【摘要】：日新月異的互聯(lián)網(wǎng)Web技術(shù)在為人類發(fā)展帶來便利的同時,也引發(fā)了層出不窮的安全問題。SQL注入是蟬聯(lián)數(shù)十年OWASP[1]漏洞排行榜之首的注入漏洞類型中最常見的攻擊之一。其數(shù)據(jù)泄露等的高危害性和SQL樣本的多變性,成為近年來攻防專家致力研究的重要原因。對于SQL注入流量的檢測,國內(nèi)外已涌現(xiàn)出許多成熟的商業(yè)性防火墻產(chǎn)品(WAF),但存在防護(hù)規(guī)則狀態(tài)有限、可讀性差和維護(hù)成本高等缺點。面對復(fù)雜多變的SQL注入攻擊,學(xué)術(shù)界提出基于人工智能的解決方案,通過將文本向量化進(jìn)而轉(zhuǎn)交給算法模型分類處理以實現(xiàn)檢測惡意攻擊的目的。然而缺乏豐富多樣的數(shù)據(jù)集和特征向量提取不全等問題導(dǎo)致了分類模型檢測性能的瓶頸�；谝陨系姆治龌A(chǔ),本文主要從如下三個方面開展相關(guān)工作:(1)通過深入分析SQL注入漏洞的原理及相關(guān)組件脆弱性,提出了SQL樣本隨機(jī)生成算法,結(jié)合開源工具SQLMAP進(jìn)行二次開發(fā),生成高質(zhì)量的SQL樣本,甚至是可定向繞過防火墻的變種樣本,有效提升了模型的檢測精度。(2)改進(jìn)了傳統(tǒng)的分詞提取特征的方法,融合了多維變種樣本的特征,引入了差分特征向量以彌補(bǔ)特征提取過程中的信息損失,通過三輪有針對性的特征提取,實現(xiàn)了對傳統(tǒng)SQL注入和變種SQL注入流量通用的特征提取方法,增強(qiáng)了特征提取的完整性,從而強(qiáng)化了對未知變種SQL注入的檢測能力。(3)基于深度森林分類算法設(shè)計并實現(xiàn)了SQL注入智能檢測工具。通過多數(shù)據(jù)源的迭代更新,實現(xiàn)了對模型迭代優(yōu)化的效果,一定程度緩解了數(shù)據(jù)集匱乏的問題,并提升了模型的檢測精度,有效抑制了模型過擬合的問題。文章最后主要從生成模型性能和檢測模型性能兩個方面進(jìn)行實驗論證:通過比較本文生成算法生成的樣本對抗商業(yè)WAF的效果和基于SQLMAP二次開發(fā)的定向繞過防火墻的效果,證明樣本生成方案的可行性與有效性;通過對比本文特征工程方案與前人的研究方法在多組淺層機(jī)器學(xué)習(xí)模型下的分類性能指標(biāo),驗證本文特征工程方案的有效性;通過在不同比例黑白樣本的訓(xùn)練情形下,分別對比了深度森林與深度學(xué)習(xí)模型和淺層學(xué)習(xí)模型的性能與精度差異,驗證了本文檢測模型的優(yōu)勢,也從側(cè)面驗證了本文樣本生成算法一定程度上提升了模型的檢測精度,有效抑制了模型的過擬合;最后通過多數(shù)據(jù)源的迭代更新,線下檢測模型檢測精度整體呈上升的趨勢,驗證了系統(tǒng)設(shè)計的合理性。
【圖文】：

