大规模Web应用的SQL注入攻击威胁检测研究

Web应用程序运行中容易受到SQL常规注入、二阶注入或盲注攻击影响，带来Web系统数据、用户隐私或敏感数据的安全威胁。为降低SQL注入对系统漏洞攻击影响，提出一种用于Web应用程序、服务器端的模糊测试漏洞检测技术，建立了模糊测试的SQL注入漏洞检测模型框架，使用漏洞检测框架的信息收集模块、模糊检测模块，按照关键字编码、大小写混合编码、结构化查询(Structured Query Language, SQL)语句注释、重组绕过等检测流程完成0级、1级、2级漏洞的参数查询和分级检测。最后利用ASP.NET、Microsoft Visual Studio、IIS服务器等软硬件搭建实验环境，对基于模糊测试技术SQL注入漏洞检测模型进行实验论证，仿真实验结果得出：基于模糊测试法的SQL注入漏洞检测模型，相比于程序切片(chopping)技术的Web应用源代码SQL注入攻击检测方法而言，在不同分级漏洞检测中的确认、检测效果更优（达到90%以上）。