赵宇飞，熊刚，贺龙涛，李舟军



面向网络环境的SQL注入行为检测方法

赵宇飞1，熊刚2，贺龙涛3，李舟军1

(1. 北京航空航天大学计算机学院，北京 100083；2. 中国科学院信息工程研究所，北京 100093； 3. 国家计算机网络应急技术处理协调中心，北京 100029)

SQL注入攻击是Web应用面临的主要威胁之一，传统的检测方法针对客户端或服务器端进行。通过对SQL注入的一般过程及其流量特征分析，发现其在请求长度、连接数以及特征串等方面，与正常流量相比有较大区别,并据此提出了基于长度、连接频率和特征串的LFF（length-frequency-feature）检测方法，首次从网络流量分析的角度检测SQL注入行为。实验结果表明，在模拟环境下，LFF检测方法召回率在95%以上，在真实环境下，该方法也取得较好的检测效果。

Web安全；SQL注入；网络流量；异常检测

1 引言

目前，大多数信息系统和商业应用都提供了基于数据库的Web服务，与此同时，针对Web服务中漏洞发起的攻击也越来越多。在OWASP发布的2013年Web安全漏洞Top10中[1]，由于操作难度低、危害巨大，SQL注入漏洞名列第一，且其普遍程度呈现出逐年上升的趋势。

SQL注入是一种利用应用程序数据库漏洞的注入技术。SQL注入攻击针对的是使用后台数据库的交互式Web服务，主要通过网络应用层协议HTTP完成。SQL注入攻击的目标一般不是Web服务器本身，而是为了非法获取用户信息、数据库中的敏感数据以及服务器数据信息[2~4]。由于SQL注入利用SQL语言的特性，理论上对Oracle、MySQL、MS Server等基于SQL语言的数据库都有效。通过对SQL注入行为的检测，可及时向被注入系统报警，有效保护企业及个人数据安全，同时可作为网络取证的证据，对网络攻击行为形成震慑作用。……