版權說明:本文檔由用戶提供并上傳,收益歸屬內(nèi)容提供方,若內(nèi)容存在侵權,請進行舉報或認領
文檔簡介
1、隨著互聯(lián)網(wǎng)技術的快速發(fā)展,基于數(shù)據(jù)庫的Web應用程序己經(jīng)廣泛應用于企業(yè)的各種業(yè)務系統(tǒng)中。然而由于人為和技術等因素限制,使得Web應用程序存在大量安全隱患。在影響Web應用程序安全的諸多因素中,SQL(Structured Query Language,SQL)注入攻擊是最常見且危害最廣的攻擊,因此,如何有效的防御SQL注入攻擊成為保證Web應用程序安全性的關鍵。
近幾年來,對于SQL注入攻擊防御的研究已經(jīng)取得一些進展,但現(xiàn)有的
2、SQL注入攻擊防御措施仍存在局限性。首先,用戶輸入過濾措施存在對正常數(shù)據(jù)的誤報問題和對惡意數(shù)據(jù)的漏報問題。用戶輸入過濾措施對所有的數(shù)據(jù)采用相同的方法進行過濾,而且不允許數(shù)據(jù)中包含SQL關鍵字,但是以Post方式提交到服務端的數(shù)據(jù)允許包含關鍵字,這就造成了對正常數(shù)據(jù)的誤報問題。用戶輸入過濾措施采用的過濾方法,只能過濾常見的SQL注入攻擊,無法過濾未知攻擊或著多變的攻擊,這就造成了對惡意數(shù)據(jù)的漏報問題。其次,語法結(jié)構比較措施存在檢測效率低的
3、問題。語法結(jié)構比較措施通過在Web應用程序的后臺數(shù)據(jù)庫中維持一個SQL語句主文件(SQLMF)來和Web應用程序運行時動態(tài)產(chǎn)生的SQL語句進行比較,檢測是否發(fā)生SQL注入攻擊,當SQLMF中SQL語句的數(shù)量比較大時,會使得匹配的效率降低,匹配檢測需要兩個過程,因此匹配檢測過程也是比較繁瑣的。本文對SQL注入攻擊防御中存在的上述問題進行了研究,主要工作如下:
?。?)針對用戶輸入過濾措施存在對正常數(shù)據(jù)的誤報問題,提出一種基于Htt
4、p請求分類的用戶輸入過濾措施,該措施對通過Post方式提交的數(shù)據(jù)采取基于規(guī)則的方法進行過濾,對通過Get方式提交的數(shù)據(jù)先采取基于關鍵字的方法進行過濾,然后采用基于規(guī)則的方法過濾,從而避免了誤報問題。而針對用戶輸入過濾措施存在對惡意數(shù)據(jù)的漏報問題,只要增加語法結(jié)構比較措施即可,因為語法結(jié)構比較措施可以從語法結(jié)構的角度預防未知攻擊或著多變的攻擊。
?。?)針對語法結(jié)構比較措施存在檢測效率低的問題,提出一種基于參數(shù)化分類的動態(tài)查詢匹配
5、措施,首先把主文件SQL語句中的用戶輸入采用參數(shù)占位符替換,然后根據(jù)SQL語句操作類型不同,可以把原主文件劃分為多個新的主文件,這樣主文件的大小得到了降低,而且匹配檢測階段也進行了簡化,只進行精確匹配檢測,不需要模糊匹配檢測,從而提高了檢測效率。
(3)基于以上兩種措施,提出一種基于分類的SQL注入攻擊雙層防御模型。該模型包括輸入過濾模塊和語法比較模塊,并以J2EE平臺的Web應用程序為防御的對象。本模型利用Filter程序?qū)?/p>
溫馨提示
- 1. 本站所有資源如無特殊說明,都需要本地電腦安裝OFFICE2007和PDF閱讀器。圖紙軟件為CAD,CAXA,PROE,UG,SolidWorks等.壓縮文件請下載最新的WinRAR軟件解壓。
- 2. 本站的文檔不包含任何第三方提供的附件圖紙等,如果需要附件,請聯(lián)系上傳者。文件的所有權益歸上傳用戶所有。
- 3. 本站RAR壓縮包中若帶圖紙,網(wǎng)頁內(nèi)容里面會有圖紙預覽,若沒有圖紙預覽就沒有圖紙。
- 4. 未經(jīng)權益所有人同意不得將文件中的內(nèi)容挪作商業(yè)或盈利用途。
- 5. 眾賞文庫僅提供信息存儲空間,僅對用戶上傳內(nèi)容的表現(xiàn)方式做保護處理,對用戶上傳分享的文檔內(nèi)容本身不做任何修改或編輯,并不能對任何下載內(nèi)容負責。
- 6. 下載文件中如有侵權或不適當內(nèi)容,請與我們聯(lián)系,我們立即糾正。
- 7. 本站不保證下載資源的準確性、安全性和完整性, 同時也不承擔用戶因使用這些下載資源對自己和他人造成任何形式的傷害或損失。
最新文檔
- 雙層防御SQL注入攻擊的方法.pdf
- sql注入攻擊及在java web應用中的防御方法研究
- sql注入攻擊分析及防范論文
- SQL注入攻擊技術及防范措施研究.pdf
- 基于Web應用的SQL注入攻擊入侵檢測研究.pdf
- 遠程滲透測試中的SQL注入攻擊技術研究.pdf
- 多功能SQL注入檢測系統(tǒng)的實現(xiàn)及攻擊防范方法研究.pdf
- Oracle數(shù)據(jù)庫的注入攻擊和防御研究.pdf
- 針對AES的時鐘錯誤注入攻擊和防御對策研究.pdf
- 基于代理服務器的SQL注入攻擊檢測.pdf
- 針對SQL注射攻擊的一種集成防御策略.pdf
- 基于HMM的SQL注入攻擊威脅評估系統(tǒng)的研究與實現(xiàn).pdf
- 基于程序分析的SQL注入防御系統(tǒng)的設計與實現(xiàn).pdf
- SQL注入漏洞檢測研究.pdf
- 防SQL注入攻擊中間件的設計與實現(xiàn).pdf
- 一種自動SQL注入攻擊檢測與利用系統(tǒng)的研究實現(xiàn).pdf
- sql注入漏洞wasc
- 一種自動sql注入攻擊檢測與利用系統(tǒng)的研究實現(xiàn)(1)
- 網(wǎng)絡攻擊防御對策研究.pdf
- SQL注入檢測技術研究.pdf
評論
0/150
提交評論