CN108959926A - 一种sql注入攻击的检测方法 - Google Patents

Abstract

本发明涉及一种SQL注入攻击的检测方法，通过对需要解码的参数信息进行解码得到待检测字符串，结合SQL词法规则进行分析得到待检测字符串对应指纹信息，在SQL注入黑名单指纹信息库中查找判断是否为SQL注入语句，并以特征字段集对待检测字符串进行进一步匹配，成功则确定待检测字符串中存在SQL注入攻击。本发明检测范围更广，可更精确识别一类SQL注入攻击的不同变形，极大减小识别的误报率，运算匹配次数更少，识别速度更快，相比仅匹配词法分析获取到的单个字符串的方法，所用到的数据结构更加完善，检测SQL注入攻击语句的方法更加严谨，解决运算匹配次数多、漏报高误报高的问题，可以更加高效准确的检测SQL注入攻击语句。

Description

一种SQL注入攻击的检测方法

技术领域

本发明涉及保密或安全通信装置的技术领域，特别涉及一种漏报误报率低且检测效率高的SQL注入攻击的检测方法。

背景技术

在互联网大环境下，越来越多的网络信息交互通过浏览器访问Web服务器实现，同时Web服务器把需要执行的信息放在数据库里，使得用户可以通过浏览器携带正常的SQL语句，获取和修改Web服务器的数据库中的信息。

然而，当这个Web服务器存在漏洞时，恶意用户通过构建特殊的输入作为SQL命令，把SQL注入语句放在Web表单或页面请求的查询字符串中，此时存在安全漏洞的Web服务器会在偏离原本意图的情况下执行恶意的SQL注入语句，从而恶意用户可以依此非法获取Web服务器数据库的信息或者删除、破坏数据库信息，这将严重影响到Web服务器的正常运行。

现有的检测SQL注入的主流技术手段一般是以正则匹配SQL注入攻击语句特征库，这种方法需要维护一个SQL注入攻击语句的正则表达式特征库，从http的get请求或者post请求提交的参数信息中提取待检测的字符串，将待检测的字符串和被维护的正则表达式特征库进行正则匹配，匹配到正则表达式特征库中的某个正则表达式，则确定存在SQL注入攻击。

现有的方法的核心技术是维护一个合理的SQL注入攻击语句正则表达式特征库并进行正则匹配，但是SQL注入方式千变万化，SQL注入攻击语句的正则表达式特征库很难把可能性全面覆盖，进而造成一定程度的漏报和误报，而另一方面，SQL注入攻击语句的正则表达式特征库覆盖越广，包含的正则表达式就越多，待检测的字符串需要逐个进行匹配，直到匹配到或遍历完所有包含的正则表达式，导致检测效率相对较低。

现有技术中，解决上述缺陷的方法为，以词法分析疑似SQL语句，SQL语句中包含词法以及词法顺序，转化为待检测的字符串，将待检测的字符串与预先存储的SQL注入语句对应的字符串库中的字符串进行匹配，匹配成功时，则确定存在SQL注入攻击；因为预先存储的SQL语句对应的字符串库中每一个字符串均可以代表一类SQL注入语句，使得此方法可以检测此类SQL注入语句的变形，检测面广，然而却忽略了误报的问题，存在非SQL语句按照上述描述转化为待检测的字符串进行匹配时也是可以匹配成功的情况，大大增加了误报的情况。

综上所诉，因为漏报误报和检测效率低的问题，用正则匹配SQL注入攻击语句特征库来检测SQL注入攻击并非是理想的方法。

发明内容

本发明解决的技术问题是，现有技术中，以正则匹配SQL注入攻击语句特征库来检测SQL注入攻击存在漏报误报和检测效率低的问题，为此，本发明提供了一种优化的SQL注入攻击的检测方法，取得待检测字符串后分析检测并最终判断是否为SQL注入，有效检测出Web网站是否被SQL注入攻击，漏报误报率低，检测效率高。

本发明所采用的技术方案是，一种SQL注入攻击的检测方法，所述方法包括以下步骤：

步骤1：构建SQL注入黑名单指纹信息库；

步骤2：获取访问Web服务器的get请求或post请求所带的参数信息，对需要解码的参数信息进行URL解码，得到待检测字符串；

步骤3：对待检测字符串进行指纹信息的获取；

步骤4：将获取到的待检测字符串的指纹信息在SQL注入黑名单指纹信息库中查找；若查找到则进行下一步，否则返回步骤2；

步骤5：取出SQL注入黑名单指纹信息库中当前指纹信息的特征字段集，匹配待检测字符串中是否有特征字段集中的字段，若匹配不成功，记录参数信息，否则，确定待检测字符串中存在SQL注入攻击。

