基于面向对象数据库的网站安全研究
合集下载
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
× ｉ ｈｎ Ｄ Ｎ ×ａ—ｊｎ Ｕ Ｗｅ －ｃｅｇ， Ｏ Ｇ ｉ ｏ ｕ
（Ｚ ｏ ｎｎＵｉ ｒｔ ｆＥｏ ｍ ｙａｄＬｗ 澈 ｈｎ ａ ｎ ｅ ／ ｏ ｃｎ ｌ ｎ ａ ． ｇ ｖ ｓｙ ｏ￣ ．ｕｅ ４ ｏ ｚ Ｃｚ） Ｈｂｚ Ｊ ｏ Ａ ｋａ ｋ
Ａｂ ｔａ ｔ ｈ ａ ｅ ｎ ｒｄ ｃ ｓ ｔ ｅ ｄ ｆ ｉｏ ， ｃ ａａ ｔ ｒ ｔ ， ｆ ｎａ ｅ ｔ ｌｔｅ ｒ ｓ ｒｃ ：Ｔ ｉ ｐ ｐ ｒ ｉ ｏ ｕｅ ｈ ｅ ｉｔ ｎ ｈ ｒ ｃｅ ｉ ｉ ｓ ｔ ｎｉ ｓ ｃ ｕ ｄ ｍ ｎａ ｈ ｏｙ，ａ ｔ ｃ ｔ ｐ ｏ ｑ ｎ ｃ ｉ ｔ ａ ｋ ｈ ｈ ｈ ｖ ｕ ｈ ｈ ｒ ０ ｔ ａｋ ｓｅ ｆ Ｓ Ｌ ｉ ｅ ｔ ｎ ａ ｔｃ ｓ ｗ ｉ ａ ｅ ｍ ｃ ａ ｍ ｔ ｊ ｏ ｃ ｔｅ ｅ ｓ ｅ ｓ ｓｃ ｒ ｙ ｔ ｅ ｔ ｃｎ ｌ ｙ ｏ ｅ ｅｓ ｈ Ｑ ｉ ｅ ｔ ｎ ｔａ ｋ ｎ ｈ ｓ ｅ ｈ ｏ ｇ ｓ ｉｉ ｔ ｎ ； ｈ ｃａ ａ ｔｒ ｔ ｎ ａ ｖ ｎ ａ ｅ ｈ ｗ ｂ ｉ ’ ｅｕ ｉ ； ｈ ｅ ｈ ｏ ｇ ｆ ｄ ｆ ｎｅ ｔ ｅ Ｓ Ｌ ｎ ｃ ｉ ａ ｔ ｃ ｓ ａ ｄ ｔ ｅｅ ｔ ｃｎ ｌ ｙ’ ｍ ｔ ｉ ｓ Ｔ ｅ ｈ ｒ ｃｅｉ ｉ ａ ｄ ｄ ａ ｔ ｇ ｓ ｔ ｔ ｏ ｊ ｏ ｏ ｌ ａ ｏ ｓｃ
ｍｕ ｈ ｈ ｏ ｅ ｉａ ｎ ｐ ａ ｔｃ Ｊ ｉｎｆｃ ｎ ｅ． ｃ ｔ ｅ ｒ ｔ ｌ ｄ ｒ ｃ ｉａ ｓ ｉ ｉ ｃ ｃ ａ ｇ ａ
Ｋ ｙ ｗｏｄ ： ｂｉ ｅｕｉ Ｓ Ｌ ｉｅｔ ｎ ａｔｃｓ Ｏｊｃ－ｏｉ ｔｄ ｄｔｂｓ Ｄ ４ ｅ ｒｓ Ｗｅｓ ｅＳ ｓｃｒｙ；ｑ ｎ ｃｉ ｔａｋ ； ｂｅｔ ｒｎｅ ａａａ ；ｂ ｏ ｔ ｔ ｊ ｏ ｅ
（） １ 危害 性 大 。Ｓ ＱＬ注 入攻 击 成 功 后 ，轻 者更 改 网 站
首 页 、篡 改数 据 库 中的数 据 ； 者通 过 网络 渗透 等攻 击技 重
术 ，可以 获取 企业 的机 密数据 信 息 ，使企 业 遭受重 大 经济
