數(shù)據(jù)庫系統(tǒng)攻擊和防御技術的研究與實現(xiàn).pdf

1、信息戰(zhàn)是軍隊新時期的一種重要作戰(zhàn)手段。作為信息戰(zhàn)中的重要目標-一數(shù)據(jù)庫系統(tǒng)，擔負著大量的信息處理任務，是奪取信息戰(zhàn)勝利至關重要的一個環(huán)節(jié)。因此，研究數(shù)據(jù)庫安全檢測技術，利用各種攻擊測試技術發(fā)現(xiàn)數(shù)據(jù)庫系統(tǒng)的安全問題，對于滲透敵方信息系統(tǒng)以及保護己方信息系統(tǒng)的安全具有非常重要的意義。 SQL注入和TDS協(xié)議安全性分析是兩種重要的數(shù)據(jù)庫安全測試技術，是本論文研究的重點。SQL注入具有高風險性、廣泛性和頻發(fā)性，是近年來非常流行的攻擊方式

2、，因此SQL注入的安全檢測成為保證數(shù)據(jù)庫安全的非常關鍵的測試環(huán)節(jié)。本文在深入研究SQL注入技術的基礎上，總結出操作SQL語句、代碼注入、函數(shù)注入、緩沖區(qū)溢出四種注入方式，并在注入點檢測和數(shù)據(jù)猜解上作了改進，提高了注入的準確性和效率。 利用TDS網(wǎng)絡協(xié)議對數(shù)據(jù)庫進行安全測試是另一種非常重要的安全測試技術，也是漏洞發(fā)現(xiàn)和安全測試的發(fā)展方向和趨勢。本文利用基于塊的協(xié)議分析方法對TDS協(xié)議作了安全測試，提出了數(shù)據(jù)轉變、字符串、字段組合三

3、種測試方法；對TDS協(xié)議結構和字段進行了深入測試分析，在測試字符串的選擇、測試方法、測試字符串長度的設定等方面作了精心的設計，使測試在可用性、靈活性等方面具有較好的效果。 本文實現(xiàn)了基于SQL注入和TDS協(xié)議分析測試的原型系統(tǒng)DBDetective并對其進行了測試。通過對動網(wǎng)論壇的測試和對SQLServer數(shù)據(jù)庫的MS02-056和MS02-039兩個重要漏洞的還原，驗證了原型系統(tǒng)的可用性和有效性。 本文的研究成果對于保