CN103559444B

CN103559444B - 一种sql注入检测方法及装置

Info

Publication number: CN103559444B
Application number: CN201310541430.XA
Authority: CN
Inventors: 石祖文
Original assignee: Xingyun Rongchuang Beijing Technology Co Ltd
Current assignee: Chongqing Yunliu Future Technology Co ltd; Kunlun Core Beijing Technology Co ltd
Priority date: 2013-11-05
Filing date: 2013-11-05
Publication date: 2017-08-04
Anticipated expiration: 2033-11-05
Also published as: CN103559444A

Abstract

本发明提供一种sql注入检测方法及装置，属于网络安全技术领域。所述方法包括：从http请求中提取http参数；将提取到的每个http参数分别与预定义的各种动态sql模板组合成sql语句；分别对每个sql语句进行语法分析，若该sql语句不符合sql语法规则，则确定该http参数不会导致sql注入攻击，若该sql语句符合sql语法规则，则输出与该sql语句对应的标记字符串；将所述标记字符串与具有sql注入攻击特征的标记字符串集合进行匹配，若匹配成功，则确定该http请求为sql注入攻击。根据本发明，能够提高sql注入检测的执行效率，并降低sql注入检测的误报率。

Description

一种sql注入检测方法及装置

技术领域

本发明涉及网络安全技术领域，特别涉及一种sql注入检测方法及装置。

背景技术

黑客在入侵网站的时候经常会利用sql(structure query language，结构化查询语言)注入漏洞执行各种非法数据库操作，比如盗取敏感信息、获取系统管理权限等。传统WAF(Web Application Firewall，Web应用防火墙)在过滤sql注入攻击时通常采用正则表达式进行sql注入匹配，或者直接进行sql语法关键词查找。

采用正则表达式进行匹配或者直接进行sql语法关键词查找时，往往需要匹配完整个用户提交的数据后才能进行拦截，这样会导致执行效率比较低。

另外，正则表达式由于不具备上下文分析能力，因此当用户通过post方式提交一篇包含sql关键字的文章时就可能进行误报拦截，而这有可能只是普通用户发表的一篇带有“select”关键词的技术文章而已。例如，对于如下的http请求，“http://foo.com/？id＝l+foo+union+select+a+from+b”，传统WAF会拦截并认为是sql注入行为，而实际上该http请求并非一个sql注入攻击。

可见，现有的sql注入检测方法不仅执行效率比较差，而且容易引起各种误报，把正常的http(hypertext transfer protocol，超文本传输协议)访问也拦截了。

发明内容

有鉴于此，本发明的目的是提供一种sql注入检测方法及装置，用以提高sql注入检测的执行效率，并降低sql注入检测的误报率。

为实现上述目的，本发明提供技术方案如下：

一种sql注入检测方法，包括：

从http请求中提取http参数；

将提取到的每个http参数分别与预定义的各种动态sql模板组合成sql语句；

分别对每个sql语句进行语法分析，若该sql语句不符合sql语法规则，则确定该http参数不会导致sql注入攻击，若该sql语句符合sql语法规则，则输出与该sql语句对应的标记字符串；

将所述标记字符串与具有sql注入攻击特征的标记字符串集合进行匹配，若匹配成功，则确定该http请求为sql注入攻击。

上述的sql注入检测方法，其中，还包括：若所有标记字符串均匹配失败，则确定该http请求不是sql注入攻击。

上述的sql注入检测方法，其中，所述http参数包括：url参数、cookie数据和表单数据。

上述的sql注入检测方法，其中，所述将提取到的每个http参数分别与预定义的各种动态sql模板组合成sql语句，包括：

将http参数作为变量值传入到动态sql模块的变量中，从而得到组合后的sql语句。

上述的sql注入检测方法，其中，所述将http参数作为变量值传入到动态sql模块的变量中，包括：

将http参数分别以数字型变量值和字符型变量值传入到动态sql模块的变量中。

一种sql注入检测装置，包括：

http参数提取单元，用于从http请求中提取http参数；

sql语句组合单元，用于将提取到的每个http参数分别与预定义的各种动态sql模板组合成sql语句；

sql语法分析单元，用于分别对每个sql语句进行语法分析，若该sql语句不符合sql语法规则，则确定该http参数不会导致sql注入攻击，若该sql语句符合sql语法规则，则输出与该sql语句对应的标记字符串；

