CN105704146A - Sql防注入的系统与方法 - Google Patents

Abstract

本发明公开了一种SQL防注入的系统与方法，它包括IP黑名单过滤模块、请求规则检测模块和http响应拦截模块；IP黑名单过滤模块用于对满足一定攻击条件的请求源IP设置为黑名单，系统自动拦截掉黑名单中的IP请求；请求规则检测模块用于对通过IP检测的请求进行请求参数合法性的检测，并对存在异常参数的请求进行拦截；http响应拦截模块用于对错误返回信息进行拦截，过滤掉错误提示信息，防止敏感信息暴露。本发明解决了已存在SQL注入或者有SQL隐患系统的安全性问题，增大了服务器的安全。

Description

SQL防注入的系统与方法

技术领域

本发明涉及服务器数据防注入的技术领域，具体涉及一种SQL防注入的系统与方法。

背景技术

web应用是基于http协议的，客户发送带有参数的http请求，服务器解析请求，提交给应用处理程序，然后应用处理程序在构造相应SQL查询语句，进行数据库中的数据查询。基于这样的工作方式，服务器容易受到SQL攻击。SQL注入是常用的服务攻击手段之一，很多的服务网站都存在SQL注入的漏洞，攻击者往往采用SQL注入进行攻击，成功之后，可以随意对数据中的数据进行增删改擦，具有很大的危害。常见的防止SQL注入的方法主要有三种：1)开发过程中的约束，开发过程中完全按照代码开发的规范标准开发；2)基于关键字和规则的过滤；3)为网页接收参数做配置，配置提交参数的白名单；常见的防止SQL注入的方法也有一定的缺陷，基于关键字和规则的过滤，对于试探性的SQL攻击和特殊的SQL攻击防御能力较差，容易产生误报和漏报；配置参数提交白名单，需要对网页可接收的所有参数进行配置，工作量很大，花费开销较大，同时也容易出现错误。数据库是服务器的核心部分，数据库中的数据应该是安全的，系统应该能够防止SQL注入攻击。基于SQL注入的攻击原理，本文设计了一种新的防SQL注入的系统，对服务器进行加固，使服务器具有较高的防止SQL注入的能力。

发明内容

本发明克服了现有技术的不足，提供一种SQL防注入的系统与方法，用于解决SQL的安全性问题。

考虑到现有技术的上述问题，根据本发明公开的一个方面，本发明采用以下技术方案：

一种SQL防注入的系统，它包括：

IP黑名单过滤模块，用于对满足一定攻击条件的请求源IP设置为黑名单，系统自动拦截掉黑名单中的IP请求；

请求规则检测模块，用于对通过IP检测的请求进行请求参数合法性的检测，并对存在异常参数的请求进行拦截；

http响应拦截模块，用于对错误返回信息进行拦截，过滤掉错误提示信息，防止敏感信息暴露。

为了更好地实现本发明，进一步的技术方案是：

根据本发明的一个实施方案，所述请求规则检测模块用于还用于在检测http请求参数时采用通用的关键字规则检测，以及将过滤规则分类。

根据本发明的另一个实施方案，所述分类包括get请求过滤规则、post请求过滤规则和Cookie过滤规则。

根据本发明的另一个实施方案，所述请求规则检测模块通过所述get请求过滤规则，用于对get请求进行约束，对不符合语义的关键字或者符号，判断为攻击行为，并将其IP加入黑名单中。

根据本发明的另一个实施方案，对于所述post请求过滤规则，通过设置一个post规则匹配库，所述规则匹配库是基于大量的SQL注入语义而提取出的正则表达式，检验post请求时，对post请求与规则匹配库中的正则表达式进行匹配，如果匹配不成功，则说明存在攻击行为，并将相应IP地址加入到黑名单中。

根据本发明的另一个实施方案，对于所述Cookie过滤规则，通过设置一个Cookie规则匹配库，所述规则匹配库是基于大量的SQL注入语义而提取出的正则表达式，检验post请求时，对Cookie请求与规则匹配库中的正则表达式进行匹配，如果匹配不成功，则说明存在攻击行为，并将相应IP地址加入到黑名单中。

