基于敏感字符的SQL注入攻击防御方法

发布时间：2017-08-01 00:14

  本文关键词：基于敏感字符的SQL注入攻击防御方法

  更多相关文章： SQL注入攻击 可信敏感字符 动态污点分析 积极污点分析 编码转换

【摘要】：SQL注入攻击历史悠久,其检测机制也研究甚广.现有的研究利用污点分析(taint analysis)结合SQL语句语法分析进行SQL注入攻击检测,但由于需要修改Web应用程序执行引擎来标记和跟踪污点信息,难以部署,并且时间和空间性能损失过大.通过分析SQL注入攻击机理,提出一种基于敏感字符的SQL注入攻击防御方法.1)仅对来自常量字符串的可信敏感字符进行积极污点标记;2)无需修改Web应用程序执行引擎,利用编码转换将污点信息直接存储在可信敏感字符的编码值中,动态跟踪其在程序中的传播;3)无需SQL语句语法分析,只需利用编码值判断SQL语句中敏感字符的来源、转义非可信敏感字符,即可防御SQL注入攻击.基于PHP的Zend引擎实现了系统原型PHPGate,以插件方式实现、易部署.实验证明:PHPGate可精确防御SQL注入攻击,且有效提升污点传播效率,页面应答的时间开销不超过1.6%.
【作者单位】： 北京大学计算机科学技术研究所;加州大学伯克利分校;百度美国有限责任公司;
【关键词】： SQL注入攻击 可信敏感字符 动态污点分析 积极污点分析 编码转换
【基金】：国家自然科学基金项目(61572149,61402125)~~
【分类号】：TP393.08
【正文快照】： 2(加州大学伯克利分校加利福尼亚伯克利94720)3(百度美国有限责任公司加利福尼亚森尼韦尔94089)(zhanghuilin@pku.edu.cn)SQL注入(SQL injection)是一种代码注入(code injection)攻击[1-2],其根源是Web应用程序中的SQL语句通常由程序中可信的常量字符串和用户输入等不可信的外

【相似文献】

中国期刊全文数据库 前3条

1 ;汉神平台出世 创新世界领先[J];数据传播周刊;1997年06期

2 贾宏宇,赵俊峰;语音E-MAIL系统的原理与设计[J];小型微型计算机系统;2002年02期

3 ;[J];;年期

，

本文编号：601726