SQL注入攻击检测

SQL注入漏洞的检测与修复数据库作为现代软件系统中重要的组成部分之一，承载着大量的数据存储和管理任务。

然而，由于编程和开发过程中的疏忽或错误，数据库系统有时会存在安全漏洞，其中最常见且危害较大的就是SQL注入漏洞。

SQL注入攻击是黑客通过在用户输入的数据中插入恶意的SQL代码，从而盗取、篡改或破坏数据库的行为。

为了维护数据库的安全性和完整性，我们需要进行SQL注入漏洞的检测与修复。

一、SQL注入漏洞的检测1. 输入验证在用户输入的数据上进行良好的输入验证是防止SQL注入漏洞的第一道防线。

开发人员应该对用户输入的数据进行过滤和验证，确保其符合预期的格式和类型。

常见的输入验证方法包括数据类型验证、长度验证、以及对特殊字符的过滤。

2. 使用预编译语句和参数化查询预编译语句和参数化查询是避免SQL注入攻击的有效手段。

通过将用户输入的参数与SQL查询语句分离，数据库引擎可以正确地对输入进行解析和处理，而不会将用户输入误认为是SQL代码。

开发人员应该尽可能使用预编译语句和参数化查询，以减少SQL注入漏洞的风险。

3. 安全审计和日志监控定期进行安全审计和日志监控是发现SQL注入漏洞的重要方法。

通过检查数据库操作日志和应用程序日志，我们可以发现异常的SQL查询语句或非法的数据库操作。

及时发现并处理这些异常行为，可以有效地保护数据库免受SQL注入攻击的威胁。

二、SQL注入漏洞的修复1. 使用参数化查询和存储过程参数化查询和存储过程可以有效防止SQL注入漏洞。

通过使用参数化查询，我们可以将用户输入的数据作为参数传递给SQL查询语句，而不是将其直接拼接到查询语句中。

存储过程则可以在数据库层面对输入进行验证和处理，确保查询的安全性。

2. 输入过滤和转义对于用户输入的数据，应该进行必要的过滤和转义处理，将特殊字符转换为其转义形式。

这样可以防止用户输入的数据被误认为SQL代码，从而有效地阻止SQL注入攻击。

3. 更新数据库软件和补丁及时更新数据库软件和安装相关补丁是防止SQL注入漏洞的重要措施。

技术应用ＴＥＣＨＮＯＬＯＧＹＡＮＤＭＡＲＫＥＴＶｏｌ.２７ꎬＮｏ.１１ꎬ２０２０浅谈ＳＱＬ注入漏洞的检测与防范李博文(辽宁职业学院信息安全与管理专业ꎬ辽宁铁岭１１２０９９)摘㊀要:随着Ｗｅｂ技术的快速发展ꎬＷｅｂ凭借着自身的优势在各个企业单位的业务系统中得到广泛的应用ꎮ但由于开发者的安全意识差ꎬ设计出的Ｗｅｂ系统存在安全漏洞ꎬ其中ＳＱＬ注入漏洞是危害等级较高的安全漏洞之一ꎬ通过对ＳＱＬ注入漏洞的检测和渗透来寻找出针对ＳＱＬ注入漏洞的防范方法ꎮ关键词:Ｗｅｂ系统ꎻ安全漏洞ꎻＳＱＬ注入ｄｏｉ:１０.３９６９/ｊ.ｉｓｓｎ.１００６－８５５４.２０２０.１１.