[發明專利]面向Web安全的數據庫安全防護方法和系統

有效

• 申請號: 201310442701.6
• 申請日: 2013-09-25
• 公開（公告）號: CN103473353B
• 公開（公告）日: 2017-02-08
• 發明（設計）人: 鄒福泰;付毓飛;章思宇;易平
• 申請（專利權）人: 上海交通大學
• 主分類號: G06F17/30
• 分類號: G06F17/30;G06F21/60
• 代理公司: 上海旭誠知識產權代理有限公司31220
• 代理人: 鄭立

技術領域

本發明涉及信息安全技術領域，尤其涉及一種面向Web安全的數據庫安全防護方法和系統。

背景技術

數據庫（Database）是按照數據結構來組織、存儲和管理數據的倉庫，它產生于距今五十年前，隨著信息技術和市場的發展，特別是二十世紀九十年代以后，數據管理不再僅僅是存儲和管理數據，而轉變成用戶所需要的各種數據管理的方式。數據庫有很多種類型，從最簡單的存儲有各種數據的表格到能夠進行海量數據存儲的大型數據庫系統都在各個方面得到了廣泛的應用。但隨之而來產生了數據庫的安全問題。數據庫系統作為信息的聚合體，是計算機信息系統的核心部件，其安全性至關重要。

SQL注入攻擊是黑客對數據庫進行攻擊的常用手段之一。隨著B/S模式應用開發的發展，使用這種模式編寫應用程序的程序員也越來越多。但是由于程序員的水平及經驗也參差不齊，相當大一部分程序員在編寫代碼的時候，沒有對用戶輸入數據的合法性進行判斷，使應用程序存在安全隱患。用戶可以提交一段數據庫查詢代碼，根據程序返回的結果，獲得某些他想得知的數據，這就是所謂的SQL?Injection，即SQL注入。SQL注入是從正常的WWW端口訪問，而且表面看起來跟一般的Web頁面訪問沒什么區別，所以目前市面的防火墻都不會對SQL注入發出警報，如果管理員沒查看IIS日志的習慣，可能被入侵很長時間都不會發覺。但是，SQL注入的手法相當靈活，在注入的時候會碰到很多意外的情況，需要構造巧妙的SQL語句，從而成功獲取想要的數據。如何為數據庫提供安全防護，成為目前亟需解決的問題。

因此，本領域的技術人員致力于開發一種面向Web的數據庫安全防護方法和系統，通過多重保護，為數據庫提供全方位的安全。

發明內容

有鑒于現有技術的上述缺陷，本發明所要解決的技術問題是提供一種面向Web的數據庫安全防護方法和系統，在服務器端提高數據庫安全性，在Web端被攻擊之后，也同樣保證數據庫的安全。

為實現上述目的，本發明提供了一種面向Web的數據庫安全防護方法，包含如下步驟：

（1）Web服務器將數據庫查詢的請求發送給數據庫防火墻；

（2）所述數據庫防火墻經過智能處理后，遞交所述數據庫查詢到數據庫或者直接攔截；

（3）所述數據庫防火墻得到來自所述數據庫的返回結果，經過智能處理后返回給所述Web服務器。

在本發明的較佳實施方式中，所述步驟（2）中所述數據庫防火墻的智能處理步驟如下：

（2-1）對所述數據庫查詢語句規格化處理；

（2-2）與所述數據庫防火墻的白名單中的語句進行匹配，如果匹配上，則轉步驟（2-3），如果沒有匹配上，則轉步驟（2-4）；

（2-3）直接遞交給數據庫，等待返回結果；

（2-4）所述查詢語句是否涉及了網站的敏感表，如果含有，那么攔截查詢；沒有涉及所述敏感表，則所述查詢請求語句是否包含滲透攻擊的關鍵詞，如果有，作為攻擊語句進行攔截，如果沒有，視為這條請求正常，放行通過，遞交給所述數據庫。

在本發明的另一較佳實施方式中，所述白名單是通過所述Web服務器正常運行狀況下產生的數據庫日志提取而來。

在本發明的較佳實施方式中，所述步驟（3）中所述數據庫防火墻的智能處理步驟如下：

（3-1）判斷所述數據庫返回結果是否包含敏感信息，如果包含所述敏感信息，所述數據庫防火墻會依據網站管理員給定的條目閾值對輸出結果作處理；

（3-2）如果所述輸出結果在所述閾值以內，視為正常，遞交給所述Web服務器，如果所述輸出結果超過閾值，認為有攻擊者試圖發起拖庫攻擊，直接攔截。

在本發明的另一較佳實施方式中，所述敏感信息包括身份證號和密碼。

一種面向Web安全的數據庫安全防護系統，包括Web服務器、數據庫防火墻和數據庫，所述Web服務器將接收到的數據庫查詢請求發送給所述數據庫防火墻，所述數據庫庫防火墻對所述數據查詢請求進行智能處理后，遞交所述數據庫查詢到數據庫或者直接攔截，其特征在于，所述Web服務器連接開放單一端口的所述數據庫防火墻，所述數據庫防火墻連接開放單一端口的所述數據庫。

在本發明的較佳實施方式中，所述數據庫防火墻的智能處理包括白名單過濾、敏感表比對、滲透語句防御和輸出結果審核。