ＳＱＬ注入就是攻擊者通過精心構(gòu)造用戶可控的輸入內(nèi)容，影響和逡逑改變服務(wù)端傳遞給后臺數(shù)據(jù)庫的ＳＱＬ命令，，從而非法獲取信息或者執(zhí)行惡意命逡逑令，常見的交互流程如圖２－１所示：逡逑數(shù)據(jù)庫逡逑＾邐服務(wù)器Ｙ逡逑圖２－１邋ＳＱＬ注入交互流程圖逡逑舉個具體的案例闡述一下，服務(wù)端（ｈｔｔｐ：／／ｖｉｃｔｉｍ．ｃｏｍ）存在ＳＱＬ注入漏洞的示例代逡逑碼ｖｕｌ．ｐｈｐ如下：逡逑＜？ｐｈｐ逡逑ｉｆ（邋ｉｓｓｅｔ（邋￥＿ＲＥＱＵＥＳＴ［邋＇Ｓｕｂｍｉｔ＇邋］））邋｛邐逡逑７逡逑

圖２４邋ＨＴＴＰ請求交互流程圖逡逑流程簡化描述如下：逡逑１、用戶按照ＨＴＴＰ協(xié)議規(guī)范發(fā)送訪問數(shù)據(jù)包；逡逑
【學(xué)位授予單位】：北京郵電大學(xué)
【學(xué)位級別】：碩士
【學(xué)位授予年份】：2019
【分類號】：TP393.08;TP181

【相似文獻(xiàn)】

相關(guān)期刊論文 前10條

1 茹蓓;;SQL查詢語句的優(yōu)化[J];新鄉(xiāng)教育學(xué)院學(xué)報;2006年04期

2 郭小雷;王宗彥;吳淑芳;侯聰亞;樊恒;;基于SQL的橋式起重機(jī)智能設(shè)計網(wǎng)絡(luò)系統(tǒng)開發(fā)[J];機(jī)械設(shè)計與研究;2017年01期

3 于思江;邱思晨;王小兵;;基于存儲過程的SQL自動評判系統(tǒng)[J];電子設(shè)計工程;2017年11期

4 趙志明;崔歡喜;唐驁棋;;本科數(shù)據(jù)庫課程中SQL教學(xué)建議[J];學(xué)周刊;2015年12期

5 祁星;孫琳;周治宇;;淺析我院數(shù)據(jù)庫系統(tǒng)中SQL語句優(yōu)化[J];數(shù)碼世界;2017年05期

6 田會;;優(yōu)化SQL語句提高數(shù)據(jù)庫系統(tǒng)效率[J];硅谷;2014年08期

7 黃錦祝;;ASP.NET與SQL聯(lián)合在機(jī)械零部件銷售系統(tǒng)設(shè)計當(dāng)中的應(yīng)用[J];制造業(yè)自動化;2012年10期

8 蔣丹丹;牛曉楠;;基于SQL的宿舍學(xué)生成績管理系統(tǒng)設(shè)計與開發(fā)[J];企業(yè)技術(shù)開發(fā);2012年20期

9 吳貴山;;SQL注入攻擊防御策略的研究[J];計算機(jī)與網(wǎng)絡(luò);2012年09期

10 趙慧玲;毛應(yīng)爽;孟憲穎;;基于SQL游標(biāo)的研究與應(yīng)用[J];科技創(chuàng)新導(dǎo)報;2012年28期

相關(guān)會議論文 前10條

1 馬克委;陳紅權(quán);張文先;蔣毅;;用SQL語言進(jìn)行地籍?dāng)?shù)據(jù)庫的邏輯檢查[A];江蘇省測繪學(xué)會2007'學(xué)術(shù)年會論文集[C];2008年

2 熊婧;曹忠升;朱虹;馮玉才;;基于構(gòu)造路徑的存儲過程SQL注入檢測[A];第二十五屆中國數(shù)據(jù)庫學(xué)術(shù)會議論文集（二）[C];2008年

3 李占睿;;利用遠(yuǎn)程SQL復(fù)制技術(shù)建立氣象數(shù)據(jù)庫移動內(nèi)部網(wǎng)[A];中國氣象學(xué)會2006年年會“航空氣象探測、預(yù)報、預(yù)警技術(shù)進(jìn)展”分會場論文集[C];2006年

