CN110363008B - 一种sql时间盲注的漏洞检测方法、装置和存储设备 - Google Patents

Abstract

本发明实施例公开了一种SQL时间盲注的漏洞检测方法、装置和存储设备，所述方法包括：向SQL注入点发送多次不包含攻击载荷且无参数的第一请求，统计注入点做出响应所需的平均第一时长；向SQL注入点发送多次包含攻击载荷且不同参数的第二请求，统计注入点做出响应所需的第二时长；计算所述第二时长与平均第一时长的时间差，根据所述时间差统计超时次数；根据所述超时次数，判断漏洞是否存在。本发明公开的技术方案解决传统时间盲注判断算法受网络波动等无关因素影响较大的问题，降低时间盲注的误报率。

Description

一种SQL时间盲注的漏洞检测方法、装置和存储设备

技术领域

本发明涉及网络安全技术领域，具体涉及一种SQL时间盲注的漏洞检测方法、装置和存储设备。

背景技术

时间盲注是SQL注入的一种方式，其主要是通过服务端返回时长来判断注入点的存在，然后逐字符读取数据库内容。常见的判断方式是采用以下五种延时函数：sleep，benchmark，笛卡尔积，get_lock，rlike，根据数据回显的超时时间来判断是否存在时间盲注的SQL漏洞。

但是此处的超时时间，可能有很多因素致使网络波动而造成的，漏洞之外的因素可能有网络运营商的问题、路由器的问题、无线网络的稳定性、网卡问题等一系列客观因素，如果仅仅根据超时时间进行判断，必然会存在一定的误报，这也是当前技术方案存在的无法避免的缺陷。

发明内容

本申请的目的在于克服上述问题或者至少部分地解决或缓减解决上述问题。

根据本发明的第一方面，提供了一种SQL时间盲注的漏洞检测方法，包括：向SQL注入点发送多次不包含攻击载荷且无参数的第一请求，统计注入点做出响应所需的平均第一时长；向SQL注入点发送多次包含攻击载荷且不同参数的第二请求，统计注入点做出响应所需的第二时长；计算所述第二时长与平均第一时长的时间差，根据所述时间差统计超时次数；根据所述超时次数，判断漏洞是否存在。

本发明实施例通过发送大量的包含攻击载荷且不同参数的第二请求和不包含攻击载荷且无参数的第一请求，根据得到返回的时间是否超时来判断攻击载荷是否被执行了，本发明通过运用统计学中的相关性的内容，通过计算输入参数与实际运行结果的协相关系数来判断漏洞是否真实存在，并且可以提供给使用者以真实的概率来帮助使用者确认漏洞的真实性。

根据本申请的第二个方面，还提供了一种SQL时间盲注的漏洞检测装置，所述装置包括：第一发送模块，用于向SQL注入点发送多次不包含攻击载荷且无参数的第一请求，统计注入点做出响应所需的平均第一时长；第二发送模块，用于向SQL注入点发送多次包含攻击载荷且不同参数的第二请求，统计注入点做出响应所需的第二时长；计算模块，用于计算所述第二时长与平均第一时长的时间差，根据所述时间差统计超时次数；判断模块，用于根据所述超时次数，判断漏洞是否存在。

本发明实施例通过发送大量的包含攻击载荷且不同参数的第二请求和不包含攻击载荷且无参数的第一请求，根据得到返回的时间是否超时来判断攻击载荷是否被执行了，本发明通过运用统计学中的相关性的内容，通过计算输入参数与实际运行结果的协相关系数来判断漏洞是否真实存在，并且可以提供给使用者以真实的概率来帮助使用者确认漏洞的真实性。

根据本申请的第三个方面，还提供了一种计算机设备，其特征在于，所述设备包括：一个或多个处理器；存储器，用于存储一个或多个程序；

当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现如上所述的方法。

根据本申请的第三个方面，还提供了一种计算机存储介质，其特征在于，所述计算机存储介质存储有计算机程序指令，所述计算机程序指令用于执行如上所述方法。

与现有技术相比，本发明实施例具有以下优点：

本发明实施例公开了一种SQL时间盲注的漏洞检测方法、装置和存储设备，在传统时间盲注判断方式的基础上，加入魔力超时算法，进行交叉验证，排除网络波动和CPU占用情况等干扰因素，解决服务器响应时间抖动产生的误报，较为准确的定性判定是否存在漏洞，降低误报率。

附图说明

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。后文将参照附图以示例性而非限制性的方式详细描述本申请的一些具体实施例。附图中相同的附图标记标示了相同或类似的部件或部分。本领域技术人员应该理解的是，这些附图未必是按比例绘制的。在附图中：

