专利名称：一种sql注入安全防护系统的制作方法
技术领域：
本实用新型涉及安全技术领域，具体涉及ー种SQL注入安全防护系统。
背景技术：
随着信息技术的不断快速发展，网络应用的也得到高速发展，基于B/S模式的商业动态网站的开发越来越受到各大公司的青睐，该模式大多采用ASP. NET+SQL+IIS(编程方式)的平台架构，因此使用这种模式编写应用程序的程序员也越来越多。但编程人员水平的參差不齐以及安全防御技术的不成熟，给应用系统带来了很多不安全因素。大部分Web应用系统需要与用户进行交互，从用户那里接受数据并进行处理，如果攻击者故意输入含有恶意构造的数据，则在系统执行处理时，这些数据中包含的恶意代码就会被系统或者其它客户端执行，从而对服务器或客户端造成损害，这就是所谓的SQL注入，由于SQL注入是从 正常的Wffff (万维网)端ロ访问，并且看起来和正常的Web页面访问没有什么区别，所以目前常见的防火墙检测不到SQL注入。如何有效地防御SOL注入也成了人们关注的问题，当前，市场上ー些针对SQL注入的防护措施无法深入到应用系统内部，只能做ー些SQL注入漏洞的安全扫描，防护效果不甚理想，而且部署不方便，有些时候需要应用进行改造。
实用新型内容针对现有技术的不足，本实用新型提供ー种SQL注入安全防护系统，通过对所有的数据库调用并进行合法检查，同时阻断应用服务器与后台数据库的直接连接，提高了系统整体安全防御能力，而且部署灵活，对上层应用完全透明，确保了 SQL注入过程的灵活、
安全可靠。本实用新型提供的ー种SQL注入安全防护系统，包括Web服务器、应用服务器、数据库服务器、内侧交换机和外侧交换机，所述Web服务器通过应用服务器与外侧交换机相连接，所述内侧交換机与至少ー个的数据库服务器相连接，其改进之处在于所述安全防护系统包括防注入服务器和防注入客户端；所述外侧交換机通过所述防注入服务器与所述内侧交换机连接；所述应用服务器上设有所述防注入客户端，所述防注入客户端与所述外侧交换机连接。其中，所述防注入服务器包括连接的SQL注入检查装置和认证服务器；所述SQL注入检查装置分别与所述外侧交換机相连接和所述内侧交换机连接。其中，所述防注入客户端包括连接的对外接ロ模块和消息处理模块；所述外接ロ模块与外侧交换机相连接。其中，所述SQL注入检查装置包括微处理器模块、电源模块、看门狗模块、鼠标键盘接ロ模块、指示报警模块、以太网接ロ模块、液晶显示模块、CONSOLE接ロ模块、PCI接ロ模块、IDE接ロ模块和VGA接ロ模块；所述微处理器模块分别与所述电源模块、所述看门狗模块、所述鼠标键盘接ロ模块、所述指示报警模块、所述以太网接ロ模块、所述液晶显示模块、所述CONSOLE接ロ模块、所述PCI接ロ模块、所述IDE接ロ模块和所述VGA接ロ模块连接。其中，所述SQL注入检查装置包括エ控机。其中，所述防注入客户端为PC机。其中，所述以太网接ロ模块包括四个lO/lOO/lOOOMbps自适应网卡。与现有技术比，本实用新型的有益效果为本实用新型通过接管应用所有的数据库调用并进行合法检查，同时阻断应用服务器与后台数据库的直接连接，提高了系统整体安全防御能力，而且部署灵活，对上层应用完全透明，确保了 SQL注入过程的灵活、安全可靠。本实用新型针对SQL合法性检查融合多种策略手段，包括白名单检查、黑名单检查、SQL流还原检查，提高了检查的准确性及整体效果。本实用新型采用严格裁剪的Linux操作系统作为安全操作系统模块，裁剪过程中只需保留具有安全隐患的驱动和协议模块，确保透明SQL注入防护安全防护系统运行环境的安全可靠。
