[发明专利]一种改进的SQL注入漏洞检测方法

说明书

技术领域

本发明涉及一种改进的SQL注入漏洞检测方法。

背景技术

近年来数据库安全，网站用户隐私保护成为网络安全关注的焦点，一些黑客通过web站点上存在的SQL注入漏洞对网站数据库进行破坏或窃取网站数据，对网站安全和用户个人隐私造成严重危害，虽然随着大家安全意识的提高，很多中小网站也采取了简单的防注入措施，例如屏蔽错误信息，对用户提交的数据进行过滤等，但是依然有可能存在SQL注入点，因而采取一种有效的方法来检测可能存在的SQL注入点，对于网站安全的提升有很重要的意义。

发明内容

本发明所要解决的技术问题是提供一种采用普通SQL注入检测和盲注入检测相结合的改进的SQL注入漏洞检测方法。

本发明是通过以下技术方案来实现的：一种改进的SQL注入漏洞检测方法，包括数据包构造模块、服务器交换模块、SQL注入验证模块，通过数据包构造模块实现将原始数据包进行解析，自动解析出注入点可能存在的位置，构造不同的数据包，通过服务器交互模块负责把构造的数据包发送出去并接收服务器返回数据包，通过SQL注入验证模块通过若干规则的设定，并通过比较返回页面的异同智能解析网页，判断是否存在关键词，从而判断是否能注入，并给出结果，其特征在于，所述的步骤：

(1)开始网页检测；

(2)分析待检测网页对应的数据包或者URL；

(3)进行普通SQL注入尝试报错法；

(4)返回报错信息，如果存在报错信息，判断为可注入，如果无报错信息，则使用盲注入方法尝试；

(5)进行盲注入方法尝试；

(6)对三个不同请求(正常请求、恒为真、恒为假表达式请求)的返回页面结果进行智能分析，若存在满足特定条件的关键词，则判断为可注入，若不存在满足特定条件的关键词，则判断为不可注入。

作为优选，所述的盲注入方法步骤如下：

(1)计算正常页面和真页面相似度S1；

(2)如果S1小于M，则判断为不可注入，若S1大于M，则计算真页面和假页面相似度比较S2，，若S2大于或等于S1，则判断为不可注入，若小于S1，则进行下一步骤；

(3)提取三个页面中感兴趣的字符串并保存到链表L1，L2，L3；

(4)比较L1，L2，L3，查找L1，L2中存在，L3中不存在字符串K(关键词)；

(5)判断关键词-字符串K是否存在，若不存在，则判断为不可注入，如存在，则判断为可注入。

本发明的有益效果是：本方案通过分析web页面提交的参数，采用普通SQL注入检测和盲注入检测相结合的思想，从而更有效的发现网站SQL注入点，并列出可能存在的漏洞，为网站的安全评估提供一个较为可靠的参考依据。

附图说明

为了易于说明，本发明由下述的具体实施例及附图作以详细描述。

图1为本发明改进的SQL注入漏洞检测方法的程序流程图；

图2为本发明改进的SQL注入漏洞检测方法的盲注入方法检测SQL注入漏洞的具体算法流程图。

具体实施方式

如图1和2所示，本发明的一种改进的SQL注入漏洞检测方法，包括数据包构造模块、服务器交换模块、SQL注入验证模块，通过数据包构造模块实现将原始数据包进行解析，自动解析出注入点可能存在的位置，构造不同的数据包，通过服务器交互模块负责把构造的数据包发送出去并接收服务器返回数据包，通过SQL注入验证模块通过若干规则的设定，并通过比较返回页面的异同智能解析网页，判断是否存在关键词，从而判断是否能注入，并给出结果，其特征在于，所述的步骤：

(1)开始网页检测；

(2)分析待检测网页对应的数据包或者URL；

(3)进行普通SQL注入尝试报错法；

(4)返回报错信息，如果存在报错信息，判断为可注入，如果无报错信息，则使用盲注入方法尝试；

(5)进行盲注入方法尝试；

(6)对三个不同请求(正常请求、恒为真、恒为假表达式请求)的返回页面结果进行智能分析，若存在满足特定条件的关键词，则判断为可注入，若不存在满足特定条件的关键词，则判断为不可注入。