[發明專利]脆弱性診斷裝置

有效

• 申請號: 201180051830.1
• 申請日: 2011-11-10
• 公開（公告）號: CN103262089A
• 公開（公告）日: 2013-08-21
• 發明（設計）人: 谷口友浩;間島英之;德江崇宏;大草敬嗣;田畑正志;上田真太郎
• 申請（專利權）人: 京瓷通信系統株式會社
• 主分類號: G06F21/62
• 分類號: G06F21/62;G06F21/55
• 代理公司: 北京三友知識產權代理有限公司 11127
• 代理人: 李輝;黃綸偉

技術領域

本發明涉及診斷網站（Web?Site）的脆弱性的脆弱性診斷裝置。

背景技術

作為對網絡服務器（Web?Server）的攻擊手法之一，存在SQL注入。這是指使用操作數據庫的SQL語言，非法地操作網絡服務器上的數據庫。

例如，以圖1這樣的系統為例進行說明。網絡服務器4準備了圖2所示的登陸畫面。在終端PC2中，用戶輸入自己的用戶ID和密碼，將其發送到網絡服務器（參照（1））。在網絡服務器4側，在數據庫6中預先記錄有用戶ID和密碼的組合，如果已經記錄了與從終端PC2發送來的用戶ID和密碼的組合一致的內容，則允許訪問，發送下一畫面（參照（3）～（6））。

如果沒有記錄過與從終端PC2發送來的用戶ID和密碼的組合一致的內容，則發送表示不允許訪問的畫面（參照（3）～（6））。

如上所述，只要沒有正確地輸入用戶ID和密碼就不允許訪問，以這種方式來管理對網絡服務器的訪問權限。

在上述處理中，在網絡服務器4側，根據從終端PC2接收到的用戶ID和密碼，生成用于檢索數據庫的SQL語句（參照（2））。例如，用戶基于圖2所示的畫面進行輸入，從終端PC2送出用戶ID（uid）furutani、密碼（pwd）1cd45。網絡服務器4接收用戶ID、密碼，根據如下規則附加字符串，生成SQL語句。

SELECT*FROM?user?WHERE?uid='用戶ID'AND?pwd='密碼'

根據該規則，在用戶ID（uid）為furutani、密碼（pwd）為1cd45的情況下，生成如下SQL語句。

SELECT*FROM?user?WHERE?uid='furutani'AND?pwd='1cd45'

網絡服務器4將該SQL語句發送到數據庫6（參照（3）），從數據庫6中取得是否記錄有用戶ID（uid）為furutani、密碼（pwd）為1cd45的用戶的判斷結果（參照（4））。也就是說，如果記錄有用戶ID（uid）為furutani、密碼（pwd）為1cd45的用戶，則“uid='furutani'AND?pwd='1cd45'”的邏輯值為“1”，如果沒有記錄則邏輯值為“0”。

如果返回了邏輯值“1”，則網絡服務器4承認該用戶的權限而允許訪問，如果返回了邏輯值“0”，則認為該用戶沒有權限而不允許訪問（參照（5）（6））。

然而，如果上述這樣的生成SQL語句的算法被推測出來，則存在進行如下攻擊（SQL注入）的可能。

進行攻擊的人從終端PC2輸入適當的名字作為用戶ID（uid）。例如，輸入ueno。作為密碼（pwd），進行如下輸入。

'OR'A'='A

對于這樣的輸入，基于上述算法，會生成如下SQL語句。

SELECT*FROM?user?WHERE?uid='ueno'AND?pwd=''OR'A'='A'

在該SQL語句中，通常，“uid='ueno'AND?pwd=''”的部分為邏輯值“0”（“pwd=''”表示密碼為空白的字符串）。但是，由于存在“OR'A'='A'”，且“'A'='A'”始終為邏輯值“1”，進一步通過“OR”進行結合，因此，作為整體，邏輯值必然為“1”。

因此，如果進行了上述這樣的輸入，則邏輯值始終為“1”，即使是未給出密碼的用戶，也能夠非法地訪問。

因此，針對這樣的SQL注入，在網絡服務器4中采取了排除這樣的SQL注入而不允許訪問的措施。SQL注入的種類有許多，如果不對全部這些SQL注入采取措施，則不能稱作萬全之策。

因此，針對網絡服務器4是否對于這樣的SQL注入存在脆弱性，進行了診斷（參照非專利文獻1）。該診斷通過如下方法實現。

首先，對作為診斷對象的網絡服務器，進行伴有正確的用戶ID和密碼的訪問。將與該正常訪問對應的來自網絡服務器的響應記錄為正常響應。在該情況下，正常響應是作為允許訪問的結果而顯示的內容。

接下來，進行基于SQL注入的訪問（稱作異常訪問）。將與該異常訪問對應的來自網絡服務器的響應記錄為異常響應。如果網絡服務器裝置針對基于SQL注入的攻擊不允許訪問，則該異常響應是作為不允許訪問的結果而顯示的內容（例如，錯誤畫面等）。也就是說，在對于SQL注入不存在脆弱性的情況下，正常響應和異常響應為不同的內容。

另一方面，如果網絡服務器裝置對于基于SQL注入的攻擊存在允許訪問這樣的脆弱性，則該異常響應與正常響應相同。