毕业论文(设计)_Web环境下SQL注入攻击与防御研究文档【45页】 ㊣ 精品文档 值得下载

与防御研究周波摘要随着计算机网络的发展，应用程序得到极为广泛的应用，其自身的安全也面临越来越多的威胁，结构化查询语言注入攻击也是目前应用程序面临的主要安全威胁之，因此对注入攻击与防御对于理解和加强应用程序的安全具有十分重要的意义。

注入攻击是黑客对数据库进行攻击的常用手段之。

随着模式应用开发的发展，使用这种模式编写应用程序的程序员也越来越多。

但是由于程序员的水平及经验也参差不齐，相当大部分程序员在编写代码的时候，没有对用户输入数据的合法性进行判断，使应用程序存在安全隐患。

用户可以提交段数据库查询代码，根据程序返回的结果，获得些他想得知的数据，这就是所谓的，即注入。

本文针对普遍存在的注入攻击方法与防御技术进行探讨，总结了常见的利用漏洞的方法，从代码层和系统层的角度介绍了避免注入的各种策略和需要考虑的问题。

包含所有与注入相关的当前已知的信息。

本文所论述的内对于程序开发者，系统管理人员，网络管理人员和安全人员具有点的安全参考价值，这对于减小注入攻击的危害，降低系统的安全威胁提高程序质量具有重要的意义。

关键词注入攻击注入漏洞漏洞检测代码解析贵州民族大学论文贵州民族大学论文第章绪论课题背景课题研究意义国内外研究现状文本工作论文结构第二章工作原理与数据库理解应用的工作原理什么是应用系统通信方式数据库查询语言常见查询语言查询结构中常用知识本章小结第三章注入攻击测试注入攻击的基本概念注入攻击基本特点注入产生原因构造动态字符串不安全的数据库配置本章小结第四章注入的实现注入流程寻找注入确认注入及语句构造方式内联注入与终止式注入盲注使用非主流通道贵州民族大学论文利用操作系统注入实践搭建注入环境本章小结第五章注入攻击防御代码层防御使用参数化语句输入验证输出编码规范化通过设计来避免注入平台层防御使用运行时保护确保数据库安全最小化不必要信息的泄漏提高服务器日志的冗余和时刻关注日志项目操作系统的配置防范本章小结第六章总结与展望总结工作展望成果申明致谢参考文献贵州民族大学论文第章绪论课题背景当今世界，网络技术与信息技术高速发展，应用程序具有界面统，使用简单，易于维护，扩展性好，共享度高等优先。

应用程序被应用到生活中的各个角落。

但应用建立在广域网上，对安全的控制能力较弱。

且开发人员的水平和经验参差不齐，相当部分的程序员在编写代码时没有对用户的输入数据或者页面中所携带的信息进行必要的合法性判断。

攻击者利用这个机会提交段数据库查询代码，根据程序返回的结果，就可以或得些数据库信息。

课题研究意义注入攻击存在于大多数访问了数据库且带有参数的动态网页中，注入攻击相当隐秘，表面上看与正常的访问没有区别，不易被发现，但是注入攻击潜在的发生概率相对于其他攻击要高得多，危害面也更广。

其主要危害包括获取系统控制权未经授权状态下操作数据库的数据恶意篡改网页内容私自添加账号或数据库使用者账号等。

现在流行的数据库管理系统都有些工具和功能组件，可以直接与操作系统及网络进行连接。

当攻击者通过注入攻击个数据库系统，去危害就不只局限于存储在数据库中数据，攻击者还可以设法获得对所有的主机进行交互式访问，使其危害从数据库向操作系统甚至整个网络蔓延。

