CN113872965A - 一种基于Snort引擎的SQL注入检测方法 - Google Patents

一种基于Snort引擎的SQL注入检测方法 Download PDF

Info

Publication number
CN113872965A
CN113872965A CN202111131110.8A CN202111131110A CN113872965A CN 113872965 A CN113872965 A CN 113872965A CN 202111131110 A CN202111131110 A CN 202111131110A CN 113872965 A CN113872965 A CN 113872965A
Authority
CN
China
Prior art keywords
rule
sql injection
injection detection
data set
alarm
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN202111131110.8A
Other languages
English (en)
Other versions
CN113872965B (zh
Inventor
刘春�
张凌浩
王豪
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Leshan Power Supply Co Of State Grid Sichuan Electric Power Co
Original Assignee
Leshan Power Supply Co Of State Grid Sichuan Electric Power Co
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Leshan Power Supply Co Of State Grid Sichuan Electric Power Co filed Critical Leshan Power Supply Co Of State Grid Sichuan Electric Power Co
Priority to CN202111131110.8A priority Critical patent/CN113872965B/zh
Publication of CN113872965A publication Critical patent/CN113872965A/zh
Application granted granted Critical
Publication of CN113872965B publication Critical patent/CN113872965B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02D—CLIMATE CHANGE MITIGATION TECHNOLOGIES IN INFORMATION AND COMMUNICATION TECHNOLOGIES [ICT], I.E. INFORMATION AND COMMUNICATION TECHNOLOGIES AIMING AT THE REDUCTION OF THEIR OWN ENERGY USE
    • Y02D30/00—Reducing energy consumption in communication networks
    • Y02D30/50—Reducing energy consumption in communication networks in wire-line communication networks, e.g. low power modes or reduced link rate

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Pharmaceuticals Containing Other Organic And Inorganic Compounds (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明公开了一种基于Snort引擎的SQL注入检测方法，包括以下步骤：生成服务器的疑似流量静态数据包、正常流量静态数据包和恶意流量静态数据包；在Snort引擎中配置初始SQL注入检测规则；并利用初始SQL注入检测规则分别对正常流量静态数据包和恶意流量静态数据包进行规则命中；根据规则命中结果对初始SQL注入检测规则进行修改，生成复测SQL注入检测规则，在Snort引擎中利用复测SQL注入检测规则重新进行配置；利用复测SQL注入检测规则对疑似流量静态数据包进行规则命中并记录相应告警数据，完成注入检测，通过对初始SQL注入规则进行预检测以及修改，降低了检测规则的漏报率和误报率，提高引擎的检测效率。

