基于程序分析的SQL注入防御系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn).pdf

1、隨著計(jì)算機(jī)技術(shù)和網(wǎng)絡(luò)技術(shù)的飛速發(fā)展,基于B/S模式的Web應(yīng)用程序越來越普及。SQL注入攻擊是目前Web應(yīng)用程序面臨的主要安全威脅之一,因此SQL注入攻擊防御技術(shù)與漏洞檢測(cè)技術(shù)的研究,對(duì)于加強(qiáng)Web應(yīng)用程序的安全具有十分重要的意義。目前提出的一些防御SQL注入攻擊的方法主要有輸入過濾、滲透測(cè)試、異常檢測(cè)和指令集隨機(jī)化等。這些方法不能成功防范所有類型的SQL注入攻擊、而且部署復(fù)雜。近年來,程序分析技術(shù)在防御SQL注入方面的優(yōu)勢(shì)日漸突出,新

2、的研究成果不斷出現(xiàn)。然而以往的程序分析方法在設(shè)計(jì)和實(shí)現(xiàn)中存在著諸如靜態(tài)分析的可靠性和動(dòng)態(tài)分析的精確性之間難以權(quán)衡和折衷處理的問題,而且有著較高的誤報(bào)率和漏報(bào)率。
　　 針對(duì)上述問題,本文提出了一種基于程序分析技術(shù)的SQl注入防御系統(tǒng)SQL Probe(Preventing SQL Injection Attacks Based on Program Analysis)。SQLProbe系統(tǒng)的特色在于:使用數(shù)據(jù)流跟蹤技術(shù)靜態(tài)跟蹤程

3、序運(yùn)行過程中污點(diǎn)數(shù)據(jù)的傳播路徑,指出應(yīng)用程序中可能存在的注入點(diǎn);通過詞法分析和語法分析得到應(yīng)用程序的抽象表示形式,然后在注入點(diǎn)根據(jù)有窮狀態(tài)自動(dòng)機(jī)原理生成合法查詢語句的狀態(tài)模型;向被測(cè)程序中插入自動(dòng)機(jī)模型,動(dòng)態(tài)監(jiān)測(cè)程序運(yùn)行過程中動(dòng)態(tài)生成的SQL語句和相應(yīng)污染數(shù)據(jù)入口點(diǎn)模型的匹配情況來發(fā)現(xiàn)安全漏洞;系統(tǒng)的實(shí)現(xiàn)針對(duì)Java的Web應(yīng)用程序,不需要修改服務(wù)器以及數(shù)據(jù)庫(kù)平臺(tái)的配置,因而完全不影響應(yīng)用服務(wù)器和數(shù)據(jù)庫(kù)服務(wù)器的正常功能,對(duì)系統(tǒng)的性能影響