优选地，所述指纹信息的获取包括以下步骤：

步骤1.1：将字符串根据SQL词法规则进行分析，将不同的字符或者字段分别对应到一个字符，作为标记；

步骤1.2：以多个标记组成待检测字符串的指纹信息。

优选地，所述步骤1.1中，分析自字符串的头部开始，以字段或字符为单位逐个进行分析，获取对应的标记。

优选地，每解析出一个新的标记，会对当前最末位的2或3个标记进行分析，判断是否需要对这些标记进行折叠，直至分析完整个字符串或分析特定个数的标记后，停止分析。

优选地，所述步骤1中，根据收集的SQL注入攻击语句，提取指纹信息保存为黑名单指纹信息，提取SQL注入攻击语句中高辨识度的字段保存到特征字段集中。

本发明提供了一种优化的检测SQL注入攻击的方法，通过获取访问Web服务器的get请求或post请求所带的参数信息作为要检测的原始信息，对需要解码的参数信息进行URL解码得到待检测字符串，结合SQL的词法规则进行分析得到待检测字符串对应的指纹信息，在预先收集存储的SQL注入黑名单指纹信息库中查找，判断是否为SQL注入语句，并以特征字段集对待检测字符串进行进一步匹配，匹配成功时则确定待检测字符串中存在SQL注入攻击。本发明相比现有技术的正则匹配方法来说，检测范围更广，可更精确识别一类SQL注入攻击的不同变形，极大减小识别的误报率，运算匹配次数更少，识别速度更快；本发明相比现有技术仅匹配词法分析获取到的单个字符串的方法，所用到的数据结构更加完善，检测SQL注入攻击语句的方法更加严谨，解决运算匹配次数多、漏报高误报高的问题，可以更加高效准确的检测SQL注入攻击语句。

具体实施方式

下面结合实施例对本发明做进一步的详细描述，但本发明的保护范围并不限于此。

本发明涉及一种SQL注入攻击的检测方法，在实际的操作中，不单独针对某一个数据库类型，对于数据库如MySQL、Oracle、SQL server、PostgreSQL等数据库都是适用的。

所述方法包括以下步骤。

步骤1：构建SQL注入黑名单指纹信息库。

所述指纹信息的获取包括以下步骤。

步骤1.1：将字符串根据SQL词法规则进行分析，将不同的字符或者字段分别对应到一个字符，作为标记。

所述步骤1.1中，分析自字符串的头部开始，以字段或字符为单位逐个进行分析，获取对应的标记。

每解析出一个新的标记，会对当前最末位的2或3个标记进行分析，判断是否需要对这些标记进行折叠，直至分析完整个字符串或分析特定个数的标记后，停止分析。

步骤1.2：以多个标记组成待检测字符串的指纹信息。

所述步骤1中，根据收集的SQL注入攻击语句，提取指纹信息保存为黑名单指纹信息，提取SQL注入攻击语句中高辨识度的字段保存到特征字段集中。

本发明中，指纹信息的应用覆盖在整个方法的过程中，在一套系统中，指纹信息的提取方法是一致的，都是字符串结合SQL的词法规则进行分析得到标记组成的字符串的过程。区别在于，黑名单指纹信息库中获取黑名单指纹信息时使用的是已知的SQL注入语句，在正常的检测时是对未知的字符串处理获取指纹信息。

本发明中，标记是指把已知的SQL注入攻击语句根据SQL词法规则进行分析，把不同的字符或者字段对应一个简单的字符，我们称这个字符为标记，比如，定义select字段的标记为字符L。

本发明中，字段对应的标记字符可以依个人需求定义，不重复即可，但这不仅是简单的替换，而是需要根据SQL注入攻击语句中的字段信息，尽可能用最准确的标记集合来准确描述待检测字符串。

本发明中，给出一个实施例，分析'999999 or 1=1 or 1=1 --'待检测字符串的指纹过程：

首先，定义数字的标记为字符‘1’，or(逻辑运算符)的标记为字符‘&’，=（比较运算符）的标记为‘o’，--（双破折号）的标记为字符‘s’；

词法规则分析待检测字符串从头部开始，每解析出一个新的标记会对当前最末尾的2或3个字符进行分析是否需要折叠，上述字符串当指纹解析为1&1o1时，即解析完第5个标记后，最后三个标记为1o1，需要进行折叠，折叠后的指纹为1&1，即把最后两个标记去掉，不再计入指纹信息内；

继续分析下一个字段‘or’,分析‘or’字段后指纹信息为1&1&，最后3个标记需要进行折叠，折叠后的指纹为1&，接着依次分析后面的3个字段1=1，得到指纹信息为1&1o1，折叠最后三个字段1o1之后的指纹信息为1&1，此时还剩最后两个破折号，解析后得到最后的指纹信息为1&1s；

上述过程就是每一个指纹信息生成的过程，并不是每个SQL注入语句中都会存在需要折叠标记的情况，但是每新解析出一个标记都会对当前最末尾的2或3个字段判断是否需要折叠；

最后，需要提取待检测字符串的特征字段集，对于'999999 or 1=1 or 1=1 --'这个字符串，可以提取=（等号）来作为这个黑名单指纹信息的特征字段集。

本发明中，步骤1 是为了获取SQL注入黑名单指纹信息库（包括指纹信息和特征字段集），指纹信息获取的过程：可以把逻辑处理过程开发成程序，由程序来获得指纹信息；特征字段集是由技术人员人工判断，需要一定的技术背景，提取SQL注入攻击语句中辨识度比较高的一个或多个字段组成特征字段集。