Description

一种基于Snort引擎的SQL注入检测方法
技术领域
本发明涉及网络安全领域，尤其涉及一种基于Snort引擎的SQL注入检测方法。
背景技术
SQL注入是指web应用程序对用户输入数据的合法性没有判断或过滤不严，攻击者可以在web应用程序中事先定义好的查询语句的结尾上添加额外的SQL语句，在管理员不知情的情况下实现非法操作，以此来实现欺骗数据库服务器执行非授权的任意查询，攻击者通过SQL注入获取到服务器的库名、表名、字段名，从而获取到整个服务器中的数据，对网站用户的数据安全有极大的威胁。攻击者也可以通过获取到的数据，得到后台管理员的密码，然后对网页页面进行恶意篡改。这样不仅对数据库信息安全造成严重威胁，对整个数据库系统安全也影响重大，在现有网络安全检测引擎中由于开源的原因Sort引擎是使用较为广泛的一种检测引擎，但是由于SQL注入语法花样繁多，而现有的Snort引擎初始SQL注入检测规则不完善，导致在SQL注入检测时存在大量误报和漏报，在实际检测过程中非常影响检测效率。
发明内容
本发明所要解决的技术问题是如何提高SQL注入检测效率，提出一种基于Snort引擎的SQL注入检测方法，在使用Snort引擎对疑似SQL注入流量进行检测前，通过采集到的SQL注入恶意流量和业务正常流量对Snort引擎中存在的初始SQL注入规则进行预检测，通过初始规则修改脚本对进行预检测后的初始SQL注入检测规则进行修改调整，降低初始SQL检测规则的漏报率和误报率，提高基于Snort引擎的SQL注入检测效率。
本发明通过下述技术方案实现：
一种基于Snort引擎的SQL注入检测方法，包括以下步骤：
S1.采集服务器的疑似SQL注入流量和服务器业务正常流量，并分别生成疑似流量静态pcap包和正常流量静态pcap包；采用Burp Suite集成平台生成SQL注入恶意流量并生成恶意流量静态pcap包；
S2.在Snort引擎中配置初始SQL注入检测规则；并利用配置了初始SQL注入检测规则的Snort引擎读取正常流量静态pcap包和恶意流量静态pcap包；并利用所述初始SQL注入检测规则分别对正常流量静态pcap包和恶意流量静态pcap包进行规则命中；
S3.根据规则命中结果对初始SQL注入检测规则进行修改，生成复测SQL注入检测规则，在Snort引擎中利用所述复测SQL注入检测规则重新进行配置；
S4、利用配置了复测SQL注入检测规则的Snort引擎读取疑似流量静态pcap包，并利用复测SQL注入检测规则对疑似流量静态pcap包进行规则命中并记录相应告警数据，完成SQL注入检测。
Sort引擎是现有网络安全检测引擎中使用较为广泛的一种检测引擎，但是由于SQL注入语法花样繁多，而现有的Snort引擎初始SQL注入检测规则不完善，导致在SQL注入检测时存在大量误报和漏报，在实际检测过程中非常影响检测效率，本发明通过在使用Snort引擎对疑似SQL注入流量进行检测前，通过采集到的SQL注入恶意流量和业务正常流量对Snort引擎中存在的初始SQL注入规则进行预检测，并根据预检测的结果，利用初始规则修改脚本对进行预检测后的初始SQL注入检测规则进行修改调整，从而降低初始SQL检测规则的漏报率和误报率，提高基于Snort引擎的SQL注入检测效率。
进一步地，所述步骤S2中规则命中的具体过程为:
S21、通过初始SQL注入检测规则匹配恶意流量静态pcap包，根据每条SQL注入检测规则对应的sid字段将所有SQL注入检测规则排序整理形成第一匹配数据集；
S22、找到第一匹配数据集中未触发告警的SQL注入检测规则并生成未告警数据集，通过未告警数据集得到漏报率，如果漏报率大于0则进入步骤S25，漏报率为0则进入步骤S23；
S23、根据初始SQL注入检测规则匹配正常流量静态pcap包，根据每条SQL注入检测规则对应的sid字段将所有SQL注入检测规则排序整理形成第二匹配数据集；
S24、找到第二匹配数据集中触发告警的SQL注入检测规则并生成告警数据集，通过告警数据集得到误报率，如果误报率大于0则进入步骤S25；
S25、根据SQL注入类型构建初始规则修改脚本，将未告警数据集导入初始规则修改脚本中，对未告警规则进行数据匹配，在未告警规则中添加匹配因素，在后续的复测中减少漏报率；将告警规则数据集导入初始规则修改脚本中，对告警规则进行数据匹配，在告警规则中删除或修改匹配因素，后续复测时减少误报率，其中，匹配因素为SQL注入检测规则中Content字段通过关键字命中pcap包消息内容，Pcre字段通过正则表达式命中pcap包消息内容。
