基于SQL语法树的SQL注入过滤方法研究

Web 应用的发展,使其涉及的领域也越来越广。随之而来的安全问题也越来越严重,尤其是 SQL注入攻击,给Web应用安全带来了巨大的挑战。针对SQL注入攻击,将基于SQL语法树比较的安全策略引入用户输入过滤的设计中,提出了一种新的SQL注入过滤方法。实验结果表明,该方法能够有效地防止SQL注入攻击,并有较高的拦截率和较低的误报率。     

浅议SQL注入攻击原理及其防范措施

由于编程者对用户输入不作检查验证再加上Web应用程序存在漏洞,是导致SQL注入攻击的主要原因。文章着重讨论了SQL注入攻击的原理、特点和攻击方法,并结合ASP．NET特性从多个角度探讨了防止SQL注入攻击的安全措施。从而更好地维护网站数据的安全。     

二阶SQL注入攻击防御模型

随着互联网技术的快速发展,Web应用程序的使用也日趋广泛,其中基于数据库的Web应用程序己经广泛用于企业的各种业务系统中。然而由于开发人员水平和经验参差不齐,使得Web应用程序存在大量安全隐患。影响Web应用程序安全的因素有很多,其中SQL注入攻击是最常见且最易于实施的攻击,且SQL注入攻击被认为是危害最广的。因此,做好SQL注入攻击的防范工作对于保证Web应用程序的安全十分关键,如何更有效地防御SQL注入攻击成为重要的研究课题。SQL注入攻击利用结构化查询语言的语法进行攻击。传统的SQL注入攻击防御模型是从用户输入过滤和SQL语句语法比较的角度进行防御,当数据库中的恶意数据被拼接到动态SQL语句时,就会导致二阶SQL注入攻击。文章在前人研究的基础上提出了一种基于改进参数化的二阶SQL注入攻击防御模型。该模型主要包括输入过滤模块、索引替换模块、语法比较模块和参数化替换模块。实验表明,该模型对于二阶SQL注入攻击具有很好的防御能力。     

基于隐马尔可夫模型的SQL注入攻击行为检测

为分析恶意用户对Web系统的攻击行为,提出基于隐马尔可夫模型(Hidden Markov Model, HMM)的SQL注入攻击检测方法。利用HMM模型对隐状态的描述能力完善Web用户行为模型,该方法能够基于自定义日志做出SQL注入的预测而无须捕捉用户提交的敏感信息,采用概率分析和偏离度分析的方法,得到用户SQL注入可能性的综合评价,从而发现潜在威胁,提升对目标Web应用的攻击检测能力。此外采用K-means和FCM两种方法对比实验,验证了所提出的方法在Web系统SQL注入攻击检测中的有效性。     

SQL注入攻击及其防范检测技术的研究

伴随信息技术的发展,网络的应用日益广泛,由于网络风险的无处不在,人们对网络安全的重视程度也越来越高。目前,针对Web应用系统的攻击已成为网络安全攻防新焦点,而在Web应用系统的所有攻击中,SQL注入攻击则成为Web应用系统的严重安全隐患。为了给网络用户提供一个安全的网络环境,我们有必要对SQL注入攻击进行了解,并积极做好防范准备。     

基于Django的用户唯一性安全登录系统设计

随着网络技术的快速发展,用户在登录Web应用系统中会遇到各种问题。针对用户在登录后被他人在其他浏览器再次登录同一个账号而引起退出的问题和登录中的SQL注入问题,采用Django的Web应用框架设计session唯一性登录模块、输入数据合法性检测和对象关系映射(Object Relational Mapping,ORM)查询数据库模块等相互组合,实现了一个基于Django的用户唯一性安全登录系统。该系统稳定运行后,能够满足用户唯一性登录的需求,具有防护SQL注入攻击的功能。     

大规模Web应用的SQL注入攻击威胁检测研究

Web应用程序运行中容易受到SQL常规注入、二阶注入或盲注攻击影响，带来Web系统数据、用户隐私或敏感数据的安全威胁。为降低SQL注入对系统漏洞攻击影响，提出一种用于Web应用程序、服务器端的模糊测试漏洞检测技术，建立了模糊测试的SQL注入漏洞检测模型框架，使用漏洞检测框架的信息收集模块、模糊检测模块，按照关键字编码、大小写混合编码、结构化查询(Structured Query Language, SQL)语句注释、重组绕过等检测流程完成0级、1级、2级漏洞的参数查询和分级检测。最后利用ASP.NET、Microsoft Visual Studio、IIS服务器等软硬件搭建实验环境，对基于模糊测试技术SQL注入漏洞检测模型进行实验论证，仿真实验结果得出：基于模糊测试法的SQL注入漏洞检测模型，相比于程序切片(chopping)技术的Web应用源代码SQL注入攻击检测方法而言，在不同分级漏洞检测中的确认、检测效果更优（达到90%以上）。     

