CN111585974A - 注入类漏洞检测方法及装置、可读存储介质及终端 - Google Patents

Abstract

本发明实施例公开一种注入类漏洞检测方法、装置、可读存储介质及终端。属于网络安全技术领域，包括，接收用户请求的至少一条流量信息；对用户请求的至少一条流量信息进行解码；根据解码操作完成后的结果得到用户请求的参数值中的SQL语句；提取用户请求的参数值中的SQL语句并进行词法分析，得到不少于一串的分析结果；判断不少于一串的分析结果，根据不少于一串的分析结果得到请求的参数值是否存在注入类漏洞的检测结果。本发明实施例通过词法分析SQL语句比现有的基于正则解析SQL更灵活，具有有助于降低误报率，漏报率的特点，能够极大的提高用户体验和企业网站安全性。

Description

注入类漏洞检测方法及装置、可读存储介质及终端

技术领域

本发明属于网络安全技术领域，具体涉及一种注入类漏洞检测方法及装置、可读存储介质及终端。

背景技术

随着网络技术和数字经济的发展，网络安全问题也日益突出，全球范围内大规模的敏感数据泄露事件也频繁发生，各种安全渗透攻击技术也层出不穷，更新换代，相应的安全渗透防御技术也必须与时俱进，才能应对愈演愈烈的网络安全挑战。

SQL(Structured Query Language-结构化查询语言)注入类攻击是一种黑客屡试不爽的攻击手法，SQL注入漏洞至今盛行于互联网上的。SQL注入即是指web应用程序对用户输入数据的合法性没有判断或过滤不严，攻击者可以在web应用程序中事先定义好的查询语句的结尾上添加额外的SQL语句，在管理员不知情的情况下实现非法操作，以此来实现欺骗数据库服务器执行非授权的任意查询，从而进一步得到相应的数据信息。

针对SQL注入这一存在了多年的安全问题，传统检测方法是waf会对用户输入的语句进行解码再通过匹配关键字的方法判断是否为一次黑客攻击行为。如果匹配到恶意的关键字则认为存在攻击行为，这一方法存在太高的误报，会将很多正常的用户行为判定为黑客攻击，这会严重影响到用户体验。如果对正则规则写细，那么就无法绕过黑客混淆恶意请求造成的攻击。

现有技术主要缺点有两点:一是误报率高，由于正则本身存在一定的局限性，如果正则规则写的过于宽松，那么则会将很多正常的用户请求当作黑客攻击，这一点会严重影响到一个企业的信誉和形象，同时会对一些公司业务造成影响，这个损失无法估量。二是漏报率高，如果正则规则写的过死，面对简单的黑客攻击可以拦截，但是黑客攻击稍微混淆之后便很难识别。这样对于黑客而已，这种waf(web应用防火墙)形同虚设，无疑增加了企业应用被黑客入侵的风险。

针对上文提到的现有技术存在的检测SQL注入式漏洞误报率及漏报率高的缺陷，分析其根本原因是正则无法真正的理解SQL语句行为。因此，如何降低检测SQL注入式漏洞的误报率以及漏报率。是现今亟待解决的问题。