根据本发明的另一个实施方案，所述http响应拦截模块还用于对网站响应的http报文进行过滤。

根据本发明的另一个实施方案，将http报文的状态码字段分为5个字段，包括：表示临时响应并需要请求者继续执行操作的状态代码；表示成功处理了请求的状态代码；表示要完成请求，需要进一步操作；状态代码表示请求可能出错，妨碍了服务器的处理；服务器响应错误。

根据本发明的另一个实施方案，将状态码字段为服务器响应错误过滤掉。

本发明还可以是：

一种SQL防注入的方法，它包括：

ⅰ)对满足一定攻击条件的请求源IP设置为黑名单，系统自动拦截掉黑名单中的IP请求；

ⅱ)对通过IP检测的请求进行请求参数合法性的检测，并对存在异常参数的请求进行拦截；

ⅲ)对错误返回信息进行拦截，过滤掉错误提示信息，防止敏感信息暴露。

与现有技术相比，本发明的有益效果之一是：

本发明的一种SQL防注入的系统与方法，是一套完善的安全检测机制，其结合http请求和http响应，以及服务处理等过程进行相应的安全检测，对整个web服务流程进行加固；首先对http请求进行基于IP和规则的过滤，能够有效的防止扫面性的SQL注入和不符合语法规则的SQL注入，提高了检测的准确度和服务效率；http响应是系统的第三层防护，如果攻击绕过前两种检测，系统的第三层过滤将返回的错误信息过滤掉，这样攻击者无法获取任何关于服务器有用的信息，给攻击带来了很大的难度；同时，对于存在SQL注入系统而难以修复的系统，SQL防护系统也提供了一种有效的解决办法，通过SQL防固系统，可以大大增加服务器的安全。

附图说明

为了更清楚的说明本申请文件实施例或现有技术中的技术方案，下面将对实施例或现有技术的描述中所需要使用的附图作简单的介绍，显而易见地，下面描述中的附图仅是对本申请文件中一些实施例的参考，对于本领域技术人员来讲，在不付出创造性劳动的情况下，还可以根据这些附图得到其它的附图。

图1示出了根据本发明一个实施例的SQL防护系统示意图。

图2示出了根据本发明一个实施例的SQL检测时序示意图。

具体实施方式

下面结合实施例对本发明作进一步地详细说明，但本发明的实施方式不限于此。

数据库是服务器的核心部分，由于编程人员的疏忽或者参数配置不当，很多新开发的系统可能存在SQL注入漏洞。同时有一部分之前开发的系统存在SQL注入漏洞，后期修复难度大，开销高，不容修复，为了解决已存在SQL注入或者有SQL隐患系统的安全性问题，本发明设计了一种SQL防注入的系统，它包括IP黑名单过滤模块、请求规则检测模块和http响应拦截模块，其具体的实现原理如下：

SQL防注入的设计的整体思路：SQL防注入系统设计一套完善的安全检测机制，结合http请求和http响应，以及服务处理过程进行相应的安全检测，对整个web服务流程进行加固，全方位的防止SQL注入；首先对http的请求的安全检测，系统设置有IP的黑名单和http过滤规则进行安全检测。满足一定攻击条件的请求源IP设置为黑名单，IP黑名单作为第一道防线，系统会拦截掉黑名单的IP请求。第二道防线为请求规则检测，系统会对通过IP检测的请求进行请求参数合法性的检测，如果参数异常，对请求进行拦截。第三道防线是http响应的拦截，通常请求出现异常时，系统会将错误的信息返回给攻击者，返回的信息中带有很多敏感的信息，收集到服务器的相关技术，甚至是服务器的漏洞。通过返回的错误，攻击者可以分析出很多的可用信息，然后进行针对性的攻击，成功的几率很大。http响应拦截便是对错误返回信息进行拦截的一种机制，http响应拦截可以过滤掉错误提示信息，避免敏感信息暴露出来。http请求和响应是服务过程中的双重检测，无论系统是否存在SQL注入的漏洞，都能有效的保护系统的安全性，从而保证系统的正常运行。

