基于网络爬虫技术的网页SQL注入漏洞检测方法

为提高网页结构化查询语言（Structured Query Language,SQL）注入漏洞检测精度和检测效率，引入网络爬出技术，开展对其检测方法的设计研究。引入了一种SQL注入漏洞扫描程序，可抓取网页，并计算页面相似度；检测时模拟SQL注入漏洞攻击，对网页SQL注入漏洞扩展过程建模；利用网络爬虫技术，检测SQL可注入点，并深度挖掘漏洞。通过对比实验证明，设计的检测方法正确检测数量较多，检测耗时较短，具备极高的应用价值。     

基于selenium的SQL注入漏洞检测方法

SQL注入漏洞是WEB应用程序中常见的高危漏洞,如何检测网站中存在的SQL注入漏洞是WEB安全的重要研究内容,目前的漏洞检测工具无法对需要登录的网站进行全面检测。本文对网络爬虫进行优化,结合selenium工具,实现SQL注入漏洞检测工具半自动的注册、登录和验证功能。通过使用构造的payload对注入点进行注入,根据返回数据判断该注入点是否存在SQL注入漏洞。最后经过对比试验数据证明,该方法在检测范围、漏洞检测数方面都有很大提高。     

网站漏洞扫描软件

论文首先分析了网站安全面临的严峻形势,指出设计网站漏洞扫描工具的必要性. 论文对系统所采用的网络爬虫技术、网站结构树的构建方法、以及SQL注入、XXS攻击、整数溢出、URL重定向、格式化字符串等常见漏洞类型的检测方法进行了分析与研究,为系统的成功实现提供了保证. 论文还描述了系统的架构和子模块的设计. 最后的测试结果表明该系统能够快速全面的检测常见类型漏洞,目前软件已交付使用.     

一个典型的Web安全评测工具的分析与改进

文章较全面地分析和总结了现有的Web漏洞挖掘技术及工具,以开源的Web漏洞扫描工具Paros Proxy为研究对象,对Paros Proxy的爬虫模块及检测模块进行深入研究和分析,进而对其进行改进。经测试,改进后的Paros爬虫模块支持JavaScript URLs的解析及爬行,可以提取到更多的网页链接,而改进后的检测模块,在漏洞检测性能及效率上也有明显提高。     

基于规则库和网络爬虫的漏洞检测技术研究与实现

Web技术是采用HTTP或HTTPS协议对外提供服务的应用程序,Web应用也逐渐成为软件开发的主流之一,但Web应用中存在的各种安全漏洞也逐渐暴露出来,如SQL注入、XSS漏洞,给人们带来巨大的经济损失.为解决Web网站安全问题,文章通过对Web常用漏洞如SQL注入和XSS的研究,提出了一种新的漏洞检测方法,一种基于漏洞规则库、使用网络爬虫检测SQL注入和XSS的技术.网络爬虫使用HTTP协议和URL链接来遍历获取网页信息,通过得到的网页链接,并逐步读取漏洞规则库里的规则,构造成可检测出漏洞的链接形式,自动对得到的网页链接发起GET请求以及POST请求,这个过程一直重复,直到规则库里的漏洞库全部读取构造完毕,然后继续使用网络爬虫和正则表达式获取网页信息,重复上述过程,这样便实现了检测SQL注入和XSS漏洞的目的.此方法丰富了Web漏洞检测的手段,增加了被检测网页的数量,同时涵盖了HTTP GET和HTTP POST两种请求方式,最后通过实验验证了利用此技术对Web网站进行安全检测的可行性,能够准确检测网站是否含有SQL注入和XSS漏洞.     

SQL盲注入快速攻击方法研究

为了给检测SQL注入漏洞提供理论依据和技术支持,通过对SQL注入攻击技术的研究和对SQL注入漏洞的本质特征的分析,提取了可动态配置内部参数的SQL攻击模板集,并以此模板集为基础,结合盲注入技术和多线程技术提出了一种SQL快速攻击方法,并建立了一套SQL盲注入快速攻击原型系统.系统利用SQL注入攻击模板集实施攻击行为,利用多线程技术提高系统攻击效率.实验结果表明,系统可以快速准确地实现攻击目的,获取后台数据库数据,可以很好地应用于检测Web应用程序存在的漏洞.     

