基于代理模式的 SQL 注入漏洞检测技术研究

摘要：

SQL 注入（SQL injection）漏洞是网站中普遍存在的漏洞之一，同时也是影响企业运营且最具破坏性的漏洞之一。SQL 注入漏洞的检测模式可分为手工分析和自动化工具扫描分析两种方式。虽然有很多自动化工具可以帮助我们快速检测 SQL 注入漏洞，但工具检测能力十分有限，就目前而言，扫描工具的最大瓶颈在于如何确保爬虫所得待测数据的全面性。由于爬虫技术的限制，大部分扫描工具的误报和漏报概率都比较大。人工分析虽然可以保证漏洞检测的准确度，但检测过程需要消耗大量时间且效率比较低下。针对此种情况，文章提出一种基于代理模式的 SQL 注入漏洞检测方法，该方法在兼顾准确率和效率的基础之上，综合利用已有漏洞检测工具的优点，实现快速全面收集待测数据，以此确保 SQL 注入漏洞检测的高效性和准确性。另外，文章还利用该方法对 Web 应用中的 XSS 漏洞进行了检测分析，并取得了非常好的效果。

关键词：SQL 注入、漏洞检测、代理模式

分类号：TP309(计算技术、计算机技术)

资助基金：国家自然科学基金61170268，61100047，61272493

在线出版日期：2014-12-05（万方平台首次上网日期，不代表论文的发表时间）

页数：共4页

页码：66-69