０４７0㊀引言随着信息技术的发展ꎬＷｅｂ服务以通用性㊁独立性㊁集成性等特点被各大行业所应用ꎬ与此同时Ｗｅｂ服务安全问题也严重影响着Ｗｅｂ服务的正常运行ꎮＳＱＬ注入漏洞属于ＯＷＡＳＰ发布Ｗｅｂ应用程序安全１０大严重风险漏洞之一ꎬ它会造成Ｗｅｂ网站用户的账号㊁密码等信息泄露ꎬ黑客利用高权限账户写入木马ꎬ利用木马获得Ｗｅｂ应用服务器权限ꎮ在设计Ｗｅｂ网站时ꎬ开发人员技术能力和开发经验的参差不齐ꎬ使得开发出的Ｗｅｂ网站可能存在未被发现的ＳＱＬ注入漏洞ꎬ而随着ｔｈｉ￣ｎｋｐｈｐ等框架在开发中的应用ꎬ针对框架暴露出的漏洞危害着Ｗｅｂ应用程序ꎮ1㊀SQL注入漏洞成因在Ｗｅｂ交互时ꎬ攻击者将恶意ＳＱＬ语句带入到原程序中ꎬ由于原程序对输入内容没有进行严格验证ꎬ使恶意ＳＱＬ语句改变了原ＳＱＬ语句预计的执行结果ꎬ导致查询或猜解出数据库名㊁表名㊁字段名等信息ꎬ甚至写入一句话木马ꎬ拿到网站的ＷｅｂＳｈｅｌｌ权限ꎮＳＱＬ注入漏洞的产生就是由于开发者过度追求开发速度忽视代码质量和系统整体安全ꎬ片面的追求用户需求ꎬ使项目出现 过度设计 ꎬ从而牺牲了系统的安全性ꎮ如①对用户输入没有进行过滤和验证ꎮ②给用户权限过大ꎬ数据库操作权限过大ꎮ③不当的错误处理ꎮ④转移字符处理不合适ꎮ⑤使用字符串联结组合多条ＳＱＬ指令ꎬ导致数据和控制结构使用同一传输通道[１]ꎮ2㊀SQL注入漏洞检测步骤２ １㊀检测是否存在ＳＱＬ注入漏洞在收集目标Ｗｅｂ网站相关信息后ꎬ渗透人员在判断网站是否存在ＳＱＬ注入漏洞ꎬ主要可以采用以下３个方法ꎮ２ １ １㊀手工验证验证ＳＱＬ注入漏洞需要根据实际环境情况采取不同的验证方法ꎬ这里以基于回显注入为例进行简述ꎮ回显注入是指数据库在执行ＳＱＬ语后ꎬＷｅｂ服务器将各种结果回显到页面中ꎬ渗透人员根据回显信息拼接恶意ＳＱＬ语句ꎬ从而获取到想要的数据ꎮ在手工验证回显注入漏洞常用布尔型㊁报错型㊁时间延迟㊁联合查询㊁多语句查询的方法ꎬ通过回显结果发现是否存在ＳＱＬ注入漏洞ꎬ以ＤｏｒａＢｏｘ靶场为例ꎬ运用布尔型和时间延迟两个方法验证ＳＱＬ注入ꎮ布尔型:/ｎｕｍ.ｐｈｐ?ｉｄ＝１ａｎｄ１＝１＃回显信息正常ꎬ/ｎｕｍ.ｐｈｐ?ｉｄ＝１ａｎｄ１＝２＃无任何回显信息ꎬ由此可得出存在ＳＱＬ注入漏洞的结论ꎮ时间延迟:/ｎｕｍ.ｐｈｐ?ｉｄ＝１ａｎｄｓｌｅｅｐ(５)＃回显时出现５秒钟的延迟ꎬ同样可知存在ＳＱＬ注入漏洞ꎮ如果目标网络存在黑名过滤㊁正则表达式等ꎬ可通过Ｆｕｚｚ对ＳＱＬ语句中的关键字进行验证ꎬ发现未被过滤的关键字或运用编码进行绕过ꎬ实现注入ꎮ２ １ ２㊀工具验证ＳＱＬ注入工具以简单㊁高效㊁快速等特点被渗透人员所青睐ꎮＡＷＶＳ是一款知名的网站漏洞扫描工具ꎬ它通过网络爬虫测试网站安全ꎬ检测是否存在安全漏洞ꎮＳＱＬＰｏｉｚｏｎ扫描器能够利用搜索引擎收集互联网上有ＳＱＬ注入漏洞的网站ꎮ２ １ ３㊀编写注入工具Ｐｙｔｈｏｎ以简单㊁易学㊁开源等特点被很多渗透人员所应用ꎬ他们运用爬虫库来编写自定义的ＳＱＬ注入验证工具测试目标网站是否存在漏洞ꎬ为下一步漏洞利用提供条件ꎮ２ ２㊀利用ＳＱＬ注入漏洞在确定存在ＳＱＬ注入漏洞后ꎬ根据漏洞的类型统构造ｐａｙｌｏａｄꎬ进而获得数据库版本㊁数据库名称等相关信息ꎮ以ＭｙＳＱＬ数据库为例ꎬ运用手工和工具２种渗透方式ꎮ２ ２ １㊀手工渗透手工渗透是从猜解字段数开始ꎬ到确定数据显示位ꎬ猜解数据库名㊁表名㊁字段名ꎬ最终拖库ꎬ每一个步骤都需要构造相应的ｐａｙｌｏａｄꎮ手工渗透是运用数据库中的函数和ＳＱＬ语句来构造不同的ｐａｙｌｏａｄꎬ数据库会将执行结果通过Ｗｅｂ服务器响应给用户ꎮ以布尔盲注为例ꎬ猜数据库名长度时ꎬ构造/ｎｕｍ.