因此，我不仅应当将注入攻击看作是个对存储在数据库上数据的威胁，而应当看作是对整个网络的威胁。

国内外研究现状国内对注入攻击研究主要包括注入攻击的原理和注入攻击的关键技术。

国内对注入的检测与防范的研究主要集中于以下几个方面提出各种各样的防范模型，如在客户端和服务器端进行检测的注入攻击检测防御备案模型。

贵州民族大学论文在服务器端正式处理之前对提交数据进行合法性检查。

屏蔽出错信息，这样攻击者就不能从中获取关于数据库的信息。

对服务器进行安全设置，如去掉服务器上默认的些危险命令。

不用字符串连接建立查询，用存储过程编写代码减少攻击。

对包含敏感信息的数据加密，如在数据库中对加密密码存储等。

国内对注入漏洞检测的研究还很少，大多数还停留在攻击工具的层面上，很少将注入工具用于网站安全检测。

国外学者对注入检测与防范领域般分为两大类。

漏洞识别漏洞检测这类防范主要研究识别应用程序中能导致注入攻击的漏洞位置。

攻击防御这类方法可以进步分为编码机制和防御机制。

编码机制是种很好实践的防范方法。

注入攻击产生的根本原因在于没有足够的验证机制，因而从编码方面防范攻击有很好的理论基础。

编码机制有四种方法第，对输入类型检测，如果输入类型是数字型，那么限制为数值型，这样可以避免很多攻击，但该类型检测机制存在很大局限性。

第二，对输入内容进行编码。

因为攻击者可以使用变换后的字符作为输入，而在数据库中将其还原为正常字符。

的三，正模式匹配，通常可以写段程序用于检测数据输入是否有不合法字符。

第四，识别输入源。

防御机制包括黑盒测试法静态代码检测器结合静态和动态的分析方法新查询开发范例入侵检测系统代理过滤指令集随机化方法动态检测方法等。

文本工作本文详细搜集和总结了注入技术原理特征和方法，分别对注入攻击技术和防御技术进行了详细的总结和归纳，在此基础上对攻击和防御方法进行相关案例剖解，主要工作如下完成了对环境的相关技术和理论研究本文研究了数据库管理系统以及应用程序方式的工作，利用个典型的案例对注入攻击进行分析，为注入与防御的研究提供了坚实的理论贵州民族大学论文基础。

给出了注入攻击的防御策略及方法通过对注入攻击所实施的各种技术，给出了有效的防范方法，应用层防御和系统成防御，替换或删除敏感字符字符串，屏蔽出错信息和在服务器端正式处理之前对提交的数据进行合法性检查。

论文结构本论文主体部分共分五章，下面分别介绍每张的主要内容第章绪论，给出了论文选题背景及选题意义，介绍了课题研究背景研究意义，国内外研究现状，并对该论文的结构作简要说明。

第二章工作原理与数据库。

介绍了工作原理通信方式与应用架构，查询语言的简单介绍。

第三章注入攻击测试。

注入的定义特征危害攻击的成因，为理解注入的生成过程提供些背景知识第四章注入的实现。

根据注入攻击的步骤说明了般的攻击技巧，并给出案例分析。

第五章注入攻击防御。

针对注入攻击提出防御策略。

第六章概述了本论文所做的主要工作，并对今后的工作进行了展望。

贵州民族大学论文第二章工作原理与数据库本章从注入攻击与环境的环境依赖关系，介绍了数据库的基本知识和常见操作数据库的语言，工作原理，。

程序的通信方式，为理解注入的生成过程提供些背景知识。

从应用层的代码介绍引发注入的因数以及那些开发实践和行为会引发注入。

理解应用的工作原理什么是应用简称为。

是个由文档组成的超大规模集合，其中通过链接相互联系。

这些文档是由服务器提供，可以通过浏览器访问。

是组软件和协议的集合。

应用时种是用浏览器并通过或内部往来访问的程序，应用程序通常需要浏览器，服务器，是基于客户机服务器的配置而运行的，既结构。

其常见的应用架如下图所示图常见应用架构应用程序的三层结构分别为表示层表示层为用户接口部分，是用户与系统之间交互信息的界面。

该层以适当的贵州民族大学论文形式显示中间层送的数据信息，这个功能要通过使用相应的标记来实现。

同时，这层还要负责获得用户录入的数据，完成对录入数据的校验，并将录入数据传送给业务逻辑层。

中间层也称业务逻辑层，由服务器和应用程序服务器组成。

功能层是应用的主体，也是整个分层模型中最为重要的层。

其主要功能是封装业务逻辑以驱动业务处理服务。

这层为用户界面层提供功能调用，同时它又调用数据访问层所提供的功能来访问数据库。

该层接受到用户的请求后，首先需要执行相应的扩展应用程序与数据库进行连接，通过等方式向数据库服务器提出数据处理申请，数据库服务器将数据处理的结果提交给服务器，再由服务器传送回客户端。

数据层数据层是整个分层体系的最底层，它主要用来实现与数据库的交互，即完成查询插入删除和修改数据库中数据的功能。

数据访问层为业务逻辑层提供服务，根据业务逻辑层的要求从数据库中提取数据或者修改数据库中的数据，把运行结果提交给服务器。

如图所示，当用户在客户端点击相应的链接发出页面请求的时候，服务器接到这个请求并按照请求处理逻辑进行处理。

如果用户的请求页面存在数据库中，处理逻辑会连接后台数据库，检索用户所需要的原始数据并将其加工成网页的形式，最后由服务器软件将页面返回给用户。

图应用三层架构贵州民族大学论文系统通信方式大部分的应用都是使用协议，少部分应用特别使用协议。

但我们是讨论环境下注入攻击，所以只讨论协议。

即超文本协议，包含两个阶段请求阶段和响应阶段。

浏览器和服务器之间的每次通信都包含两个部分头部和主体。

头部包含了与通信的有关消息，主体包含了通信的数据，当然前提是存在这样的数据。

这里我们只讨论与应用注入攻击常见的方法。

它们各自的特点如下请求请求是请求服务器的方法，使用该方法时，信息显示在中。

通常，