损失。
些繁 琐 ， 只要 仍 然使 用 ＳＱＬ语 句 ，ＳＱＬ注 入 攻击 就 有
数 据 库 ｄ４ 全 新 的 对 策 ，对 该 对 策进 行 了详 细 的 分析 ，经 过 实 验 证 明 ，本 对 策 具 有 一 定 的理 论和 实 际 意 义。 ｂｏ的 关 键 词 ：网站 安 全 ； ｑ ＳＬ注 入 攻 击 ；面向 对 象数 据 库 ； ｂｏ ｄ４
Ｒ ｓ ａ ｃ ｎ Ｓ ｃ ｒ ｙ ｏ ｂ Ｓｉｅ Ｂ ｓ ｄ ｏ ｊ ｃ － ｒ ｎ ｅ ａ ａ ａ ｅ ｅ ｅ ｒ ｈ ｏ ｅ ｕ ｉ ｆ Ｗｅ ｔ ａ ｅ ｎ ０ｂｅ ｔ ｏ ｉ ｔ ｄ Ｄ ｔ ｂ ｓ ｔ ｅ
于Ｓ ＱＬ语 言 标准 的数 据库 ，例 如 Ｏｒ ｃｅ ＱＬ ｅ ｖ ｒ ａ ｌ 、Ｓ Ｓ ｒ ｅ 、
因 此 只要是 使用 了 Ｓ ＱＬ语 句 的 Ｗ ｅ ｂ应用 系统 未对 输入 的
Ｓ ＱＬ注入 攻击 利 用的 是 Ｓ ＱＬ语 法 ， 采用 对 Ｊ ｖ ／Ｃ＃ 原 生的 面 向对 象语 言对 数据 库 进行 操作 ， Ｍｙ ＱＬ、ＤＢ２等 等 。Ｓ ａａ
基于面向对象数据库的网站安全研究
徐 炜 城 ห้องสมุดไป่ตู้董 晓君
（ 中南 财经 政法 大 学 ，湖北 武 汉 ４ ０ ７ ） ３ ０ ３
摘
要 ：简要介 绍 了在 网站安 全 当中具有较 大危 害性的 Ｓ Ｌ注入攻击的定 义、特点 、基本原理 、实施 步骤 ，现有 防御对 策以及 Ｑ
这 些对 策的局限性 ，面向对 象数据 库 ｄ４ ｂｏ的特 点和优 势。针对现 有对 策的局 限性结合 ｄ４ 的优 点 ，提 出了一种 基于 面向对 象 ｂｏ
可能 存 在 。针 对 现 有解 决办 法 的局 限性 ，笔者 提 出 了一种 基于 ｄ ４ ｂ ｏ的解决 方案 。因 为 ｄｂ ｏ是纯 面 向对 象数 据库 ， ４
而不 是 Ｓ ＱＬ语 句 。这样 就从 根 本上 解决 了 Ｓ ＱＬ注 入 攻击 。
（） 泛 性 。 目 前 绝 大 多 数 Ｗ ｅ ２广 ｂ应 用 系 统 都 是 基
