CN111221844A - 基于拟态指令集随机化的Web服务器防护方法及数据库代理节点 - Google Patents

Abstract

本发明公开了一种基于拟态指令集随机化的Web服务器防护方法及数据库代理节点。本方法为：1)对Web服务器上预先设定的SQL查询语句进行随机化处理，生成n条随机化指令并分别与当前输入信息进行组合，生成n条等价的随机化处理后的查询语句传递给数据库代理；2)数据库代理对每一条随机化处理后的查询语句生成一对应的语法树结构并判断语法树结构中的每一项是否符合语法要求；3)根据步骤2)的判断结果确定当前查询语句是否为安全的查询语句；如果是安全的查询语句，则数据库代理将对查询语句进行去随机化操作，并提交给数据库，数据库将查询结果经数据库代理反馈给Web服务器；否则数据库代理将返回错误提示给Web服务器。

Description

基于拟态指令集随机化的Web服务器防护方法及数据库代理 节点

技术领域

本发明主要涉及一种基于拟态指令集随机化的Web服务器防护方法，是利用拟态的多模冗余架构下的指令集随机化来抵御SQL注入攻击的安全数据库代理。

背景技术

随着现今互联网技术的迅猛发展，社会信息化和全球网络化也在不断推进。而互联网在快速普及的同时也给人们的生活方式带来了巨大的变化，通过互联网技术提供的服务已经成为了人们社会生活中所获取到的服务的重要组成部分。

无论是从个人、企业或是国家的角度来看，网络安全都是极其重要的。在这之中，数据库以其独特的地位成为了网络安全的一个重要组成部分。数据库作为极具战略意义的重要资产，往往会受到网络攻击者的重点关照。网宿科技的中国互联网安全报告(2018上半年)指出，2018年上半年Web应用攻击总数环比增长97.82％。在对其进行分类统计后发现，SQL注入攻击依然是最常用的Web应用攻击方式。考虑到网络实名制以及许多网站对个人信息的收集，承载了网络化服务的Web应用背后的数据库也存放了巨量的敏感信息，因此无论是从攻击方式发生的频度还是攻击方式产生的结果来说，SQL注入对于数据安全都具有极大的威胁。

对于注入攻击来说，现有的诸如输入过滤、WAF等防御手段均存在一定的不足，例如针对敏感字符的过滤容易产生漏报误报、容易被编码方式注入绕过等。考虑到系统必然存在未知漏洞、后门这一特性，纯粹特征化的被动防御方式在防御面的广度上可能较受限制。毕竟特征的提取需要先验知识，一旦有新的攻击方式，基于现有特征的防御就显得捉襟见肘。

发明内容

针对上述问题，本发明利用了拟态防御的多模冗余架构，配合指令集随机化(Instruction-set Randomization，ISR)技术，部署一个能够进行多模裁决的数据库代理，通过采取化静为动的策略，为Web服务器与数据库之间的交互行为添加了随机性与多样性，从而达到内生的无差别防御效果。

本发明包含了随机化技术、语法分析技术、判决反馈技术、去随机化技术等多种技术，对Web服务器与数据库之间的交互进行保护，提升了对SQL注入攻击的防御能力，加强了整个系统的鲁棒性。数据库代理节点可以通过一个独立节点实现，也可以借助虚拟化技术运行于Web服务器上。

本发明所采用的技术方案的原理是：在Web服务器端的SQL查询上采用指令集随机化的情况下，引入多模冗余架构以及判决反馈机制。在服务器端采用一定的随机策略，利用不同种类的哈希算法配合原指令产生攻击者未知的新SQL指令，形成随机化的查询语句传递给数据库代理。数据库代理通过语法分析技术识别出随机化查询语句中是否存在注入行为。对于安全的查询语句，数据库代理将对查询语句进行去随机化操作，并提交给数据库；而对于不安全的查询语句，数据库代理将返回错误提示给Web服务器，Web服务器根据实际情况反馈调整服务器端的随机化策略。

本发明的技术方案为：

一种基于拟态指令集随机化的Web服务器防护方法，其步骤包括：

1)对Web服务器上预先设定的SQL查询语句进行随机化处理，生成n条随机化指令并分别与当前输入信息进行组合，生成n条等价的随机化处理后的查询语句传递给数据库代理；

2)数据库代理对每一条随机化处理后的查询语句生成一对应的语法树结构并判断语法树结构中的每一项是否符合语法要求；

3)根据步骤2)的判断结果确定当前查询语句是否为安全的查询语句；如果是安全的查询语句，则数据库代理将对查询语句进行去随机化操作，并提交给数据库，数据库将查询结果经数据库代理反馈给Web服务器；如果当前查询语句为不安全的查询语句，

