CN107122657B - 一种防御sql注入攻击的数据库代理装置 - Google Patents

Abstract

本发明提供一种防御SQL注入攻击的数据库代理装置，包括语句接收模块、标签处理模块、语句分组模块、注入攻击检测模块和语句执行模块；语句接收模块接收各应用服务器转发的SQL语句；标签处理模块检测各语句中的标签是否合法，如是，则去掉该语句中的标签，否则丢弃；语句分组模块将去掉标签的语句中相同内容的分成一组；注入攻击检测模块检测每组中的语句是否达到2n+1条或n+1条，若达到2n+1条，则将该组中的语句输出，若达到n+1条而未达到2n+1条，则将该组中的语句输出的同时报警，若未达到n+1条，则将该组中的语句丢弃并报警；语句执行模块将接收到的语句发送给数据库服务器。本发明可防御未知攻击行为，实现数据库的高安全性、高可靠性。

Description

一种防御SQL注入攻击的数据库代理装置

技术领域

本发明涉及网络安全领域，更具体地说，涉及一种防御SQL注入攻击的数据库代理装置。

背景技术

在当今网络环境下，数据库作为重要的存储工具，经常存储着大量有价值的数据，这些数据包含用户信息、企业数据、金融财政、商业机密、知识产权、客户订单信息等内容，其重要程度不言而喻。因此，数据库往往会成为网络黑客的主要攻击对象。网络黑客利用各种途径、各种攻击工具、各种欺骗手段来获取其想得到的信息，因此，保证数据库安全变得非常重要。

最常见的数据库安全威胁是SQL注入攻击，SQL注入攻击指的是通过构建特殊的输入语句传入Web应用服务器，而这些输入大都是SQL语法里的一些组合，通过使Web应用程序执行SQL语句进而执行攻击者所要的操作。这是由于系统应用未对客户端输入语句进行合法性检查，攻击者可以通过提交一段数据库查询代码，根据应用程序返回的结果，获得某些想得知的数据。

针对SQL注入攻击，传统解决方案绝大多数是在系统被攻击之后的“亡羊补牢”式防护，但在系统出现新的注入攻击点时，仍然束手无策。具体来说，传统防御技术都是基于黑名单对客户端输入语句进行合法性检查，当发现客户端的输入语句在黑名单内，则对其进行拦截，进而实现基于已知注入漏洞的SQL注入防御。该方案存在以下两方面的严重问题：1)对于未知注入漏洞无能为力；2)黑名单过多会产生高误报问题，进而影响正常用户使用。

针对数据库SQL注入攻击威胁，中国专利申请《SQL注入攻击检测方法及其装置》公开了一种SQL注入攻击检测方案，该方案也是基于恶意人员进行SQL注入攻击的已知行为特征，虽然在一定程度上克服了传统SQL检测机制的缺陷，缓解了传统SQL注入攻击检测方法中存在高误报率的问题，但其对未知攻击行为的防御能力仍然无能为力。此外，美国专利《SQL injection attack

detection system supporting multiple database types》公开了一种支持多类型数据库的SQL注入攻击检测系统，其包含多个不同语法规则的SQL注入攻击检测模块，对用户提交的参数进行过滤检查，因此该方案也是一种基于已知攻击行为特征的防御手段，对含有未知特征的SQL注入攻击无效。

发明内容

针对上述现有技术中存在的不足，本发明的目的在于提供一种防御SQL注入攻击的数据库代理装置，以防御未知攻击行为，从而实现数据库的高安全性、高可靠性。

为了实现上述目的，本发明采用如下技术方案：

一种防御SQL注入攻击的数据库代理装置，包括依次连接在2n+1个应用服务器和一数据库服务器之间的一语句接收模块、一标签处理模块、一语句分组模块、一注入攻击检测模块和一语句执行模块，其中：

