对网站安全狗SQL注入防护缺陷的研究

本文主要研究了网站安全狗在SQL注入防护方面的缺陷。SQL注入是一种危害和普及率都非常大的攻击方式,而网站安全狗是国内Web应用防护系统(简称:WAF)中的佼佼者。通过对网站安全狗的WAF规则的研究,提出了利用注释符绕过SQL注入防护的方法。分别在My SQL、Mssql、Oracle以及Access等4种常用数据库的测试环境下,成功测试并验证了本文提出的绕过方法。在讨论了基于规则的Web应用防护系统基础上,介绍了一种新的基于行为异常的检测方式,这种方式可以更加精确的检测黑客的攻击。