图1为本发明实施例中公开的一种SQL时间盲注的漏洞检测装置结构示意图；

图2为本发明实施例中公开的一种SQL时间盲注的漏洞检测方法的流程示意图。

具体实施方式

为了使本技术领域的人员更好地理解本申请方案，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分的实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本申请保护的范围。

需要说明的是，本申请的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本申请的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

本发明主要解决了将魔力超时算法应用在在时间盲注中用于检测漏洞的实施存在。

参考图1，根据本申请的第一个方面，提供了一种SQL时间盲注的漏洞检测装置，包括：第一发送模块01，用于向SQL注入点发送多次不包含攻击载荷且无参数的第一请求，统计注入点做出响应所需的平均第一时长；第二发送模块02，用于向SQL注入点发送多次包含攻击载荷且不同参数的第二请求，统计注入点做出响应所需的第二时长；计算模块03，用于计算所述第二时长与平均第一时长的时间差，根据所述时间差统计超时次数；判断模块04，用于根据所述超时次数，判断漏洞是否存在。所述判断模块04还用于如果超时次数低于60％，则需根据发送所述第二请求的输入参数与实际运行结果的协相关系数进行判断漏洞是否存在。

通过以下公式计算协相关系数：

其中，X为发送第二请求的时间，Y是注入点做出响应的时间。

本发明实施例通过发送大量的包含攻击载荷且不同参数的第二请求和不包含攻击载荷且无参数的第一请求，根据得到返回的时间是否超时来判断攻击载荷是否被执行了，本发明通过运用统计学中的相关性的内容，通过计算输入参数与实际运行结果的协相关系数来判断漏洞是否真实存在，并且可以提供给使用者以真实的概率来帮助使用者确认漏洞的真实性。

参考图2，根据本申请的第二个方面，还提供了一种SQL时间盲注的漏洞检测方法，包括：

步骤S01，向SQL注入点发送多次不包含攻击载荷且无参数的第一请求，统计注入点做出响应所需的平均第一时长；

步骤S02，向SQL注入点发送多次包含攻击载荷且不同参数的第二请求，统计注入点做出响应所需的第二时长；

步骤S03，计算所述第二时长与平均第一时长的时间差，根据所述时间差统计超时次数；

步骤S04，根据所述超时次数，判断漏洞是否存在。

本发明实施例通过发送大量的包含攻击载荷且不同参数的第二请求和不包含攻击载荷且无参数的第一请求，根据得到返回的时间是否超时来判断攻击载荷是否被执行了，本发明通过运用统计学中的相关性的内容，通过计算输入参数与实际运行结果的协相关系数来判断漏洞是否真实存在，并且可以提供给使用者以真实的概率来帮助使用者确认漏洞的真实性。

可选地，所述第二请求中包含的参数为预设时间长度，所述预设时间长度用于区别所述第一请求和第二请求。

所述根据所述超时次数，判断漏洞是否存在，包括：

如果超时次数超过60％，则漏洞可能存在；

如果超时次数低于60％，则需根据发送所述第二请求的输入参数与实际运行结果的协相关系数进行判断漏洞是否存在。

在上述第二请求中设置时间参数的目的主要是为了区别第一请求和第二请求，可以设置时间参数为3秒，4秒等等，时间参数的设置会在一定的范围内进行设置，每次发送第二请求的时间参数不同。

优选地，所述则需根据发送所述第二请求的输入参数与实际运行结果的协相关系数进行判断漏洞是否存在，包括：

如果所述协相关系数高于0.65，则漏洞存在，如果低于0.65，则漏洞不存在。

通过以下公式计算协相关系数：

其中，X为发送第二请求的时间，Y是注入点做出响应的时间。

本发明实施例，为了进一步判断超时次数小于60％的注入点漏洞的误判，所以进一步判断第二请求的输入参数与实际运行结果的协相关系数来进一步判断，加入魔力超时算法，进行交叉验证，排除网络波动和CPU占用情况等干扰因素，解决服务器响应时间抖动产生的误报，较为准确的定性判定是否存在漏洞，降低误报率。

可选地，还包括：

定位注入点并判断注入点在SQL语法中的位置；

根据SQL语法构造攻击载荷。

在本发明实施例中，首先需要确定时间盲注的注入点，然后判断注入点根据SQL的语法中的位置，根据SQL语法构造攻击载荷，通过向注入点发送攻击载荷进行验证注入点是否有漏洞。

SQL注入判断流程：

1.寻找Web系统参数，判断参数是否会对数据库查询造成影响，从而定位注入点。理论上，SQL注入点(注点)存在于HTTP请求的任何位置，其中最常见SQL注入点常见位置包括：参数值(常出现在url的query和request的body中)、Cookie值、X-Forwarded-For、Referer、User-Agent、Host。