所述语句接收模块包括2n+1个与所述应用服务器一一对应连接的监听端口，各监听端口设置为接收对应应用服务器转发的SQL语句；

所述标签处理模块设置为检测各监听端口接收的SQL语句是否包含与相应监听端口对应的标签而不包含与其它监听端口对应的标签，若是，则将该SQL语句中的标签去掉后发送至所述语句分组模块，否则，将该SQL语句丢弃；

所述语句分组模块设置为接收去掉标签的SQL语句，并将接收到的相同SQL语句分成一组；

所述注入攻击检测模块设置为检测每组中的SQL语句是否达到2n+1条或n+1条，若达到2n+1条，则将该组中的SQL语句输出至语句执行模块，若达到n+1条而未达到2n+1条，则将该组中的SQL语句输出至语句执行模块，同时发出异常报警信号，若未达到n+1条，则将该组中的SQL语句丢弃并发出异常报警信号；

所述语句执行模块设置为将接收到的SQL语句发送至所述数据库服务器。

进一步地，所述语句分组模块在分组时，若同一组中的SQL语句不足2n+1条，则等待后续SQL语句的到来，直至等待时间超过预设的有效时间阈值。

进一步地，所述应用服务器和所述监听端口的数量为三个。

综上所述，本发明的主要特点在于对应用服务器输出的SQL语句进行标签合法性检测，有效防御恶意用户或黑客的攻击行为。与现有技术相比，本发明极大地提高了数据库的安全性，有效地防御了针对数据库的SQL注入攻击，而且即使在攻击者得到了系统全部标签，也不能攻击成功。

附图说明

图1为本发明防御SQL注入攻击的数据库代理装置的结构框图；

图2为本发明中语句接收模块所接收内容的一个实施例；

图3为本发明中标签处理模块处理后的结果；

图4为图3中的处理结果经过分组模块分组后的结果；

图5为图4中的分组结果经过注入攻击检测模块处理后的检测结果；

图6为图5中的检测结果经过执行模块处理后输入数据库服务器的示意图。

具体实施方式

下面结合具体实施例对本发明进行详细说明。以下实施例将有助于本领域的技术人员进一步理解本发明，但不以任何形式限制本发明。应当指出的是，对本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变形和改进。这些都属于本发明的保护范围。

本发明提供的防御SQL注入攻击的数据库代理装置如图1所示，包括依次连接在2n+1个(图中示出为3个)应用服务器和一数据库服务器之间的一语句接收模块、一标签处理模块、一语句分组模块、一注入攻击检测模块和一语句执行模块。

在本发明中，语句接收模块包括2n+1个(图中示出为3个)监听端口，这些监听端口分别与应用服务器一一对应连接，用于接收对应应用服务器转发的针对数据库服务器中内容进行增、删、改等操作的SQL语句。

标签处理模块与各监听端口分别连接，用于处理各监听端口所接收的SQL语句，即，通过检查各监听端口所接收的SQL语句中的关键字是否含有与该监听端口对应的标签字符串来判断此SQL语句的合法性，若不含有，则将该语句进行丢弃处理；若含有，则进一步判断各监听端口所接收的SQL语句中的关键字是否含有与其它监听端口对应的标签字符串，若不含有，则判定为合法SQL语句，对其进行去标签化处理后发送到语句分组模块，若含有其它标签则将该语句进行丢弃处理。

语句分组模块连接在标签处理模块之后，用于对接收到的合法SQL语句进行分组并将分组结果输出至注入攻击检测模块。具体分组原则是：将内容相同的语句分成一组，当同一组中的SQL语句不足2n+1条时，等待后续SQL语句的到来(等待是因为网络可能延迟，同一个请求对应的语句可能不在同一时间内到达)，直至等待的时间超过预设的有效时间阈值。

