[發明專利]一種SQL注入攻擊的檢測方法及裝置

有效

• 申請號: 202011145480.2
• 申請日: 2020-10-23
• 公開（公告）號: CN112261050B
• 公開（公告）日: 2022-02-22
• 發明（設計）人: 馬文強
• 申請（專利權）人: 新華三信息安全技術有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L61/4511
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種結構化查詢語言SQL注入攻擊的檢測方法，其特征在于，所述方法包括：

在檢測到客戶端發往Web服務器的超文本傳輸協議HTTP請求中攜帶有預設的關鍵字庫中的任一關鍵字時，生成包括有客戶端的IP地址的疑似SQL注入日志；以及在檢測到預設的威脅情報庫中存在與數據庫服務器發出的域名系統DNS請求中攜帶的域名相匹配的域名時，生成可疑域名查詢日志；

若監測到生成的所述疑似SQL注入日志的條數達到設定條數、且監測到每次生成所述疑似SQL注入日志后的設定時長內均生成了可疑域名查詢日志，則判定所述客戶端成功進行了SQL注入攻擊。

2.根據權利要求1所述的方法，其特征在于，所述方法還包括：

在判定所述客戶端成功進行了SQL注入攻擊之后，阻斷源IP地址為所述客戶端的IP地址的HTTP請求。

3.根據權利要求1所述的方法，其特征在于，所述方法還包括：

在判定所述客戶端成功進行了SQL注入攻擊之后，阻斷所述數據庫服務器對源IP地址為所述客戶端的IP地址的HTTP請求進行處理后發出的DNS請求。

4.根據權利要求1所述的方法，其特征在于，所述方法還包括：

在判定所述客戶端成功進行了SQL注入攻擊之后，輸出阻斷源IP地址為所述客戶端的IP地址的HTTP請求的阻斷策略。

5.根據權利要求1所述的方法，其特征在于，所述方法還包括：

在判定所述客戶端成功進行了SQL注入攻擊之后，輸出阻斷所述數據庫服務器對源IP地址為所述客戶端的IP地址的HTTP請求進行處理后發出的DNS請求。

6.一種結構化查詢語言SQL注入攻擊的檢測裝置，其特征在于，所述裝置包括：

疑似SQL注入檢測模塊，用于在檢測到客戶端發往Web服務器的超文本傳輸協議HTTP請求中攜帶有預設的關鍵字庫中的任一關鍵字時，生成包括有客戶端的IP地址的疑似SQL注入日志；

可疑域名檢測模塊，用于在檢測到預設的威脅情報庫中存在與數據庫服務器發出的域名系統DNS請求中攜帶的域名相匹配的域名時，生成可疑域名查詢日志；

攻擊判定模塊，用于在監測到所述疑似SQL注入檢測模塊生成的所述疑似SQL注入日志的條數達到設定條數、且監測到所述疑似SQL注入檢測模塊每次生成所述疑似SQL注入日志后的設定時長內所述可疑域名檢測模塊均生成了可疑域名查詢日志，則判定所述客戶端成功進行了SQL注入攻擊。

7.根據權利要求6所述的裝置，其特征在于，所述裝置還包括：

第一阻斷執行模塊，用于在所述攻擊判定模塊判定所述客戶端成功進行了SQL注入攻擊之后，阻斷源IP地址為所述客戶端的IP地址的HTTP請求。

8.根據權利要求6所述的裝置，其特征在于，所述裝置還包括：

第二阻斷執行模塊，用于在所述攻擊判定模塊判定所述客戶端成功進行了SQL注入攻擊之后，阻斷所述數據庫服務器對源IP地址為所述客戶端的IP地址的HTTP請求進行處理后發出的DNS請求。

9.根據權利要求6所述的裝置，其特征在于，所述裝置還包括：

第一輸出模塊，用于在所述攻擊判定模塊判定所述客戶端成功進行了SQL注入攻擊之后，輸出阻斷源IP地址為所述客戶端的IP地址的HTTP請求的阻斷策略。

10.根據權利要求6所述的裝置，其特征在于，所述裝置還包括：

第二輸出模塊，用于在所述攻擊判定模塊判定所述客戶端成功進行了SQL注入攻擊之后，輸出阻斷所述數據庫服務器對源IP地址為所述客戶端的IP地址的HTTP請求進行處理后發出的DNS請求的阻斷策略。