2.判断注入点在SQL语法中的位置；

以SQL语句为例，以下标注数字6处位置，均可以作为注入点进行注入。

SELECT①*②FROM SQL_Injection③WHERE id＝1④ORDER BY view_times⑤LIMIT 0,1⑥；

3.补全SQL语句，构造Payload

a.通常情况下，判断漏洞过程：

i.在不构造Payload的情况下向注入点发送10条左右的请求，根据响应数据，获取请求响应的标准响应阈值

ii.构造Payload，向注入点发送1条请求，根据响应数据，获取请求响应时间，与标准响应阈值作对比：

1.响应时间<标准响应阈值，无SQL时间盲注漏洞

2.响应时间>标准响应阈值，有SQL时间盲注漏洞

b.加入超时魔力算法后，判断漏洞过程：

i.在不构造Payload的情况下向注入点发送10条左右的请求，根据响应数据，获取请求响应的标准响应阈值。

ii.构造Payload，变换参数，向注入点发送多条请求，以之前的标准响应阈值作为衡量标准，查看超时的次数。

1.如果超时次数超过60％，则认为SQL时间盲注漏洞可能存在。

2.如果超时次数低于60％，根据之前的请求的结果来计算输入参数与实际运行结果的协相关系数。

如果协相关系数高于0.65，那么认为SQL时间盲注漏洞存在。

如果协相关系数低于0.65，那么认为SQL时间盲注漏洞不存在。

根据本申请的第三个方面，还提供了一种计算机设备，所述设备包括：一个或多个处理器；存储器，用于存储一个或多个程序；当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现如上所述的方法。

在本发明的实施例中，各个模块或系统可以是由计算机程序指令形成的处理器，处理器可以是一种集成电路芯片，具有信号的处理能力。处理器可以是通用处理器、数字信号处理器(Digital Signal Processor，简称DSP)、专用集成电路(Application SpecificIntegrated Circuit，简称ASIC)、现场可编程门阵列(FieldProgrammable Gate Array，简称FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。

可以实现或者执行本发明实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。结合本发明实施例所公开的方法的步骤可以直接体现为硬件译码处理器执行完成，或者用译码处理器中的硬件及软件模块组合执行完成。软件模块可以位于随机存储器，闪存、只读存储器，可编程只读存储器或者电可擦写可编程存储器、寄存器等本领域成熟的存储介质中。处理器读取存储介质中的信息，结合其硬件完成上述方法的步骤。

根据本申请的第四个方面，还提供了一种计算机存储介质，所述计算机存储介质存储有计算机程序指令，所述计算机程序指令用于执行如上所述的方法。

存储介质可以是存储器，例如可以是易失性存储器或非易失性存储器，或可包括易失性和非易失性存储器两者。

其中，非易失性存储器可以是只读存储器(Read-Only Memory，简称ROM)、可编程只读存储器(Programmable ROM，简称PROM)、可擦除可编程只读存储器(Erasable PROM，简称EPROM)、电可擦除可编程只读存储器(Electrically EPROM，简称EEPROM)或闪存。

易失性存储器可以是随机存取存储器(Random Access Memory，简称RAM)，其用作外部高速缓存。通过示例性但不是限制性说明，许多形式的RAM可用，例如静态随机存取存储器(Static RAM，简称SRAM)、动态随机存取存储器(Dynamic RAM，简称DRAM)、同步动态随机存取存储器(Synchronous DRAM，简称SDRAM)、双倍数据速率同步动态随机存取存储器(Double Data RateSDRAM，简称DDRSDRAM)、增强型同步动态随机存取存储器(EnhancedSDRAM，简称ESDRAM)、同步连接动态随机存取存储器(Synchlink DRAM，简称SLDRAM)和直接内存总线随机存取存储器(DirectRambus RAM，简称DRRAM)。

本发明实施例描述的存储介质旨在包括但不限于这些和任意其它适合类型的存储器。

本领域技术人员应该可以意识到，在上述一个或多个示例中，本发明所描述的功能可以用硬件与软件组合来实现。当应用软件时，可以将相应功能存储在计算机可读介质中或者作为计算机可读介质上的一个或多个指令或代码进行传输。计算机可读介质包括计算机存储介质和通信介质，其中通信介质包括便于从一个地方向另一个地方传送计算机程序的任何介质。存储介质可以是通用或专用计算机能够存取的任何可用介质。

