資源描述：
《一種自動sql注入攻擊檢測與利用系統(tǒng)的研究實現(xiàn)》由會員上傳分享，免費在線閱讀，更多相關(guān)內(nèi)容在學(xué)術(shù)論文-天天文庫。
1、作者：符宇波導(dǎo)師：張駿溫北京交通大學(xué)2011年6月●學(xué)位論文版權(quán)使用授權(quán)書本學(xué)位論文作者完全了解北京交通大學(xué)有關(guān)保留、使用學(xué)位論文的規(guī)定。特授權(quán)北京交通大學(xué)可以將學(xué)位論文的全部或部分內(nèi)容編入有關(guān)數(shù)據(jù)庫進行檢索，提供閱覽服務(wù)，并采用影印、縮印或掃描等復(fù)制手段保存、匯編以供查閱和借閱。同意學(xué)校向國家有關(guān)部門或機構(gòu)送交論文的復(fù)印件和磁盤。(保密的學(xué)位論文在解密后適用本授權(quán)說明)學(xué)位論文作者簽名：魃導(dǎo)文簽字日期：加ff年‘月／7日導(dǎo)師簽名：虧臌皿簽字日期一脾陽夕一種自動SQL注入攻擊檢測與利用系統(tǒng)的研究實現(xiàn)TheStudyandRealizeofakindofautomaticSQLinjecti
2、ondetectingandutilizingsystem作者姓名：符宇波導(dǎo)師姓名：張駿溫學(xué)位類別：工學(xué)學(xué)科專業(yè)：計算機科學(xué)與技術(shù)學(xué)號：09120576職稱：副研究員學(xué)位級別：碩士研究方向：網(wǎng)絡(luò)、數(shù)據(jù)庫北京交通大學(xué)2011年6月致謝本論文的工作是在我的導(dǎo)師張駿溫教授的悉心指導(dǎo)下完成的，張駿溫教授嚴謹?shù)闹螌W(xué)態(tài)度和科學(xué)的工作方法給了我極大的幫助和影響。在此衷心感謝兩年來張駿溫老師對我的關(guān)心和指導(dǎo)。在實驗室工作及撰寫論文期間，同學(xué)對我論文中的研究工作給予了熱情幫助，在此向他們表達我的感激之情。另外也感謝家人，他們的理解和支持使我能夠在學(xué)校專心完成我的學(xué)業(yè)。中文摘要摘要：計算機網(wǎng)絡(luò)應(yīng)用已經(jīng)涉及到人
3、們?nèi)粘Ｉ畹母鱾€方面，連接到這些網(wǎng)絡(luò)應(yīng)用的數(shù)據(jù)庫的安全問題也日益受到人們的關(guān)注。本文對網(wǎng)絡(luò)后臺數(shù)據(jù)庫的SQL注入漏洞的攻擊與防御方面做了研究探討。對注入攻擊的原因與特點做出了分析，說明了SQL注入攻擊的一般步驟與方法，闡明了$QL注入防御的方式方法，最后實現(xiàn)了一種SQL自動注入攻擊檢測與利用系統(tǒng)。SQL自動注入攻擊檢測與利用系統(tǒng)包括自動注入攻擊檢測、SQL注入漏洞自動利用以及手動注入功能。在自動注入攻擊檢測模塊中，用戶輸入基準URL，程序可通過對源文件的爬蟲得到所有基準URL下的頁面網(wǎng)址。該網(wǎng)絡(luò)爬蟲經(jīng)過一定的定制與優(yōu)化，只對包含能代表一個單位或集體的關(guān)鍵域名的非重復(fù)網(wǎng)址進行爬蟲。之后對爬蟲
4、得到的網(wǎng)址進行檢測，得到可被注入頁面。在SQL注入漏洞自動利用模塊中，用戶輸入易受攻擊的頁面地址可以直接得到破解結(jié)果。此模塊不僅通過一般的SQL注入方法進行攻擊，還通過SQL字典猜解和盲注進行測試。通過傳統(tǒng)注入得到數(shù)據(jù)庫類型、用戶名和數(shù)據(jù)庫名，通過傳統(tǒng)注入和字典猜解得到表名、列名，通過傳統(tǒng)注入和逐字盲注猜解來獲取數(shù)據(jù)庫的內(nèi)容，從而完成獲取信息的工作。在手動注入模塊中，用戶可輸入特定(已注入或未注入)的網(wǎng)址得到該頁面的源碼，用戶可自行對源碼進行分析做出判斷。該系統(tǒng)對有漏洞的服務(wù)器進行了攻擊測試并獲得了良好的效果，網(wǎng)絡(luò)爬蟲和盲注攻擊猜解改善了SQL注入攻擊的效能。關(guān)鍵詞：SQL注入；網(wǎng)絡(luò)爬蟲；
5、網(wǎng)絡(luò)攻擊；猜解數(shù)據(jù)庫pagewhichcanbeinjected．IntheSQLinjectionutilizingmodule，theuserentersavulnerableaddress，thenCanbeobtaineddirectlytheresult．TIlismodulenotonlybythegeneralmethodofSQLinjectionattacks，butalsobytheSQLdictionaryguessandblindtesting．Getthedatabasetype，usernameanddatabasenamebythetraditionalSQL
6、injection，getthetablenames，columnnamesbytraditionalSQLinjectionanddictionaryguess，getthecontentsofthedatabasebythetraditionalSQLinjectionandliterallyblindguess．Throughallofthistocompletetheworkofgetdatabaseinformation．InthemanualSQLinjcctiondetectmodule，theUSercaninputspecific(havebeeninjectedorno
7、t)URLtogetthesourcecodeofthepage，theuserCananalyzeandmakejudgmentsonthesourcecodebythemselves．111esystemworkswellintheWebattackingtest，theW曲crawlerandthewordforwordattackingimprovetheSQLinjection、sefficiency．KEYW
