[發明專利]一種電力信息系統SQL注入漏洞檢測方法及系統

有效

• 申請號: 201911357101.3
• 申請日: 2019-12-25
• 公開（公告）號: CN111064735B
• 公開（公告）日: 2021-10-15
• 發明（設計）人: 許靜;劉磊;朱靜雯;高紅燦;過辰楷;崔潔;李潔;張國強;陳亮;林永峰;石偉
• 申請（專利權）人: 南開大學;國網天津市電力公司;國家電網有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 天津盛理知識產權代理有限公司 12209
• 代理人: 王雨晴

本發明涉及一種電力信息系統SQL注入漏洞檢測方法及系統。該檢測方法包括：根據SQL語句的邏輯語義特征，獲取SQL注入漏洞的測試用例的語義特征；不同的語義特征對應不同的測試動作；根據所述語義特征，基于SQL注入漏洞黑盒滲透測試的規則，構建每個語義特征對應的測試用例以及安全特征擴展有限狀態機模型；所述安全特征擴展有限狀態機模型包括每個測試用例的響應狀態以及狀態轉換規則；根據所述測試用例，采用所述安全特征擴展有限狀態機模型對待檢測系統的SQL注入漏洞進行檢測，得到漏洞證據。本發明可以提高SQL注入漏洞的檢測精度。

技術領域

本發明涉及電力信息安全領域，特別是涉及一種電力信息系統SQL注入漏洞檢測方法及系統。

背景技術

電力數據的安全問題隨著電力信息網與互聯網的接入變得尤為嚴峻，如何有效對安全漏洞及其特征進行分析和檢測就成為一種至關重要的問題。其中SQL注入漏洞是危害最為嚴重的漏洞之一，并且其呈現出越來越高的隱蔽性、邏輯性和時序性，傳統的漏洞檢測和特征分析方法已不能滿足其檢測要求，從而造成了檢測準確度不足的問題。

隨著電力信息系統接入互聯網，其所包含的數據與種類規模都變的愈加龐大復雜，電力信息網絡安全變得越來越重要。近年來我國電力行業信息系統發展迅速，與多種業務系統智能互聯，如用戶用電業務系統，充電樁業務系統等。電力業務相關數據不斷積累，提高電網信息系統面對外界惡意攻擊時的防控能力，保證電網安全、穩定、高效運行非常重要。在電力信息系統所有安全漏洞問題中，SQL注入漏洞(Structure Query LanguageInjection Vulnerability，SQLIV)被公認為影響最嚴重的信息系統漏洞之一，其可造成敏感信息泄露、認證與授權失效、系統后臺劫持等嚴重的信息系統安全問題。通常會采用黑盒滲透測試來模擬黑客攻擊方式以動態地檢測在線信系統中的SQLIIV，但其普遍存在準確度不足的問題，主要表現為較高的漏報(False Negative)和誤報(False Positive)。

以提高檢測準確度為目標，大量研究從滲透測試的信息收集、響應分析和檢測攻擊生成三個方面展開以提高其對漏洞特征的識別分析能力。在此基礎上，很多研究通過融合靜態代碼分析的黑白盒相結合的方法來提高其檢測效果，但對源代碼的依賴限制了其在很多實際檢測場景中的應用，因而對SQLIV黑盒滲透測試的研究顯得至關重要。

傳統的黑盒滲透測試方法中，部分方法專注于通過改進漏洞特征識別方法來提高檢測響應分析能力，但其大多未考慮到多不同檢測響應之間的關聯性，因而難以檢測出復雜的基于推斷的SQLIV，從而容易引入一定的漏報。另一方面，部分方法通過擴充檢測模式庫或改進攻擊生成方法以提高SQLIV檢測的覆蓋度，其多采用順序或隨機枚舉方式，同樣未考慮到測試用例之間的邏輯關系，進而增加了引入誤報的可能性。另外一些工作采用攻擊樹模型等建模方法來展開其研究，但同樣未考慮到復雜漏洞中包含的邏輯和時序問題，容易引入誤報、漏報，因此，傳統的檢測方法對于SQL注入漏洞檢測精度不高。

發明內容

本發明的目的是提供一種電力信息系統SQL注入漏洞檢測方法及系統，以提高SQL注入漏洞的檢測精度。

為實現上述目的，本發明提供了如下方案：

一種電力信息系統SQL注入漏洞檢測方法，包括：

根據SQL語句的邏輯語義特征，獲取SQL注入漏洞的測試用例的語義特征；不同的語義特征對應不同的測試動作；

根據所述語義特征，基于SQL注入漏洞黑盒滲透測試的規則，構建每個語義特征對應的測試用例以及安全特征擴展有限狀態機模型；所述安全特征擴展有限狀態機模型包括每個測試用例的響應狀態以及狀態轉換規則；

根據所述測試用例，采用所述安全特征擴展有限狀態機模型對待檢測系統的SQL注入漏洞進行檢測，得到漏洞證據。

可選的，所述SQL注入漏洞的測試用例的語義特征包括：