面向用户意图的SQL注入检测方法

作者：毛辰宇; 郭帆; 叶继华

来源：江西师范大学学报(自然科学版), 2016, 40(04): 386-391.

DOI：10.16357/j.cnki.issn1000-5862.2016.04.11

• SQL注入
• 动态分析
• 有限自动机
• 攻击模式

Web程序安全的首要威胁是SQL注入攻击,动态分析技术可有效防御此类攻击.提出面向用户意图的检测方法,在程序发布前预先定义Web程序期望的所有数据库操作,在运行时拦截提交至数据库的操作,阻止不符合意图的操作.设计并实现描述数据库操作意图的语言SQLIDL,将开发者提供的允许操作集合解释为以确定有限自动机(DFA)表示的字符串集合,并支持表名、列名、列值及存储过程名的正则表示.在Securi Bench测试集的实验表明,该方法可有效检测现有SQL攻击模式且运行开销较小.

• 出版日期2016
• 单位江西师范大学