发明内容

为了解决现有技术存在检测SQL注入式漏洞误报率及漏报率高的问题，本发明实施例提供以下技术方案：

第一方面，一种注入类漏洞检测方法，包括：

接收用户请求的至少一条流量信息；

对所述用户请求的至少一条流量信息进行解码；

根据解码操作完成后的结果，对所述用户请求的参数值进行词法分析，得到用户请求的参数值中的SQL语句；

提取所述用户请求的参数值中的SQL语句，得到不少于一串的分析结果；

判断所述不少于一串的分析结果，根据所述不少于一串的分析结果得到所述请求的参数值是否存在注入类漏洞的检测结果。

进一步地，在所述接收用户请求的至少一条流量信息之前，还包括：

设置DNS解析，设置被防护域名DNS地址为防火墙分析计算平台ip地址，其中，所述web应用防火墙分析计算平台用于获取所述用户请求的至少一条流量信息。

进一步地，所述web应用防火墙分析计算平台用于获取所述用户请求的至少一条流量信息，所述用户请求的流量信息包括正常用户流量信息，和/或，黑客攻击流量信息；

所述用户请求的至少一条流量信息包含用户所要请求的对应的数据库标识、ip地址以及用户请求的内容。

进一步地，所述根据解码操作完成后的结果，对所述用户请求的参数值进行词法分析包括：

根据所述用户请求组的至少一条流量信息所包含的数据库标识，确定所述用户请求的流量信息对应的数据库；

在所述用户请求的流量信息对应的数据库中，逐条对所述用户请求的参数值进行词法分析。

进一步地，所述提取所述用户请求的参数值中的SQL语句，得到不少于一串的分析结果包括：

根据数据库的词法解析器，提取所述用户请求的参数值中的SQL语句；

根据提取的所述用户请求的参数值中的SQL语句，判断所述SQL语句的词法是否正确。

进一步地，所述判断所述不少于一串的分析结果，根据所述不少于一串的分析结果得到所述请求的参数值是否存在注入类漏洞的检测结果，还包括：

若所述不少于一串的分析结果得到的所述请求的参数值与用户请求的流量信息对应的数据库中词法结构不同，则判断所述请求的参数值存在注入类漏洞，并拦截所述用户请求；

若所述不少于一串的分析结果得到的所述请求的参数值与用户请求的流量信息对应的数据库中词法结构相同，则判断所述请求的参数值不存在注入类漏洞，并执行所述用户请求。

进一步地，所述对所述用户请求的至少一条流量信息进行解码，包括：

对所述用户请求的流量信息的语句、字母以及特殊字符进行解码；

根据所述语句、字母以及特殊字符进行解码完成后的结果，对所述用户请求的参数值进行词法分析。

第二方面，一种注入类漏洞检测装置，包括：

接收模块，用于接收用户请求的至少一条流量信息；

解码模块，用于对所述用户请求的至少一条流量信息进行解码；

词法分析模块，用于根据解码操作完成后的结果，对所述用户请求的参数值进行词法分析；

SQL语句提取模块，用于提取所述用户请求的参数值中的SQL语句，得到不少于一串的分析结果；

判断模块，用于判断所述不少于一串的分析结果，根据所述不少于一串的分析结果得到所述请求的参数值是否存在注入类漏洞的检测结果。

第三方面，一种可读存储介质，其上存储有程序，该程序被处理器执行时实现权利要求1-7任一项所述方法的步骤。

第四方面，一种终端，其特征在于，包括：

存储器，其上存储有可执行程序；

处理器，用于执行所述存储器中的所述可执行程序，以实现权利要求1-7中任一项所述方法的步骤。

本发明实施例提供的一种注入类漏洞检测方法、装置、可读存储介质及终端，包括，接收用户请求的至少一条流量信息；对所述用户请求的至少一条流量信息进行解码；根据解码操作完成后的结果，对所述用户请求的参数值进行词法分析，得到用户请求的参数值中的SQL语句；提取所述用户请求的参数值中的SQL语句，得到不少于一串的分析结果；判断所述不少于一串的分析结果，根据所述不少于一串的分析结果得到所述请求的参数值是否存在注入类漏洞的检测结果。本发明实施例通过词法分析sql语句比现有的基于正则解析sql更灵活，具有有助于降低误报率，漏报率的特点，能够极大的提高用户体验和企业网站安全性。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例中一种注入类漏洞检测方法的流程示意图。

图2是本发明另一个实施例中一种注入类漏洞检测方法的流程示意图。

图3是本发明另一个实施例中一种注入类漏洞检测装置结构图。

图4是本发明另一个实施例中一种注入类漏洞检测方法的流程示意图。

附图标记：

1-接收模块；2-解码模块；3-SQL语句提取模块；4-判断模块。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将对本发明的技术方案进行详细的描述。显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所得到的所有其它实施方式，都属于本发明所保护的范围。

针对相关技术中的存在的检测SQL注入式漏洞误报率及漏报率高的缺陷，分析其根本原因是正则无法真正的理解SQL语句行为的问题，本发明提供一种注入类漏洞检测方法，图1为本申请一个实施例提供的一种注入类漏洞检测方法的流程示意图，如图1所示，该方法包括如下步骤：