ｐｈｐ?ｉｄ＝１ａｎｄ(ｓｅｌｅｃｔｌｅｎｇｔｈ(ｄａｔａｂａｓｅ()))＝１＃返回错误ꎬ/ｎｕｍ.ｐｈｐ?ｉｄ＝１ａｎｄ(ｓｅｌｅｃｔｌｅｎｇｔｈ(ｄａｔａｂａｓｅ()))＝７＃返回正确ꎬ说明数据库长度是７ꎮ逐位猜解数据库名时ꎬ构造/ｎｕｍ.ｐｈｐ?ｉｄ＝１ａｎｄ(ｓｅｌｅｃｔｍｉｄ(ｄａｔａｂａｓｅ()ꎬ１ꎬ１))＝ᶄａᶄ＃返回错误ꎬ说明数据库名称第一位字母不是ａꎬ/ｎｕｍ.ｐｈｐ?ｉｄ＝１ａｎｄ(ｓｅｌｅｃｔｍｉｄ(ｄａｔａｂａｓｅ()ꎬ１ꎬ１))＝ᶄｐᶄ＃返回正确ꎬ说明第一位是字母ｐꎬ当然运用ＡＳＣＩＩ码比较同样可以猜解第一个字母ꎮ布尔盲注可对表名㊁字段名和记录进行逐一猜解ꎬ最终获得到全２０１技术与市场技术应用２０２０年第２７卷第１１期部数据ꎮ手工渗透虽然比较慢ꎬ但它可以很好地控制ｐａｙｌｏａｄ绕过过滤和发送请求数量ꎬ不易被ＷＡＦ等安全工具所发现ꎮ２ ２ ２㊀工具渗透工具渗透是高效㊁自动化的攻击手段ꎬ它使渗透过程更加快速和准确ꎮ如注入神器ＳＱＬＭａｐꎬ它是Ｐｙｔｈｏｎ编写的自动化ＳＱＬ注入开源工具ꎬ可对ＭｙＳＱＬ㊁Ｏｒａｃｌｅ等多种数据库管理系统进行渗透ꎬ支持５种注入模式ꎬ即基于布尔的盲注㊁基于时间的盲注㊁基于报错注入㊁联合查询注入和堆查询注入ꎬ并结合编码㊁字典㊁枚举等多种方法ꎬ自动渗透目标网站实现拖库ꎮ由于工具渗透并发请求数量大ꎬ会触发网站的安全机制ꎬ容易被防火墙阻拦ꎮ3㊀SQL注入漏洞的防范从ＳＱＬ注入漏洞成因角度出发ꎬ防范漏洞应从编码开始防范ꎬ即安全编码ꎮ[２]同时对Ｗｅｂ服务器进行安全设置㊁安全管理和ＷＡＦ的应用ꎮ３ １㊀安全编码在编写Ｗｅｂ应用程序时ꎬ要对用户输入信息进行严格的过滤ꎬ运用正则表达式㊁白名单过滤㊁安全函数等方法提升代码安全ꎬ避免使用危险函数ꎬ在对Ｗｅｂ应用程序发布前ꎬ要对其测试期间用到的报错函数进行注释或删除ꎬ防止遗漏出现报错信息回显ꎬ降低出现ＳＱＬ注入漏洞风险ꎮ３ ２㊀Ｗｅｂ服务器安全加强服务器系统安全ꎬ减少系统端口开放数量ꎬ加强日志审计ꎬ及时打补丁ꎬ限制用户权限ꎬ提高系统安全等级ꎮ３ ３㊀ＷＡＦ的应用ＷＡＦ(ＷｅｂＡｐｐｌｉｃａｔｉｏｎＦｉｒｅｗａｌｌ)[３]是一种Ｗｅｂ应用防火墙ꎬ它监控网站上的ＨＴＴＰ/ＨＴＴＰＳ访问请求ꎬ通过定义过滤规则㊁启用Ｗｅｂ攻击防护等功能ꎬ它可以有效地过滤用户输入内容ꎬ发现关键字信息ꎬ将其阻隔在网站之外ꎬ实现对网站访问的有效控制ꎮ4㊀结语ＳＱＬ注入漏洞是Ｗｅｂ网站十分危险的漏洞ꎬ它的存在主要是由于程序开发人员安全意识不强ꎬ安全编码能力弱ꎬ为防范此漏洞的产生需要开发人员对编写代码进行严格审核ꎬ将此类漏洞消灭在部署Ｗｅｂ网站之前ꎬ实现网站的安全运行ꎮ参考文献:[１]㊀王丹ꎬ赵文兵.