CN107222494A - 一种sql注入攻击防御组件及方法 - Google Patents

Abstract

本发明公开了一种SQL注入攻击防御组件及方法，目的在于解决现有对于含有未知特征的SQL注入攻击无效的问题，该SQL注入攻击防御组件包括SQL语句预处理模块、用户输入参数处理模块、注入攻击检测模块、注入检测结果生成模块。本发明通过将标签与SQL关键词关联的方式来校验SQL语句，克服了现有技术只能基于已知攻击行为特征的防御手段，对含有未知特征SQL注入攻击无效的问题，在一定程度上，提高了系统的安全性。

Description

一种SQL注入攻击防御组件及方法

技术领域

本发明涉及信息安全领域，具体而言，本发明涉及一种SQL注入攻击防御组件及方法。

背景技术

在当今网络环境下，数据库作为重要的存储工具，经常存储着大量有价值的数据，这些数据包含用户信息、企业数据、金融财政、商业机密、知识产权、客户订单信息等内容，其重要程度不言而喻。因此，数据库往往会成为网络黑客的主要攻击对象。网络黑客利用各种途径、各种攻击工具、各种欺骗手段来获取其想得到的信息，因此，保证数据库安全变得非常重要。

最常见的数据库安全威胁是结构化查询语言(Structured Query Language，简称SQL)注入攻击，SQL注入攻击指的是通过构建特殊的输入语句传入Web应用服务器，而这些输入语句包含SQL语法里的一些关键词，通过使Web应用执行SQL语句进而执行攻击者所要的操作。这是由于系统应用未对客户端输入语句进行合法性检查，攻击者可以通过提交一段数据库查询代码，根据应用返回的结果，获得某些想得知的数据。

针对SQL注入攻击，传统解决方案绝大多数是在系统被攻击之后的“亡羊补牢”式防护，但在系统出现新的注入攻击点时，仍然束手无策。具体来说，传统防御技术都是基于黑名单对客户端输入语句进行合法性检查，当发现客户端的输入语句在黑名单内，则对其进行拦截，进而实现基于已知注入漏洞的SQL注入防御。该方案存在以下两方面的严重问题：1)对于未知注入漏洞无能为力；2)黑名单过多会产生高误报问题，进而影响正常用户使用。

针对数据库SQL注入攻击威胁，申请号为200910206715.1的中国发明专利公开了一种SQL注入攻击检测方法及其装置，该专利是基于恶意人员进行SQL注入攻击的行为特征，对用户发送的请求访问动态网页的请求消息中携带的SQL注入关键字进行累计计数，规定时间长度内，当与该用户发送该请求消息时使用的访问属性信息相应的SQL注入累计值达到限定值时，认定该用户正在对网站实施SQL注入攻击，虽然在一定程度上克服了传统SQL检测机制的缺陷，缓解了传统SQL注入攻击检测方法中存在高误报率的问题，但其对未知攻击行为的防御能力仍然无能为力。

申请号为200710121668.1的中国发明专利公开了一种支持多种数据库类型的SQL注入攻击检测系统，其通过使用SQL注入命令的内在语法结构来定义SQL注入攻击检测规则，而不是基于传统入侵检测系统的攻击特征签名来定义SQL注入攻击检测规则，有效克服了SQL注入攻击事件的攻击特征签名不易提取和易被欺骗等缺点，但是该发明仍然是一种基于已知攻击行为特征的防御手段，对含有未知特征SQL注入攻击无效。

发明内容

为了解决现有对于含有未知特征的SQL注入攻击无效的问题，本发明提供了一种SQL注入攻击防御组件及方法。

为了本实现上述目的，本发明一方面提供一种SQL注入攻击防御组件，其与一应用服务器相连，该SQL注入攻击防御组件包括：

SQL语句预处理模块，其设置为使应用服务器输出的SQL语句中的所有SQL关键词分别带上预生成的标签；

用户输入参数处理模块，其设置为将用户输入的参数添加到经过所述SQL语句预处理模块处理后的SQL语句中；

注入攻击检测模块，其设置为检测经过所述用户输入参数处理模块处理后的SQL语句中的所有关键字是否均带有合法的标签，合法是指与SQL语句预处理模块中添加的标签相同；以及