进一步地，本发明实施例中，为了方便调试，准备了100个靶场，其中有不定数量的错误的靶场。

首先，发送少量的无参数不包含攻击代码的普通请求，获得正常情况下的返回时间：

timeout_limit＝{int}2

其次，发送大量的包含攻击代码并且不同参数的攻击请求，使用之前不包含攻击代码所花费的运行的时间为基准计算超时时间，并统计超时次数：

timeout_limit＝{int}2

timeout_num＝{list}＜class′list′＞：[0，0，0，0，10]

timeout_test_task＝{list}＜class′list′＞：[＜Task fir

timeout_time＝{list}＜class′list′＞：[0，0，0，0，0]

3.可以看到最后一次请求全部超时了，那么认为是很有可能有漏洞的。

4.假设访问一个没有问题的靶场，会发现协相关系数很低：

Special Variables

covariance＝{float}-0.20082902908325195

i＝{int}4

index＝{int}4

request_func＝{method}＜bound method Workload._run of＜magic_timeout.workload.Normal object at 0x1111f

task＝{list}＜class′list′＞：[＜Task finished coro＝＜detect_correlation.＜locals＞.multiple_ping()done，defined at/U

temp＝{float}-0.6024870872497559

timeout_limit＝{int}3

timeout_mean＝{float}1.1820268630981445

timeout_num＝{list}＜class′list′＞：[0，0，0，0，0]

timeout_range_mean＝{int}3

timeout_range_stdev＝{float}1.0

timeout_stdev＝{float}0.3471154120259113

timeout_test_task＝{list}＜class′list′＞：[<Task finished coro＝＜detect_correlation.＜locals＞.ping()done，defined

timeout_time＝{list}＜class′list′＞：[0，0，1.383702278137207，1.3811631202697754，0.7812151908874512]

本发明公开的一种SQL时间盲注的漏洞检测方法、装置和存储设备，在传统时间盲注判断方式的基础上，加入魔力超时算法，进行交叉验证，排除网络波动和CPU占用情况等干扰因素，解决服务器响应时间抖动产生的误报，较为准确的定性判定是否存在漏洞，降低了由于网络波动和CPU占用情况等干扰因素导致的时间盲注的误报。

本发明实施例公开的技术方案，主要将魔力超时算法应用在时间盲注中检测漏洞。

本发明实施例可以用于本发明可用于检测各类无回显的漏洞。

最后应说明的是：以上各实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述各实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的范围。

Claims (6)

1.一种SQL时间盲注的漏洞检测方法，其特征在于，包括：

向SQL注入点发送多次不包含攻击载荷且无参数的第一请求，统计注入点做出响应所需的平均第一时长；

向SQL注入点发送多次包含攻击载荷且不同参数的第二请求，统计注入点做出响应所需的第二时长；

计算所述第二时长与平均第一时长的时间差，根据所述时间差统计超时次数；

如果超时次数超过60％，则漏洞存在；

如果超时次数低于60％，则需根据发送所述第二请求的输入参数与实际运行结果的协相关系数进行判断漏洞是否存在；

如果所述协相关系数高于0.65，则漏洞存在，如果低于0.65，则漏洞不存在；

通过以下公式计算协相关系数：

其中，X为发送第二请求的时间，Y是注入点做出响应的时间。

2.如权利要求1所述的一种SQL时间盲注的漏洞检测方法，其特征在于，所述第二请求中包含的参数为预设时间长度，所述预设时间长度用于区别所述第一请求和第二请求。

3.如权利要求1或2所述的一种SQL时间盲注的漏洞检测方法，其特征在于：还包括：

定位注入点并判断注入点在SQL语法中的位置；

根据SQL语法构造攻击载荷。

4.一种SQL时间盲注的漏洞检测装置，其特征在于，所述装置包括：

第一发送模块，用于向SQL注入点发送多次不包含攻击载荷且无参数的第一请求，统计注入点做出响应所需的平均第一时长；

第二发送模块，用于向SQL注入点发送多次包含攻击载荷且不同参数的第二请求，统计注入点做出响应所需的第二时长；

计算模块，用于计算所述第二时长与平均第一时长的时间差，根据所述时间差统计超时次数；

判断模块，用于如果超时次数超过60％，则漏洞可能存在；

如果超时次数低于60％，则需根据发送所述第二请求的输入参数与实际运行结果的协相关系数进行判断漏洞是否存在；

如果所述协相关系数高于0.65，则漏洞存在，如果低于0.65，则漏洞不存在；

通过以下公式计算协相关系数：

其中，X为发送第二请求的时间，Y是注入点做出响应的时间。

5.一种计算机设备，其特征在于，所述设备包括：

一个或多个处理器；

存储器，用于存储一个或多个程序；

当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现如权利要求1-3任一项所述的方法。

6.一种计算机存储介质，其特征在于，所述计算机存储介质存储有计算机程序指令，所述计算机程序指令用于执行如权利要求1-3任一项所述的方法。

Images