则数据库代理将返回错误提示给Web服务器。

进一步的，生成n条随机化指令的方法为：根据哈希算法集合中哈希算法的当前权值随机选择n个哈希算法，用于生成n个随机字符串；然后对预先设定的SQL查询语句进行关键字提取；然后将每一所述随机化字符串与所提取关键字进行结合，生成一条随机化指令。

进一步的，步骤3)中，根据步骤2)的判断结果确定当前查询语句是否为安全的查询语句的方法为：如果每条随机化处理后的查询语句对应的语法树结构中的每一项均符合语法要求，且n条所述随机化处理后的查询语句的分析结果相同的数量占比超过设定判决阈值，则判定当前查询语句为安全的查询语句；否则判定为不安全的查询语句。

进一步的，所述哈希算法集合中各哈希算法的初始权值均相同，Web服务器根据数据库代理的反馈调节哈希算法的权值，即如果一条随机化处理后的查询语句a对应的语法树结构中每一项均符合语法要求但该随机化处理后的查询语句a对应的分析结果与其他随机化处理后的查询语句对应的分析结果不同，则降低生成随机化处理后的查询语句a中随机字符串的生成算法的权值；当一哈希算法h的权值小于设定阈值之后则该哈希算法集合引入一新的哈希算法替换掉该哈希算法h。

进一步的，所述语法树结构为类BNF范式的语法树结构。

一种数据库代理节点，其特征在于，包括语法分析模块、判决反馈模块和去随机化模块；其中，

语法分析模块，用于对每一条随机化处理后的查询语句生成一对应的语法树结构并判断语法树结构中的每一项是否符合语法要求；

判决反馈模块，用于根据语法分析模块的判断结果确定当前查询语句是否为安全的查询语句；如果是安全的查询语句，则将对查询语句发送给去随机化模块；如果当前查询语句为不安全的查询语句，则返回错误提示给Web服务器；

去随机化模块，用于对查询语句进行去随机化操作并提交给数据库。

一种Web服务器，其特征在于，包括随机化模块和随机化策略调整模块；其中，

所述随机化模块，用于对Web服务器上预先设定的SQL查询语句进行随机化处理，生成n条随机化指令并分别与当前输入信息进行组合，生成n条等价的随机化处理后的查询语句传递给数据库代理；

随机化策略调整模块，用于根据数据库代理返回的错误提示调整哈希算法集合中各哈希算法的权值。

与现有的技术相比，本发明的积极效果是：

现有的针对SQL注入攻击的被动防御措施均具有一定的局限性，而指令集随机化技术作为一种主动防御措施，拥有更好的适应能力。但随机化技术与加密技术类似，其安全性取决于随机化字符串，从这个角度来说，尽管指令集随机化对于SQL注入攻击具有较好的防御效果，但仍然面临着一定的风险。本发明将拟态的动态异构冗余架构引入了指令集随机化技术，存在着一种内生的安全性，能够利用冗余架构的大数判决对攻击造成的异常输出进行无差别屏蔽，天然适用于弥补指令集随机化在防御SQL注入攻击上的弱点。

附图说明

图1为本发明的系统架构图；

图2为本发明的关键技术随机化技术原理图；

图3为本发明的关键技术判决反馈技术原理图。

具体实施方式

为使本发明的上述目的、特征和优点能够更加明显易懂，下面通过具体实施例和附图，对本发明做进一步详细说明。

本发明将拟态架构引入指令集随机化技术中，构件了一个安全的数据库代理，用以对SQL查询进行多样性的随机化，并对查询语句进行语法分析，再通过表决判断其安全性。图1为本发明的系统架构图，图2、图3为本发明的随机化技术、判决反馈技术这两个关键技术的原理图。