4 李占睿;;利用遠(yuǎn)程SQL復(fù)制技術(shù)建立氣象數(shù)據(jù)庫移動內(nèi)部網(wǎng)[A];全國優(yōu)秀青年氣象科技工作者學(xué)術(shù)研討會論文集[C];2006年

5 朱虹;舒鵬;;擴(kuò)展SQL實現(xiàn)DBMS細(xì)粒度訪問控制[A];第二十三屆中國數(shù)據(jù)庫學(xué)術(shù)會議論文集（技術(shù)報告篇）[C];2006年

6 林宏軒;鄭振楣;石樹剛;;復(fù)雜對象數(shù)據(jù)模型ATS及其查詢語言C—SQL[A];第十屆全國數(shù)據(jù)庫學(xué)術(shù)會議論文集[C];1992年

7 余劉瑯;汪彩萍;程克勤;;基于Snort的檢測SQL注入和跨站腳本攻擊的正則表達(dá)式的探討[A];中國儀器儀表學(xué)會第九屆青年學(xué)術(shù)會議論文集[C];2007年

8 符俊藝;;用VB和SQL開發(fā)交換機(jī)話務(wù)分析系統(tǒng)[A];海南省通信學(xué)會學(xué)術(shù)年會論文集（2005）[C];2005年

9 谷豐強(qiáng);王文;李勃;梁野;;基于SQL語義的安全過濾系統(tǒng)研究與實現(xiàn)[A];2009電力行業(yè)信息化年會論文集[C];2009年

10 方舟;王霓虹;;網(wǎng)絡(luò)環(huán)境下SQL注入攻擊常見方法和防御策略研究[A];黑龍江省計算機(jī)學(xué)會2007年學(xué)術(shù)交流年會論文集[C];2007年

相關(guān)重要報紙文章 前2條

1 胡香青 朱紅麗 浙江省永康市經(jīng)普辦;SQL技術(shù)在經(jīng)普個體戶信息比對中的應(yīng)用[N];中國信息報;2014年

2 四川 楊陳;PowerBuilder動態(tài)SQL的實現(xiàn)[N];電腦報;2002年

相關(guān)博士學(xué)位論文 前2條

1 田偉;模型驅(qū)動的web應(yīng)用SQL注入安全漏洞滲透測試研究[D];南開大學(xué);2012年

2 鄧立國;模糊時態(tài)數(shù)據(jù)庫建模若干關(guān)鍵技術(shù)研究[D];東北大學(xué);2011年

相關(guān)碩士學(xué)位論文 前10條

1 韓言平;SQL注入智能檢測工具的設(shè)計與實現(xiàn)[D];北京郵電大學(xué);2019年

2 黃煜;XSS及SQL注入漏洞檢測器的設(shè)計與實現(xiàn)[D];云南大學(xué);2017年

3 趙茜;面向Web應(yīng)用的SQL注入防御技術(shù)研究[D];哈爾濱工程大學(xué);2018年

4 鄭小裕;SQL與NoSQL數(shù)據(jù)庫的統(tǒng)一查詢模型的研究與實現(xiàn)[D];湖南大學(xué);2014年

5 吳嬌嬌;面向關(guān)系數(shù)據(jù)庫SQL代碼的自動評判算法研究[D];浙江師范大學(xué);2018年

6 孔德廣;基于攻擊行為特征的SQL注入檢測方法研究[D];貴州大學(xué);2018年

7 賈瀟雨;基于改進(jìn)爬蟲技術(shù)的SQL注入的自動化掃描工具的研究與設(shè)計[D];北京郵電大學(xué);2018年

8 李鑫;動靜結(jié)合的二階SQL注入漏洞檢測技術(shù)研究[D];華僑大學(xué);2017年

9 楊小麗;防SQL注入攻擊中間件的設(shè)計與實現(xiàn)[D];四川師范大學(xué);2010年

10 王洪海;錄井?dāng)?shù)據(jù)訪問層中SQL注入檢測技術(shù)的研究[D];大連海事大學(xué);2011年

本文編號：2639986