SQL注入攻击及其防御策略分析

随着互联网Web应用的飞速发展,黑客攻击的手段也在不断翻新,各种新的攻击技术层出不穷。SQL注入攻击是黑客对Web应用进行攻击的常用手段之一。以ASP和SQL Server为例详细阐述了SQL注入攻击的基本原理和过程,并从Web应用生命周期的各个环节出发,综合探讨防御SQL注入攻击的有效方法和策略。     

基于SQL注入的Web数据安全防范与优化

SQL注入利用数据库系统的安全漏洞,以及程序中的验证漏洞,构造合适的SQL语句,并通过正常的URL访问进行代码提交,获取数据库中的相关信息,从而实现网站攻击的目的。加强用户提交数据的合法性验证,是防止SQL注入的基本方法。而改善ASP中的Request函数,使其具有对一切用户数据进行合法验证的能力,是SQL注入威胁下,Web数据安全防范方法的最佳优化。     

基于SQL注入的Web数据安全防范与优化

SQL注入利用数据库系统的安全漏洞,以及程序中的验证漏洞,构造合适的SQL语句,并通过正常的URL访问进行代码提交,获取数据库中的相关信息,从而实现网站攻击的目的。加强用户提交数据的合法性验证,是防止SQL注入的基本方法。而改善ASP中的Request函数,使其具有对一切用户数据进行合法验证的能力,是SQL注入威胁下,Web数据安全防范方法的最佳优化。     

基于代理模式的SQL注入过滤方法

针对Web安全中的SQL注入问题,提出了一种新的SQL注入过滤方法——LFS （length-frequency-SQL syntax tree）过滤方法. LFS方法包括学习和过滤两个阶段,其中,学习阶段在安全的环境下,通过爬虫和数据库代理构建URL和SQL语句映射表;过滤阶段通过对URL长度、访问频率及SQL语法树这三个方面进行检测,以此实现对用户输入进行过滤,防止SQL注入攻击. 仿真实验及结果分析表明LFS方法相较于传统的关键字过滤和正则表达式过滤能够更有效的防止SQL注入攻击.     

一种新的反SQL注入策略的研究与实现

SQL注入是一种常用的且易于实施的攻击手段,对网络应用程序的安全构成严重威胁。本文提出并实现了一种新的反SQL注入策略:SQL语法预分析策略。该策略首先将SQL注入分类,并抽象出各类注入的语法结构;然后将用户输入预先组装成完整的SQL语句,对该语句进行语法分析,如果发现具有SQL注入特征的语法结构,则判定为SQL注入攻击。策略的实现不需要修改已有的应用程序代码,也不需要修改任何服务器平台软件。实验表明,新的策略具有极好的SQL注入识别能力,并成功地避免了传统的特征字符串匹配策略固有的高识别率和低误判率之间的矛盾。     

基于序列比对的SQL注入攻击检测方法*

SQL注入攻击已经严重影响了网络应用的安全,因为它可以使攻击者不受限制地访问数据库中的敏感信息。为此,提出了一种新的基于序列比对的方法进行SQL注入攻击检测,并给出了序列比对算法的实施过程和基于该算法的检测方法;最后对该方法的正确性和性能进行了分析和测试。实验结果表明,本方法是简单有效的。     

基于LD算法的SQL注入攻击过滤方法研究

如何有效过滤SQL注入攻击是当前Web安全领域亟需解决的关键问题之一。结合关键字过滤与序列比对过滤技术,提出一种基于LD算法的SQL注入攻击过滤（SQLIAF）方法。首先利用黑名单技术,从IP角度对非法用户进行过滤,进而缩小用于过滤的流量规模。其次对用户输入进行关键字检测：若不含关键字,利用LD算法序列比对的方法对非法输入进行过滤;若包含关键字则区分用户请求方式,采用直接加入黑名单的方式或利用LD算法进行处理,以解决传统关键字过滤方法对正常请求的误报问题。实验结果表明,与传统关键字过滤方法和规则匹配过滤方法相比,该方法能有效过滤SQL注入攻击,且误报率及漏报率更低、过滤速度更快。     

SQL注入攻击防御策略的研究

SQL注入攻击是Web应用中最常见的攻击,本文通过分析SQL注入攻击的原理,针对不同的攻击方法和不同的安全需求灵活使用多种防御策略堵住漏洞,如通过过滤或转义危险字符、使用正则表达式、使用URL重写技术等方法减少Web应用的风险。     

基于Hash锁的RFID SQL注入攻击防御方法

传统的SQL注入攻击技术被攻击者用于攻击RFID系统,使后台数据库中的用户数据处于不安全状态。文章分析了使用SQL注入攻击RFID后端数据库的实施过程,针对这一安全问题提出了基于Hash锁的防SQL注入方法,并进行了模拟实验,该方法可以有效地防御RFIDSQL注入攻击。