图I为本实用新型提供的SQL注入安全防护系统的结构示意图。图2为本实用新型提供的SQL注入检查装置的硬件结构框图。图3为本实用新型提供的SQL注入检查装置的模块框图。图4为本实用新型提供的处理流程示意图。
具体实施方式
以下结合附图对本实用新型的具体实施方式
作进ー步的详细说明。本实施例提供的ー种SQL注入安全防护系统如图I所示，包括Web服务器、应用服务器、数据库服务器、内侧交换机和外侧交换机，所述Web服务器通过应用服务器与外侧交换机相连接，所述内侧交換机与至少ー个的数据库服务器相连接，内侧交换机和外侧交换机连接。本实施例在此之上，还包括防注入服务器和防注入客户端；所述防注入客户端作为应用服务器的连接端与外侧交换机相连接；所述应用服务器上设有所述防注入客户端，所述防注入客户端与所述外侧交换机连接。所述防注入客户端包括连接的对外接ロ模块和消息处理模块；所述对外接ロ模块与外侧交换机相连接。其中对外接ロ模块实现通用JDBC3. O (Java数据库链接的3. O版本)所有接ロ，并提供上层应用服务器调用，所有的接ロ调用通过消息处理模块发送至外侧交換机，并转发至防注入服务器。所述防注入客户端可用PC机实现。所述防注入服务器包括连接的SQL注入检查装置和认证服务器；所述SQL注入检查装置分别与所述外侧交換机相连接和所述内侧交换机连接。所述SQL注入检查装置包括微处理器模块、电源模块、看门狗模块、鼠标键盘接ロ模块、指示报警模块、以太网接ロ模块、液晶显示模块、CONSOLE接ロ模块、PCI接ロ模块、IDE接ロ模块和VGA接ロ模块；所述微处理器模块分别与所述电源模块、所述看门狗模块、所述鼠标键盘接ロ模块、所述指示报警模块、所述以太网接ロ模块、所述液晶显示模块、所述CONSOLE接ロ模块、所述PCI接ロ模块、所述IDE接ロ模块和所述VGA接ロ模块连接。所述以太网ロ模块的另一端作为SQL注入检查装置连接端ロ分别与外内侧交换机相连接，其中电源模块用来给本硬件平台提供电源的，以太网ロ模块包括四个lO/lOO/lOOOMbps自适应网卡用来连接内外侧交换机的，PCI接ロ模块用来接加密卡等其他PCI设备的，IDE接ロ模块用来外接硬盘的，CONSOLE接ロ模块用来配置外接交換机。VGA接ロ模块用来外接显示器的，鼠标键盘接ロ模块用来给用户提供人机交互输入设备的，看门狗模块用来在软件、操作系统故障时重启硬件平台，液晶显示模块用来动态实时输出状态运行信息，指示报警模块用来提示用户硬件平台当前的工作状况。为提高整体系统的高可靠性，本实施例SQL注入检查装置采用国产的エ控机，对关键部件采用冗余备份，包括电源模块和风扇等，在主部件失效情况下备用部件立即生效，使系统不存在单点故障，提高了设备的可靠性。根据上述SQL注入检查装置的硬件结构框图，本实施例认证服务器实现对所有防注入客户端的认证，认证内容包括终端软件版本、終端IP地址等；SQL注入检查装置实现对所有SQL调用的合法检查，并于后台数据库进行交互。如图3所示，其具体通过如下实现所述SQL注入检查装置包括会话管理模块、SQL安全过滤模块、数据库适配器和安 全操作系统模块，所述会话管理模块、SQL安全过滤模块和数据库适配器依次连接，并集成在安全操作系统模块上，其中安全操作系统模块为经过裁剪的安全Linux操作系统，其中系统内核经过严格裁剪，取消TCP/IP协议栈，取消所有的网络服务，仅仅提供Socket网络编程接ロ，同时操作系统取消root (超级用户)用户，采用四权分立策略，保证系统的安全性。