SQL注入攻击技术及防范措施研究

摘要

由于各种Web服务器的漏洞与程序的非严密性，导致针对Web服务器的脚本攻击事件日益增多，其大多是通过ASP或PHP等脚本注入作为主要的攻击手段，加之Web站点迅速膨胀的今天，基于两者的SQL注入也慢慢成为目前攻击的主流方式。其应用方式主要集中利用服务端口接收用户输入的功能，将构造的语句传给数据库服务器，让其执行开发者规定外的任务。 目前至少有70％以上的Web站点存在着SQL注入的缺陷，恶意用户便可以利用服务器、数据库配置的疏漏和精心构造的非法语句通过程序或脚本侵入服务器获得网站管理员的权限和数据库的相关内容，严重的还可以获得整个服务器所在内网的系统信息，它们的存在不仅对数据库信息造成威胁，甚至还可以威胁到系统和用户本身。 本文正是针对这些安全关注点对两大平台 (MySQL + PHP +Apache、SQL Server + ASP + IIS) 系统进行多种注入攻击技术的实验分析，并同时提出几种全新的注入技巧。分析结构章节从三方面展开，内容主要包括攻击准备阶段的嗅探、扫描方式，攻击实施阶段的猜解、时间延迟函数、数据库表应用和后期处理阶段的网络后门等技术分析。 其次，本文结合当前各种注入攻击技术的原理和特征，设计、实现了一套基于PHP脚本语言的SQL注入攻击系统PHPSI，并对其功能模块结构与技术进行了详细的分析。 文章最后在深入研究攻击原理后，对当前SQL注入防范手段做了一定的改进，并同时提出了几种相对有效的防范技术与理论模型：基于编码的防范技术、独立于Web服务器的注入攻击防范模型和基于状态集的动态注入攻击防范模型。