进一步地，S22中未告警数据集的生成过程为：
使用Snort引擎网络入侵检测模式的相关命令查看所有已触发告警的SQL注入检测规则sid，将第一匹配数据集中剩余未触发告警的SQL注入检测规则sid和相关规则内容整理形成未告警数据集；若未告警数据集中存在数据内容，则通过步骤S25对未告警规则进行修改。
进一步地，S24中生成告警数据集的过程为：
使用Snort引擎的网络入侵检测模式的相关命令查看所有已触发告警的SQL注入检测规则sid，并对所有已触发告警的SQL注入检测规则sid进行去重，将第二匹配数据集中所有触发告警的SQL注入检测规则sid和相关规则内容进行整理，形成告警数据集，若告警数据集存在数据内容，则通过步骤S25对告警规则进行修改。
进一步地，所述S25中初始规则修改脚本由python构建，构建过程为：
S251、使用re模块正则匹配，找到初始SQL注入检测规则中的Content字段内容和Pcre字段的内容并进行提取，得到初始规则内容；
S252、接着通过urllib模块对被编码的静态pcap包中的URL内容进行解码，得到解码内容；
S253、根据初始规则内容和解码内容得到初始规则修改脚本，将未告警数据集导入初始规则修改脚本中，提取出未告警数据集中的规则内容并根据恶意流量对初始规则内容进行关键字的添加，从而确保所有SQL注入检测规则命中恶意流量；
S254、将告警数据集导入初始规则修改脚本中，提取出告警数据集中的规则内容并根据正常流量对初始规则内容进行关键字的修改或者删除，确保所有SQL注入检测规则不命中正常流量。
进一步地，S1中使用Wireshark网络抓包工具或Linux系统的Tcpdump抓包工具对服务器的流量进行采集并生成对应的流量静态pcap包，将生成后的流量静态pcap包存储至Linux系统的Home文件夹中。
进一步地，步骤S1中通过Burp Suite集成平台的SQLmap插件生成SQL注入恶意流量。
进一步地，步骤S2中在Snort引擎中配置初始SQL注入检测规则，其中，Snort引擎搭建于Linux环境下，配置过程中需要在Snort配置文件中写入SQL注入检测规则文件的根目录。
进一步地，所述步骤S2中Snort引擎通过网络入侵检测模式的相关命令读取正常流量静态pcap包和恶意流量静态pcap包。
本发明与现有技术相比，具有如下的优点和有益效果：
本发明的有益效果：
1、本发明一种基于Snort引擎的SQL注入检测方法，在使用Snort引擎对疑似SQL注入流量进行检测前，通过采集到的SQL注入恶意流量和业务正常流量对Snort引擎中存在的初始SQL注入规则进行预检测，通过初始规则修改脚本对进行预检测后的初始SQL注入检测规则进行修改调整，降低初始SQL检测规则的漏报率和误报率，提高基于Snort引擎的SQL注入检测效率；
2、本发明一种基于Snort引擎的SQL注入检测方法，通过对服务器请求流量中疑似SQL注入的数据进行检测和告警，在Snort引擎对疑似SQL注入的数据包进行规则命中前使用其他网络工具对Snort引擎进行预测试并且使用基于不同网络协议层的SQL注入检测规则减少误报、漏报的出现，增加Snort引擎的检测效率。
附图说明
为了更清楚地说明本发明示例性实施方式的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本发明的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。在附图中：
图1为本发明一种实施例的SQL注入检测方法流程图。
图2为本发明实施例提供的一种应用了SQL注入检测方法的终端设备；
图3为本发明实施例提供的一种计算机存储介质。
具体实施方式
为使本发明的目的、技术方案和优点更加清楚明白，下面结合实施例和附图，对本发明作进一步的详细说明，本发明的示意性实施方式及其说明仅用于解释本发明，并不作为对本发明的限定。
实施例1
如图1，一种基于Snort引擎的SQL注入检测方法，包括以下步骤：
