[发明专利]一种SQL注入漏洞检测方法、装置及可读存储介质

说明书

根据本申请方案所提供的SQL注入漏洞检测方法，装置及可读存储介质，对系统请求输入的数据流的执行参数进行监听；若在监听过程中检测到执行参数在连接层存在数据库操作，则触发收集指令；根据收集指令收集数据处理阶段的执行参数的相关数据；根据相关数据检测包含执行参数的数据流是否存在SQL注入漏洞。通过本申请方案的实施，当数据流中的执行参数在连接层对数据库进行操作时，收集执行参数在输入阶段和传播阶段对应的内存地址的标记，根据两个阶段对应的内存地址的标记检测包含执行参数的数据流是否存在SQL注入漏洞，能够降低开发要求与测试要求，提高测试效率，加快代码提交速率。

技术领域

本申请涉及网络安全技术领域，尤其涉及一种SQL注入漏洞检测方法、装置及可读存储介质。

背景技术

系统安全、应用安全、敏感信息的保护等话题已经成为软件企业不能回避的挑战，如何在开发过程中制度化、流程化的实现安全特性，是所有软件企业都需着重考虑的问题，目前在.NET平台(一种用于构建多种应用的免费开源开发平台)上这种需求越来越多，采用C#开发的大型项目，如何在系统上线前确保不会存在SQL注入已经成了首要的解决的难点，目前来说，市面上.NET平台针对SQL类注入检测的方式包括：开发阶段制定开发手册，避免开发过程中随意编写不可控代码；代码审计，针对开发者实现的代码审阅和审查，杜绝不可控代码和危险代码；大量的后期测试，投入大量测试人员对项目各个方面进行安全测试。存在的缺陷包括：对开发人员在开发过程中的要求比较高，特殊时候可能存在不可控因素；大量审批导致代码提交缓慢，进度受影响；对测试人员要求较高，测试效率低。

发明内容

本申请实施例提供了一种SQL注入漏洞检测方法、装置及可读存储介质，至少能够解决相关技术中对开发人员在开发过程中的要求比较高，特殊时候可能存在不可控因素；大量审批导致代码提交缓慢，进度受影响；对测试人员要求较高，测试效率低的问题。

本申请实施例第一方面提供了一种SQL注入漏洞检测方法，包括：

对系统请求输入的数据流的执行参数进行监听；

若在监听过程中检测到所述执行参数在连接层存在数据库操作，则触发收集指令；其中，所述连接层位于框架与数据库之间；

根据所述收集指令收集数据处理阶段的所述执行参数的相关数据；其中，所述相关数据包括内存地址的标记；其中，所述数据处理阶段包括输入阶段和传播阶段；

根据所述相关数据检测包含所述执行参数的所述数据流是否存在SQL注入漏洞。

本申请实施例第二方面提供了一种SQL注入漏洞检测装置，包括：

监听模块，用于对系统请求输入的数据流的执行参数进行监听；

触发模块，用于若在监听过程中检测到所述执行参数在连接层存在数据库操作，则触发收集指令；其中，所述连接层位于框架与数据库之间；

收集模块，用于根据所述收集指令收集数据处理阶段的所述执行参数的相关数据；其中，所述相关数据包括内存地址的标记；其中，所述数据处理阶段包括输入阶段和传播阶段；

检测模块，用于根据所述相关数据检测包含所述执行参数的所述数据流是否存在SQL注入漏洞。

本申请实施例第三方面提供了一种电子装置，包括：存储器、处理器及总线，所述总线用于实现所述存储器、处理器之间的连接通讯；所述处理器用于执行存储在所述存储器上的计算机程序，所述处理器执行所述计算机程序时上述本申请实施例第一方面提供的SQL注入漏洞检测方法中的各步骤。

本申请实施例第四方面提供了一种计算机可读存储介质，其上存储有计算机程序，计算机程序被处理器执行时，实现上述本申请实施例第一方面提供的SQL注入漏洞检测方法中的各步骤。