發(fā)布時(shí)間：2018-10-29 18:27

【摘要】：二階SQL注入是一種新型漏洞,廣泛存在于Web應(yīng)用程序中,并逐漸成為廣大黑客行為的突破口。同傳統(tǒng)一階SQL注入一樣,它能夠造成信息泄露、命令執(zhí)行、上傳木馬等多種危害,嚴(yán)重威脅目標(biāo)系統(tǒng)的網(wǎng)絡(luò)空間安全。由于其多階段、隱式讀寫等特點(diǎn)導(dǎo)致目前缺乏有效的檢測(cè)方法。因此,提出一種針對(duì)性的檢測(cè)方法先于攻擊之前發(fā)現(xiàn)漏洞,具有重大意義。分析二階SQL注入漏洞特點(diǎn)以及現(xiàn)有檢測(cè)方法的基礎(chǔ)上,采用動(dòng)靜結(jié)合的方式,針對(duì)污點(diǎn)傳播、多階段和隱式讀寫的特點(diǎn)分別提出一種靜態(tài)污點(diǎn)分析與模糊測(cè)試結(jié)合的檢測(cè)方法,和一種動(dòng)態(tài)污點(diǎn)分析與詞法分析結(jié)合的檢測(cè)方法,并實(shí)現(xiàn)檢測(cè)原型STS和DTS。主要研究工作包括如下內(nèi)容:1.本文首先系統(tǒng)分析二階SQL注入的原理,闡述現(xiàn)有防御技術(shù)并分析不足�？偨Y(jié)與漏洞檢測(cè)相關(guān)的三個(gè)特點(diǎn):污點(diǎn)傳播、多階段和隱式讀寫。2.提出一種靜態(tài)污點(diǎn)分析與模糊測(cè)試結(jié)合的檢測(cè)方法。針對(duì)二階SQL注入的污點(diǎn)傳播特性,采用基于數(shù)據(jù)流的污點(diǎn)分析技術(shù)。針對(duì)多階段特性,引入對(duì)持久存儲(chǔ)的檢測(cè),解決單純通過(guò)動(dòng)態(tài)分析無(wú)法處理應(yīng)用程序多階段間聯(lián)系的問(wèn)題。針對(duì)隱式讀寫特性,使用動(dòng)態(tài)分析獲取元數(shù)據(jù),解決靜態(tài)分析無(wú)法定位隱式數(shù)據(jù)庫(kù)讀寫操作時(shí)持久存儲(chǔ)位置的問(wèn)題。最后,通過(guò)模糊測(cè)試驗(yàn)證疑似漏洞,降低誤報(bào)率。實(shí)驗(yàn)表明,所提方法在可以接受的耗時(shí)范圍內(nèi)能夠有效檢測(cè)Web應(yīng)用中二階SQL注入漏洞。3.提出一種動(dòng)態(tài)污點(diǎn)與詞法分析結(jié)合的方式。對(duì)污點(diǎn)傳播特性選擇改進(jìn)的動(dòng)態(tài)污點(diǎn)分析,通過(guò)插樁對(duì)比測(cè)試用例與Sink參數(shù)值,檢測(cè)污點(diǎn)數(shù)據(jù)傳播。面對(duì)動(dòng)態(tài)分析固有的覆蓋率低的問(wèn)題,通過(guò)詞法分析獲得輸入點(diǎn)加以解決。并引入對(duì)持久存儲(chǔ)和元數(shù)據(jù)分析,增加準(zhǔn)確率。在詞法分析的基礎(chǔ)上,提出一種結(jié)合爬蟲的輸入點(diǎn)獲取方式。實(shí)驗(yàn)表明,所提方法能夠發(fā)現(xiàn)Web應(yīng)用程序中的二階SQL注入漏洞,具有進(jìn)一步研究的價(jià)值。
[Abstract]:Second order SQL injection is a new type of vulnerability, which widely exists in Web applications and has gradually become a breakthrough in hacking. Like the traditional first-order SQL injection, it can cause information leakage, command execution, upload Trojan horse and so on, which seriously threaten the network space security of the target system. Due to its multi-stage, implicit reading and writing characteristics, there is a lack of effective detection methods. Therefore, it is of great significance to propose a targeted detection method to detect vulnerabilities before attacking. Based on the analysis of the characteristics of the second order SQL injection vulnerability and the existing detection methods, a static stain analysis method combined with fuzzy testing is proposed to deal with the characteristics of spot propagation, multi-stage and implicit reading and writing. And a detection method which combines dynamic stain analysis with lexical analysis, and realizes the detection prototype STS and DTS.. The main research work includes the following contents: 1. In this paper, the principle of second-order SQL injection is systematically analyzed, and the existing defense technology is discussed. Summarize three features related to vulnerability detection: stain propagation, multistage and implicit reading and writing. 2. A detection method combining static stain analysis with fuzzy test is proposed. According to the characteristics of contamination propagation of second order SQL injection, the stain analysis technique based on data flow is adopted. In view of the multi-stage characteristic, the detection of persistent storage is introduced to solve the problem that the multi-phase relationship of application can not be handled simply by dynamic analysis. To solve the problem that static analysis can not locate the persistent storage location of implicit database reading and writing operations, dynamic analysis is used to obtain metadata. Finally, the suspected vulnerability is verified by fuzzy test to reduce the false alarm rate. Experiments show that the proposed method can effectively detect the second order SQL injection vulnerability in Web applications within the acceptable time range. 3. 3. A method of combining dynamic stain and lexical analysis is proposed. The improved dynamic stain analysis is selected to analyze the characteristics of contamination propagation, and the test case and Sink parameter value are compared by inserting piles to detect the spread of contamination data. In the face of the problem of low coverage rate inherent in dynamic analysis, the input points obtained by lexical analysis are solved. And introduce persistent storage and metadata analysis to increase the accuracy. On the basis of lexical analysis, an input point acquisition method combined with reptile is proposed. Experiments show that the proposed method can find the second order SQL injection vulnerability in Web applications, and it is worthy of further study.
【學(xué)位授予單位】：華僑大學(xué)
【學(xué)位級(jí)別】：碩士
【學(xué)位授予年份】：2017
【分類號(hào)】：TP393.08