Ｗｅｂ应用常见注入式安全漏洞检测关键技术综述[Ｊ].北京工业大学学报ꎬ２０１６(１２):６２－６８. [２]㊀叶良艳.ＳＱＬ注入漏洞检测防御关键技术综述[Ｊ].安徽电子信息职业技术学院学报ꎬ２０１８(３):１９.(上接第１０１页)过程中ꎬ就能够有效地避免由于对市场需求的不了解或者对企业自身实力的估计不准确而造成的设备滞销或供不应求现象的发生ꎮ在完成了上述的工作过程以后ꎬ根据事先预估的产品制造数量ꎬ企业开始对各项工作内容进行详尽的安排ꎬ以便于能够确保每一名员工都可以精准地被分配到相应的工作内容ꎬ继而能够最大化地避免互相推卸责任的情况ꎮ２)基于预期产品要实现的功能ꎬ将相应的制造图纸设计出来ꎬ同时必须确保已经进行过多次市场调研和对企业自身技术水平的预估工作之后ꎬ才能彻底采用设计出的图纸ꎬ以便于保障企业能够达到图纸中所涉及到的技术要求水平ꎮ另外ꎬ图纸设计部门在正式设计图纸之前ꎬ要与制造部门进行有效的沟通交流ꎮ使设计部门在后续的制造过程中可以更好与制造部门进行沟通ꎬ当制造上的问题或技术问题出现在制造过程之中时ꎬ可以更加及时地修改图纸或提供技术上的指导ꎬ从而确保能够顺利完成制造ꎮ３)在按照图纸要求的情况下ꎬ自动化机械设备制造完成以后ꎬ负责图纸设计的工作人员应该基于图纸进行详细的测试工作ꎮ在测试过程中ꎬ应及时指出制造出的自动化机械设备当下存在的一些缺陷ꎬ并令其重新制造ꎬ在制造出的机械设备和图纸方案完全一致之前ꎬ不能进行验收ꎬ直到完全一致的时候才能够进行验收工作ꎮ４)在图纸设计人员的验收工作完成以后ꎬ需要把制造出来并验收成功的自动化机械设备运送至实际使用现场ꎮ在到达实际使用现场之后ꎬ就应马上对自动化机械设备开始进行安装调试工作ꎬ从而进一步地确认机械设备的功能是否能够满足实际要求ꎮ５)更进一步地对自动化机械设备加以检查ꎬ同时必须详细地把设备在运行过程中显现出来的各项基本性能予以记录ꎬ在整个机械设备各方面与实际预期效果完全一致之前ꎬ此自动化机械设备都不能投入市场ꎬ除此之外ꎬ在自动化机械设备被投入市场后ꎬ依然需要进行实时的跟进工作并加以记录ꎬ以确保不论什么意外情况发生在自动化机械设备运转过程中时ꎬ都可以进行及时的检查和维护ꎬ以便于最大化地保障设备使用者的工作效率和安全ꎮ4㊀结语随着经济的全球化发展和我国各领域技术的不断发展ꎬ中国的自动化机械设备设计产业链也发生了巨大变化ꎬ为了能够使这一行业能够持续朝向自动化㊁智能化和现代化的方向稳步发展ꎬ必须不断探索新的思路ꎬ不断进行技术革新ꎬ加强生产管理ꎬ从而使自动化机械设备的生产得到更大的进步ꎮ参考文献:[１]㊀董志强.自动化机械设备研发设计及制造要点分析[Ｊ].湖北农机化ꎬ２０２０(１):４２.[２]㊀刘建雨.自动化机械设备研发设计及制造要点分析[Ｊ].湖北农机化ꎬ２０１９(１０):１６.[３]㊀刘浩ꎬ赵越超.自动化机械设备研发设计及制造的要点分析[Ｊ].湖北农机化ꎬ２０１９(６):５４.[４]㊀李孝芳ꎬ蒋政委.自动化机械设备研发设计及制造的要点分析[Ｊ].决策探索(中)ꎬ２０１８(１１):６６－６７.３０１。