本发明中，是否需要折叠是根据标记所对应字段的属性决定的，以检测出sql 注入攻击为主要目的，对相似字段属性进行折叠。举例来说：对都是数字类型或加减乘除的运算类型进行折叠；对普通的字段，如表名进行折叠；对SQL中语法字段，如insert into等进行折叠。

本发明中，提取待检测字符串的特征字段集的原则是特征字段在SQL注入攻击的字符串中，辨识度高、可以较显著与其他正常的语句进行区分。

本发明中，本领域技术人员可以依据自身的基本技术背景知识进行字符串折叠的原则设置及特征字段集提取的原则设置，只需要保证在同一系统中这些原则都一致即可保证SQL注入攻击被截获。

步骤2：获取访问Web服务器的get请求或post请求所带的参数信息，对需要解码的参数信息进行URL解码，得到待检测字符串。

步骤3：对待检测字符串进行指纹信息的获取。

本发明中，根据词法规则分析待检测字符串，得到对应的指纹信息，规则如前文所述，词法规则分析待检测字符串从头部开始，以字段或者字符为单位进行逐个分析获取对应的标记，每解析出一个新的标记会对当前最末尾的2或3个标记（已经存在2个或3个标记）进行分析是否需要折叠，直至分析完整个待检测字符串为止，或者分析特定个数的标记之后停止分析本步骤，这样分析得到的标记组成本步骤所需要得出的指纹信息。

步骤4：将获取到的待检测字符串的指纹信息在SQL注入黑名单指纹信息库中查找；若查找到则进行下一步，否则返回步骤2。

步骤5：取出SQL注入黑名单指纹信息库中当前指纹信息的特征字段集，匹配待检测字符串中是否有特征字段集中的字段，若匹配不成功，记录参数信息，否则，确定待检测字符串中存在SQL注入攻击。

本发明中，待检测字符串解析到的指纹信息在SQL注入黑名单指纹信息库查找到后，再在待检测字符串中查找指纹信息对应的特征字段集，可以有效减少误报。

本发明中，当匹配不成功，表示待检测字符串中不存在SQL注入攻击，故将参数信息记录在磁盘上的文件中，以备后续可以由人工对这些参数信息进行审核，进而优化指纹信息对应的特征字段集。

本发明通过获取访问Web服务器的get请求或post请求所带的参数信息作为要检测的原始信息，对需要解码的参数信息进行URL解码得到待检测字符串，结合SQL的词法规则进行分析得到待检测字符串对应的指纹信息，在预先收集存储的SQL注入黑名单指纹信息库中查找，判断是否为SQL注入语句，并以特征字段集对待检测字符串进行进一步匹配，匹配成功时则确定待检测字符串中存在SQL注入攻击。本发明相比现有技术的正则匹配方法来说，检测范围更广，可更精确识别一类SQL注入攻击的不同变形，极大减小识别的误报率，运算匹配次数更少，识别速度更快；本发明相比现有技术仅匹配词法分析获取到的单个字符串的方法，所用到的数据结构更加完善，检测SQL注入攻击语句的方法更加严谨，解决运算匹配次数多、漏报高误报高的问题，可以更加高效准确的检测SQL注入攻击语句。

Claims (5)

1.一种SQL注入攻击的检测方法，其特征在于：所述方法包括以下步骤：

步骤1：构建SQL注入黑名单指纹信息库；

步骤2：获取访问Web服务器的get请求或post请求所带的参数信息，对需要解码的参数信息进行URL解码，得到待检测字符串；

步骤3：对待检测字符串进行指纹信息的获取；

步骤4：将获取到的待检测字符串的指纹信息在SQL注入黑名单指纹信息库中查找；若查找到则进行下一步，否则返回步骤2；

步骤5：取出SQL注入黑名单指纹信息库中当前指纹信息的特征字段集，匹配待检测字符串中是否有特征字段集中的字段，若匹配不成功，记录参数信息，否则，确定待检测字符串中存在SQL注入攻击。

2.根据权利要求1所述的一种SQL注入攻击的检测方法，其特征在于：所述指纹信息的获取包括以下步骤：

步骤1.1：将字符串根据SQL词法规则进行分析，将不同的字符或者字段分别对应到一个字符，作为标记；

步骤1.2：以多个标记组成待检测字符串的指纹信息。

3.根据权利要求2所述的一种SQL注入攻击的检测方法，其特征在于：所述步骤1.1中，分析自字符串的头部开始，以字段或字符为单位逐个进行分析，获取对应的标记。

4.根据权利要求3所述的一种SQL注入攻击的检测方法，其特征在于：每解析出一个新的标记，会对当前最末位的2或3个标记进行分析，判断是否需要对这些标记进行折叠，直至分析完整个字符串或分析特定个数的标记后，停止分析。

5.根据权利要求2所述的一种SQL注入攻击的检测方法，其特征在于：所述步骤1中，根据收集的SQL注入攻击语句，提取指纹信息保存为黑名单指纹信息，提取SQL注入攻击语句中高辨识度的字段保存到特征字段集中。