S101，接收用户请求的至少一条流量信息；

S102，对用户请求的至少一条流量信息进行解码；

其中，包括对用户请求的流量信息的语句、字母以及特殊字符进行解码。

S103，根据解码操作完成后的结果，对用户请求的参数值进行词法分析，得到用户请求的参数值中的SQL语句；

在词法分析过程中，采用的是每种数据库官方的词法解析，和真实的数据库解析引擎一模一样。

S104，提取用户请求的参数值中的SQL语句，得到不少于一串的分析结果；

S105，判断不少于一串的分析结果，根据不少于一串的分析结果得到请求的参数值是否存在注入类漏洞的检测结果。

本发明实施例提供的一种注入类漏洞检测方法，包括，接收用户请求的至少一条流量信息；对用户请求的至少一条流量信息进行解码；根据解码操作完成后的结果，对用户请求的参数值进行词法分析，得到用户请求的参数值中的SQL语句；提取用户请求的参数值中的SQL语句，得到不少于一串的分析结果；判断不少于一串的分析结果，根据不少于一串的分析结果得到请求的参数值是否存在注入类漏洞的检测结果。本发明实施例通过词法分析SQL语句比现有的基于正则解析SQL更灵活，具有有助于降低误报率，漏报率特点，能够极大的提高用户体验和企业网站安全性。

作为上述方法的改进，本发明实施例提供另一种注入类漏洞检测方法，如图2所示，

S201，预先设置DNS解析，设置被防护域名DNS地址为防火墙分析计算平台ip地址，其中，web应用防火墙分析计算平台用于获取用户请求的至少一条流量信息。

在一个实施例中，可以是企业应用域名预先配置dns解析，设置其被防护域名DNS地址为防火墙分析计算平台ip地址。当用户发出请求的流量信息时，web应用防火墙分析计算平台获取该用户请求的流量信息。其中，用户请求的流量信息包括正常用户流量信息，和/或，黑客攻击流量信息；用户请求的至少一条流量信息包含用户所要请求的对应的数据库标识、ip地址以及用户请求的内容。

S202，对用户请求的至少一条流量信息进行解码。

具体地，对用户请求的流量信息的语句、字母以及特殊字符进行解码；

根据语句、字母以及特殊字符进行解码成后的结果，对用户请求的参数值进行词法分析。

S203，根据解码操作完成后的结果，对用户请求的参数值进行词法分析，得到用户请求的参数值中的SQL语句。

在一个实施例中，根据用户请求组的至少一条流量信息所包含的数据库标识，确定用户请求的流量信息对应的数据库；

在该用户请求的流量信息对应的数据库中，逐条对该用户请求的参数值进行词法分析。

S204，提取用户请求的参数值中的SQL语句，得到不少于一串的分析结果。

在一个实施例中，根据数据库的词法解析器，提取用户请求的参数值中的SQL语句；

根据提取的用户请求的参数值中的SQL语句，判断SQL语句的词法是否正确。

S205，判断不少于一串的分析结果，根据不少于一串的分析结果得到请求的参数值是否存在注入类漏洞的检测结果。

具体地，若不少于一串的分析结果得到的请求的参数值与用户请求的流量信息对应的数据库中词法结构不同，则判断请求的参数值存在注入类漏洞，并拦截用户请求；

若不少于一串的分析结果得到的请求的参数值与用户请求的流量信息对应的数据库中词法结构相同，则判断请求的参数值不存在注入类漏洞，并执行用户请求。

本发明实施例提供的一种注入类漏洞检测方法，包括，在接收用户请求的至少一条流量信息前，预先设置DNS解析，设置被防护域名DNS地址为防火墙分析计算平台ip地址，其中，web应用防火墙分析计算平台用于获取用户请求的至少一条流量信息。预先设置被防护域名的DNS，能够准确获取用户请求的流量信息，节省检测时间，能够极大的提高用户体验和企业网站安全性。

作为上述方法的改进，本发明实施例提供一种注入类漏洞检测装置，如图3所示，包括：

接收模块1，用于接收用户请求的至少一条流量信息；

解码模块2，用于对用户请求的至少一条流量信息进行解码；

词法分析模块3，用于根据解码操作完成后的结果，对用户请求的参数值进行词法分析；

SQL语句提取模块4，用于提取用户请求的参数值中的SQL语句，得到不少于一串的分析结果；

判断模块5，用于判断不少于一串的分析结果，根据不少于一串的分析结果得到请求的参数值是否存在注入类漏洞的检测结果。

本发明实施例提供一种注入类漏洞检测装置，包括：接收模块，用于接收用户请求的至少一条流量信息；解码模块，用于对用户请求的至少一条流量信息进行解码；词法分析模块，用于根据解码操作完成后的结果，对用户请求的参数值进行词法分析；SQL语句提取模块，用于提取用户请求的参数值中的SQL语句，得到不少于一串的分析结果。通过以上各个单元协同工作，快速完成注入类漏洞检测，具有有助于降低误报率，漏报率的特点，能够极大的提高用户体验和企业网站安全性。

