[发明专利]一种基于语法变换的SQL注入攻击防御系统及防御方法

摘要

本发明提出一种基于语法变换的SQL注入攻击防御系统及方法，通过构建网站程序SQL语句变换规则、对Web服务器上网站程序中的SQL语句进行初始化变换操作、判定Web服务器发往数据库的SQL访问语句是否为注入攻击性语句以及动态变换所述网站程序SQL语句变换规则，实现了对SQL注入攻击的有效防御。本发明所述基于语法变换的SQL注入攻击防御系统及方法不依赖于规则，而是基于语句变换和语法分析来精确识别恶意的SQL注入攻击，具有极低的误报率和漏报率，适用于多种类型的Web服务器和数据库系统，能有效防御SQL注入攻击行为，显著提升对Web服务器及其后台数据库的安全防护。

主权项

1.一种基于语法变换的SQL注入攻击防御方法，其特征在于，包括以下步骤：步骤一、构建网站程序SQL关键字替换规则集合，所述网站程序SQL关键字替换规则集合中包括有SQL关键字和每一个SQL关键字所对应的替换字符串；其中步骤一具体包括以下步骤：(1‑1)、根据用户配置信息生成SQL关键字集合；(1‑2)、为SQL关键字集合中的每一个SQL关键字生成对应的一个替换字符串，由所有的SQL关键字、替换字符串以及SQL关键字与替换字符串的对应关系构成所述网站程序SQL关键字替换规则集合；步骤二、对Web服务器上网站程序中的SQL语句进行初始化替换操作，将SQL语句中的SQL关键字按照网站程序SQL关键字替换规则集合替换成对应的替换字符串；步骤三、截获并解析Web服务器发往数据库的SQL访问语句，判定所述SQL访问语句中是否存在有SQL关键字，若是则判定所述SQL访问语句为注入攻击性语句，对其进行拦截，若否则对所述SQL访问语句按照网站程序SQL关键字替换规则集合进行还原，将其中的替换字符串还原为对应的SQL关键字，最后将还原后的SQL访问语句发往数据库。