用于SQL注入检测语句块摘要树模型.docVIP

用于SQL注入检测语句块摘要树模型 　　【 摘 要 】 SQL注入具有危害性大而实施简单的特点，目前已经成为危害网络信息安全的主要攻击方法之一。本文提出一个用于SQL注入检测的语句块摘要树模型，定义抽象SQL语句、语句块和反映应用系统功能的语句块摘要树，给出该树的生成算法和基于该树的SQL注入检测算法，将检测纳入到应用系统执行的SQL语句序列上下文中，提高了检测的准确性，降低了误报率。实验表明，基于语句块摘要树模型实现SQL注入检测的中间件对系统性能影响很小，说明了模型的有效性和可行性。 　　【 关键词 】 SQL注入；抽象SQL语句；语句块摘要树 　　 　　Statement Block Digest Tree Model for SQL Injection Detection 　　 　　Huang Bao-hua Ma Yan Xie Tong-yi 　　( College of Computer Electronics Information, Guangxi University GuangxiNanning 530004 ) 　　 　　【 Abstract 】 For its big harm and easiness of carrying out, SQL Injection is now a main attacking method hurting the network and information security. This paper proposes a statement block digest tree model for SQL injection detection. This model defines abstract SQL statement, SQL statement block and its digest tree in accordance with the function of application， and presents algorithms generating the tree and detecting SQL injection based on the tree. By putting detection on the context of executing SQL statement sequence of application, this model increases the veracity and decreases the mistake rate of detection. Experiments show that the SQL injection detection middleware implemented the model only makes little affect on the performance of system, and imply that the model is efficient and feasible. 　　【 Keywords 】 SQL Injection; Abstract SQL Statement; Statement Block Digest Tree 　　 　　0 引言 　　动态Web具有交互性好和能够动态更新等优点，目前已经成为Web站点的主要实现方式。为实现良好的交互性和动态性，Web站点一般用数据库存储相关动态内容，并允许用户交互输入访问和检索条件。Web应用程序中如果对用户输入的内容不做精心处理就提交给DBMS（Database Management System），就可能使DBMS执行攻击者精心构造的恶意代码，遭受SQL注入攻击。 　　SQL注入攻击轻则导致数据库中敏感信息泄漏，重则可能导致DBMS服务器所在主机被控制，危害性很大。因此，SQL注入检测在信息安全中具有非常重要的意义，受到了业界的高度重视。 　　1 SQL注入及其检测概述 　　1.1 SQL注入原理 　　使用DBMS的动态Web应用系统架构如图1所示。用户通过浏览器（Browser）输入的内容经过Web服务器处理后成为SQL语句，然后提交给DBMS执行。 　　比如系统有一登录功能页面，主要代码如图2所示。设系统中有一用户，用户名：bob，口令：6XmrT1eq。正常情况下，bob可以在username和password框中输入自己的用户名和口令登入系统，即Web服务器生成SQL语句select * from login where username =‘bob’ and password = ‘6XmrT1eq’提交给DBMS执行并可以返回结果。 　　攻击