注入攻击检测模块连接在语句分组模块之后，其用于检测语句分组模块所分各组中的SQL语句是否达到2n+1条或者n+1条(即检测各监听端口接收到的语句完全一致或者大多数一致)。若一组中的语句达到2n+1条(即各监听端口接收到的语句完全一致)，认为该组中的SQL语句是正常语句，则将对应的SQL语句输出至语句执行模块；若一组中的语句仅达到n+1条但未达到2n+1条(即各监听端口接收到的语句大多数一致)，认为该组中的SQL语句可能被攻击，则将对应的SQL语句输出至语句执行模块，同时向外围安全监控中心发出异常报警信号；若一组中的语句未达到n+1条(即各监听端口接收到的语句大多数不一致)，认为该组中的SQL语句是攻击语句，则将对应的SQL语句进行丢弃处理，同时向外围安全监控中心发出异常报警信号。

语句执行模块连接在注入攻击检测模块之后，是本发明代理装置的最后一个模块，其后与数据库服务器相连。语句执行模块负责将接收到的SQL语句发送给后端的数据库服务器予以执行。

根据图1所示，本发明的工作原理为：当客户端发送的是正常HTTP请求时，客户端正常的HTTP请求不含有SQL语句，而是web应用服务器在处理HTTP请求时会向数据库发送SQL语句，如客户端点击页面的查询按钮(如查询年龄大于50的人)，web应用服务器就会向数据库发送查询年龄大于50的SQL语句，通过请求复制模块，正常的HTTP请求会被复制转发到后端三个web服务器上，这三个web服务器会产生含有各自对应监听端口的标签的SQL语句，因为每个web服务器中关于数据库的SQL操作语句均被提前加上各自对应监听端口的标签，所以发送到各个监听端口的SQL语句有且仅有各自对应的标签，因此能同时通过各标签处理模块的验证。当客户端发送的是含有SQL注入攻击的HTTP请求时，请求复制模块对客户端请求进行复制分发，应用服务器向后端数据库代理装置对应的监听端口发送请求SQL语句，但攻击者通常不知道标签，因而其写的注入代码中的SQL语句一般不含有标签，退一步讲，黑客即使知道全部标签也无法构造一条攻击语句同时通过各标签处理模块的验证，因为若一条攻击语句通过了端口1的验证，说明此攻击语句的所有SQL关键字都含有标签1，没有关键字含有标签2、标签3，因此这条攻击语句无法通过端口1以外的其它端口的验证。例如攻击者的攻击语句为：；and(select count(*)from sysobjects)>0，首先闭合了正常的SQL语句，然后执行自己注入的SQL语句，当攻击者知道全部标签时，会构造含有所有标签的注入语句，如：；and1(select1count1(*)from1sysobjects)>1 0；and2(select2count2(*)from2sysobjects)>2 0；and3(select3count3(*)from3sysobjects)>3 0。当此攻击语句通过标签1端口进行合法性判别时，因含有标签2和3而被判定为非法语句而被丢弃，通过标签2端口和标签3端口判别时处理结果一样。

图2-图6示出了本发明一个应用示例的工作过程：

首先，如图2所示，语句接收模块接收到来自三个应用服务器的带有标签的9条SQL语句，即，一个“标签1+SQL1”语句、一个“标签2+SQL1”语句、一个“标签3+SQL1”语句、一个“标签1+SQL2”语句、一个“标签2+SQL2”语句、一个“标签3+SQL2”语句、一个“标签1+SQL3”语句、一个“标签2+SQL3”语句以及一个“标签3+SQL4”语句。

其次，标签处理模块对每个监听端口所接收的SQL语句进行处理，例如在处理监听端口1接收的SQL语句时，应检查其接收到的SQL语句中的所有SQL关键字是否都含有关键字标签1，如有，则认为是合法语句，去除标签，处理结果如图3。

然后，语句分组模块将去标签处理后的各语句中由不同监听端口接收的内容相同的SQL语句分为一组，共分成了四组。如图4所示，三个“SQL1”语句为一组，三个“SQL2”语句为一组，两个“SQL3”语句为一组，一个“SQL4”语句为一组。