S1.采集服务器的疑似SQL注入流量和服务器业务正常流量，并分别生成疑似流量静态pcap包和正常流量静态pcap包；采用Burp Suite集成平台生成SQL注入恶意流量并生成恶意流量静态pcap包，实际操作时可以使用Burp Suite集成平台的SQLmap插件生成SQL注入恶意流量；
具体地，使用Wireshark网络抓包工具或Linux系统的Tcpdump抓包工具对服务器的流量进行采集并生成对应的流量静态pcap包，将生成后的流量静态pcap包存储至Linux系统的Home文件夹中，其中Tcpdump命中参数为”tcpdump -An eth0 host ip -wtest.pcap./home”。
S2.在Snort引擎中配置初始SQL注入检测规则；并利用配置了初始SQL注入检测规则的Snort引擎读取正常流量静态pcap包和恶意流量静态pcap包；并利用所述初始SQL注入检测规则分别对正常流量静态pcap包和恶意流量静态pcap包进行规则命中；
将Snort引擎搭建于Linux环境下，通过命令“vim./snort/etc/snort.conf”进入Snort引擎的配置文件后找到include$RULE_PUTH\local.rules，在其下方输入include$RULE_PUTH\sql.ruels，将SQL规则的根目录写入Snort配置文件中，且Snort引擎通过网络入侵检测模式的相关命令读取正常流量静态pcap包和恶意流量静态pcap包的相关内容，例如命令：“snort--pcap-dir＝"/home/foo/pcaps”读取静态pcap包。
具体地，S2中规则命中的具体过程为:
S21、通过初始SQL注入检测规则匹配恶意流量静态pcap包，根据每条SQL注入检测规则对应的sid字段将所有SQL注入检测规则排序整理形成第一匹配数据集；
S22、找到第一匹配数据集中未触发告警的SQL注入检测规则并生成未告警数据集，通过未告警数据集得到漏报率，如果漏报率大于0则进入步骤S25，漏报率为0则进入步骤S23；
具体地，未告警数据集的生成过程为：使用Snort引擎网络入侵检测模式的相关命令查看所有已触发告警的SQL注入检测规则sid，将第一匹配数据集中剩余未触发告警的SQL注入检测规则sid和相关规则内容整理形成未告警数据集；若未告警数据集中存在数据内容，则通过步骤S25对未告警规则进行修改；
S23、根据初始SQL注入检测规则匹配正常流量静态pcap包，根据每条SQL注入检测规则对应的sid字段将所有SQL注入检测规则排序整理形成第二匹配数据集；
S24、找到第二匹配数据集中触发告警的SQL注入检测规则并生成告警数据集，通过告警数据集得到误报率，如果误报率大于0则进入步骤S25；
具体地，生成告警数据集的过程为：使用Snort引擎的网络入侵检测模式的相关命令查看所有已触发告警的SQL注入检测规则sid，并对所有已触发告警的SQL注入检测规则sid进行去重，将第二匹配数据集中所有触发告警的SQL注入检测规则sid和相关规则内容进行整理，形成告警数据集，若告警数据集存在数据内容，则通过步骤S25对告警规则进行修改；
S25、根据SQL注入类型构建初始规则修改脚本，将未告警数据集导入初始规则修改脚本中，对初始SQL注入检测规则中的未告警规则进行数据匹配，在未告警规则中添加匹配因素，在后续的复测中减少漏报率；将告警规则数据集导入初始规则修改脚本中，对初始SQL注入检测规则中的告警规则进行数据匹配，在告警规则中删除或修改匹配因素，后续复测时减少误报率，其中，匹配因素为SQL注入检测规则中Content字段通过关键字命中pcap包消息内容，Pcre字段通过正则表达式命中pcap包消息内容；其中，告警规则和未告警规则均属于SQL注入检测规则。
由于Snort引擎中的SQL注入检测规则较为冗长，所以使用初始规则修改脚本将SQL注入规则的检测部分提取出来，其中可删去重复部分为alert、msg、sid、nocase、ip地址等字段，具体地，S25中初始规则修改脚本由python构建，构建过程为：
S251、使用re模块正则匹配，找到初始SQL注入检测规则中的Content字段内容和Pcre字段的内容并进行提取，得到初始规则内容；
S252、接着通过urllib模块对被编码的静态pcap包中的URL内容进行解码，得到解码内容；