注入检测结果生成模块，其设置为根据所述注入攻击检测模块的检测结果返回相应的信息，若所述注入攻击检测模块检测到SQL语句中的所有关键词均带有合法的标签，则将该SQL语中的标签去除后返回至应用服务器，否则，返回指令错误信息。

优选地，所述SQL语句预处理模块还设置为对应用服务器输出的SQL语句进行复制，以生成至少两条相同的SQL语句，并将复制生成的至少两条SQL语句作为子语句拼接成一条组合的SQL语句，然后使所述组合的SQL语句中的所有关键词均带上预生成的标签，其中相同子语句中的关键词带有相同的标签，不同子语句中的关键词带有不同的标签。

优选地，所述注入攻击检测模块还设置为检测组合的SQL语句的每条子语句中的标签是否与所述SQL语句预处理模块添加的标签一致，若一致，则所述注入检测结果生成模块选择任意一条子语句将其中的标签去除后返回至应用服务器，否则，返回所述指令错误信息。

优选地，所述预生成的标签随机生成。

优选地，所述预生成的标签根据用户的指纹信息生成。

优选地，所述预生成的标签按周期变化。

本发明另一方面提供一种SQL注入攻击防御方法，包括以下步骤：

S1，使应用服务器输出的SQL语句中的所有SQL关键词分别带上预生成的标签；

S2，将用户输入的参数添加到经过所述步骤S1处理后的SQL语句中；

S3，检测经过所述步骤S2处理后的SQL语句中的所有关键字是否均带有合法的标签，合法是指与所述步骤S1中添加的标签相同；以及

S4，根据所述步骤S3的检测结果返回相应的信息，若所述步骤S3检测到SQL语句中的所有关键词均带有合法的标签，则将该SQL语中的标签去除后返回至应用服务器，否则，返回指令错误信息。

优选地，所述步骤S1还包括对应用服务器输出的SQL语句进行复制，以生成至少两条相同的SQL语句，并将复制生成的至少两条SQL语句作为子语句拼接成一条组合的SQL语句，然后使所述组合的SQL语句中的所有关键词均带上预生成的标签，其中相同子语句中的关键词带有相同的标签，不同子语句中的关键词带有不同的标签。

优选地，所述步骤S3还包括检测组合的SQL语句的每条子语句中的标签是否与所述步骤S1中添加的标签一致，若一致，则所述步骤S4选择任意一条子语句将其中的标签去除后返回至应用服务器，否则，返回所述指令错误信息。

与现有技术相比，本发明一种SQL注入攻击防御组件及方法具有如下有益效果：

本发明通过将标签与SQL关键词关联的方式来校验SQL语句，克服了现有技术只能基于已知攻击行为特征的防御手段，对含有未知特征SQL注入攻击无效的问题，在一定程度上，提高了系统的安全性。

本发明通过引入生物特征的并采用按照周期变化的标签来进行SQL语句的校验，在一定程度上提高了标签本身的抗攻击性，提高了系统的安全性。

附图说明

本发明上述的和/或附加的方面和优点从下面结合附图对实施例的描述中将变得明显和容易理解，其中：

图1为本发明实施例一种SQL注入攻击防御组件的应用的网络系统结构示意图；

图2为本发明实施例一种SQL注入攻击防御组件的模块结构示意图；

图3为图2的SQL语句预处理模块的工作过程示例示意图；

图4为图2的用户输入参数处理模块的工作过程示例示意图；

图5为输入正常用户参数时图2中的注入攻击检测模块以及注入检测结果生成模块的一个工作过程示例示意图；

图6为输入SQL注入攻击语句时图2中的注入攻击检测模块以及注入检测结果生成模块的一个工作过程示例示意图；

图7为本发明实施例一种SQL注入攻击防御方法的方法流程示意图。

具体实施方式

下面详细描述本发明的实施例，所述实施例的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施例是示例性的，仅用于解释本发明，而不能解释为对本发明的限制。