而后，注入攻击检测模块判断每组语句是否为攻击语句，如图5所示，组1、组2中的语句为3条，则认为“SQL1”、“SQL2是正常语句，输出“SQL1”；组3中的语句为2条，超过半数，认为可能遭受恶意SQL注入攻击行为，在输出“SQL3”的同时发出异常报警信号；组四中的语句为1条，少于半数，认为一定是恶意攻击语句，将“SQL4”丢弃，并发出异常报警信号。

最后，如图6所示，语句执行模块将注入攻击检测模块的输出语句“SQL1”、“SQL2”、“SQL3”发送给数据库服务器进行执行。

以上对本发明的具体实施例进行了描述。需要理解的是，本发明并不局限于上述特定实施方式，本领域技术人员可以在权利要求的范围内做出各种变形或修改，这并不影响本发明的实质内容。本发明中未尽详述的内容为本领域公知的内容。

Claims (2)

1.一种防御SQL注入攻击的数据库代理装置，其特征在于，包括依次连接在2n+1个应用服务器和一数据库服务器之间的一语句接收模块、一标签处理模块、一语句分组模块、一注入攻击检测模块和一语句执行模块，其中：

所述语句接收模块包括2n+1个与所述应用服务器一一对应连接的监听端口，各监听端口设置为接收对应应用服务器转发的SQL语句；n=1；

所述标签处理模块设置为检测各监听端口接收的SQL语句是否包含与相应监听端口对应的标签而不包含与其它监听端口对应的标签，若是，则将该SQL语句中的标签去掉后发送至所述语句分组模块，否则，将该SQL语句丢弃；

所述语句分组模块设置为接收去掉标签的SQL语句，并将接收到的相同SQL语句分成一组；所述语句分组模块在分组时，若同一组中的SQL语句不足2n+1条，则等待后续SQL语句的到来，直至等待时间超过预设的有效时间阈值；

所述注入攻击检测模块设置为检测每组中的SQL语句是否达到2n+1条或n+1条，若达到2n+1条，则将该组中的SQL语句输出至语句执行模块，若达到n+1条而未达到2n+1条，则将该组中的SQL语句输出至语句执行模块，同时发出异常报警信号，若未达到n+1条，则将该组中的SQL语句丢弃并发出异常报警信号；

所述语句执行模块设置为将接收到的SQL语句发送至所述数据库服务器；

当客户端发送的是正常HTTP请求时，客户端正常的HTTP请求不含有SQL语句，而是应用服务器在处理HTTP请求时会向数据库服务器发送SQL语句，通过请求复制模块，正常的HTTP请求会被复制转发到三个应用服务器上，这三个应用服务器会产生含有各自对应监听端口的标签的SQL语句，因为每个应用服务器中关于数据库服务器的SQL操作语句均被提前加上各自对应监听端口的标签，所以发送到各个监听端口的SQL语句有且仅有各自对应的标签，因此能同时通过各标签处理模块的验证；当客户端发送的是含有SQL注入攻击的HTTP请求时，请求复制模块对客户端请求进行复制分发，应用服务器向对应的监听端口发送请求SQL语句，但攻击者在不知道标签时，其写的注入代码中的SQL语句不含有标签；攻击者即使知道全部标签也无法构造一条攻击语句同时通过各标签处理模块的验证，因为若一条攻击语句通过了对应于第一标签的监听端口的验证，说明此攻击语句的所有SQL关键字都含有第一标签，没有关键字含有第二标签、第三标签，因此这条攻击语句无法通过该监听端口以外的其它监听端口的验证；当攻击者知道全部标签时，会构造含有所有标签的注入语句，当此攻击语句通过第一标签对应的监听端口进行合法性判别时，因含有第二标签和第三标签而被判定为非法语句而被丢弃，通过第二标签对应的监听端口和第三标签对应的监听端口判别时处理结果一样。

2.根据权利要求1所述的防御SQL注入攻击的数据库代理装置，其特征在于，客户端点击页面的查询按钮，应用服务器就会向数据库服务器发送SQL语句。

Images