S253、根据初始规则内容和解码内容得到初始规则修改脚本，将未告警数据集导入初始规则修改脚本中，提取出未告警数据集中的规则内容并根据恶意流量对初始规则内容进行关键字的添加，从而确保所有SQL注入检测规则命中恶意流量；
S254、将告警数据集导入初始规则修改脚本中，提取出告警数据集中的规则内容并根据正常流量对初始规则内容进行关键字的修改或者删除，确保所有SQL注入检测规则不命中正常流量，其中匹配因素即指Content字段通过关键字命中pcap包消息内容，Pcre字段通过正则表达式命中pcap包消息内容。
S3.根据规则命中结果对初始SQL注入检测规则进行修改，生成复测SQL注入检测规则，在Snort引擎中利用所述复测SQL注入检测规则重新进行配置；
S4、利用配置了复测SQL注入检测规则的Snort引擎读取疑似流量静态pcap包，并利用复测SQL注入检测规则对疑似流量静态pcap包进行规则命中并记录相应告警数据，完成SQL注入检测，在对读取的疑似流量静态pcap包进行规则命中时，若疑似流量静态pcap包命中规则，则确认服务器存在SQL注入行为并对Snort引擎截取命中规则的流量进行安全处理，安全处理包括：封禁对服务器进行SQL注入的用户IP、记录SQL注入攻击方式和增加服务器防御黑名单；疑似流量静态pcap包未命中规则，则确认服务器不存在SQL注入行为，由此完成SQL检测过程。
可以理解的是，初始SQL注入检测规则包括检测数据包URL的规则、检测数据包报头字段的规则和检测数据包数据的规则；SQL注入检测规则中的Content字段通过关键字命中数据包消息内容，Pcre字段通过正则表达式命中数据包消息内容对数据流量进行规则命中，本实施例通过对Snort引擎中所有SQL注入检测规则进行了预检测，通过预检测降低SQL注入检测规则的误报率和漏报率后，再对疑似流量进行检测；规则命中时若恶意流量静态pcap包命中规则，则使用Snort引擎中的网络入侵检测模式对服务器中疑似流量静态pcap包和正常流量静态pcap包进行规则命中，恶意流量静态pcap包未命中规则，则确认存在漏报，返回配置文件查看SQL注入检测规则是否有误；正常流量静态pcap包命中规则，则确认存在误报，返回配置文件查看SQL注入检测规则是否有误，正常流量静态pcap包未命中规则，则确认不存在误报，然后利用修改了的SQL注入检测规则对疑似流量静态pcap包进行复测，若疑似流量静态pcap包命中规则，则确认服务器存在SQL注入行为并对Snort引擎截取命中规则的流量进行安全处理，安全处理包括：封禁对服务器进行SQL注入的用户IP、记录SQL注入攻击方式和增加服务器防御黑名单；疑似流量静态pcap包未命中规则，则确认服务器不存在SQL注入行为。
实施例2
在实施例1的基础上，提出一种基于Snort引擎的SQL注入检测方法的优化方式。
进一步的，所述优化方式如下：
SQL注入检测规则可使用threshold字段确认数据包匹配次数的最小阈值来降低误报率，使用limit限制告警次数降低误报率；Snort引擎与大数据特征库连接，通过大数据库中的最新SQL注入攻击手段，对Snort配置文件中的SQL注入检测规则及时更新，并参考被保护服务器上针对脆弱性的告警信息来降低漏报率和误报率；
实施例3
如图2，本实施例提出一种基于Snort引擎的SQL注入检测方法的终端设备，终端设备200包括至少一个存储器210、至少一个处理器220以及连接不同平台系统的总线230。
存储器210可以包括易失性存储器形式的可读介质，例如随机存取存储器(RAM)211和/或高速缓存存储器212，还可以进一步包括只读存储器(ROM)213。
其中，存储器210还存储有计算机程序，计算机程序可以被处理器220执行，使得处理器220执行本申请实施例中上述任一项一种基于Snort引擎的SQL注入检测方法，其具体实现方式与上述实施例中记载的实施方式、所达到的技术效果一致，部分内容不再赘述。存储器210还可以包括具有一组(至少一个)程序模块215的程序/实用工具214，这样的程序模块包括但不限于：操作系统、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。
相应的，处理器220可以执行上述计算机程序，以及可以执行程序/实用工具214。
