Web应用SQL注入漏洞检测工具的设计与实现.pdfVIP

实践方法 窑Practical Method 1 2 1 1 张 鑫 张 婷 段新东 林玉香 (1.南阳理工学院软件学院 河南南阳 473000 曰2 南阳师范学院 算机与信息技术学院 河南南阳 473000) 摘 要 】由于Web 应用系统的开发周期较短，同时开发人员安全编程意识不足，Web 应用程序会存在漏洞。因此， 检测Web 应用系统的安全性是安全领域的亟待解决的问题。SQL 注入漏洞检测工具模拟黑客攻击的方式，采用网 络爬虫技术建立需检测的URL 库，依据SQL 注入模板精心构造URL ，并从根据浏览器返回 息，判定是否存在 SQL 注入点。可以提前意识到Web 应用存在的漏洞，并及时修补，降低系统受攻击的风险，是有效的Web 安全防护 手段。 关键词 SQL 注入；漏洞检测；Web 安全 】 中图分类号 TP3 11 】 Design and Implementation of SQL Injection Detection System based on Web Application Abstract 】Web application development cycle is very short, and programmers lack the awareness of security programming, loopholes in Web applications are inevitable. So how to detect and assess security of Web applications is a serious problem of Web security. SQL Injection Detection System simulates the way that hacker attacks to send specific vulnerability characteristics. This tool can create URL library using the web crawler technology, and construct URL carefully based on SQL injection template. According to the response of browser, determine the existence of SQL injection. Users can aware of Web application vulnerabilities early, and repair them timely. As a result the risk of attack system is reduced and it is the effective method to protect Web security. Keywords 】sql injection; vulnerability scanning; web application security 1 引言 进行修补 是效果好的Web 安全防护手段遥 采用B/S 架构 并通过HTTP 或HTTPS 协议提供 2 Web 应用中常见漏洞攻击 访问的应用服务统称为Web 应用遥 目前 几乎所有政 Web 应用大多涉及服务器端的动态处理 同时 开 府尧通信尧证券尧银行以及电子商务都支持在线交易和查 发人员可能在开发过程中疏忽参数的输入检查 因此会 询服务,包括个人账户尧用户信息尧交易记录等在内的用 出现各种Web 应用安全问题 会产生相关漏洞 例如文 户的敏感信息 都通过Web 应用系统存储在数据库中 件包含漏洞 目录遍历漏洞 信息泄露漏洞和SQL 注入 一旦数据被盗取或篡改 都会造成巨大损失遥 为降低系 漏洞给攻击者留下可乘之机遥 统受攻击的风险 可利用Web 应用安全漏