ｏ ｄ ４ ｗ ｉ ｓ ａ ｂｅｔ ｏｉ ｔ ｄ ｄ ｔｂ ｓ ． Ｉ ｒｓ ｏｓ ｔ ｈ ｓ ｅ ｅｓ ’ ｉ ｉ ｔ ｎ ａｄ ｄ ４ ’ ａ ｖ ｎ ａ ｅ ． ｔ ｅ ａ ｔ ｏ ｒｐ ｓ ｙ ｅ ｏ ｆ ｂ ｏ ｈ ｈ ｉ ｎ ｏ ｊｃ － ｒ ｎｅ ａ ａ ａｅ ｎ ｅｐ ｎｅ ｏ ｔ ｅｅ ｄ ｆ ｎｅ ｓ ｌ ｔ ｉ ｓ ｎ ｂ ｏ ｓ ｄ ａ ｔ ｇ ｓ ｈ ｕｈ ｒ ｐｏ ｏｅ ａ ｔ ｐ ｆ ｃ ｅ ｍａｏ
Ｓ ＱＬ语句做 严 格 的处理 都 会存 在 Ｓ Ｌ注 入漏 洞 。 Ｑ
２ 注入式攻击的原理 、对 策及局限
２ １Ｓ Ｌ ． Ｑ 注入 攻击定 义
１引言
ＳＱＬ注 入 攻 击 已经 出现 多年 ，但 其 仍 然 存 在 相 当大 的 危 害 性 ，究其 原 因 ， 主要 是 现 有 的 解 决 办 法 并 没 有 绕 开 ＳＱＬ语法 ，且很 多办 法 都 是事 后 控 制 以及 实 施 起 来 有
一
２２Ｓ Ｌ ． Ｑ 注入攻击 的特 点
ｎｗ ｅｈｏ ｇ ｏ ｄｆｎｅ ｗｈｈ ｓ ａｅ ｏ ｏｊｃ－ｏｉ ｔｄ ａａａｅ ｎ ｙ ｄｔｉｄ ｎｌｚ ｇ ｆ ｈ ｙ ｅ ｆ ｌｗ ｅｈｏ ｇ ｐｏｅ ｉ ａ ｅ ｔｃｎｌ ｙ ｆ ｅｅｓ ｉ ｉ ｓｄ ｎ ｂｅｔ ｒｎｅ ｄｔｂｓ ａｄ ｂ ｅａｌ ａａ ｉ ｏ ｔｉ ｔ ｐ ｏ ｆ ｔｃｎｌ ｙ ｒｖ ｄ ｔ ｓ ｏ ｃ ｂ ｅ ｅ ｙｎ ｓ ｅ ｏ ｈ
（Ｚ ｏ ｎｎＵｉ ｒｔ ｆＥｏ ｍ ｙａｄＬｗ 澈 ｈｎ ａ ｎ ｅ ／ ｏ ｃｎ ｌ ｎ ａ ． ｇ ｖ ｓｙ ｏ￣ ．ｕｅ ４ ｏ ｚ Ｃｚ） Ｈｂｚ Ｊ ｏ Ａ ｋａ ｋ
Ａｂ ｔａ ｔ ｈ ａ ｅ ｎ ｒｄ ｃ ｓ ｔ ｅ ｄ ｆ ｉｏ ， ｃ ａａ ｔ ｒ ｔ ， ｆ ｎａ ｅ ｔ ｌｔｅ ｒ ｓ ｒｃ ：Ｔ ｉ ｐ ｐ ｒ ｉ ｏ ｕｅ ｈ ｅ ｉｔ ｎ ｈ ｒ ｃｅ ｉ ｉ ｓ ｔ ｎｉ ｓ ｃ ｕ ｄ ｍ ｎａ ｈ ｏｙ，ａ ｔ ｃ ｔ ｐ ｏ ｑ ｎ ｃ ｉ ｔ ａ ｋ ｈ ｈ ｈ ｖ ｕ ｈ ｈ ｒ ０ ｔ ａｋ ｓｅ ｆ Ｓ Ｌ ｉ ｅ ｔ ｎ ａ ｔｃ ｓ ｗ ｉ ａ ｅ ｍ ｃ ａ ｍ ｔ ｊ ｏ ｃ ｔｅ ｅ ｓ ｅ ｓ ｓｃ ｒ ｙ ｔ ｅ ｔ ｃｎ ｌ ｙ ｏ ｅ ｅｓ ｈ Ｑ ｉ ｅ ｔ ｎ ｔａ ｋ ｎ ｈ ｓ ｅ ｈ ｏ ｇ ｓ ｉｉ ｔ ｎ ； ｈ ｃａ ａ ｔｒ ｔ ｎ ａ ｖ ｎ ａ ｅ ｈ ｗ ｂ ｉ ’ ｅｕ ｉ ； ｈ ｅ ｈ ｏ ｇ ｆ ｄ ｆ ｎｅ ｔ ｅ Ｓ Ｌ ｎ ｃ ｉ ａ ｔ ｃ ｓ ａ ｄ ｔ ｅｅ ｔ ｃｎ ｌ ｙ’ ｍ ｔ ｉ ｓ Ｔ ｅ ｈ ｒ ｃｅｉ ｉ ａ ｄ ｄ ａ ｔ ｇ ｓ ｔ ｔ ｏ ｊ ｏ ｏ ｌ ａ ｏ ｓｃ