所述会话管理模块包括任务队列管理模块和任务调度模块，所述任务队列管理模块与任务调度模块相连接，所述任务队列管理模块作为SQL注入检查装置的连接端ロ，分别与外内侧交换机相连接，其中会话管理模块负责，与防注入客户端消息处理模块之间的通信，包括消息的解析及通信管理以及负责管理任务队列，支持并发处理和任务调度机制。所述SQL安全过滤模块包括依次连接的白名单处理模块、黑名单处理模块和SQL流还原处理模块，其中白名单处理模块通过学习所有合法SQL语句提前模式特征，然后基于模式匹配实现对合法SQL语句的识别，黑名单处理模块用于对SQL语句进行深度注入特征检查，实现对非法SQL语句的识别；SQL流还原处理模块用于一段时间内连续的多条SQL语句组织为ー个整体(SQL流)进行分析，分析SQL流的特征(包括访问频率、访问数据对象的次数，相同SQL语句的个数等)，识别SQL注入攻击趋势。所述数据库适配器包括依次连接的数据转换模块和结果集管理模块，所述数据转换模块作为数据库适配器的输入与SQL安全过滤模块相连接，其中数据库适配器先将任务对象分解为内部操作符，然后调用数据转换模块进行交互，实现实际数据操作，数据转换模块负责各种数据类型的转换和处理；结果集管理模块负责管理数据库调用产生的结果集，包括结果集的生成，数据获取和释放。如图4所示，本实用新型的透明SQL注入安全防护系统的工作流程是通过阻断应用服务器与数据库服务器的直接连接，并透明接管应用服务器所有的SQL调用请求，对SQL语句及SQL流进行全面合法性检查，从而提高了系统对SQL注入整体安全防护能力，具体实现步骤如下步骤1，用户通过浏览器登录至Web服务器，查询动态数据，产生SQL请求，并产生SQL语句；[0032]步骤2，应用服务器根据SQL请求的行为，调用防注入客户端相应接ロ ；步骤3，防注入客户端通过接ロ处理模块获取上层应用调用，并通过消息处理模块将SQL请求及相关的状态信息通过外侧交换机传送至SQL注入检查装置；步骤4，SQL注入检查装置获取SQL请求进行处理；步骤5，SQL注入检查装置通过会话管理模块对消息进行解析，获取SQL请求，并将请求置于任务队列中；步骤5. 1，对于第一次访问的防注入客户端，会话管理模块将该防注入客户端ー些状态信息转发至认证服务器进行认证，认证通过跳至步骤5-2，否则跳至步骤8 ；步骤5. 2，会话管理模块根据定义的任务调度策略，从任务队列中提取请求任务，并将其提交给SQL安全过滤模块； 步骤6,通P过SQL安全过滤模块对SQL语句进行合法性检查；步骤6. 1，通过白名单检查模块对SQL语句进行检查，匹配成功，则判定该语句为合法SQL语句，跳至步骤7，否则跳至步骤8 ；步骤6. 2，通过黑名单检查模块对SQL语句进行注入特征检查，发现注入特征则判定为注入SQL语句，跳至步骤8，根据预定策略，决定是否需要对SQL流进行检查，跳至步骤6-3，否则跳至步骤7 ; 步骤6. 3，通过SQL流还原模块对一段连续的SQL语句流进行检查，检查通过则判定为合法SQL语句，跳至步骤7，否则跳至步骤8 ;步骤7，通过数据库适配器进行实际SQL请求操作，访问后台数据库并返回结果集;步骤7. 1，通过数据库适配器对象分解为内部操作符，然后调用真正数据库调用接Π ；步骤7. 2，为了屏蔽不同数据库之间的差异，必要时数据转换模块对请求的SQL语句的參数进行数据转换；步骤7. 3，通过结果集管理模块管理数据库调用产生的结果集，跳至步骤9 ；步骤8，将错误信息通过会话管理模块返回给防注入客户端，并中断连接；步骤9，将结果集通过会话管理模块返回给防注入客户端。