基于AOP与SQL结构分析的SQLIAs动态检测及防御

SQL注入攻击(SQLIAs)是一种危险且有效的基于Web的攻击方式。任何形式的SQLIAs最终都会改变原有SQL语句的逻辑结构,针对该攻击特征,提出一种基于AOP与SQL语句结构分析的SQLIAs动态检测及防御方法,在SQLIAs产生根源对其进行防御。借助代码静态分析工具自动获取SQL注入点位置、Signature信息以及静态SQL语句模型,使用AOP技术在程序执行过程中动态捕获需要被执行的SQL语句,将静态分析得到的信息与动态获取的信息进行比较,判断是否存在SQLIAs。通过简单的用户登录功能验证该方法的有效性,实验结果表明,该方法能有效检测和防御SQLIAs。

基于SQL注入攻击检测综述

SQL注入攻击(SQL Injection Attack,SQLIA)是对Web安全产生严重危害的网络入侵方式之一。SQL注入语法简单、入侵收益大,攻击范围甚至可以从云系统到物联网设备中的任何基础设施,这使得SQLIA成为了十大Web威胁报告(OWASP)中最受欢迎的入侵方式。如何有效检测出Web应用中的SQLIA受到研究者的广泛关注。通过对相关文献的调研发现,对SQLIA的检测分为传统检测方法和机器学习检测方法,并进行了简要介绍。在传统检测方法中,针对检测过程是否存在多阶段检测,首次分为一阶段SQLIA检测和两阶段SQLIA检测。在机器学习检测方法中,分为传统机器学习检测方法和深度学习检测方法。把传统的机器学习检测方法分为单一机器学习和集成学习检测方法,深度学习的检测方法分为单一深度学习和算法融合的检测方法。分别从数据集、鲁棒性评估以及模型可解释性等方面提出了对未来SQLIA检测所需考虑的问题并做出了展望。

SQL注入攻击本质研究及现有防范技术缺陷分析

绝大多数的数据库和Web应用安全问题是由于用户的错误输入导致的。分析了当今广泛采用的众多技术,如过滤技术和静态分析技术,在SQLIA防范中存在弱点和缺陷,指出必须解决由Web系统动态构造SQL语句的非结构化所带来的语义鸿沟问题,才能根除SQLIA的结论。

防SQL注入攻击的数据库驱动设计与实现

为了预防网络应用程序中的SQL注入攻击,提出了防SQL注入攻击的数据库驱动DDriver的设计方法。通过在应用程序和它下面的关系数据库管理系统之间放置一个安全的数据库驱动来检测SQL注入攻击。该驱动器根据预设的查询语句ID来判断SQL语句是否合法,不依赖应用程序和关系数据库,适用于任何系统。通过实现数据库驱动DDriver,并在两个关系数据库管理系统中测试其性能以及处理时间上的额外开销,验证了DDriver在防SQL注入攻击中的准确性及有效性。

SQLI和XSS漏洞检测与防御技术研究

文章针对Web安全漏洞中的SQLI和XSS漏洞,介绍了针对这两种漏洞的防御技术,并提出了一种新型的入侵检测系统。该系统采用Curl类库和Web请求,通过API接口分析和检测来自Web应用程序的交互,利用IDS服务器检测应用程序检测攻击行为,存储入侵记录。该技术最大的优势是跨平台性,可应用于多种Web应用程序。

Web应用中SQL注入攻击研究

SQL注入攻击是一种利用客户端用户提交数据构成查询语句而没有对潜在有害字符进行处理就在Web应用后台数据库中执行,从而产生与应用预期不同结果的一种攻击手段。在Internet或企业内部网络中,对Web应用中进行SQL注入攻击大量存在。这种攻击手段很容易被攻击者利用,但是只要对Web应用采取合理的安全防护措施就可以阻止SQL注入的发生或减少攻击造成的损失。

基于标识的SQL注入攻击防御方法

注入式漏洞已成为Web应用程序的首要安全风险,而由于SQL注入漏洞的广泛流行和Web应用程序数据库所包含的各种重要内容对攻击者的高吸引力,使得SQL注入攻击也成为了近年来最流行的入侵方式。基于标识的SQL注入攻击防御系统通过将处理后的SQL查询语句与对应的调用方法的堆栈地址相结合,生成对应的唯一标识符,并通过该标识符来判定SQL查询语句的合法性,将恶意SQL查询与合法SQL查询区分开来,有效保证了对大多数SQL注入攻击的防御。