总线230可以为表示几类总线结构中的一种或多种，包括存储器总线或者存储器控制器、外围总线、图形加速端口、处理器或者使用多种总线结构中的任意总线结构的局域总线。
终端设备200也可以与一个或多个外部设备240例如键盘、指向设备、蓝牙设备等通信，还可与一个或者多个能够与该终端设备200交互的设备通信，和/或与使得该终端设备200能与一个或多个其它计算设备进行通信的任何设备(例如路由器、调制解调器等等)通信。这种通信可以通过输入/输出(I/O)接口250进行。并且，终端设备200还可以通过网络适配器260与一个或者多个网络(例如局域网(LAN)，广域网(WAN)和/或公共网络，例如因特网)通信。网络适配器260可以通过总线230与终端设备200的其它模块通信。应当明白，尽管图中未示出，可以结合终端设备200使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理器、外部磁盘驱动阵列、RAID系统、磁带驱动器以及数据备份存储平台等。
实施例4
如图3，本实施例提出一种基于Snort引擎的SQL注入检测方法的计算机可读存储介质，所述计算机可读存储介质上存储有指令，该指令被处理器执行时实现上述任一的一种基于Snort引擎的SQL注入检测方法。其具体实现方式与上述实施例中记载的实施方式、所达到的技术效果一致，部分内容不再赘述。
图3示出了本实施例提供的用于实现上述方法的程序产品300，其可以采用便携式紧凑盘只读存储器(CD-ROM)并包括程序代码，并可以在终端设备，例如个人电脑上运行。然而，本发明的程序产品300不限于此，在本文件中，可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。程序产品300可以采用一个或多个可读介质的任意组合。可读介质可以是可读信号介质或者可读存储介质。可读存储介质例如可以为但不限于电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。
计算机可读存储介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了可读程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。可读存储介质还可以是可读存储介质以外的任何可读介质，该可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。可读存储介质上包含的程序代码可以用任何适当的介质传输，包括但不限于无线、有线、光缆、RF等等，或者上述的任意合适的组合。可以以一种或多种程序设计语言的任意组合来编写用于执行本发明操作的程序代码，程序设计语言包括面向对象的程序设计语言诸如Java、C++等，还包括常规的过程式程序设计语言诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、作为一个独立的软件包执行、部分在用户计算设备上部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。在涉及远程计算设备的情形中，远程计算设备可以通过任意种类的网络，包括局域网(LAN)或广域网(WAN)，连接到用户计算设备，或者，可以连接到外部计算设备(例如利用因特网服务提供商来通过因特网连接)。
本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。
本申请是参照根据本申请实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
本领域普通技术人员可以理解实现上述事实和方法中的全部或部分步骤是可以通过程序来指令相关的硬件来完成，涉及的程序或者所述的程序可以存储于一计算机所可读取存储介质中，该程序在执行时，包括如下步骤：此时引出相应的方法步骤，所述的存储介质可以是ROM/RAM、磁碟、光盘等等。
以上所述的具体实施方式，对本发明的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上所述仅为本发明的具体实施方式而已，并不用于限定本发明的保护范围，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (9)

