针对RESTfulAPI的SQL注入漏洞检测工具的设计与实现.pdf

《针对RESTfulAPI的SQL注入漏洞检测工具的设计与实现.pdf》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、第30卷第3期中国科学院研究生院学报Vol．30No．32013年5月JournalofGraduateUniversityofChineseAcademyofSciencesMay2013文章编号:1002-1175(2013)03-0417-08针对RESTfulAPI的SQL注入漏洞*检测工具的设计与实现罗启汉，张玉清，刘奇旭(中国科学院研究生院国家计算机网络入侵防范中心，北京100049)(2012年1月11日收稿;2012年3月28日收修改稿)Luo

2、QH，ZhangYQ，LiuQX．DesignandimplementationofaSQLinjectionvulnerabilitydetectiontoolonRESTfulAPI［J］．JournalofGraduateUniversityofChineseAcademyofSciences，2013，30(3):417-424．摘要RESTfulAPI作为当前主流WebAPI，其传参与调用方式具有新特性，传统的Web漏洞检测工具均无法有效对其检测．本文设计并实现了首款针对RESTfulAPI的SQL注入漏洞检测工具:RASIVD．实验结果表明，与

3、传统检测工具相比，RASIVD能够检测出更多APISQL注入漏洞，且误报率为零，说明了RASIVD的有效性．关键词RESTfulAPI;SQL注入;漏洞检测;OAuth中图分类号:TP393文献标志码:Adoi:10.7523/j．issn．1002-1175.2013.03.021DesignandimplementationofaSQLinjectionvulnerabilitydetectiontoolonRESTfulAPILUOQi-Han，ZHANGYu-Qing，LIUQi-Xu(NationalComputerNetworkIntrusio

4、nProtectionCenter，GraduateUniversity，ChineseAcademyofSciences，Beijing100049，China)AbstractRESTfulAPIshavenewfeaturesinstylesofparameterandcalling，andtypicalwebflawscannersperformpoorlyontheseAPIs．WedesignedandimplementedthefirstSQLinjectionflawdetectiontoolcalledRASIVDtargetingRES

5、TfulAPIs．Theexperimentresultsshowthat，comparedtotraditionaltools，RASIVDdetectsmoreAPISQLinjectionflawsandhasnofalsepositive，whichindicatestheefficiencyofRASIVD．KeywordsRESTfulAPI;SQLinjection;vulnerabilitydetection;OAuth自万维网出现以来，Web开发技术以及Web务协同完成事务的复杂Web生态系统(如:电子应用已经从1.0演化到2.0，在展现

6、形式及功能商务第三方支付服务等)，WebAPI也因此成为上都得到了极大丰富．近年来，随着各大互联网Web应用间的关键纽带．2002年，Amazon、eBay［1］公司开放API(Webservices)，使得Web应用的功等电子商务站点开放了API，以接入第三方应能变得更具扩展性;同时逐渐形成了多方Web服用实现互惠共赢，但最初的WebAPI均基于*国家自然科学基金(60970140)资助通信作者，E-mail:luoqh@nipc．org．cn418中国科学院研究生院学报第30卷［2］SOAP，存在调用繁琐且开放效率低的缺点．相vulnerabilit

7、ydetector)．RASIVD在漏洞检测中采［3］对而言，近几年逐渐普及的RESTfulAPI属于轻取纯Fuzzing的方法．最后通过对实际环境中的量级的，已经成为最主要的API类型．图1是基RESTfulAPI进行检测，证明了本文工具在于2000个提供方API进行的专注于API应用的RESTfulAPISQL注入漏洞检测方面，相对于传统Programmableweb对各类API比例统计情况，Web漏洞检测工具具有更高的有效性．RESTfulAPI一直占据主导地位．1RESTfulAPI简介目前国内外各大主流API开放平台都采用RESTfulAPI，如

8、各种社交网络开放平台等．通过对现实中RESTfulAPI进行调研分