标记字符串匹配单元，用于将所述标记字符串与具有sql注入攻击特征的标记字符串集合进行匹配，若匹配成功，则确定该http请求为sql注入攻击。

上述的sql注入检测装置，其中，所述标记字符串匹配单元进一步用于：若所有标记字符串均匹配失败，则确定该http请求不是sql注入攻击。

上述的sql注入检测装置，其中，所述http参数包括：url参数、cookie数据和表单数据。

上述的sql注入检测装置，其中，所述sql语句组合单元进一步用于：将http参数作为变量值传入到动态sql模块的变量中，从而得到组合后的sql语句。

上述述的sql注入检测装置，其中，所述sql语句组合单元进一步用于：将http参数分别以数字型变量值和字符型变量值传入到动态sql模块的变量中，得到对应的sql语句。

与现有技术相比，本发明的有益效果如下：

本发明通过对从http请求中提取出来的http参数进行sql语句模拟和sql语法分析，如果发现所有http参数对应的sql语句都不符合sql语法，就可以确定该http请求并非sql注入攻击，于是可以停止检测，从而执行效率更高；对于符合sql语法的sql语句，则进一步获取sql语法分析输出的标记字符串，通过将该标记字符串与具有sql注入攻击特征的标记字符串集合进行匹配，来确定该http请求是否为sql注入攻击，从而能够降低sql注入检测的误报率。

附图说明

图1是根据本发明一个实施例的sql注入检测方法流程图；

图2是根据本发明一个实施例的sql注入检测装置结构图。

具体实施方式

以下结合附图对本发明实施例进行详细描述。

现有技术通过采用正则表达式进行匹配或者直接进行sql语法关键词查找来检测sql注入攻击时，由于没有sql语句模拟和sql语法分析功能，往往需要匹配完整个用户提交的数据后才能进行拦截，这样会导致执行效率比较差；另外，由于正则表达式不具备上下文分析能力，可能会将正常的http请求检测为sql注入攻击，存在较高的误报率。

为解决现有技术中存在的上述问题，本发明实施例提供一种sql注入检测方法和装置，通过对从http请求中提取出来的http参数进行sql语句模拟和sql语法分析，如果发现所有http参数对应的sql语句都不符合sql语法，就可以确定该http请求并非sql注入攻击，于是可以停止检测，从而执行效率更高；对于符合sql语法的sql语句，则进一步获取sql语法分析输出的标记字符串，通过将该标记字符串与具有sql注入攻击特征的标记字符串集合进行匹配，来确定该http请求是否为sql注入攻击，从而能够降低sql注入检测的误报率。

图1是根据本发明一个实施例的sql注入检测方法流程图。参照图1，所述sql注入检测方法可以包括：

步骤101，从http请求中提取http参数；

Web应用程序中，url参数、cookie数据和表单数据这三个数据源包含了web用户提交的输入数据，是可能引入sql注入漏洞的位置。在本发明实施例中，从http请求中提取http参数是指从http请求中提取用户输入数据，即前述的url参数、cookie数据和表单数据。

根据http协议规范，url参数位于url字符串的尾部，并由“？”字符分割开，后面为多个由“&”字符分割开的形式为NAME＝VALUE的{NAME，VALUE}序列；COOKIE数据和表单数据均为多个由“；”字符分割开的形式为NAME＝VALUE的{NAME，VALUE}序列；各种HTTP参数有可能按照HTTP编码方法进行了编码，因此，在本发明实施例中，还对HTTP参数按照HTTP解码方法进行解码，也就是说，后续步骤中的http参数是指解码后的http参数。

例如，对于“GET/？id＝1+and+1＝1&class＝2q HTTP/1.1”，提取到的URL参数为“id＝1+and+1＝1”以及“class＝2q”，对这两个参数进行解码(“+”被解码为空格)后按照json格式输出为：[{″id″：″1and1＝1″，″class″：″2q″}，]；类似地，对于“Cookie：a＝1’；b＝2p”，提取到的COOKIE数据为[{″a″：″1′″，″b″：″2p″}，]。

步骤102，将提取到的每个http参数分别与预定义的各种动态sql模板组合成sql语句；

根据步骤101，提取到了多个http参数，在本步骤中，分别对每个http参数进行处理。

具体地，对于每个http参数，将其作为变量值传入到动态sql模板的变量中，从而得到组合后的sql语句。其中，可以将http参数分别以数字型变量值和字符型变量值传入到动态sql模板的变量中。也就是说，每个http参数与一个动态sql模块会组合得到两个sql语句，这样，如果有N个动态sql模板，则会组合得到2*N个sql语句。如果有M个http参数，则总共会组合得到2*M*N个sql语句。

