[发明专利]一种SQL注入攻击检测方法及系统

摘要

一种SQL注入攻击检测方法及系统。包括SQL注入攻击检测知识库构建阶段和实时SQL注入攻击检测阶段，所述的SQL注入攻击检测知识库构建包括各种场景下SQL注入攻击样本的收集、SQL注入手法分类、以及针对各类SQL注入手法的SQL注入攻击检测语法规则的建立；实时SQL注入攻击检测阶段包括HTTP请求消息中用户输入数据的提取、解码和与SQL注入攻击检测语法规则的匹配等步骤。本发明使用SQL语法定义SQL注入攻击检测规则，而不是基于传统攻击特征签名来定义SQL注入攻击检测规则，有效克服SQL注入攻击事件的攻击特征签名不易提取和易被欺骗等缺点，大大降低入侵检测系统检测SQL注入攻击时的误报率和漏报率。

主权项

1.一种SQL注入攻击检测方法，包括SQL注入攻击检测知识库构建和实时SQL注入攻击检测两个阶段，其特征在于：A)所述的SQL注入攻击检测知识库构建阶段包括以下步骤：101.收集各种场景下的SQL注入攻击样本；102.对这些样本按{动态SQL模板类型，SQL注入点位置}序偶进行分类，每一类样本代表一种SQL注入手法；103.为各类SQL注入攻击手法建立符合SQL语法的SQL注入攻击检测语法规则；104.将所有符合SQL语法的SQL注入攻击检测语法规则进行整理，组成SQL注入攻击检测知识库；B)所述的实时SQL注入攻击检测阶段包括以下步骤：201.从HTTP请求中提取可能包含SQL注入攻击的用户输入数据，包括URL参数、COOKIE和FORM表单数据；202.根据用户数据类型，将用户输入数据分割成多个{名称，值}序偶，表示为{NAME，VALUE}；203.对每个{NAME，VALUE}序偶中的{VALUE}字串按HTTP解码规范解码，还原成原始的用户数据格式；204.对于每个被解码还原的{VALUE}字串，检测其是否与SQL注入攻击检测知识库中某一顶级SQL注入攻击检测语法规则相匹配：如果不匹配则返回；否则表示检测到了相应的SQL注入攻击，执行步骤205；205.产生一个SQL注入攻击企图报警事件。