1)随机化查询的生成

随机化操作的本质就是生成一套外界无法理解的指令集，如果攻击者不知道系统所使用的指令集，就很难发起代码注入攻击。指令集随机化能够利用不同的密钥(或随机数种子)生成多样化的随机化指令，确保每一次查询都能使用不同的随机化指令，利用动态性来增加攻击者的攻击成本，大大增加暴力破解的难度。本发明的随机化技术采用了正常SQL指令附加随机化字符串生成新的随机化指令的方案，将其动态性与随机性寓于附加的字符串上(见附图2)。其中随机字符串的生成依赖于一定的随机化策略，即根据一定的权值随机选择对应种类的哈希算法进而生成所需数量的随机字符串，再对预先设定的查询语句(预先设定的查询语句是指写在后端的代码，用来实现设定业务而进行查询的SQL指令，一般是查询时需要用户输入查询信息的SQL指令；例如python中使用字符串拼接‘select*fromtable whereusername＝％s’％username)进行关键字提取，将先前生成的随机化字符串与关键字进行结合，生成对应的随机化指令，最后与用户输入进行组合生成相应数量的等价随机化查询；每次随机化选取n个哈希算法，n的数量根据实际的安全需求而定，通常情况下取2即可，既可以防止单一哈希算法被猜中，又不至于损耗太多资源；哈希算法集合中各哈希算法的初始权值均相同，后续根据负反馈调节哈希算法的权值，当一哈希算法h的权值小于设定阈值之后则该哈希算法集合引入一新的哈希算法替换掉该哈希算法h。多个等价查询的存在是为了配合多模判决机制来规避风险，提升鲁棒性。

2)随机化查询的语法分析

本发明的语法分析技术将对上一步生成的查询进行随机化关键字的提取，也就是进行词法分析。词法分析的过程与随机化技术中的关键字提取类似，只是此时匹配的表达式不是关键字本身，而是附带了字符串的关键字(即提取附带字符串的SQL关键字)，然后对提取到的内容进行字符串的剥离再校验这些字符串的合法性。完成词法分析，确定了其中的随机化关键字之后，就可以正式的语法分析。分析时采用类BNF范式的语法树结构，通过前一步词法分析所确定的随机化关键字可以将查询语句进行拆分。以select语句为例，可以转化成select selection from table-list where clause，其中关键字部分仍是经过随机化的关键字，由词法分析过程进行提取，而其他部分划分为非关键字部分。划分完成后，对每个非关键字部分再进行细化，直到每一项都是不可再分的叶子结点，即为标识符、运算符或是关键字之一，用一种映射关系对其进行存储。映射关系即随机化查询语句成分对其具体值的映射，例如关键字部分，其键为SQL语言关键字，其值为对应的随机化关键字；非关键字部分，其键为上述的selection、table-list等，其值为查询语句中对应的具体内容。最后再分别判断每一项是否符合语法要求。

对随机化查询进行语法分析最终得到的是一个映射关系，分别对应SQL语法中的标识符、运算符和关键字。如果查询语句是一句正常的SQL语句，那么提取出来的标识符是符合SQL语法规则的，如果存在注入，那么提取出来的信息是不符合语法规则的，比如username＝‘admin’or 1＝1，这句话的语法结构就变成了username(标识符)＝(运算符)’admin’or1(标识符)＝(运算符)1，不符合SQL的语法，解析出错。

3)随机化查询的判决与反馈

判决反馈技术是为了屏蔽前期的语法分析程中出现失误，例如攻击者碰巧猜对随机字符串导致成功注入。根据网络空间拟态防御的理论，本发明的随机化技术生成的多个不同的随机化查询属于异构冗余执行体，满足功能相同而成分异构的要求。多个具有不同随机字符串的正常查询经过语法分析之后，其分析结果在理论上应是一致正确的。而如果这些具有不同随机字符串的查询部分或全部异常，则会出现不一致的分析结果或是一致错误的分析结果。对于一致错误的分析结果无需考虑，而对于不一致的分析结果就需要用判决机制确定最终结果。判决的严格程度(即判决阈值)是可选的，可以是51％的大数判决，也可以是出现一个异常就将最终结果判决为异常。判决之后可以利用负反馈机制进一步增加安全性。负反馈机制调整的是异构执行体的选择策略，对于指令集随机化来说就是调整随机字符串的生成策略。当语法分析结果出现部分异常的时候(比如攻击者猜对了其中一个随机生成的字符串并完成了注入，那么对应查询语句的语法分析是正确的；但是由于其他等价的查询的存在，攻击者注入的随机化关键字只有一套，不可能同时与多组查询相同，出现不一致的分析结果)，可以判定为存在攻击者猜测成功的情况，就降低这部分异常查询所采用的随机字符串生成算法的调用概率(见附图3)，即该种算法的权值，进一步提升攻击者猜测难度。

4)随机化查询的去随机化

去随机化本质上是随机化操作的逆过程，而二者之间加入了语法分析，即可以在去随机化操作之前通过语法分析过滤掉异常的随机化查询。由于语法分析的过程中已经利用一个映射关系来存储分析结果，因此去随机化操作可以在此映射关系之上进行处理。较为简单的方法是，将映射关系中的关键字部分的键与非关键字部分的值按照语法结构进行组合，即可还原出正常的查询语句，再提交给数据库服务器进行查询。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应所述以权利要求的保护范围为准。

Claims (10)