作为上述方法的改进，本发明实施例提供一种可读存储介质，其上存储有程序，该程序被处理器执行注入类漏洞检测方法的任一一项方法的步骤。

作为上述方法的改进，本发明实施例提供一种终端，包括：

存储器，其上存储有可执行程序；

处理器，用于执行存储器中的可执行程序，以实现注入类漏洞检测方法的任一项方法的步骤。

为了便于理解，本发明还提供了一个实施例，如图4所示，

首先，企业应用域名预先配置dns解析，设置其ip为waf分析计算平台ip。所有用户请求的流量都默认转发到waf机器，waf机器首先会对请求流量进行解码。解码操作会将用户流量解析编码解析，解码操作完成之后对请求参数值进行词法分析。词法分析过后得到一串分析结果，称之为token，这个token可以被认为是sql语句的关键字缩写。比如要解析的sql语句为select*from user where id＝1，再进行解析之后结果为SELECT SPACE STARSPACE FROM SPACE USER SPACE WHERE SPACE DOT_ID EQUAL_SYMBOL ONE_DECIMAL。如果是黑客攻击类的sql语句比如则会被解析成SELECT SPACE STAR SPACE FROM SPACE USERSPACE WHERE SPACE DOT_ID EQUAL_SYMBOL ONE_DECIMAL SPACE OR SPACE ONE_DECIMALEQUAL_SYMBOL TWO_DECIMAL。这种情况属于注入类token，被waf内置黑名单判定为注入攻击行为，故会拦截。对于无论何种复杂的编码，比如sel/*！5000*/ect*from user where id＝1被解析成SELECT SPACE STAR SPACE FROM SPACE USER SPACE WHERE SPACE DOT_IDEQUAL_SYMBOL ONE_DECIMAL。这和select*from user where id＝1的解析结果是一致的，因为我们采用的是每种数据库官方的词法解析，和真实的数据库解析引擎一摸一样，任何黑客混淆手法都会被智能waf识别。这样实现了降低误报率，漏报率的效果。如果发现是注入攻击行为，则拦截请求。防止黑客借助此行为作出破坏行为。

可以理解的是，上述各实施例中相同或相似部分可以相互参考，在一些实施例中未详细说明的内容可以参见其他实施例中相同或相似的内容。

需要说明的是，在本申请的描述中，术语“第一”、“第二”等仅用于描述目的，而不能理解为指示或暗示相对重要性。此外，在本申请的描述中，除非另有说明，“多个”的含义是指至少两个。

流程图中或在此以其他方式描述的任何过程或方法描述可以被理解为，表示包括一个或更多个用于实现特定逻辑功能或过程的步骤的可执行指令的代码的模块、片段或部分，并且本申请的优选实施方式的范围包括另外的实现，其中可以不按所示出或讨论的顺序，包括根据所涉及的功能按基本同时的方式或按相反的顺序，来执行功能，这应被本申请的实施例所属技术领域的技术人员所理解。

应当理解，本申请的各部分可以用硬件、软件、固件或它们的组合来实现。在上述实施方式中，多个步骤或方法可以用存储在存储器中且由合适的指令执行系统执行的软件或固件来实现。例如，如果用硬件来实现，和在另一实施方式中一样，可用本领域公知的下列技术中的任一项或他们的组合来实现：具有用于对数据信号实现逻辑功能的逻辑门电路的离散逻辑电路，具有合适的组合逻辑门电路的专用集成电路，可编程门阵列(PGA)，现场可编程门阵列(FPGA)等。

本技术领域的普通技术人员可以理解实现上述实施例方法携带的全部或部分步骤是可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可读存储介质中，该程序在执行时，包括方法实施例的步骤之一或其组合。

此外，在本申请各个实施例中的各功能单元可以集成在一个处理模块中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个模块中。上述集成的模块既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。所述集成的模块如果以软件功能模块的形式实现并作为独立的产品销售或使用时，也可以存储在一个计算机可读取存储介质中。

