句进行深度特征检查，检查通过跳转至步骤406，否则跳转至步骤407；对（2）select * from USER_CATALOG where name = ‘chen’or 1=1进行注入特征检查，其包含可能的注入特征为or、1=1。按照预先定义的风险值（r₂=5(“or”)，r5=25(恒等)且阈值为30）,则（2）的累计风险值为30。因此该SQL语句为非法SQL语句，跳至407；

406．判定SQL语句合法，允许其通行；

407．判定SQL语句非法，阻断该SQL，产生报警信息。

Claims (1)

1.一种混合的SQL注入安全防护方法，其特征在于，学习步骤包括如下步骤：

301．接收一条SQL语句；

302．对SQL语句进行解析，产生SQL语法树，如果解析出错，跳转至步骤301，重新接受SQL语句；

303．对语法树进行分析，获取访问行为特征；

304．根据预定规则对语法树进行裁剪，得到规范语法树，获取SQL语法树的主干结构特征；

305．将SQL语法树与知识库进行匹配，将匹配失败的SQL语句加入知识库；

306．通过一段时间全面的学习，构建完整的知识库。

过滤步骤包括如下步骤：

401．接收一条SQL语句；

402．对SQL语句进行解析，产生语法树，如果解析出错，跳转至步骤407；

403．对语法树进行分析，获取访问行为特征，将访问行为特征与知识库进行匹配，匹配不成功则跳转至步骤407，否则跳转至步骤404；

404．根据预定规则对语法树进行裁剪，获取SQL语句的主干结构特征，将其与知识库进行模式匹配，匹配不成功跳转至步骤407，否则跳转至步骤405； 

405．对SQL语句进行深度特征检查，检查通过跳转至步骤406，否则跳转至步骤407；

406．判定SQL语句合法，允许其通行；

407．判定SQL语句非法，阻断该SQL，产生报警信息。

Images