1.一种基于Snort引擎的SQL注入检测方法，其特征在于，包括以下步骤：
S1.采集服务器的疑似SQL注入流量和服务器业务正常流量，并分别生成疑似流量静态pcap包和正常流量静态pcap包；采用Burp Suite集成平台生成SQL注入恶意流量并生成恶意流量静态pcap包；
S2.在Snort引擎中配置初始SQL注入检测规则；并利用配置了初始SQL注入检测规则的Snort引擎读取正常流量静态pcap包和恶意流量静态pcap包；并利用所述初始SQL注入检测规则分别对正常流量静态pcap包和恶意流量静态pcap包进行规则命中；
S3.根据规则命中结果对初始SQL注入检测规则进行修改，生成复测SQL注入检测规则，在Snort引擎中利用所述复测SQL注入检测规则重新进行配置；
S4、利用配置了复测SQL注入检测规则的Snort引擎读取疑似流量静态pcap包，并利用复测SQL注入检测规则对疑似流量静态pcap包进行规则命中并记录相应告警数据，完成SQL注入检测。
2.根据权利要求1所述的一种基于Snort引擎的SQL注入检测方法，其特征在于，所述步骤S2中规则命中的具体过程为:
S21、通过初始SQL注入检测规则匹配恶意流量静态pcap包，根据每条SQL注入检测规则对应的sid字段将所有SQL注入检测规则排序整理形成第一匹配数据集；
S22、找到第一匹配数据集中未触发告警的SQL注入检测规则并生成未告警数据集，通过未告警数据集得到漏报率，如果漏报率大于0则进入步骤S25，漏报率为0则进入步骤S23；
S23、根据初始SQL注入检测规则匹配正常流量静态pcap包，根据每条SQL注入检测规则对应的sid字段将所有SQL注入检测规则排序整理形成第二匹配数据集；
S24、找到第二匹配数据集中触发告警的SQL注入检测规则并生成告警数据集，通过告警数据集得到误报率，如果误报率大于0则进入步骤S25；
S25、根据SQL注入类型构建初始规则修改脚本，将未告警数据集导入初始规则修改脚本中，对未告警规则进行数据匹配，在未告警规则中添加匹配因素；将告警规则数据集导入初始规则修改脚本中，对告警规则进行数据匹配，在告警规则中删除或修改匹配因素，匹配因素为SQL注入检测规则中Content字段通过关键字命中pcap包消息内容，Pcre字段通过正则表达式命中pcap包消息内容。
3.根据权利要求2所述的一种基于Snort引擎的SQL注入检测方法，其特征在于，S22中未告警数据集的生成过程为：
使用Snort引擎网络入侵检测模式的相关命令查看所有已触发告警的SQL注入检测规则sid，将第一匹配数据集中剩余未触发告警的SQL注入检测规则sid和相关规则内容整理形成未告警数据集；若未告警数据集中存在数据内容，则通过步骤S25对未告警规则进行修改。
4.根据权利要求2所述的一种基于Snort引擎的SQL注入检测方法，其特征在于，S24中生成告警数据集的过程为：
使用Snort引擎的网络入侵检测模式的相关命令查看所有已触发告警的SQL注入检测规则sid，并对所有已触发告警的SQL注入检测规则sid进行去重，将第二匹配数据集中所有触发告警的SQL注入检测规则sid和相关规则内容进行整理，形成告警数据集，若告警数据集存在数据内容，则通过步骤S25对告警规则进行修改。
5.根据权利要求2所述的一种基于Snort引擎的SQL注入检测方法，其特征在于，所述S25中初始规则修改脚本由python构建，构建过程为：
S251、使用re模块正则匹配，找到初始SQL注入检测规则中的Content字段内容和Pcre字段的内容并进行提取，得到初始规则内容；
S252、接着通过urllib模块对被编码的静态pcap包中的URL内容进行解码，得到解码内容；
S253、根据初始规则内容和解码内容得到初始规则修改脚本，将未告警数据集导入初始规则修改脚本中，提取出未告警数据集中的规则内容并根据恶意流量对初始规则内容进行关键字的添加；
S254、将告警数据集导入初始规则修改脚本中，提取出告警数据集中的规则内容并根据正常流量对初始规则内容进行关键字的修改或者删除。
6.根据权利要求1所述的一种基于Snort引擎的SQL注入检测方法，其特征在于，S1中使用Wireshark网络抓包工具或Linux系统的Tcpdump抓包工具对服务器的流量进行采集并生成对应的流量静态pcap包，将生成后的流量静态pcap包存储至Linux系统的Home文件夹中。
7.根据权利要求1所述的一种基于Snort引擎的SQL注入检测方法，其特征在于，步骤S1中通过Burp Suite集成平台的SQLmap插件生成SQL注入恶意流量。
8.根据权利要求1所述的一种基于Snort引擎的SQL注入检测方法，其特征在于，步骤S2中在Snort引擎中配置初始SQL注入检测规则，其中，Snort引擎搭建于Linux环境下，配置过程中需要在Snort配置文件中写入SQL注入检测规则文件的根目录。
9.根据权利要求1所述的一种基于Snort引擎的SQL注入检测方法，其特征在于，所述步骤S2中Snort引擎通过网络入侵检测模式的相关命令读取正常流量静态pcap包和恶意流量静态pcap包。
CN202111131110.8A 2021-09-26 2021-09-26 一种基于Snort引擎的SQL注入检测方法 Active CN113872965B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202111131110.8A CN113872965B (zh) 2021-09-26 2021-09-26 一种基于Snort引擎的SQL注入检测方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202111131110.8A CN113872965B (zh) 2021-09-26 2021-09-26 一种基于Snort引擎的SQL注入检测方法

