程序分析技术在SQL注入防御中的应用研究

作者：李小花; 孙建华; 陈浩

来源：小型微型计算机系统, 2011, (06): 1089-1093.

• Web安全
• SQL注入
• 静态分析
• 动态分析 Web security
• sql injection
• static analysis
• dynamic analysis

SQL(Structured Query Language)注入是一种常用且易于实施的攻击手段,对Web应用程序的安全构成严重危害.通过分析SQL注入攻击的原理,提出一种基于程序分析技术的SQL注入防御原型系统.该系统以静态分析为基础,对污染数据进行跟踪,并为包含污染数据的SQL语句建立合法查询自动机模型,然后以此作为被测程序的探针,进行动态测试,跟踪并记录程序的执行情况.系统的实现针对Java的Web应用程序,不需要修改服务器以及数据库平台的配置.实验表明,该系统具有较好的防范SQL注入的效果和较低的运行开销.

• 单位
  湖南大学; 长沙师范学校