[发明专利]一种SQL注入漏洞测试与验证方法及系统

摘要

本发明公开了一种SQL注入漏洞测试与验证方法及系统，基于JavaEE的WebApp框架，该方法通过用户输入URL，系统对URL进行解析或根据已知的HTTP request，自动从中提取参数和注入点，然后用户根据自身需要，选择注入点或自定义注入点加入请求中，并选择请求模式、请求协议和数据库服务器，系统从数据库中载入绕过技术配置、规则池中静态规则和动态规则数据，经过预处理后，由多线程管理器分配线程，交由扫描管理器进行SQL注入扫描，实现在保证自动化程度的前提下，降低漏报率。另外，本发明基于实际交互的HTTP报文，可自动识别报文中所有可能存在的注入点，也可自定义注入点，实现半自动化漏洞检测，可实现检测任何区域的SQL注入漏洞，进一步的降低漏报率。

主权项

一种SQL注入漏洞测试与验证方法，其特征在于，基于JavaEE的WebApp框架，该方法包括：S1、接收SQL注入管理员发送的SQL注入扫描指令，所述SQL注入扫描指令为URL或请求信息；S2、对指定Web应用服务器的Web应用进行SQL注入扫描；S3、根据所述SQL注入扫描指令创建新的线程，并记录用户信息和所述SQL注入管理员的请求信息到数据库服务器中；S4、对所述URL进行解析或根据已知的HTTP request，提取参数和注入点，根据所述SQL注入管理员的需求，选择请求模式、请求协议及对应数据库服务器；S5、载入绕过技术配置、规则池中的静态规则和动态规则数据；S6、对所述静态规则和动态规则数据进行预处理，并进行线程分配，由扫描管理器进行SQL注入扫描，得到扫描结果；S7、将所述扫描结果记录，并管理和记录在扫描过程中全程扫描情况。