启明星辰天清ips的sql注入解决技术介绍

《启明星辰天清ips的sql注入解决技术介绍》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、启明星辰SQL注入解决技术启明星辰研发中心2007年05月报告提纲SQL注入现状分析SQL注入国内外研究现状启明星辰SQL注入检测方法(VSID)介绍同行业解决方法与VSID对比sql注入现状分析sql注入的定义及根源sql注入的危害sql注入的统计数据天清IPSVSsql注入攻击SQL注入的定义[English]TheabilitytoinjectSQLcommandsintothedatabaseenginethroughanexistingapplication[中文]利用现有应用程序，将(恶意)的SQL命令注入到后台数据库引擎执行的能力SQL注入漏

2、洞的根源后台数据库允许动态SQL语句的执行前端应用程序未对用户输入的数据或者页面中所携带的信息(如Cookie)进行必要的安全检查SQL注入的危害SQL注入攻击是威胁Web安全的三大攻击手段之一，存在SQL注入漏洞的Web站点被成功攻击之后，产生的后果将有可能是毁灭性即不可恢复的在不经授权的情况下操作数据库中的数据恶意篡改网页的内容私自添加操作系统帐号或数据库成员帐号网页挂马……SQL注入攻击的统计数据(Symantec)目前危害最大的Web应用安全是，包括SQL注入、跨站脚本攻击、恶意脚本等(数据来源：赛门铁克互联网安全威胁报告第九期：2006年3月）S

3、QL注入攻击的统计数据(CVE)CVE公布的仅限于通用应用程序的SQL注入安全漏洞，大量的专用Web应用程序并未被统计。SQL注入攻击的统计数据(OWASP)OWASPFoundation在2005年对客户进行调查分发现：有60%的客户存在SQL注入威胁基于Web的SQL注入攻击危害性最大拥有Internet访问权限的人都能够执行SQLIASQLIA可以穿透防火墙，轻松躲避现有IDS检测天清IPSVSsql注入攻击天清IPS可以做些什么？依托于完善的检测技术与有效的防御技术为基础的天清IPS产品，针对于SQL注入攻击进行了专门处理，使用自主研发的专利检测技

4、术对sql注入攻击进行准确检测，并在检测的基础上有效地进行阻断天清IPS的sql注入检测引擎的误报、漏报率都远远低于业界平均水平（专利技术）天清IPS在检测结果的技术上进行有效的阻断，以此实现对SQL注入攻击的有效防御天清IPSVSsql注入攻击Internet天清IPSFirewall企业内网WebServerDatabaseDesktopPort80防火墙无法抵御来自第七层的SQL注入IP碎片重组TCP流重组协议识别HTTP协议分析HTTP编码还原URLCookiePOSTFormSQL注入检测引擎发现攻击并报警报告提纲SQL注入现状分析SQL注入国内

5、外研究现状启明星辰SQL注入检测方法(VSID)介绍同行业解决方法与VSID对比sql注入国内外研究现状学术界研究情况产业界研究情况基于正常行为模型的AMNESIA基于数字签名技术的SQLRand基于Signature的关键字匹配技术基于异常检测技术的Web-FireWall基于正常行为模型的AMNESIA模型核心思想静态分析：1.找到源码中所有动态SQL语句的构造点2.为这些动态SQL语句建立自动机模型(Profiler)动态监控：程序运行时监控提交的SQL语句是否满足Profiler，如果满足则是正常的操作，否则，就认为发生了SQL注入攻击模型主要弱点

6、需要能够获得应用程序的源代码，并且需要修改源代码这是一种侵入性的模型(源代码补丁方式)AMNESIA的实现基于数字签名技术的SQLRand模型核心思想1.开始时，对源代码中包含动态SQL语句的模版中的关键字进行随机化编码处理，这些编码规则黑客无法预知2.运行时，对随机化编码之后的SQL命令进行解码，如果解码失败则表示遭受到了SQL注入攻击模型举例动态SQL命令模版:select*fromuserswherename=%name编码后动态SQL命令:select123*from123userswhere123name=‘Mike’OR1=1因为黑客注入的关键

7、字OR不在动态SQL命令模版中，所以不会被编码SQLRand的实现需要拥有源代码和修改源码一种侵入性的解决方案部署方式复杂模型主要弱点基于Signature的关键字匹配技术技术出发点1.抽取SQL注入过程中都会出现的特殊字符(例如:’–#等)作为检测SQL注入的依据2.抽取SQL注入过程经常会出现的SQL关键字(例如:’SELECT、UNION等)作为检测SQL注入的依据3.利用上述两步骤中提取的特征构建SQL注入特征库，通过传统的模式匹配的方式进行检测Snort举例alerttcp$EXTERNAL_NET any -> $HTTP_SERVERS$HT

8、TP_PORTS (msg:"SQLInjection Paran