ｍｕ ｈ ｈ ｏ ｅ ｉａ ｎ ｐ ａ ｔｃ Ｊ ｉｎｆｃ ｎ ｅ． ｃ ｔ ｅ ｒ ｔ ｌ ｄ ｒ ｃ ｉａ ｓ ｉ ｉ ｃ ｃ ａ ｇ ａ
Ｋ ｙ ｗｏｄ ： ｂｉ ｅｕｉ Ｓ Ｌ ｉｅｔ ｎ ａｔｃｓ Ｏｊｃ－ｏｉ ｔｄ ｄｔｂｓ Ｄ ４ ｅ ｒｓ Ｗｅｓ ｅＳ ｓｃｒｙ；ｑ ｎ ｃｉ ｔａｋ ； ｂｅｔ ｒｎｅ ａａａ ；ｂ ｏ ｔ ｔ ｊ ｏ ｅ
（） １ 危害 性 大 。Ｓ ＱＬ注 入攻 击 成 功 后 ，轻 者更 改 网 站
首 页 、篡 改数 据 库 中的数 据 ； 者通 过 网络 渗透 等攻 击技 重
术 ，可以 获取 企业 的机 密数据 信 息 ，使企 业 遭受重 大 经济
损失。
些繁 琐 ， 只要 仍 然使 用 ＳＱＬ语 句 ，ＳＱＬ注 入 攻击 就 有
数 据 库 ｄ４ 全 新 的 对 策 ，对 该 对 策进 行 了详 细 的 分析 ，经 过 实 验 证 明 ，本 对 策 具 有 一 定 的理 论和 实 际 意 义。 ｂｏ的 关 键 词 ：网站 安 全 ； ｑ ＳＬ注 入 攻 击 ；面向 对 象数 据 库 ； ｂｏ ｄ４
Ｒ ｓ ａ ｃ ｎ Ｓ ｃ ｒ ｙ ｏ ｂ Ｓｉｅ Ｂ ｓ ｄ ｏ ｊ ｃ － ｒ ｎ ｅ ａ ａ ａ ｅ ｅ ｅ ｒ ｈ ｏ ｅ ｕ ｉ ｆ Ｗｅ ｔ ａ ｅ ｎ ０ｂｅ ｔ ｏ ｉ ｔ ｄ Ｄ ｔ ｂ ｓ ｔ ｅ
于Ｓ ＱＬ语 言 标准 的数 据库 ，例 如 Ｏｒ ｃｅ ＱＬ ｅ ｖ ｒ ａ ｌ 、Ｓ Ｓ ｒ ｅ 、
因 此 只要是 使用 了 Ｓ ＱＬ语 句 的 Ｗ ｅ ｂ应用 系统 未对 输入 的
Ｓ ＱＬ注入 攻击 利 用的 是 Ｓ ＱＬ语 法 ， 采用 对 Ｊ ｖ ／Ｃ＃ 原 生的 面 向对 象语 言对 数据 库 进行 操作 ， Ｍｙ ＱＬ、ＤＢ２等 等 。Ｓ ａａ
基于面向对象数据库的网站安全研究
徐 炜 城 ห้องสมุดไป่ตู้董 晓君
（ 中南 财经 政法 大 学 ，湖北 武 汉 ４ ０ ７ ） ３ ０ ３