综上所述，本实用新型的通过接管应用所有的数据库调用并进行合法检查，同时阻断应用服务器与后台数据库的直接连接，通过设置的外内两台交換机实现连接，提高了系统整体安全防御能力，而且部署灵活，对上层应用完全透明；并对SQL合法性检查融合多种策略手段，包括白名单检查、黑名单检查、SQL流还原检查，提高了检查的准确性及整体效果；并采用严格裁剪的Linux操作系统作为安全操作系统模块，裁剪过程中只需保留具有安全隐患的驱动和协议模块，确保透明SQL注入防护安全防护系统运行环境的安全可靠。最后应当说明的是以上实施例仅用以说明本实用新型的技术方案而非对其限制，尽管參照上述实施例对本实用新型进行了详细的说明，所属领域的普通技术人员应当理解依然可以对本实用新型的具体实施方式
进行修改或者等同替换，而未脱离本实用新型精神和范围的任何修改或者等同替换，其均应涵盖在本实用新型的权利要求范围当中。
权利要求1.ー种SQL注入安全防护系统，包括Web服务器、应用服务器、数据库服务器、内侧交换机和外侧交换机，所述Web服务器通过应用服务器与外侧交换机相连接，所述内侧交換机与至少ー个的数据库服务器相连接，其特征在干所述安全防护系统包括防注入服务器和防注入客户端； 所述外侧交換机通过所述防注入服务器与所述内侧交换机连接；所述应用服务器上设有所述防注入客户端，所述防注入客户端与所述外侧交换机连接。
2.如权利要求I所述的安全防护系统，其特征在于，所述防注入服务器包括连接的SQL注入检查装置和认证服务器；所述SQL注入检查装置分别与所述外侧交換机相连接和所述内侧交换机连接。
3.如权利要求I所述的安全防护系统，其特征在于，所述防注入客户端包括连接的对外接ロ模块和消息处理模块；所述对外接ロ模块与外侧交换机相连接。
4.如权利要求2所述的安全防护系统，其特征在于，所述SQL注入检查装置包括微处理 器模块、电源模块、看门狗模块、鼠标键盘接ロ模块、指示报警模块、以太网接ロ模块、液晶显示模块、CONSOLE接ロ模块、PCI接ロ模块、IDE接ロ模块和VGA接ロ模块； 所述微处理器模块分别与所述电源模块、所述看门狗模块、所述鼠标键盘接ロ模块、所述指示报警模块、所述以太网接ロ模块、所述液晶显示模块、所述CONSOLE接ロ模块、所述PCI接ロ模块、所述IDE接ロ模块和所述VGA接ロ模块连接。
5.如权利要求I所述的安全防护系统，其特征在干，所述SQL注入检查装置包括エ控机。
6.如权利要求I所述的安全防护系统，其特征在于，所述防注入客户端为PC机。
7.如权利要求I所述的安全防护系统，其特征在于，所述以太网接ロ模块包括四个10/100/1000Mbps 自适应网卡。
专利摘要本实用新型公开了一种SQL注入安全防护系统，包括Web服务器、应用服务器、数据库服务器、内侧交换机和外侧交换机，Web服务器通过应用服务器与外侧交换机相连接，内侧交换机与至少一个的数据库服务器相连接，在此之上，本实用新型的安全防护系统还包括防注入服务器和防注入客户端；外侧交换机通过防注入服务器与内侧交换机连接；应用服务器上设有防注入客户端，防注入客户端与外侧交换机连接。本实用新型通过对所有的数据库调用并进行合法检查，同时阻断应用服务器与后台数据库的直接连接，提高了系统整体安全防御能力，而且部署灵活，对上层应用完全透明，确保了SQL注入检测过程的高效、可靠。
文档编号H04L29/08GK202652255SQ20122024133
公开日2013年1月2日 申请日期2012年5月25日 优先权日2012年5月25日
发明者石聪聪, 余勇, 林为民, 张涛, 张小建, 郭骞, 蒋诚智, 范杰, 冯谷, 费稼轩, 俞庚申, 高鹏, 李尼格, 鲍兴川, 曹宛恬 申请人:中国电力科学研究院