系统设计如图1所示：

http请求的过滤设计：http请求过滤采用IP攻击源过滤和不合法参数过滤相结合。

一、IP黑名单过滤：模块首先提取http请求中的参数，对IP地址进行记录，单位时间内访问请求超过一定数量的IP，可以认为存在攻击行为，将IP标记为黑名单；通过IP检测，但是在语法规则过滤的时候，发现存在SQL注入的攻击行为，同样将该IP设置为黑名单。检测过程中，如果请求的IP地址与记录的攻击源IP匹配，直接过滤掉http请求，拒绝其对网站的一切操作。屏蔽一定的时间段之后，将IP地址移出黑名单，该地址又可以进行正常的网页访问，其中屏蔽时间和单位时间访问量限制由管理员根据实际情况自行设定。

二、关键字与规则过滤：在检测http请求参数时，采用通用的关键字规则检测方法，系统的过滤规则是在通用规则的基础上进行了改进，将过滤规则进行了分类改进。http协议有多种请求报文，常见的类型主要包括get请求和post请求。Get请求的参数对用户是可见的，主要是向服务器请求数据。post请求的参数包含在htmlheader内提交，用户是不可见的，主要向服务器提交数据。除了get和post两种请求提交数据之外，cookie同样会向服务器提交数据。Cookie主要缓存一些客户端数据，通常用于避免身份的重复认证。客户端向服务器发送请求时，本地保存的Cookie值也会提交到服务器端，并作为参数，所以Cookie也能可以被SQL注入。

get请求过滤规则：用于向服务器请求数据，携带的数据一般通常直接作为数据库查询的条件的参数，所以正常的get请求不应包含特殊字符，以及select，insert，delete，update等SQL语句中的关键字。改进的规则对get请求进行严格约束，只要检索到不符合语义的关键字或者符号，就判断为攻击行为，将IP加入攻击源的黑名单中。

post请求过滤规则：对于post请求的数据，完成基于规则的检测，系统设置一个规则匹配库，其中的规则是基于大量的SQL注入语义而提取出的正则表达式，检验post请求时，对post请求与规则匹配库中的正则表达式进行匹配，匹配成功则说明存在SQL注入，将请求进行过滤。如果检测的过程中发现攻击行为，又将该IP地址加入到黑名单中，同时拒绝该IP地址的一切访问。

Cookie过滤规则：cookie的数据格式有很大的由于cookie的数据格式具有很大的不缺定性，不能通过关键字的过滤规则判断，同样对cookie也是基于表达式的过滤。规则库的设置与post请求规则库设置类似。如果检测的过程中发现攻击行为，又将该IP地址加入到黑名单中，同时拒绝该IP地址的一切访问。采用改进的关键字规则过滤法，可以大大提高过滤的准确性，SQL请求检测的时序如图2所示。

http响应的过滤设计：很多的SQL注入成功往往是基于网站错误信息的回复，攻击者往往能够根据对服务器返回的错误信息进行分析，不断变换注入参数，找到漏洞。对于这样的情况，对网站响应的http报文进行过滤。为了加快访问速度，不需要对http报文的所有字段进行检测。http协议有一个重要的标志位，即状态码字段，往往将服务器的一些信息返回到客户端，状态码分为五种类型，具体如下表所示：

标志位	含义
		1xx	表示临时响应并需要请求者继续执行操作的状态代码
2xx	表示成功处理了请求的状态代码
		3xx	表示要完成请求，需要进一步操作
4xx	这些状态代码表示请求可能出错，妨碍了服务器的处理
		5xx	服务器响应错误

五种状态码具有不同的作用，对于攻击者而言，5xx状态返回信息往往能暴露给攻击者很多的敏感信息，攻击者往往也是通过这些信息变换攻击的进行攻击的手段，所以对于返回的信息，为了不暴露服务器的一切信息，本设计将状态码为5xx的http响应过滤掉。