sql注入验证方法SQL注入验证方法什么是SQL注入SQL注入是一种常见的网络安全漏洞，攻击者通过在输入字段中插入恶意的SQL代码，从而执行非授权的数据库操作。

这可以导致泄露敏感数据、篡改数据，甚至完全控制数据库服务器。

SQL注入验证方法以下是一些常用的SQL注入验证方法，用于检测系统是否容易受到SQL注入攻击。

1. 单引号测试尝试在输入参数中插入单引号（’），观察系统对此的响应。

如果系统返回异常错误信息，则可能存在SQL注入漏洞。

2. 关键字测试尝试在输入参数中插入常见的SQL关键字，如SELECT、INSERT、UPDATE等，观察系统对此的响应。

如果系统执行了相应的数据库操作，说明存在SQL注入漏洞。

3. 嵌套查询测试尝试在输入参数中插入嵌套查询语句，如(SELECT * FROM users)，观察系统对此的响应。

如果系统返回了与正常查询结果相同的数据，说明存在SQL注入漏洞。

4. UNION测试尝试在输入参数中使用UNION操作符，如' UNION SELECT username, password FROM users--，观察系统对此的响应。

如果系统返回了其他表中的数据，说明存在SQL注入漏洞。

5. 注释测试尝试在输入参数中使用注释符号（--或#），如' OR '1'='1' --，观察系统对此的响应。

如果系统返回了所有记录，说明存在SQL注入漏洞。

6. 基于错误的测试尝试在输入参数中插入错误的SQL语句，如' AND 1=2，观察系统对此的响应。

如果系统返回了错误信息，说明存在SQL注入漏洞。

防范SQL注入的方法为了防范SQL注入攻击，开发人员应采取以下措施：•使用参数化查询或预编译语句，确保用户输入的数据不会被当作代码执行。

•对用户输入进行严格的验证和过滤，去除可能包含恶意代码的字符和特殊符号。

•不要直接拼接用户输入的数据到SQL语句中，而是使用参数化的方式传递数据。

基于渗透测试的SQL注入漏洞检测摘要：Internet正在进一步的普及，计算机网络技术也在不断的快速发展,Web技术已经被广泛的应用。

基于数据库架构和Web技术的应用系统己慢慢成为主流,在企业外部和内部的业务系统中被广泛应用。

然而,Web应用系统所面临的安全风险也在与日剧增。

关键字：Web安全；SQL注入；渗透测试Web安全渗透测试技术是针对Web应用积极防范的一种技术。

此技术在应用遭受到攻击之前,通过模拟黑客攻击Web应用的方式，探测目标系统。

而在各种Web应用攻击手段当中,SQL注入攻击是最易于实施的也是最常用的方法。

所以,做好针对SQL注入攻击的防范和入侵检测工作可以对整个信息基础设施的安全起到保证作用,是Web应用系统能够安全应用的关键,也作为网络安全方面所要研究的一项重要课题。

一、SQL注入检测技术的研究检测SQL的注入攻击,可以分成两种类型:系统运行时的动态检测和攻击发生前的漏洞检测。

此处主要写检测的过程,对相关漏洞检测方法进行介绍。

1、传统的漏洞检测方法传统的漏洞检测方法主要由敏感信息测试、网络爬虫和初步测试组成的。

首先利用网络爬虫搜索目标网站的链接得到网站的URL列表,然后对它进行敏感信息测试,了解目标网站数据库类型和服务器类型,最后在初步进行测试,来确定网站是否有注入漏洞的存在。

在SQL注入攻击还没有被人们足够重视的时,传统的测试方法基本上可以对大多数网站进行SQL注入漏洞的检测。

对于重视网络层防护而忽视应用层防护的Web系统来说,传统的测试方法通常都是有效果的。

敏感信息在测试的过程中，相关描述如下:步骤1,从测试的语句库中读入，敏感信息测试的脚本。

步骤2,提交敏感信息测试脚本和包含待测URL的HTTP请求。

步骤3,对服务器返回信息进行分析,对相关敏感信息进行确认。

而初步测试的过程描述就是按照下面如下进行的:步骤1,从测试语句库中读入用于初步测试的测试脚本。

步骤2,提交包含待测URL和初级测试脚本一(and 1=1)的HTTP请求。