Publications (2)

Publication Number Publication Date
CN113872965A true CN113872965A (zh) 2021-12-31
CN113872965B CN113872965B (zh) 2023-05-09

Family

ID=78990768

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202111131110.8A Active CN113872965B (zh) 2021-09-26 2021-09-26 一种基于Snort引擎的SQL注入检测方法

Country Status (1)

Country Link
CN (1) CN113872965B (zh)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115208682A (zh) * 2022-07-26 2022-10-18 上海欣诺通信技术股份有限公司 一种基于snort的高性能网络攻击特征检测方法及装置
CN115277224A (zh) * 2022-07-29 2022-11-01 北京天融信网络安全技术有限公司 确定应用防护规则的方法、装置、存储介质及电子设备
CN115484151A (zh) * 2022-09-23 2022-12-16 北京安天网络安全技术有限公司 基于复合事件处理的威胁检测方法及装置

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101459548A (zh) * 2007-12-14 2009-06-17 北京启明星辰信息技术股份有限公司 一种脚本注入攻击检测方法和系统
CN102831345A (zh) * 2012-07-30 2012-12-19 西北工业大学 Sql注入漏洞检测中的注入点提取方法
US20160337400A1 (en) * 2015-05-15 2016-11-17 Virsec Systems, Inc. Detection of sql injection attacks
CN111984970A (zh) * 2019-05-22 2020-11-24 深信服科技股份有限公司 一种sql注入检测方法、系统及电子设备和存储介质

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101459548A (zh) * 2007-12-14 2009-06-17 北京启明星辰信息技术股份有限公司 一种脚本注入攻击检测方法和系统
CN102831345A (zh) * 2012-07-30 2012-12-19 西北工业大学 Sql注入漏洞检测中的注入点提取方法
US20160337400A1 (en) * 2015-05-15 2016-11-17 Virsec Systems, Inc. Detection of sql injection attacks
CN111984970A (zh) * 2019-05-22 2020-11-24 深信服科技股份有限公司 一种sql注入检测方法、系统及电子设备和存储介质

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
刘明;高玉琢;: "一种基于Snort规则和神经网络的混合入侵检测模型" *

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115208682A (zh) * 2022-07-26 2022-10-18 上海欣诺通信技术股份有限公司 一种基于snort的高性能网络攻击特征检测方法及装置
CN115208682B (zh) * 2022-07-26 2023-12-12 上海欣诺通信技术股份有限公司 一种基于snort的高性能网络攻击特征检测方法及装置
CN115277224A (zh) * 2022-07-29 2022-11-01 北京天融信网络安全技术有限公司 确定应用防护规则的方法、装置、存储介质及电子设备
CN115484151A (zh) * 2022-09-23 2022-12-16 北京安天网络安全技术有限公司 基于复合事件处理的威胁检测方法及装置
CN115484151B (zh) * 2022-09-23 2023-11-21 北京安天网络安全技术有限公司 基于复合事件处理的威胁检测方法、装置、设备及介质

Also Published As

Publication number Publication date
CN113872965B (zh) 2023-05-09

Similar Documents

Publication Publication Date Title
CN113872965B (zh) 一种基于Snort引擎的SQL注入检测方法
US10382448B2 (en) Methods, systems and computer readable media for detecting command injection attacks
KR101811325B1 (ko) 네트워크 환경에서의 악성 스크립트 언어 코드의 검출
CN113660224B (zh) 基于网络漏洞扫描的态势感知防御方法、装置及系统
CN110225029B (zh) 注入攻击检测方法、装置、服务器及存储介质
CN107347057B (zh) 入侵检测方法、检测规则生成方法、装置及系统
CN103746992B (zh) 基于逆向的入侵检测系统及其方法
CN109347882B (zh) 网页木马监测方法、装置、设备及存储介质
CN110138731B (zh) 一种基于大数据的网络防攻击方法
CN112131577A (zh) 一种漏洞检测方法、装置、设备及计算机可读存储介质
CN113472772B (zh) 网络攻击的检测方法、装置、电子设备及存储介质
CN111800405A (zh) 检测方法及检测设备、存储介质
CN112422581B (zh) JVM中的Webshell网页检测方法、装置及设备
CN113190839A (zh) 一种基于SQL注入的web攻击防护方法及系统
KR101768079B1 (ko) 침입탐지 오탐 개선을 위한 시스템 및 방법
Yang et al. Ratscope: Recording and reconstructing missing rat semantic behaviors for forensic analysis on windows
CN113746781A (zh) 一种网络安全检测方法、装置、设备及可读存储介质
CN105260378A (zh) 数据库审计的方法和设备
CN113660222A (zh) 基于强制访问控制的态势感知防御方法及系统
KR101767591B1 (ko) 침입탐지 오탐 개선을 위한 시스템 및 방법
CN115348086B (zh) 一种攻击防护方法及装置、存储介质及电子设备
CN114024709A (zh) 防御方法、xss漏洞的查寻方法、流量检测设备及存储介质
Zhang et al. Design and implementation of a network based intrusion detection systems
KR101754964B1 (ko) 악성 행위 탐지 방법 및 시스템
KR101753846B1 (ko) 사용자 맞춤형 로그 타입을 생성하기 위한 방법, 시스템 및 컴퓨터 판독 가능한 기록 매체

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant