[发明专利]一种基于URL基线偏离度分析的SQL注入检测方法及装置

说明书

本发明提供一种基于URL基线偏离度分析的SQL注入检测方法及装置，所述方法包括：构建基线的步骤；样本再划分的步骤；有监督学习的步骤。本发明的有益效果是：(1)通过构造基线和样本再划分，不仅能提升白样本的纯度，使对正常业务的http流量数据的画像更精确，同时还能从业务数据中发现黑样本，缩小训练样本中的正负样本比例，使分类器更加高效快速训练与预测。同时，黑样本能不断累积，具有较强的灵活性。(2)本发明从多个维度进行特征构造，刻画较为全面，同时黑样本的不断累积，使得可以发现新的SQL注入方式，具有强大的适应性。

技术领域

本发明涉及SQL注入检测技术领域，具体而言，涉及一种基于URL基线偏离度分析的SQL注入检测方法及装置。

背景技术

随着互联网的快速发展，针对Web应用的攻击形式也愈发多样，非法者可以利用网络执行各种恶意活动，如身份窃取、私密信息窃取、带宽资源占用等。由于Web语言自身的特点，开发人员大多不具有安全编程的经验，因此大多数的web应用系统都有被SQL注入的可能性。

SQL注入攻击是黑客对数据库进行攻击的常用手段之一，也是当前信息泄露的主要途径，最为流行且危害最大，一旦攻击成功，攻击者就可以对控制整个web应用系统对数据做任何的修改或者是窃取，破坏力达到了极致。

现有的SQL注入检测技术主要分为两大类：

(1)传统的校验方式

A、检查动态SQL语句：在安全领域中，用户的输入都是不可信的，而动态的SQL语句与用户输入合用，极大的提升了SQL注入的可能性。因此，在应用程序中大多是使用存储过程或预编译的SQL，它们通过将用户的输入作为参数，而不是命令语句来执行，一定程度上可以限制了入侵者的行动。

B、校验输入有效性：对用户输入的内容进行验证，例如通过验证确保用户输入的都是数字，或者验证输入的内容是否符合规范，以及检查是否包含SQL的关键字。

C、检查数据表：一般情况下，进行SQL注入漏洞攻击后，都会在数据库中生成一些临时表。因此，可以通过检查数据库中最近新建表的结构及内容，从而判断是否曾经发生过SQL注入漏洞攻击。

D、检查审计日志：SQL注入攻击往往会大量访问某一个页面，审计日志文件会急剧增加。Web Service审计日志中可以查询访问者的IP地址，请求时间以及访问的文件信息等等，通过查看审计日志文件的大小以及审计日志文件中的内容，可以判断是否发生过SQL注入漏洞攻击事件以及是否有非法的插入、修改、删除操作等等。

E、权限查看：SQL注入漏洞攻击成功后，入侵者往往会添加特权用户，例如：administrator、root、sa等等、或者开放非法的远程服务以及安装木马后门程序等。通过查看用户帐户列表、远程服务开启情况、系统最近日期产生的一些文件等信息，可以判断是否发生过入侵行为。

(2)基于特征的检测方式

A、正则表达式：将SQL注入攻击的特征用正则表达式进行概括，并对注入攻击进行过。正则匹配过滤的方式与关键字过滤相比,具有更高的识别率和较低的误报率。

B、规则集过滤：根据SQL注入攻击的特征制定SQL注入攻击的特征规则集，从而过滤用户的输入来抵挡SQL注入攻击。

(3)有监督分类方式：

A、分类模型：采用基于HTTP请求分类的用户输入过滤，以此降低用户输入对正常数据的过滤。或者，利用正常访问的URL样本与SQL注入样本之间的差异，识别出正常与恶意攻击。经过样本的学习和训练，训练出分类器后又可对未知的访问样本进行分类，从而提升分类器的精确率。

现有的SQL注入检测技术在实际中存在以下缺点：