【相似文獻(xiàn)】

相關(guān)期刊論文 前10條

1 于愛卿,張桂珍;利用錯(cuò)誤信息分析SQL故障[J];青島遠(yuǎn)洋船員學(xué)院學(xué)報(bào);2000年02期

2 蔣丹丹;牛曉楠;;基于SQL的宿舍學(xué)生成績(jī)管理系統(tǒng)設(shè)計(jì)與開發(fā)[J];企業(yè)技術(shù)開發(fā);2012年20期

3 劉艷云;;《數(shù)據(jù)庫(kù)設(shè)計(jì)與實(shí)現(xiàn)(SQL)》課程教學(xué)改革與實(shí)踐[J];教育教學(xué)論壇;2013年51期

4 任曉東;SQL在中德合作云南二期造林項(xiàng)目管理信息系統(tǒng)中的應(yīng)用[J];林業(yè)調(diào)查規(guī)劃;2005年01期

5 張濤;王行建;;對(duì)SQL注入漏洞的研究與防范措施的探討[J];計(jì)算機(jī)時(shí)代;2006年11期

6 楊應(yīng)全,汪德彪;解決圖書館SQL服務(wù)器連接問(wèn)題[J];現(xiàn)代情報(bào);2005年09期

7 田yN敏;;基于SQL的高職計(jì)算機(jī)實(shí)驗(yàn)室管理系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)[J];中國(guó)科教創(chuàng)新導(dǎo)刊;2011年14期

