[發明專利]一種基于代理方式的數據庫安全增強方法

無效

• 申請號: 200910080856.3
• 申請日: 2009-03-24
• 公開（公告）號: CN101515931A
• 公開（公告）日: 2009-08-26
• 發明（設計）人: 代六玲;杜頂;張晗立;胡金武;梁濤;湯繼良;李奇;陳合春
• 申請（專利權）人: 北京理工大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06F17/30
• 代理公司: 北京理工大學專利中心
• 代理人: 張利萍

1.一種基于代理方式的數據庫安全增強方法，其特征在于技術方案如 下：

通過提供第一網絡接口和第二網絡接口，將第一網絡接口與數據庫服 務器相連，將第二網絡接口與應用服務器相連，使得應用服務器不直接連 接數據庫服務器；通過在兩個網絡接口之間轉發數據，實現數據庫服務器的 地址映射；

當應用服務器向數據庫服務器發出訪問請求時，首先對該訪問請求進 行獨立于數據庫的授權管理，即，將IP地址和用戶名進行組合來唯一甄別 每個請求者，由此對請求者進行授權管理，而不僅僅是采用用戶名甄別， 此時，先判斷請求類型，根據請求類型執行相應的響應策略；當請求類型 為數據請求時，要對其進行是否包含命令調用的判斷，如果其包含命令調 用，對該數據請求進行危險命令管理，即，先判定命令類型，再根據命令 類型執行相應的響應策略；

從第一網絡接口向第二網絡接口轉發的數據為數據庫服務器對應用服 務器請求的響應，此時，將其直接轉發到應用服務器；

所述的獨立于數據庫的授權管理的具體實現步驟如下：

步驟一、對客戶端應用程序發起的數據庫請求進行通信協議解析，還 原出SQL語句；

步驟二、判斷請求類型，并根據請求類型執行相應的響應策略：

(1)如果是連接請求，首先檢查客戶端的“IP&用戶名”是否被授權， 再檢查請求連接的數據庫是否被授權；

如果任何一次授權檢驗失敗，則做出不允許訪問的處理；如果請求為 被授權，則轉發該請求至數據庫服務器；

(2)如果是數據請求，則解析SQL語句，依據授權信息，檢查用戶 請求的表、視圖和字段是否被授權；

如果請求沒有被授權，則做出不允許訪問的處理；如果請求為被授權， 則判斷數據請求中是否包含命令調用，如果不包含命令調用，則將請求轉 發至數據庫服務器，否則，對該數據請求進行危險命令管理，實現步驟如 下：

步驟I、判定請求命令的類型；

步驟II、根據命令的具體情況執行相應的響應策略：

①如果是系統命令，檢驗系統命令的功能；

若命令的功能可能泄露操作系統和數據庫的信息或者是執行操作系統 命令，則根據事先制定的策略進行響應；

②如果命令具有SQL注入漏洞，則判定請求是否包含SQL注入攻擊；

若包含SQL注入攻擊，則根據事先制定的策略進行響應；

③如果命令具有緩沖區溢出攻擊危險，則檢驗命令參數中是否包含緩 沖區溢出攻擊；

若命令包含緩沖區溢出攻擊，則根據事先制定的策略進行響應；

如果系統命令不會威脅系統安全，或者不包含SQL注入攻擊語句，或 者不包含緩沖區溢出攻擊，或者命令為普通命令時，將訪問請求轉發至數 據庫服務器；

數據庫服務器收到客戶端的訪問請求后，對其做出響應，該響應被直 接轉發到客戶端。