本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其它实施例的不同之处，各个实施例之间相同相似部分相互参见即可。

在本说明书中所谈到的“一个实施例”、“另一个实施例”、“实施例”、等，指的是结合该实施例描述的具体特征、结构或者特点包括在本申请概括性描述的至少一个实施例中。在说明书中多个地方出现同种表述不是一定指的是同一个实施例。进一步来说，结合任一实施例描述一个具体特征、结构或者特点时，所要主张的是结合其他实施例来实现这种特征、结构或者特点也落在本发明的范围内。

尽管这里参照本发明的多个解释性实施例对本发明进行了描述，但是，应该理解，本领域技术人员可以设计出很多其他的修改和实施方式，这些修改和实施方式将落在本申请公开的原则范围和精神之内。更具体地说，在本申请公开和权利要求的范围内，可以对主题组合布局的组成部件和/或布局进行多种变型和改进。除了对组成部件和/或布局进行的变型和改进外，对于本领域技术人员来说，其他的用途也将是明显的。

Claims (10)

1.一种SQL防注入的系统，其特征在于它包括：

IP黑名单过滤模块，用于对满足一定攻击条件的请求源IP设置为黑名单，系统自动拦截掉黑名单中的IP请求；

请求规则检测模块，用于对通过IP检测的请求进行请求参数合法性的检测，并对存在异常参数的请求进行拦截；

http响应拦截模块，用于对错误返回信息进行拦截，过滤掉错误提示信息，防止敏感信息暴露。

2.根据权利要求1所述的SQL防注入的系统，其特征在于所述请求规则检测模块用于还用于在检测http请求参数时采用通用的关键字规则检测，以及将过滤规则分类。

3.根据权利要求2所述的SQL防注入的系统，其特征在于所述分类包括get请求过滤规则、post请求过滤规则和Cookie过滤规则。

4.根据权利要求3所述的SQL防注入的系统，其特征在于所述请求规则检测模块通过所述get请求过滤规则，用于对get请求进行约束，对不符合语义的关键字或者符号，判断为攻击行为，并将其IP加入黑名单中。

5.根据权利要求3所述的SQL防注入的系统，其特征在于对于所述post请求过滤规则，通过设置一个post规则匹配库，所述规则匹配库是基于大量的SQL注入语义而提取出的正则表达式，检验post请求时，对post请求与规则匹配库中的正则表达式进行匹配，如果匹配不成功，则说明存在攻击行为，并将相应IP地址加入到黑名单中。

6.根据权利要求3所述的SQL防注入的系统，其特征在于对于所述Cookie过滤规则，通过设置一个Cookie规则匹配库，所述规则匹配库是基于大量的SQL注入语义而提取出的正则表达式，检验post请求时，对Cookie请求与规则匹配库中的正则表达式进行匹配，如果匹配不成功，则说明存在攻击行为，并将相应IP地址加入到黑名单中。

7.根据权利要求1所述的SQL防注入的系统，其特征在于所述http响应拦截模块还用于对网站响应的http报文进行过滤。

8.根据权利要求7所述的SQL防注入的系统，其特征在于将http报文的状态码字段分为5个字段，包括：表示临时响应并需要请求者继续执行操作的状态代码；表示成功处理了请求的状态代码；表示要完成请求，需要进一步操作；状态代码表示请求可能出错，妨碍了服务器的处理；服务器响应错误。

9.根据权利要求8所述的SQL防注入的系统，其特征在于将状态码字段为服务器响应错误过滤掉。

10.一种SQL防注入的方法，其特征在于它包括：

ⅰ)对满足一定攻击条件的请求源IP设置为黑名单，系统自动拦截掉黑名单中的IP请求；

ⅱ)对通过IP检测的请求进行请求参数合法性的检测，并对存在异常参数的请求进行拦截；

ⅲ)对错误返回信息进行拦截，过滤掉错误提示信息，防止敏感信息暴露。