sql注入攻擊漏洞研究與防范措施論文正稿(編輯修改稿)
2024-07-21 07:01 本頁面
【文章內(nèi)容簡介】 ername’,’password’, ’type’) values ( ’hacker’, ’pass123456’, ’ 管理員’) ，然后攻擊者就可以直接用剛才建立的帳戶進行登錄了。通過這樣的方法，攻擊者還可以對系統(tǒng)做任何的事情，包括增加、修改、刪除記錄。（3）執(zhí)行系統(tǒng)命令如果Web主機使用MSSQL數(shù)據(jù)庫系統(tǒng)，而list. asp中存在注入點，那么攻擊者就可以用到xp_cmdshell這個擴展存儲過程，xp_cmdshell是一個非常有用的擴展存儲過程，用于執(zhí)行系統(tǒng)命令，比如dir，net等，攻擊者可以根據(jù)程序的不同，提交不同的語句:://w ww. XXX. ? id= 1。 ? exec?? ’dir’://. XXX. ? id= 1。 ? exec?? ’dir’或者可以插入下面的語句net user hacker /addnet localgroup administrators hacker /add來向Web主機系統(tǒng)中加入一個非法的管理員帳號，不過這樣的做法必須同時滿足幾個條件，首先ASP使用的SQLSERV ER 帳號必須是管理員，其次請求的提交變量在整個SQL語句的最后，否則構(gòu)造出來的SQL語句在語法上是錯誤的，也就不可能執(zhí)行成功。2. SQL注入攻擊的檢測方式及方法2. 1檢測方式SQL注入攻擊檢測分為入侵前的檢測和入侵后的檢測。入侵前的檢測，可以通過手工方式，也可以使用SQL注入工具軟件。檢測的目的是為預(yù)防SQL注入攻擊，而對于SQL注入攻擊后的檢測，主要是針對日志的檢測，SQL注入攻擊成功后，會在IIS日志和數(shù)據(jù)庫中留下“痕跡”。2. 2檢測方法（1）輸入驗證檢查動態(tài)的SQL語句是一個進行數(shù)據(jù)庫查詢的強大的工具，但把它和用戶輸入混合在一起就使SQL注入成為了可能。將動態(tài)的SQL語句替換成預(yù)編譯的SQL或者存儲過程對大多數(shù)應(yīng)用程序是可行的。預(yù)編譯的SQL或者存儲過程可以將用戶的輸入作為參數(shù)而不是SQL命令來接收，這樣就限制了入侵者的行動。當然，它不適用于存儲過程中利用用戶輸入來生成SQL命令的情況。在這種情況下，用戶輸入的SQL命令仍可能得到執(zhí)行，數(shù)據(jù)庫仍然有受SQL注入攻擊的危險。如果一個輸入框只可能包括數(shù)字，那么要通過驗證確保用戶輸入的都是數(shù)字。如果可以接受字母，那就要檢查是不是存在不可接受的字符。確保應(yīng)用程序要檢查以下字符：分號、等號、破折號、括號以及SQL關(guān)鍵字。（2）數(shù)據(jù)檢查使用HDSI、NBSI和Domain等SQL注入攻擊軟件工具進行SQL注入攻擊后，都會在數(shù)據(jù)庫中生成一些臨時表。通過查看數(shù)據(jù)庫中最近新建的表的結(jié)構(gòu)和內(nèi)容，可以判斷是否曾經(jīng)發(fā)生過SQL注入攻擊。（3）日志檢查在Web服務(wù)器中如果啟用了日志記錄，則IIS日志會記錄訪問者的IP地址，訪問文件等信息，SQL注入攻擊往往會大量訪問某一個頁面文件（存在SQL注入點的動態(tài)網(wǎng)頁），日志文件會急劇增加，通過查看日志文件的大小以及日志文件中的內(nèi)容，也可以判斷是否發(fā)生過SQL注入攻擊。（4）其他SQL注入攻擊成功后，入侵者往往會添加用戶、開放3389遠程終端服務(wù)以及安裝木馬后門等，可以通過查看系統(tǒng)管理員賬號、遠程終端服務(wù)器開啟情況、系統(tǒng)最近日期產(chǎn)生的一些文件等信息來判斷是否發(fā)生過入侵。3. SQL注入攻擊防范模型及措施3. 1 防范模型在前人提出的SQL注入攻擊的檢測/防御/備案模型基礎(chǔ)上，本人進行了檢測過程的優(yōu)化，提出了一種SQL自動防范模型如圖1所示，本模型中所有檢測都在服務(wù)器端進行。首先對IP地址進行檢測，如果該IP地址在SQL注入攻擊庫中，則禁止該用戶的訪問，并再次將相關(guān)信息添加到SQL注入攻擊庫中；如果用戶是首次訪問，則對提交字符進行檢測，如果是非法字符，則檢測是否達到規(guī)定的訪問值，如果達到則禁止用戶訪問，同時發(fā)送郵件給系統(tǒng)管理員。本模型可以防止攻擊者窮舉攻擊并可自由設(shè)置攻擊次數(shù)的上限，一旦到達上限，系統(tǒng)將自動發(fā)送郵件給管理員，管理員收到郵件后可以進行相應(yīng)的處理，如果條件允許，還可以增加短信發(fā)送，增強SQL注入攻擊的自動防范能力?？蛻舳颂峤恍畔⒎?wù)器檢測Sql注入庫中檢測I
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1