1.一种基于拟态指令集随机化的Web服务器防护方法，其步骤包括：

1)对Web服务器上预先设定的SQL查询语句进行随机化处理，生成n条随机化指令并分别与当前输入信息进行组合，生成n条等价的随机化处理后的查询语句传递给数据库代理；

2)数据库代理对每一条随机化处理后的查询语句生成一对应的语法树结构并判断语法树结构中的每一项是否符合语法要求；

3)根据步骤2)的判断结果确定当前查询语句是否为安全的查询语句；如果是安全的查询语句，则数据库代理将对查询语句进行去随机化操作，并提交给数据库，数据库将查询结果经数据库代理反馈给Web服务器；如果当前查询语句为不安全的查询语句，则数据库代理将返回错误提示给Web服务器。

2.如权利要求1所述的方法，其特征在于，生成n条随机化指令的方法为：根据哈希算法集合中哈希算法的当前权值随机选择n个哈希算法，用于生成n个随机字符串；然后对预先设定的SQL查询语句进行关键字提取；然后将每一所述随机化字符串与所提取关键字进行结合，生成一条随机化指令。

3.如权利要求1所述的方法，其特征在于，步骤3)中，根据步骤2)的判断结果确定当前查询语句是否为安全的查询语句的方法为：如果每条随机化处理后的查询语句对应的语法树结构中的每一项均符合语法要求，且n条所述随机化处理后的查询语句的分析结果相同的数量占比超过设定判决阈值，则判定当前查询语句为安全的查询语句；否则判定为不安全的查询语句。

4.如权利要求1或3所述的方法，其特征在于，所述哈希算法集合中各哈希算法的初始权值均相同，Web服务器根据数据库代理的反馈调节哈希算法的权值，即如果一条随机化处理后的查询语句a对应的语法树结构中每一项均符合语法要求但该随机化处理后的查询语句a对应的分析结果与其他随机化处理后的查询语句对应的分析结果不同，则降低生成随机化处理后的查询语句a中随机字符串的生成算法的权值；当一哈希算法h的权值小于设定阈值之后则该哈希算法集合引入一新的哈希算法替换掉该哈希算法h。

5.如权利要求1所述的方法，其特征在于，所述语法树结构为类BNF范式的语法树结构。

6.一种数据库代理节点，其特征在于，包括语法分析模块、判决反馈模块和去随机化模块；其中，

语法分析模块，用于对每一条随机化处理后的查询语句生成一对应的语法树结构并判断语法树结构中的每一项是否符合语法要求；

判决反馈模块，用于根据语法分析模块的判断结果确定当前查询语句是否为安全的查询语句；如果是安全的查询语句，则将对查询语句发送给去随机化模块；如果当前查询语句为不安全的查询语句，则返回错误提示给Web服务器；

去随机化模块，用于对查询语句进行去随机化操作并提交给数据库。

7.如权利要求6所述的数据库代理节点，其特征在于，所述判决反馈模块确定当前查询语句是否为安全的查询语句的方法为：如果每条随机化处理后的查询语句对应的语法树结构中的每一项均符合语法要求，且n条所述随机化处理后的查询语句的分析结果相同的数量占比超过设定判决阈值，则判定当前查询语句为安全的查询语句；否则判定为不安全的查询语句。

8.一种Web服务器，其特征在于，包括随机化模块和随机化策略调整模块；其中，

所述随机化模块，用于对Web服务器上预先设定的SQL查询语句进行随机化处理，生成n条随机化指令并分别与当前输入信息进行组合，生成n条等价的随机化处理后的查询语句传递给数据库代理；

随机化策略调整模块，用于根据数据库代理返回的错误提示调整哈希算法集合中各哈希算法的权值。

9.如权利要求8所述的Web服务器，其特征在于，所述随机化策略调整模块调节哈希算法的权值的方法为：如果数据库代理返回错误提示中，一条随机化处理后的查询语句对应的语法树结构中每一项均符合语法要求但该随机化处理后的查询语句a对应的分析结果与其他随机化处理后的查询语句对应的分析结果不同，则降低生成随机化处理后的查询语句a中随机字符串的生成算法的权值；当一哈希算法h的权值小于设定阈值之后则该哈希算法集合引入一新的哈希算法替换掉该哈希算法h。

10.如权利要求8所述的Web服务器，其特征在于，所述随机化模块生成n条随机化指令的方法为：根据哈希算法集合中哈希算法的当前权值随机选择n个哈希算法，用于生成n个随机字符串；然后对预先设定的SQL查询语句进行关键字提取；然后将每一所述随机化字符串与所提取关键字进行结合，生成一条随机化指令。

Images