在一般的web数据库程序开发中，可能使用的动态SQL模板包括SELECT、INSERT、DELETE、UPDATE和子查询等。在本发明实施例中，所述预定义的各种动态sql模板可以为web数据库程序开发中用到的所有动态SQL模板。

步骤103，分别对每个sql语句进行语法分析，若该sql语句不符合sql语法规则，则确定该http参数不会导致sql注入攻击，若该sql语句符合sql语法规则，则输出与该sql语句对应的标记字符串；

根据步骤101，组合得到了多个sql语句，在本步骤中，分别对每个sql语句进行sql语法分析。如果某个sql语句不符合sql语法规则，则可以确定与该sql语句对应的http参数不会导致sql注入攻击，于是，就不需要进一步对该sql语句执行后续输出标记字符串以及匹配的过程。如果所有的sql语句都不符合sql语法规则，则可以确定该http请求不是sql注入攻击，并结束本流程(不执行步骤104)。

在本步骤中，可以采用SQL语法分析器对sql语句进行语法分析，现有技术中有各种各样的SQL语法分析器，本领域技术人员可以根据需要从中选择一种语法分析器来实施本发明，例如，可以选择BISON语法分析工具(一种流行的开源语法分析器生成工具)。

进行语法分析后，若该sql语句符合sql语法规则，则输出与该sql语句对应的标记字符串。在各种语法分析工具中，定义有sql关键词与标记(token)的对应关系，例如，所述对应关系如下：

S＝select C＝column F＝from T＝table W＝where E＝equal n＝number&＝and s＝string

根据上述对应关系，并可以将sql语句转换为标记字符串(token字符串)。例如，对于如下的sql语句($a为变量a的值，单引号表示字符型)：

select x from x where id＝′$a

转换得到的token字符串为：SCFTWCEs。

步骤104，将所述标记字符串与具有sql注入攻击特征的标记字符串集合进行匹配，若匹配成功，则确定该http请求为sql注入攻击，若所有标记字符串均匹配失败，则确定该http请求不是sql注入攻击。

可以预先收集导致sql注入攻击的sql语句集合，将这些sql语句分别转换为标记字符串，得到具有sql注入攻击特征的标记字符串集合。将某个sql语句对应的标记字符串与具有sql注入攻击特征的标记字符串集合进行匹配，当匹配到一个sql语句时，表示匹配成功，则确定该http请求为sql注入攻击，可以继续进行其他标记字符串的匹配，也可以不继续进行其他标记字符串的匹配，从而结束本流程；当匹配不到sql语句时，表示匹配失败。当所有标记字符串均匹配失败时，则可以确定该http请求不是sql注入攻击。

根据本发明实施例的技术方案，若该sql语句不符合sql语法规则，则确定该http参数不会导致sql注入攻击，当确定所有参数都不会导致sql注入攻击时，就可以不必执行后续的匹配过程，从而提高了执行效率，并降低了误报率。

例如，对于http请求http://foo.com/？id＝1+foo+union+select+a+from+b，传统waf会拦截并认为是sql注入行为。使用本发明实施例的技术方案时，提取到的http数据为1foo union select a from b，经过组合后变为select a from b where Id＝1foo unionselect a from b，因为语法结构错误，则判断为非sql注入行为。

上述sql注入检测方法可以在web代理网关上执行，也可以直接在web服务器上执行，当检测到sql注入攻击时，直接丢弃该http请求，并进行报警或者向用户进行提示。

对应于上述sql注入检测方法，本发明实施例还提供一种sql注入检测装置，该装置可以设置在web代理网关中，也可以设置在web服务器中。

图2是根据本发明一个实施例的sql注入检测装置结构图。参照图2，所述装置可以包括http参数提取单元10、sql语句组合单元20、sql语法分析单元30和标记字符串匹配单元40。

http参数提取单元10用于从http请求中提取http参数，所述http参数包括：url参数、cookie数据和表单数据。

sql语句组合单元20用于将提取到的每个http参数分别与预定义的各种动态sql模板组合成sql语句。其中，可以http参数作为变量值传入到动态sql模块的变量中，从而得到组合后的sql语句，并且，可以将http参数分别以数字型变量值和字符型变量值传入到动态sql模块的变量中，得到对应的sql语句。

sql语法分析单元30用于分别对每个sql语句进行语法分析，若该sql语句不符合sql语法规则，则确定该http参数不会导致sql注入攻击，若该sql语句符合sql语法规则，则输出与该sql语句对应的标记字符串。

