[發(fā)明專利]一種基于SQL語句的SQL注入風(fēng)險(xiǎn)評估方法

在審

• 申請?zhí)枺?/td>: 201710048581.X
• 申請日: 2017-01-23
• 公開（公告）號: CN106845237A
• 公開（公告）日: 2017-06-13
• 發(fā)明（設(shè)計(jì)）人: 楊海峰;高強(qiáng)花
• 申請（專利權(quán)）人: 北京安華金和科技有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 天津盛理知識產(chǎn)權(quán)代理有限公司12209
• 代理人: 王利文

1.一種基于SQL語句的SQL注入風(fēng)險(xiǎn)評估方法，其特征在于包括以下步驟：

步驟1、建立以數(shù)據(jù)庫id為key值存儲規(guī)則組的多維存儲體；

步驟2、通過數(shù)據(jù)庫id獲得的key值，從多維存儲體的規(guī)則組中查找對應(yīng)的風(fēng)險(xiǎn)規(guī)則并逐條匹配，根據(jù)風(fēng)險(xiǎn)規(guī)則匹配情況設(shè)置高、中、低、無風(fēng)險(xiǎn)等級，并根據(jù)風(fēng)險(xiǎn)等級進(jìn)行放行、攔截和阻斷控制。

2.根據(jù)權(quán)利要求1所述的一種基于SQL語句的SQL注入風(fēng)險(xiǎn)評估方法，其特征在于：所述多維存儲結(jié)構(gòu)以數(shù)據(jù)庫id為key值存儲規(guī)則組，在規(guī)則組中，在每一條風(fēng)險(xiǎn)規(guī)則中,均按照SQL注釋、OR操作、union操作、高危操作、多語句查詢、常量表達(dá)式、空密碼查詢、暴力破解函數(shù)、系統(tǒng)表和敏感表、自定義正則的順序組合。

3.根據(jù)權(quán)利要求1所述的一種基于SQL語句的SQL注入風(fēng)險(xiǎn)評估方法，其特征在于：所述步驟2的具體處理過程為：

(1)根據(jù)數(shù)據(jù)庫id找到此數(shù)據(jù)庫對應(yīng)的規(guī)則；

(2)判斷是否存在風(fēng)險(xiǎn)規(guī)則且命中的風(fēng)險(xiǎn)規(guī)則數(shù)少于設(shè)定的閥值，是則進(jìn)入下一步，否則結(jié)束；

(3)判斷規(guī)則中有需匹配元素，有則進(jìn)入下一步，否則返回步驟(2)；

(4)判斷是否命中高危操作，是則進(jìn)入下一步，否則返回步驟(2)；

(5)判斷是否命中系統(tǒng)表或敏感表，是則進(jìn)入下一步，否則返回步驟(2)；

(6)判斷是否命中SQL注釋，是則進(jìn)入下一步，否則返回步驟(2)；

(7)判斷是否命中OR操作，是則進(jìn)入下一步，否則返回步驟(2)；

(8)判斷是否命中union操作，是則進(jìn)入下一步，否則返回步驟(2)；

(9)判斷是否命中常量表達(dá)式操作，是則進(jìn)入下一步，否則返回步驟(2)；

(10)判斷是否命中空密碼查詢，是則進(jìn)入下一步，否則返回步驟(2)；

(11)判斷是否命中暴力破解函數(shù)，是則進(jìn)入下一步，否則返回步驟(2)；

(12)判斷是否命中自定義正則，是則進(jìn)入下一步，否則返回步驟(2)；

(13)判斷是否命中多語句查詢，是則進(jìn)入下一步，否則返回步驟(2)；

(14)設(shè)置風(fēng)險(xiǎn)等級并進(jìn)行控制：根據(jù)配置情況設(shè)置高、中、低、無風(fēng)險(xiǎn)等級，并根據(jù)風(fēng)險(xiǎn)等級進(jìn)行放行、攔截和阻斷控制。

4.根據(jù)權(quán)利要求3所述的一種基于SQL語句的SQL注入風(fēng)險(xiǎn)評估方法，其特征在于：所述的閥值為5。