SQL注入入侵的特点,实现以及防范.PDFVIP

第３０卷 第３期 世界科技研究与发展 Ｖｏｌ．３０ Ｎｏ．３ 　 　 ２００８年６月 ２９０－２９１页 ＷＯＲＬＤＳＣＩＴＥＣＨＲ＆Ｄ Ｊｕｎ．２００８ ｐｐ．２９０－２９１ ＳＱＬ注入入侵的特点、实现以及防范 袁沛沛　王　民 （西安建筑科技大学信息与控制工程学院，西安７１００５５） 摘　要：本文针对网站的安全问题，主要介绍了对网站危害最大的攻击方法ＳＱＬ注入入侵，分析其危害性，介绍ＳＱＬ攻击的原理及 其实现过程，最后针对ＳＱＬ攻击给出了具体的防范策略。 关键词：ＳＱＬ注入攻击；网络安全；防范策略 中图分类号：ＴＰ３０９　　　文献标识码：Ａ　　　 ＴｈｅＰｅｃｕｌｉａｒｉｔｙ，ＲｅａｌｉｚａｔｉｏｎａｎｄＰｒｅｖｅｎｔｉｏｎｏｆＳＱＬＩｎｊｅｃｔｉｏｎＡｔｔａｃｋｓ ＹＵＡＮＰｅｉｐｅｉ　ＷＡＮＧＭｉｎ （ＣｏｌｌｅｇｅｏｆＩｎｆｏｒｍａｔｉｏｎ＆Ｃｏｎｔｒｏｌ，ＸｉａｎＵｎｉｖｅｒｓｉｔｙｏｆＡｒｃｈｉｔｅｃｔｕｒｅ＆Ｔｅｃｈｎｏｌｏｇｙ，Ｘｉａｎ７１００５５） Ａｂｓｔｒａｃｔ：ＴｈｅａｒｔｉｃｌｅｅｘｐｏｕｎｄｓｔｈｅｔｈｅｏｒｙｏｆＳＱＬｉｎｊｅｃｔｉｏｎａｎｄｔｈｅｈａｒｍｉｔｍａｙｃａｕｓｅｔｏｓｙｓｔｅｍｓｅｃｕｒｉｔｙｉｎｄｅｔａｉｌ，ｔｈｅｎａｎａｌｙｚｅｓｔｈｅｅｘｉｓｔｉｎｇ ｓｏｌｕｔｉｏｎｓｔｏｃｈｅｃｋｉｔｃｌｅａｒｌｙ，ｆｉｎａｌｌｙｔｈｒｅｅａｄｖｉｃｅｓａｒｅｇｉｖｅｎｔｏｐｒｅｖｅｎｔｉｔ． Ｋｅｙｗｏｒｄｓ：ＳＱＬｉｎｊｅｃｔｉｏｎａｔｔａｃｋｓ；ｎｅｔｗｏｒｋｓｅｃｕｒｉｔｙ；ｐｒｅｖｅｎｔｉｖｅｓｔｒａｔｅｇｙ 要进行用户名或密码的猜测即可轻易进入系统。 １　引言 ３　ＳＱＬ注入攻击的实现 随着Ｂ／Ｓ模式应用开发和ＡＳＰ技术的发展，进入这个领 域程序员也越来越多。但是由于程序员的水平及经验参差 ＳＱＬ注入攻击实现的主要步骤如图１所示。 不齐，相当大一部分程序员在编写代码的时候，没有对用户 输入数据的合法性进行判断，使应用程序存在安全隐患。用 户可以提交一段数据库查询代码，根据程序返回的结果，获 得某些其想得知的数据。ＳＱＬ注入攻击主要是针对动态网 站，攻击者通过对服务器的数据注入，提交特殊代码，就可以 对服务器数据进行篡改、加载信息，还可以种植后门程序。 图１　注入攻击的主要步骤 当攻击者以超级用户访问服务器时，利用ＳＱＬ注入攻击，就 Ｆｉｇ．１　ＴｈｅｍａｉｎｐｒｏｃｅｓｓｏｆＳＱＬｉｎｊｅｃｔｉｏｎ 可以控制整个服务器，严重影响网站的正常运行甚至导致网 ３．１　对网页进行ＳＱＬ注入 站崩溃。因此，研究注入攻击的应对策略对保障动态网站的 只有带有参数的动态网页且此网页访问了数据库，才有 信息安全具有重要意义。 可能存在 ＳＱＬ注入。ＳＱＬ注入一般存在类似于：ＨＴＴＰ：／／ ２　ＳＱＬ注入攻击的定义和特点 ｗｗｗ．ｘｘｘ．ｃｏｍ／．ａｓｐ？ｉｄ＝ＸＸ等带有参数的ＡＳＰ动态 网页中。但是一个动态网页中不一定仅仅只有一个参数，有 所谓ＳＱＬ注入（ＳＱＬＩｎｊｅｃｔｉｏｎ），就是入侵者利用程序员 时可能有好多个参数。 对用户输入数据的合法性检测不严或不检测的特点，故意从 要寻找注入漏洞，首先要调整ＩＥ的配置。把ＩＥ菜单 － 客户端提交特