[发明专利]基于动态变换的SQL注入攻击防御系统及防御方法

摘要

本发明提出一种基于动态变换的SQL注入攻击防御系统和方法，通过构建数据库字段替换规则集合和网站程序SQL关键字替换规则集合，将数据库中出现的与SQL关键字形式相同的字符串按照数据库字段替换规则集合进行替换，将Web服务器上网站程序中的SQL语句按照网站程序SQL关键字替换规则集合进行替换，对于Web服务器发往数据库的SQL语句，把SQL语句中的SQL关键字按照数据库字段替换规则集合进行替换后在将其按照网站程序SQL关键字替换规则集合进行还原。本发明不依赖于规则，无需事先建立区分正常SQL语句和SQL注入攻击的判断规则，通过对SQL语句进行替换变换，使得攻击者恶意注入的SQL语句变成不符合数据库语法规范的语句而无法被执行，进而防御了SQL注入攻击行为。

主权项

1.一种基于动态变换的SQL注入攻击防御方法，其特征在于，包括以下步骤：步骤一、构建数据库字段替换规则集合和网站程序SQL关键字替换规则集合，所述数据库字段替换规则集合中包括有SQL关键字和每一个SQL关键字所对应的替换字符串，所述网站程序SQL关键字替换规则集合中包括有SQL关键字和每一个SQL关键字所对应的替换字符串；步骤二、进行初始化替换操作，将数据库中出现的与SQL关键字形式相同的字符串按照数据库字段替换规则集合替换为对应的替换字符串，将Web服务器上网站程序中的SQL语句中的SQL关键字按照网站程序SQL关键字替换规则集合替换成对应的替换字符串；步骤三、截获并解析Web服务器发往数据库的SQL语句，首先把SQL语句中出现的与SQL关键字形式相同的字符串按照数据库字段替换规则集合替换为对应的替换字符串，接着把SQL语句中按照网站程序SQL关键字替换规则集合替换后出现的替换字符串再次按照网站程序SQL关键字替换规则集合还原为对应的SQL关键字，然后将所述SQL语句发往数据库；步骤四、截获并解析数据库向Web服务器的返回结果，将返回结果中出现的与数据库字段替换规则集合中的替换字符串相同的字符串按照数据库字段替换规则集合进行还原，然后将返回结果发往Web服务器；步骤五、动态变换所述网站程序SQL关键字替换规则集合，并根据变换后的网站程序SQL关键字替换规则集合对Web服务器上网站程序中的SQL语句中的SQL关键字进行更新替换操作。