SQL注入的“拖库”攻击与防范

陈 悦 蔡满春 李璟莹

（中国人民公安大学网络安全保卫学院 北京 102600）

0 引言

随着Web应用技术的不断成熟，动态网站以其丰富的内容和强大的功能在人们的生活中备受亲睐，各大高校院系、公司企业、政府部门、事业单位等都构建起了自己的动态网站。但由于网站开发人员缺乏安全保护意识，这些网站的安全措施并不是很完善，因此给该类网站造成了很多的安全威胁。从之前的CSDN社区用户信息泄露，到携程网信息安全门事件，再到2015年上半年多省市卫生社保系统出现大量高危漏洞，导致数千万社保用户敏感信息泄露的安全事件，都表明互联网的安全问题愈发严峻，其中SQL注入就是一种日益增长安全威胁。尤其互联网+时代到来，物联网、云计算和大数据应用不断深入，攻击者利用 SQL注入点对网站发起攻击后可以操作网站后台的数据库，拖库攻击导致数据库存储的用户敏感信息泄露，修改甚至破坏数据库内容和结构，对用户生命财产安全造成严重侵害。

1 SQL注入攻击技术

1.1 SQL注入攻击原理

攻击者通过构建特定长度、类型的字符串动态SQL语句来执行数据库操作，将容易触发SQL异常的代码写入SQL查询语句中，造成SQL所支持数据库异常，然后使用一系列的技术手段实现数据库拖库。

1.2 寻找SQL注入点

（1）“加引号”法

单引号作为SQL数据库中的转义字符，其使用不当会造成查询异常。攻击者通常在URL的尾部插入一个单独的引号，造成SQL语句异常而令数据库抛出一个错误信息。……