请参阅图1，本发明一种SQL注入攻击防御组件主要应用于如图1所示的网络系统中，该网络系统包括用以接收用户输入的参数信息的用户输入单元1、用以组织、存储和管理数据的数据库3、用以链接数据库3的应用服务器2以及用以甄别SQL语句合法性的SQL注入攻击防御组件，其中，SQL注入攻击防御组件与应用服务器2相连并向应用服务器2提供调用接口，SQL语句为应用服务器2向数据库3发送的数据请求信息；用户输入单元1为人机交互界面；应用服务器2优选为Web应用服务器。

请参阅图2，下面以图2为例说明解释本发明的SQL注入攻击防御组件的一个实施例，该SQL注入攻击防御组件包括SQL语句预处理模块21、用户输入参数处理模块22、注入攻击检测模块23以及注入检测结果生成模块24，其中，SQL语句预处理模块21用于使应用服务器2输出的SQL语句中的所有SQL关键词分别带上预生成的标签；用户输入参数处理模块22用于将用户输入的参数添加到经过SQL语句预处理模块21处理后的SQL语句中；注入攻击检测模块23用于检测经过用户输入参数处理模块处理后的SQL语句中的所有关键字是否均带有合法的标签，合法是指与SQL语句预处理模块21中添加的标签相同；注入检测结果生成模块24用于根据注入攻击检测模块23的检测结果返回相应的信息，若注入攻击检测模块24检测到SQL语句中的所有关键词均带有合法的标签，则将该SQL语中的标签去除后返回至应用服务器2，否则，返回指令错误信息。

详细地，SQL语句为一种数据库查询和程序设计语言，用于存取数据以及查询、更新和管理关系数据库系统。示例地，SQL语句中的数据记录筛选语句如下：SQL＝"select*from数据表where字段名＝字段值"。SQL关键词为SQL语句中的保留字，也即具有特定语义的单词或者字符串，考虑到SQL保留字有很多，而且不同的数据库的保留字也是不同的，因此，在此仅仅示例如下：

select：用来指定由查询返回的列；

into new table：用来创建一个新的临时表；

fromtable_source：指定查询的数据源；

where serch_conditaion：用来限定返回行的搜索条件；

drop table tableName直接从当前数据库删这个表。

预生成的标签是一种与SQL关键词构造结构不同的一种标识字符，其可以随机生成，也可以根据用户的指纹信息生成，还可以按周期变化，譬如，设定周期为1日，则每天预生成不同的标签。

在一些实施方式中，标签通过调用randomAlphanumeric()函数生成。考虑到若仅设置一种标签有可能被黑客获知，因此，为了提高数据的安全性，优选地，在获取SQL语句后可以将其复制为至少两份，这样就提高了防御的准确性。具体来说，SQL语句预处理模块21收到应用服务器2输出的SQL语句后先对其进行复制，以生成至少两条相同的SQL语句，并将复制生成的至少两条SQL语句作为子语句拼接成一条组合的SQL语句，然后使组合的SQL语句中的所有关键词均带上预生成的标签，其中相同子语句中的关键词带有相同的标签，不同子语句中的关键词带有不同的标签。但是，考虑到数据处理的速度，SQL语句的复制份数并不是越多越好，一般是仅做一次复制，因此，在实际中，优选为两条SQL子语句。

针对SQL子语句，注入攻击检测模块23还需要匹配地设置为检测组合的SQL语句的每条子语句中的标签是否与SQL语句预处理模块21添加的标签一致，若一致，则注入检测结果生成模块24选择任意一条子语句将其中的标签去除后返回至应用服务器2，否则，返回所述指令错误信息

请参阅图3-图5，图3-图5示出了本发明一个应用示例的工作原理：

首先，如图3所示，SQL语句预处理模块21对应用服务器2传入的SQL语句“select*from bbs where name＝？”进行复制，生成两条SQL语句后以“&&”为连接符拼接成一条组合的SQL语句，然后对不同子语句中的SQL关键词分别加上不同的标签“1”和“2”，得到的结果为“select1*from1 bbs where1 name＝1？&&select2*from2 bbs where2 name＝2？”。