上述提到的存储介质可以是只读存储器，磁盘或光盘等。

在本说明书的描述中，参考术语“一个实施例”、“一些实施例”、“示例”、“具体示例”、或“一些示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本申请的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不一定指的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任何的一个或多个实施例或示例中以合适的方式结合。

尽管上面已经示出和描述了本申请的实施例，可以理解的是，上述实施例是示例性的，不能理解为对本申请的限制，本领域的普通技术人员在本申请的范围内可以对上述实施例进行变化、修改、替换和变型。

Claims (10)

1.一种注入类漏洞检测方法，其特征在于，包括：

接收用户请求的至少一条流量信息；

对所述用户请求的至少一条流量信息进行解码；

根据解码操作完成后的结果，得到用户请求的参数值中的SQL语句；

提取用户请求的参数值中的SQL语句，并进行词法分析，得到不少于一串的分析结果；

判断所述不少于一串的分析结果，根据所述不少于一串的分析结果得到所述请求的参数值是否存在注入类漏洞的检测结果。

2.根据权利要求1所述的方法，其特征在于，在所述接收用户请求的至少一条流量信息之前，还包括：

预先设置DNS解析，设置被防护域名DNS地址为防火墙分析计算平台ip地址，其中，所述web应用防火墙分析计算平台用于获取所述用户请求的至少一条流量信息。

3.根据权利要求2所述的方法，其特征在于，所述web应用防火墙分析计算平台用于获取所述用户请求的至少一条流量信息，所述用户请求的流量信息包括正常用户流量信息，和/或，黑客攻击流量信息；

所述用户请求的至少一条流量信息包含用户所要请求的对应的数据库标识、ip地址以及用户请求的内容。

4.根据权利要求1所述的方法，其特征在于，所述根据解码操作完成后的结果，对所述用户请求的参数值进行词法分析包括：

根据所述用户请求组的至少一条流量信息所包含的数据库标识，确定所述用户请求的流量信息对应的数据库；

在所述用户请求的流量信息对应的数据库中，逐条对所述用户请求的参数值进行词法分析。

5.根据权利要求1所述的方法，其特征在于，所述提取所述用户请求的参数值中的SQL语句，得到不少于一串的分析结果包括：

根据数据库的词法解析器，提取所述用户请求的参数值中的SQL语句；

根据提取的所述用户请求的参数值中的SQL语句，判断所述SQL语句的词法是否正确。

6.根据权利要求1所述的方法，其特征在于，所述判断所述不少于一串的分析结果，根据所述不少于一串的分析结果得到所述请求的参数值是否存在注入类漏洞的检测结果，还包括：

若所述不少于一串的分析结果得到的所述请求的参数值与用户请求的流量信息对应的数据库中词法结构不同，则判断所述请求的参数值存在注入类漏洞，并拦截所述用户请求；

若所述不少于一串的分析结果得到的所述请求的参数值与用户请求的流量信息对应的数据库中词法结构相同，则判断所述请求的参数值不存在注入类漏洞，并执行所述用户请求。

7.根据权利要求1所述的方法，其特征在于，所述对所述用户请求的至少一条流量信息进行解码，包括：

对所述用户请求的流量信息的语句、字母以及特殊字符进行解码；

根据所述语句、字母以及特殊字符进行解码成后的结果，对所述用户请求的参数值进行词法分析。

8.一种注入类漏洞检测装置，其特征在于，包括：

接收模块，用于接收用户请求的至少一条流量信息；

解码模块，用于对所述用户请求的至少一条流量信息进行解码；

词法分析模块，用于根据解码操作完成后的结果，对所述用户请求的参数值进行词法分析；

SQL语句提取模块，用于提取所述用户请求的参数值中的SQL语句，得到不少于一串的分析结果；

判断模块，用于判断所述不少于一串的分析结果，根据所述不少于一串的分析结果得到所述请求的参数值是否存在注入类漏洞的检测结果。

9.一种可读存储介质，其上存储有程序，其特征在于，该程序被处理器执行时实现权利要求1-7任一项所述方法的步骤。

10.一种终端，其特征在于，包括：

存储器，其上存储有可执行程序；

处理器，用于执行所述存储器中的所述可执行程序，以实现权利要求1-7中任一项所述方法的步骤。

Images