[发明专利]一种改进的SQL注入漏洞检测方法

权利要求书

1.一种改进的SQL注入漏洞检测方法，其特在在于：包括数据包构造模块、服务器交换模块、SQL注入验证模块，通过数据包构造模块实现将原始数据包进行解析，自动解析出注入点可能存在的位置，构造不同的数据包，通过服务器交互模块负责把构造的数据包发送出去并接收服务器返回数据包，通过SQL注入验证模块通过若干规则的设定，并通过比较返回页面的异同智能解析网页，判断是否存在关键词，从而判断是否能注入，并给出结果，其特征在于，所述的步骤：

(1)开始网页检测；

(2)分析待检测网页对应的数据包或者URL；

(3)进行普通SQL注入尝试报错法；

(4)返回报错信息，如果存在报错信息，判断为可注入，如果无报错信息，则使用盲注入方法尝试；

(5)进行盲注入方法尝试；

(6)对返回页面结果出现的关键字进行智能分析，若返回网页出现了预定义的关键字，则判断为可注入，若无出现预定的关键字，则判断为不可注入。

2.根据权利要求1所述的改进的SQL注入漏洞检测方法，其特在在于：所述的盲注入方法步骤如下：

(1)计算正常页面和真页面相似度S1；

(2)如果S1小于M，则判断为不可注入，若S1大于M，则计算真页面和假页面相似度比较S2，，若S2大于或等于S1，则判断为不可注入，若小于S1，则进行下一步骤；

(3)提取三个页面中感兴趣的字符串并保存到链表L1，L2，L3；

(4)比较L1，L2，L3，查找L1，L2中存在，L3中不存在字符串K(关键词)；

(5)判断关键词-字符串K是否存在，若不存在，则判断为不可注入，如存在，则判断为可注入。