其次，用户输入参数处理模块22将用户输入内容“zhangsan”分别添加到SQL语句预处理模块21得到的SQL语句的子语句中。具体地，用户通过调用不同的接口函数传递不同类型的参数，接口函数有一个参数表示参数传递的位置，因为SQL语句预处理模块中使用“？”表示需要用户传递参数，所以通过替换将用户参数添加到SQL语句中。示例地，SQL语句为str＝“update*from usdderna where name＝？and age＝？”，预处理函数为MimicProcess(str，2)，”2”表示需要传递两个参数，用户输入参数处理模块函数SetStringParameters(1，"zhangsan")表示向第一个参数传递字符串类型的参数“zhangsan”；用户输入参数处理模块函数SetIntParameters(2，23)表示向第二个参数传递整型类型的参数“23”，于是得到str＝“update*from usdderna where name＝"zhangsan"and age＝“23””。

同上述原理相同，此处只是将用户输入内容“zhangsan”分别添加到SQL语句预处理模块21得到的SQL语句的子语句中，因此其结果为“select1*from1 bbs where1 name＝1“zhangsan”&&select2*from2 bbs where2 name＝2“zhangsan””，如图4所示。

然后，注入攻击检测模块23根据用户输入参数模块22的处理结果，分别对连接符连接的两个SQL子语句进行标签识别，以检测连接符之前的子语句中的所有关键词是否含有标签“1”且连接符之后的子语句中的所有关键词是否含有标签“2”，通过检测，可见各SQL子语句中的SQL关键词均含有各自的特征标签，处理结果如图5所示。

最后，参阅图5，注入检测结果生成模块24根据注入攻击检测模块23的结果向应用服务器2返回检测结果，因为在本示例中注入攻击检测模块23检测到各SQL子语句中的SQL关键词均含有各自对应的特征标签，所以注入检测结果生成模块24随机选择用户输入参数处理模块结果中的一条SQL子语句进行去标签化处理，并最终将去掉标签的子语句返回给应用服务器2，如图5所示。

请参阅图6，如果用户输入具有SQL注入攻击语句时，譬如，假设用户的输入为“zhangsan；drop table bbs；”，本发明组件的总体处理流程如图7，因经过用户输入参数模块22处理后，各SQL子语句中均含有不带标签的SQL关键词“drop”和“table”，所以注入攻击检测模块23在标签识别时，将检测到连接符之前的子语句中的关键词“drop”和“table”不含有标签“1”且连接符之后的子语句中的关键词“drop”和“table也不含有标签“2”，所以最终被判定为非法输入，由注入检测结果生成模块24向应用服务器2返回“false”，表示用户输入含有SQL注入攻击行为，应用服务器2会根据此返回结果进行相应处理。

与现有技术相比，本发明实施例的SQL注入攻击防御组件具有如下有益效果：

本发明实施例通过SQL语句预处理模块21、用户输入参数处理模块22、注入攻击检测模块23以及注入检测结果生成模块24的设置，克服了现有技术只能基于已知攻击行为特征的防御手段，解决了对含有未知特征SQL注入攻击无效的问题，在一定程度上，提高了系统的安全性。

本发明实施例通过引入生物特征的并采用按照周期变化的标签来进行SQL语句的校验，在一定程度上提高了标签本身的抗攻击性，提高了系统的安全性。

请参阅图7，基于同本发明一种SQL注入攻击防御组件相同的发明构思，本发明实施例还提供一种SQL注入攻击防御组件方法，关于其具体说明解释可参见SQL注入攻击防御组件，该SQL注入攻击防御组件方法包括如下步骤：

S1，使应用服务器输出的SQL语句中的所有SQL关键词分别带上预生成的标签；

S2，将用户输入的参数添加到经过步骤S1处理后的SQL语句中；

S3，检测经过步骤S2处理后的SQL语句中的所有关键字是否均带有合法的标签，合法是指与步骤S1中添加的标签相同；

S4，根据步骤S3的检测结果返回相应的信息，若步骤S3检测到SQL语句中的所有关键词均带有合法的标签，则将该SQL语中的标签去除后返回至应用服务器，否则，返回指令错误信息。

其中，步骤S1还包括如下步骤：

对应用服务器输出的SQL语句进行复制，以生成至少两条相同的SQL语句，并将复制生成的至少两条SQL语句作为子语句拼接成一条组合的SQL语句；

使所述组合的SQL语句中的所有关键词均带上预生成的标签，其中相同子语句中的关键词带有相同的标签，不同子语句中的关键词带有不同的标签。

其中，步骤S3还包括如下步骤：

检测组合的SQL语句的每条子语句中的标签是否与步骤S1中添加的标签一致，若一致，则步骤S4选择任意一条子语句将其中的标签去除后返回至应用服务器，否则，返回指令错误信息。

