基于靜態(tài)分析的防SQL注入過濾模塊的設(shè)計(jì)與實(shí)現(xiàn).pdf

1、伴隨著計(jì)算機(jī)網(wǎng)絡(luò)的快速發(fā)展,基于B/S架構(gòu)的Web應(yīng)用程序逐漸替代了C/S架構(gòu)的應(yīng)用程序,隨之而來的Web應(yīng)用程序的安全性也成為相關(guān)學(xué)者研究的熱點(diǎn)。SQL注入攻擊是影響Web應(yīng)用程序安全性的最嚴(yán)重的問題之一,因此有效的檢測和防御SQL注入攻擊對于保證Web應(yīng)用程序的安全性具有十分重要的現(xiàn)實(shí)意義。傳統(tǒng)的防御SQL注入的方法有指令隨機(jī)化,滲透測試,輸入過濾等。這些方法要么不能防御所有類型的SQL注入攻擊,要么存在的極高的誤報(bào)率和漏報(bào)率,要么

2、需要服務(wù)器和數(shù)據(jù)庫代理的支持,部署十分繁雜。
　　針對傳統(tǒng)的防御方法的不足,本文在結(jié)合靜態(tài)分析和動態(tài)檢測技術(shù)的基礎(chǔ)上提出了一種基于靜態(tài)分析的防范 SQL注入過濾模塊的設(shè)計(jì)與實(shí)現(xiàn)方法。通過靜態(tài)分析 Web應(yīng)用程序的源文件,提取用戶輸入到執(zhí)行參數(shù)的構(gòu)造路徑,生成策略文檔。動態(tài)執(zhí)行時(shí)替換策略文檔中的輸入?yún)?shù)為用戶輸入值,比較得到的SQL語句和原SQL語句在語義和結(jié)構(gòu)上的異同判斷是否存在SQL注入攻擊。過濾模塊的設(shè)計(jì)實(shí)現(xiàn)基于Java語言,