摘
要 ：简要介 绍 了在 网站安 全 当中具有较 大危 害性的 Ｓ Ｌ注入攻击的定 义、特点 、基本原理 、实施 步骤 ，现有 防御对 策以及 Ｑ
这 些对 策的局限性 ，面向对 象数据 库 ｄ４ ｂｏ的特 点和优 势。针对现 有对 策的局 限性结合 ｄ４ 的优 点 ，提 出了一种 基于 面向对 象 ｂｏ
可能 存 在 。针 对 现 有解 决办 法 的局 限性 ，笔者 提 出 了一种 基于 ｄ ４ ｂ ｏ的解决 方案 。因 为 ｄｂ ｏ是纯 面 向对 象数 据库 ， ４
而不 是 Ｓ ＱＬ语 句 。这样 就从 根 本上 解决 了 Ｓ ＱＬ注 入 攻击 。
（） 泛 性 。 目 前 绝 大 多 数 Ｗ ｅ ２广 ｂ应 用 系 统 都 是 基
ｏ ｄ ４ ｗ ｉ ｓ ａ ｂｅｔ ｏｉ ｔ ｄ ｄ ｔｂ ｓ ． Ｉ ｒｓ ｏｓ ｔ ｈ ｓ ｅ ｅｓ ’ ｉ ｉ ｔ ｎ ａｄ ｄ ４ ’ ａ ｖ ｎ ａ ｅ ． ｔ ｅ ａ ｔ ｏ ｒｐ ｓ ｙ ｅ ｏ ｆ ｂ ｏ ｈ ｈ ｉ ｎ ｏ ｊｃ － ｒ ｎｅ ａ ａ ａｅ ｎ ｅｐ ｎｅ ｏ ｔ ｅｅ ｄ ｆ ｎｅ ｓ ｌ ｔ ｉ ｓ ｎ ｂ ｏ ｓ ｄ ａ ｔ ｇ ｓ ｈ ｕｈ ｒ ｐｏ ｏｅ ａ ｔ ｐ ｆ ｃ ｅ ｍａｏ
Ｓ ＱＬ语句做 严 格 的处理 都 会存 在 Ｓ Ｌ注 入漏 洞 。 Ｑ
２ 注入式攻击的原理 、对 策及局限
２ １Ｓ Ｌ ． Ｑ 注入 攻击定 义
１引言
ＳＱＬ注 入 攻 击 已经 出现 多年 ，但 其 仍 然 存 在 相 当大 的 危 害 性 ，究其 原 因 ， 主要 是 现 有 的 解 决 办 法 并 没 有 绕 开 ＳＱＬ语法 ，且很 多办 法 都 是事 后 控 制 以及 实 施 起 来 有
一
２２Ｓ Ｌ ． Ｑ 注入攻击 的特 点
ｎｗ ｅｈｏ ｇ ｏ ｄｆｎｅ ｗｈｈ ｓ ａｅ ｏ ｏｊｃ－ｏｉ ｔｄ ａａａｅ ｎ ｙ ｄｔｉｄ ｎｌｚ ｇ ｆ ｈ ｙ ｅ ｆ ｌｗ ｅｈｏ ｇ ｐｏｅ ｉ ａ ｅ ｔｃｎｌ ｙ ｆ ｅｅｓ ｉ ｉ ｓｄ ｎ ｂｅｔ ｒｎｅ ｄｔｂｓ ａｄ ｂ ｅａｌ ａａ ｉ ｏ ｔｉ ｔ ｐ ｏ ｆ ｔｃｎｌ ｙ ｒｖ ｄ ｔ ｓ ｏ ｃ ｂ ｅ ｅ ｙｎ ｓ ｅ ｏ ｈ