与现有技术相比，本发明实施例一种SQL注入攻击防御组件方法具有如下有益效果：

本发明实施例通过将标签与SQL关键词关联的方式来校验SQL语句，克服了现有技术只能基于已知攻击行为特征的防御手段，对含有未知特征SQL注入攻击无效的问题，在一定程度上，提高了系统的安全性。

以上所述仅是本发明的部分实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (9)

1.一种SQL注入攻击防御组件，其与一应用服务器相连，其特征在于，该SQL注入攻击防御组件包括：

SQL语句预处理模块，其设置为使应用服务器输出的SQL语句中的所有SQL关键词分别带上预生成的标签；

用户输入参数处理模块，其设置为将用户输入的参数添加到经过所述SQL语句预处理模块处理后的SQL语句中；

注入攻击检测模块，其设置为检测经过所述用户输入参数处理模块处理后的SQL语句中的所有关键字是否均带有合法的标签，合法是指与SQL语句预处理模块中添加的标签一致；

注入检测结果生成模块，其设置为根据所述注入攻击检测模块的检测结果返回相应的信息，若所述注入攻击检测模块检测到SQL语句中的所有关键词均带有合法的标签，则将该SQL语中的标签去除后返回至应用服务器，否则，返回指令错误信息。

2.根据权利要求1所述的SQL注入攻击防御组件，其特征在于，所述SQL语句预处理模块还设置为对应用服务器输出的SQL语句进行复制，以生成至少两条相同的SQL语句，并将复制生成的至少两条SQL语句分别作为子语句拼接成一条组合的SQL语句，然后使所述组合的SQL语句中的所有关键词均带上预生成的标签，其中相同子语句中的关键词带有相同的标签，不同子语句中的关键词带有不同的标签。

3.根据权利要求2所述的SQL注入攻击防御组件，其特征在于，所述注入攻击检测模块还设置为检测所述组合的SQL语句的每条子语句中的标签是否与所述SQL语句预处理模块添加的标签一致，若一致，则所述注入检测结果生成模块选择任意一条子语句并将其中的所有标签去除后返回至应用服务器，否则，返回所述指令错误信息。

4.根据权利要求1所述的SQL注入攻击防御组件，其特征在于，所述预生成的标签随机生成。

5.根据权利要求1所述的SQL注入攻击防御组件，其特征在于，所述预生成的标签根据用户的指纹信息生成。

6.根据权利要求4或5所述的SQL注入攻击防御组件，其特征在于，所述预生成的标签按周期变化。

7.一种SQL注入攻击防御方法，其特征在于，包括以下步骤：

S1，使应用服务器输出的SQL语句中的所有SQL关键词分别带上预生成的标签；

S2，将用户输入的参数添加到经过所述步骤S1处理后的SQL语句中；

S3，检测经过所述步骤S2处理后的SQL语句中的所有关键字是否均带有合法的标签，合法是指与所述步骤S1中添加的标签一致；以及

S4，根据所述步骤S3的检测结果返回相应的信息，若所述步骤S3检测到SQL语句中的所有关键词均带有合法的标签，则将该SQL语中的标签去除后返回至应用服务器，否则，返回指令错误信息。

8.根据权利要求7所述的SQL注入攻击防御方法，其特征在于，所述步骤S1还包括对应用服务器输出的SQL语句进行复制，以生成至少两条相同的SQL语句，并将复制生成的至少两条SQL语句分别作为子语句拼接成一条组合的SQL语句，然后使所述组合的SQL语句中的所有关键词均带上预生成的标签，其中使相同子语句中的关键词带上相同的标签，不同子语句中的关键词带上不同的标签。

9.根据权利要求8所述的SQL注入攻击防御方法，其特征在于，所述步骤S3还包括检测所述组合的SQL语句的每条子语句中的标签是否与所述步骤S1中添加的标签一致，若一致，则所述步骤S4选择任意一条子语句并将其中的标签去除后返回至应用服务器，否则，返回所述指令错误信息。