8 肖海蓉;;SQL中分組查詢的設(shè)計(jì)與應(yīng)用[J];計(jì)算機(jī)與數(shù)字工程;2009年05期

9 徐廷元;白靜華;;優(yōu)化SQL語(yǔ)句降低時(shí)間復(fù)雜度[J];電腦知識(shí)與技術(shù);2009年03期

10 黃保華;馬巖;謝統(tǒng)義;;用于SQL注入檢測(cè)的語(yǔ)句塊摘要樹模型[J];信息安全與技術(shù);2012年03期

相關(guān)會(huì)議論文 前2條

1 符俊藝;;用VB和SQL開發(fā)交換機(jī)話務(wù)分析系統(tǒng)[A];海南省通信學(xué)會(huì)學(xué)術(shù)年會(huì)論文集（2005）[C];2005年

2 朱虹;舒鵬;;擴(kuò)展SQL實(shí)現(xiàn)DBMS細(xì)粒度訪問(wèn)控制[A];第二十三屆中國(guó)數(shù)據(jù)庫(kù)學(xué)術(shù)會(huì)議論文集（技術(shù)報(bào)告篇）[C];2006年

相關(guān)重要報(bào)紙文章 前10條

1 貴州 王偉;列的別名和SQL語(yǔ)句的格式化[N];電腦報(bào);2004年

2 冬盈;SQL語(yǔ)句的自動(dòng)優(yōu)化[N];計(jì)算機(jī)世界;2002年

3 本報(bào)記者 許繼楠;新版SQL Server應(yīng)對(duì)大數(shù)據(jù)和云挑戰(zhàn)[N];中國(guó)計(jì)算機(jī)報(bào);2012年

4 貴州 王偉;SQL語(yǔ)句中的函數(shù)簡(jiǎn)介[N];電腦報(bào);2004年

5 ;微軟建立SQL中國(guó)研發(fā)中心[N];人民郵電;2007年

6 郭瑩;微軟SQL Server 2008添新版本[N];中國(guó)計(jì)算機(jī)報(bào);2008年

7 西安 鄒捷;VB中利用SQL語(yǔ)句實(shí)現(xiàn)高效數(shù)據(jù)處理[N];電腦報(bào);2002年

8 ;首只攻擊 SQL 服務(wù)器的蠕蟲現(xiàn)身[N];中國(guó)電腦教育報(bào);2002年

9 閔翔;人工智能自動(dòng)SQL優(yōu)化[N];中國(guó)計(jì)算機(jī)報(bào);2001年

10 王少青;微軟SQL：起于低端,后發(fā)制人[N];中國(guó)計(jì)算機(jī)報(bào);2007年

相關(guān)碩士學(xué)位論文 前10條

1 唐韜;基于HBase的SQL轉(zhuǎn)化引擎研究[D];電子科技大學(xué);2014年

2 劉漢江;SQL注入檢測(cè)掃描器的設(shè)計(jì)與實(shí)現(xiàn)[D];華南理工大學(xué);2015年

3 李敏兒;餐飲企業(yè)外賣訂餐系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)[D];華南理工大學(xué);2016年

4 章爽敏;SQL注入漏洞快速檢測(cè)技術(shù)的研究[D];浙江工商大學(xué);2017年

5 李鑫;動(dòng)靜結(jié)合的二階SQL注入漏洞檢測(cè)技術(shù)研究[D];華僑大學(xué);2017年

6 成曉利;Web應(yīng)用SQL注入漏洞測(cè)試系統(tǒng)的研究與實(shí)現(xiàn)[D];西南交通大學(xué);2013年

7 趙陽(yáng);基于SQL注入的數(shù)據(jù)安全測(cè)評(píng)技術(shù)研究[D];沈陽(yáng)工業(yè)大學(xué);2012年

8 趙偉;利用VC與SQL實(shí)現(xiàn)管殼式換熱器的工藝設(shè)計(jì)[D];北京化工大學(xué);2003年

9 王一U，

本文編號(hào)：2298459