论文部分内容阅读
SQL注射攻击是近年来Internet网络上最流行的网站入侵方式之一，SQL注射攻击利用的是SQL语法，对于所有平台上的基于SQL语言标准的数据库软件(包括MS SQL Server，Oracle，DB2，Sybase，MySQL等)都是有效的。由于SQL注射攻击的原理相对简单，易于掌握和实施，使得这种攻击具有相当的广泛性。本文通过对SQL注射攻击原理、具体形式、一般防御手段及其局限性的分析；对.NET平台下ASP.NET服务器端HTTP请求响应过程的详细分析；深入挖掘ASP.NET安全性方面的性能；然后采用ASP.NET级的URL重写技术之一的“使用HTTP模块执行URL重写”技术来建立了一种针对SQL注射攻击的集成防御策略。该策略先将采用不同微软技术的(例如：ASP技术、ASP.NET C#技术、ASP.NET VB技术等)各个WEB应用系统进行基于.NET的系统集成，使他们的SQL注射攻击的防御问题在ASP.NET服务器端设置统一集成防御机制；该策略还构造了一个针对SQL注射攻击的检测／防御／备案模型；本策略将SQL注射攻击的一般防御手段与ASP.NET级URL重写技术有机结合，将一般误操作和SQL注射低等级的攻击进行基于客户端检查，旨在减少网络流量，降低服务器负荷；对高等级的SQL注射攻击行为(特指有经验的攻击者绕开客户端的检查实施的SQL注射攻击)在ASP.NET服务器端实施检测、防御，并对其进行智能化跟踪、备案。该集成防御策略在MS的.NET 2.0和SQL Server 2000平台上试验可行，在文中给出了本策略实验系统(IDP SQLIA系统)的设计及实验结果分析。