标记字符串匹配单元40用于将所述标记字符串与具有sql注入攻击特征的标记字符串集合进行匹配，若匹配成功，则确定该http请求为sql注入攻击，若所有标记字符串均匹配失败，则确定该http请求不是sql注入攻击。

以下给出本发明的一个应用实例：

假设获取到的http请求如下：

GET/？id＝1+and+1＝1&class＝2q HTTP/11

Accept：text/html，application/xhtml+xml，*/*

Accept-Language：zh-CN

User-Agent：Mozilla/50(compatible；MSIE90；Windows NT61；Trident/5.0)

Connection：close

Host：WWW anquanbao com

Cookie：a＝1’；b＝2p

Pragma：no-cache

从该http请求中提取url参数和Cookie数据，进行http解码后生成json结构如下：

″querystring″：[{″id″：″1and1＝1″，″class″：″2q″}，]//url参数

″cookie″：[{″a″：″1′″，″b″：″2p″}，]//cookie数据

将各种http参数与预定义的sql组合成完整的sql语句，如下：

select x from x where id＝$id

select x from x where id＝$class

select x from x where id＝$a

select x from x where id＝$b

select x from x where id＝′$id

select x from x where id＝′$class

select x from x where id＝′$a

select x from x where id＝′$b

对于每个sql语句，利用sql语法分析引擎生成对应的token字符串。

S＝select C＝columm F＝ffom T＝table W＝where E＝equal n＝number&＝and s＝strmg

上述8个sql语句对应如下三种token字符串：

SCFTWCEn&nEn

SCFTWCEn

SCFTWCEs

进行token字符串匹配时，上述的SCFTWCEn&nEn等于内置具有sql注入攻击特征的标记字符串：SCFTWCEn&nEn，判断该http请求为攻击请求。

需要说明的是，在附图的流程图示出的步骤可以在诸如设置有一组计算机可执行指令的计算机系统中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。另外，本领域的技术人员应该明白，上述的本发明的各模块或各步骤可以用通用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，可选地，它们可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储装置中由计算装置来执行，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims

1.一种sql注入检测方法，其特征在于，包括：

从http请求中提取http参数；

分别对每个sql语句进行语法分析，若该sql语句不符合sql语法规则，则确定该http参数不会导致sql注入攻击，若该sql语句符合sql语法规则，则根据预定义的sql关键词与标记的对应关系，输出与该sql语句对应的标记字符串；

2.如权利要求1所述的sql注入检测方法，其特征在于，还包括：

若所有标记字符串均匹配失败，则确定该http请求不是sql注入攻击。

3.如权利要求1或2所述的sql注入检测方法，其特征在于，所述http参数包括：url参数、cookie数据和表单数据。

4.如权利要求3所述的sql注入检测方法，其特征在于，所述将提取到的每个http参数分别与预定义的各种动态sql模板组合成sql语句，包括：

5.如权利要求4所述的sql注入检测方法，其特征在于，所述将http参数作为变量值传入到动态sql模块的变量中，包括：

6.一种sql注入检测装置，其特征在于，包括：

http参数提取单元，用于从http请求中提取http参数；

sql语法分析单元，用于分别对每个sql语句进行语法分析，若该sql语句不符合sql语法规则，则确定该http参数不会导致sql注入攻击，若该sql语句符合sql语法规则，则根据预定义的sql关键词与标记的对应关系，输出与该sql语句对应的标记字符串；

7.如权利要求6所述的sql注入检测装置，其特征在于，所述标记字符串匹配单元进一步用于：

8.如权利要求6或7所述的sql注入检测装置，其特征在于，所述http参数包括：url参数、cookie数据和表单数据。

9.如权利要求8所述的sql注入检测装置，其特征在于，所述sql语句组合单元进一步用于：

10.如权利要求9所述的sql注入检测装置，其特征在于，所述sql语句组合单元进一步用于：

将http参数分别以数字型变量值和字符型变量值传入到动态sql模块的变量中，得到对应的sql语句。