基于可信任源着色机制防御SQL注入攻击的研究

《基于可信任源着色机制防御SQL注入攻击的研究》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、基于可信任源着色机制防御SQL注入攻击的研究作者I指导教师：吉毅口飘郑滔教授南京大学研究生毕业论文(申请工学硕士学位)南京大学软件学院2010年3月ResearchonSQLInjectionAttackPreventionbasedTrustedInputColoringMechanismJIYiSubmittedinpartialfulfillmentoftherequirementsforthedegreeofMasterofEngineeringSupervisedbyProfessorZHENGTaoSoftwareInstituteNANJINGUNIVERSITYNanjin

2、g，ChinaMarch，2010南京大学硕士论文摘要摘要现今，Web应用程序以其成本低、功能易实现、维护简单等特点，得到了广泛的应用。从简单的计数器到企业管理信息系统，无处不见其身影。但与此同时，也引发了黑客对Web应用攻击的热潮。SQL注入攻击即是其中最严重的威胁之一。基于外部输入，攻击者通过注入SQL关键字，改变应用开发者原有查询意图，以达到提取数据库中敏感信息等目的。对SQL注入攻击的注入机制、攻击方式进行介绍，简单分析了目前主流的SQL注入检测与防御技术，指出了其防御缺陷。如何简单有效完整地防御SQL注入攻击成为了当今Web应用研究者所须研究与解决的问题。在此情形下，着重关注于污

3、点追踪的防御技术，对传统着色防御机制详细分析，在其缺陷的基础上，提出了一种全新的基于可信任源着色及SQL方言感知的SQL注入攻击防御技术。该防御技术基于所有内部字符串均可信任的假设，对Web应用程序中常量字符串添加可信任着色信息并传递；在SQL查询提交前，依据该信息与特定SQL方言词法分析，防御与检测SQL注入攻击。此外，从改进现有防御技术AMNESIA完整性角度，亦给出了其核心可信任源着色机制的另一有效应用。最后，以PHP为目标平台，对PHP解释器及运行时库进行改进，实现了所提出的防御方式。详细说明了可信任源着色信息的表示方式、字符串操作函数及SQL连接操作函数的扩充方式。基于改进后的P

4、HP，应用开发者无需对PHPWeb应用程序修改即可使其简单获取SQL注入防御功能。且通过详细实验可知，该防御方式具有较高的有效性，防御所带来的运行负荷亦可接受。关键词：Web应用程序，SQL注入攻击，可信任着色，防御技术，PHP南京大学硕士论文AbstractNowadays．webapplicationswhichincludefromsimplecountertoenterprisemanagementinformationsystemarewidelyusedfortheirexcellenceinlowcost，easymaintenanceandimplementation．Ho

5、wever,hackersareonaattackingwebapplicationsspreeatthesametime．SQLinjectionattackisoneofthemostseriousthreat．Basedontheexternalinput，hackersinjectSQLkeywordtochangetheoriginalquerypurposeoftheapplicationdeveloper,SOthatthehackerscancollectthesensitiveinformationinthedatabase．Thisarticlemainlyintrod

6、ucetheinjectmechanismandattackmodeoftheSQLinjectionattack，analyzethepresentdetectingandpreventingtechniqueagainsttheSQLinjectionattack，pointoutthedefectofthepreventingtechnique．ThesolutionofhowtopreventingtheSQLinjectionattacksimplyandeffectivelyhasbecomeacommonproblemforallthewebapplicationresear

7、chers．Inthissituation，thepreventiontechniquewhichemphasisonthetainttrackinganalyzethetraditionalpreventiontechniquewhichmainlyrelyoncoloringindetail，andbringforwardabrandnewtechniquewhichisonthebasisoftrustedinpu