翟宝峰

（辽宁工业大学 软件学院，辽宁 锦州 121001）

互联网已经在社会各领域中得到了广泛应用，互联网上应用程序模式采用B/S 框架结构，即WEB应用程序，优点是不局限于某个单位的局域网内部，而是面向全世界，具有开放性的特点，部署起来也很方便，促进了各行各业信息化的发展。

大量单位及个人可以通过网络访问WEB 应用程序，给用户带来了方便，但由于互联网的开放性，给数据访问带来了风险，不法分子对以数据库为核心的攻击越来越多，方式也是多种多样。目前大多数数据库均采用关系型数据库，而关系型数据库采用的操纵语言是SQL 语言，SQL 语言的安全使用成为数据安全访问的核心问题。

1 SQL 注入产生原因

1.1 WEB 应用程序结构

WEB 应用程序由3 大部分组成，包括客户端程序、WEB 服务程序、数据库服务程序[1]，如图1所示。

图1 WEB 应用程序结构

客户端用户通过浏览器向WEB 服务器发出URL 请求，WEB 服务器调用相应的程序处理请求，如果处理过程中需要访问数据库，WEB 服务器会把访问数据库的请求发给数据库服务器，数据库服务器根据此请求，对数据进行处理，再把结果传给WEB 服务器，WEB 把最后的处理结果以网页形式传回客户端，客户端浏览器再把结果呈现给用户。互联网的用户原则上都能访问WEB 应用程序，方便了用户的同时，也给网络攻击者提供了机会，给数据库服务器的访问带来了不安全的因素，SQL 攻击也存在了可能性。

1.2 SQL 注入

WEB 应用程序的SQL 注入，就是把SQL 命令插入到网页表单、URL 的参数或页面请求的查询字符串中，形成含有SQL 攻击的语句，服务器执行这些语句，攻击者就达到欺骗服务器执行恶意SQL命令的目的[2]。……