基于程序分析的SQL注入防御系統(tǒng)的設(shè)計與實現(xiàn).pdf

1、隨著計算機技術(shù)和網(wǎng)絡(luò)技術(shù)的飛速發(fā)展,基于B/S模式的Web應用程序越來越普及。SQL注入攻擊是目前Web應用程序面臨的主要安全威脅之一,因此SQL注入攻擊防御技術(shù)與漏洞檢測技術(shù)的研究,對于加強Web應用程序的安全具有十分重要的意義。目前提出的一些防御SQL注入攻擊的方法主要有輸入過濾、滲透測試、異常檢測和指令集隨機化等。這些方法不能成功防范所有類型的SQL注入攻擊、而且部署復雜。近年來,程序分析技術(shù)在防御SQL注入方面的優(yōu)勢日漸突出,新

2、的研究成果不斷出現(xiàn)。然而以往的程序分析方法在設(shè)計和實現(xiàn)中存在著諸如靜態(tài)分析的可靠性和動態(tài)分析的精確性之間難以權(quán)衡和折衷處理的問題,而且有著較高的誤報率和漏報率。
　　 針對上述問題,本文提出了一種基于程序分析技術(shù)的SQl注入防御系統(tǒng)SQL Probe(Preventing SQL Injection Attacks Based on Program Analysis)。SQLProbe系統(tǒng)的特色在于:使用數(shù)據(jù)流跟蹤技術(shù)靜態(tài)跟蹤程

3、序運行過程中污點數(shù)據(jù)的傳播路徑,指出應用程序中可能存在的注入點;通過詞法分析和語法分析得到應用程序的抽象表示形式,然后在注入點根據(jù)有窮狀態(tài)自動機原理生成合法查詢語句的狀態(tài)模型;向被測程序中插入自動機模型,動態(tài)監(jiān)測程序運行過程中動態(tài)生成的SQL語句和相應污染數(shù)據(jù)入口點模型的匹配情況來發(fā)現(xiàn)安全漏洞;系統(tǒng)的實現(xiàn)針對Java的Web應用程序,不需要修改服務器以及數(shù)據(jù)庫平臺的配置,因而完全不影響應用服務器和數(shù)據(jù)庫服務器的正常功能,對系統(tǒng)的性能影響