一种数据库漏洞挖掘方法研究论文.docVIP

华 中 科 技 大 学 硕 士 学 位 论 文  摘  要  软件安全漏洞已经成为网络信息安全的最主要的威胁之一。最近几年以来互联网 发生的重大黑客或是病毒事件，基本上都是由于软件漏洞的存在而导致的。而数据库 作为信息系统中一个重要的组成部分，它担负着存储和管理数据信息的任务，如何检 测出数据库中可能存在的漏洞并加以弥补，从而保证和加强数据库的安全性和保密性， 已经成为目前迫切需要解决的热门课题。 在对目前比较流行的漏洞发现技术进行对比研究的基础上，选择了基于缺陷注入 的自动化软件测试技术 Intelligent fuzzing 作为挖掘数据库漏洞的主要手段。根据 Intelligent fuzzing 的需要，需要研究目标应用程序的协议或文件格式。因而接下来研 究讨论了如何利用包捕获技术和反汇编技术对数据库的关键通讯协议进行分析，确定 各个数据包的用途和数据包各个字段的含义。在此基础上结合脚本和样本包的概念， 分析了数据库主要的几种 SQL 命令的一般语法结构，根据不同数据项类型的定义，定 位了相应的敏感字段，并给出了各个类型的字段的变换规则，作为构造测试数据包的 依据。结合实际情况分析了样本包来源，并总结了从客户端发送 fuzzing 数据包到服务 器的技术手段，同时还讨论了如何在使用挖掘器对服务器进行 fuzzing 测试的过程中， 通过监控服务端返回的信息和服务端的异常工作信息来识别漏洞触发的状况。在总结 了以上所述的协议分析、fuzzing 测试数据包构造、数据包发送和漏洞信息识别技术的 基础上，给出了针对数据库漏洞挖掘的整体框架，并对关键模块的实现进行了详细的 说明。在文章末尾根据挖掘的框架构造了一个简单的挖掘器，结合一些现有工具，对 某数据库进行了实验挖掘，验证了技术的可行性。 所提出的数据库漏洞挖掘技术及其实现框架，对于数据库漏洞挖掘的研究是很有 意义的，可以针对不同数据库进行适当的修改，作为一种进行数据库漏洞挖掘的有效 手段。 关键词： 数据库漏洞，漏洞挖掘技术，数据库安全，协议分析，反汇编技术 I 华 中 科 技 大 学 硕 士 学 位 论 文 Abstract Software security vulnerabilities have become one of the most important threat to the security of information on computer networks. Hacking incidents and virus incidents happened in recent years were mainly caused by the software vulnerabilities. And database as an important component of information systems takes the responsibility of storage and management of data information.So how to detect the existence of vulnerabilities in the database and enhance the security and confidentiality of database has been a hot topic that need urgently to solve. On the basis of the comparison of the most popular technologies on detecting vulnerabilities, intelligent fuzzing technology has been chosen as the main mean to detect the vulnerabilities in database. Intelligent fuzzing is an automatic technology based on selecting defects into the software. In accordance with the needs of intelligent fuzzing, the study of the agreement or file format of application software is needed. Thus next we have to study and discuss how to use packet-captured technology and disassembly technology to anal