基于改进网络爬虫技术的SQL注入漏洞检测*

网络爬虫在搜索引擎领域广泛使用,SQL注入漏洞检测属于Web服务和数据库安全的范畴。为了提高网站的安全性,及时、有效地发现网站存在的SQL注入漏洞,改进了现有的网络爬虫技术,应用到对网站SQL注入漏洞的检测中,丰富了检测的手段,降低了检测的漏报率。最后通过实验证明了该技术的可行性。     

基于Simhash的SQL注入漏洞检测技术研究

针对传统SQL注入漏洞检测方法准确率和效率无法达到很好平衡的问题,提出了一种基于Simhash文本相似性检测的SQL注入漏洞检测技术。使用特征值来进行网页间的比较,提高了检测的精度与效率,据此设计并实现了一个SQL注入漏洞检测原型系统。实验结果表明,该系统在检测SQL注入漏洞时兼具了准确性与高效性。     

Web应用SQL注入漏洞检测工具的设计与实现

由于Web应用系统的开发周期较短,同时开发人员安全编程意识不足,Web应用程序会存在漏洞。因此,检测Web应用系统的安全性是安全领域的亟待解决的问题。SQL注入漏洞检测工具模拟黑客攻击的方式,采用网络爬虫技术建立需检测的URL库,依据SQL注入模板精心构造URL,并从根据浏览器返回信息,判定是否存在SQL注入点。可以提前意识到Web应用存在的漏洞,并及时修补,降低系统受攻击的风险,是有效的Web安全防护手段。     

基于特征的电力信息系统注入漏洞检测方法

为对电力Web信息系统进行更为有效的SQL注入漏洞检测,提出一种基于特征的SQL注入漏洞自动化渗透测试方法.针对电力信息系统的安全特征,建立其渗透测试的特征矩阵FM(feature matrix)模型,基于启发式的特征筛选HFS(heuristic feature selection)算法构建精简的有效测试集合.实现一个原型系统,在模拟电力信息系统环境搭建的目标数据集上进行实验对比分析,结果表明,该方法能有效提高SQL注入漏洞检测的准确度和检测效率.     

基于Chopping的Web应用SQL注入漏洞检测方法

随着Web应用的不断普及,其安全问题越来越显突出,特别是SQL注入漏洞攻击,给用户的安全体验造成了巨大的威胁. 针对二阶SQL注入漏洞,本文提出了一种基于chopping技术的二阶SQL注入漏洞检测方法. 首先通过对待测应用程序进行chopping,获取到一阶SQL注入疑似路径;然后对一阶SQL注入疑似路径中的SQL语句进行分析,确定二阶SQL注入操作对,进而得到二阶SQL注入疑似路径;最后通过构造攻击向量并运行,确认二阶SQL注入疑似路径中漏洞是否实际存在. 实验结果表明,本方法能够有效地检测出二阶SQL注入漏洞.     

基于网页DOM树比对的SQL注入漏洞检测

针对传统SQL注入漏洞检测方法准确率不高的问题,提出一种基于网页文档对象模型(DOM)树比对结果的检测方法。通过简化基于节点序列的网页比对方法,减少节点比对次数,加快检测效率,并设计实现一个SQL注入漏洞检测原型系统。实验结果表明,该系统具有较高的SQL注入漏洞检测效率和准确率。     

基于B/S系统的SQL注入防御技术研究

随着互联网的发展,基于Web服务器语言和后台数据库模式的网站存在安全性问题,其中SQL注入数据库是最具威胁B/S系统漏洞的攻击。该文分析了SQL注入原理及特点,研究了预防SQL注入的攻击方法,针对B/S系统的特点,提出了字段检查、注入测试、服务器加固、绑定变量和禁止字符串拼接等SQL注入的防治手段,对预防SQL注入提供了有效的方法,增加了B/S系统的安全性。     

基于SQL语法树的SQL注入过滤方法研究

Web 应用的发展,使其涉及的领域也越来越广。随之而来的安全问题也越来越严重,尤其是 SQL注入攻击,给Web应用安全带来了巨大的挑战。针对SQL注入攻击,将基于SQL语法树比较的安全策略引入用户输入过滤的设计中,提出了一种新的SQL注入过滤方法。实验结果表明,该方法能够有效地防止SQL注入攻击,并有较高的拦截率和较低的误报率。     

面向电力信息系统日志数据的注入攻击特征提取方法

电力数据安全随着电力信息网与互联网的接入变得尤为严峻,其数据与规模愈加庞大复杂。为了对其进行有效的安全分析及特征提取,提出一种基于特征提取的SQL注入攻击检测模型。从Web访问日志中提取SQL注入语法特征和行为特征,得到语法特征矩阵和行为特征矩阵数据集。以漏报率和误报率为评价指标,选取K-means、Naive Bayes、SVM和RF算法分别在两类数据集上实验。实验结果表明,与以语法特征矩阵作为数据集相比,行为特征矩阵在SQL注入攻击检测中具有更好的效果。此外SVM和RF检测效果较好,具有较低的漏报率和误报率,该方法能有效检测出SQL注入攻击。