Алгоритм автоматического обнаружения уязвимости вида SQL-инъекции

Abstract

В данной работе предложен алгоритм обнаружения атаки инъекций SQL с помощью функции распознавания и дана оценка эффективности предложенного алгоритма с помощью искусственных данных. В предлагаемом методе создан с помощью примерных данных атакующих и нормальных строк набор символов для распознавания как атаки, так и нормального запроса с ранее известным порогом. Согласно экспериментам с искусственными данными набор содержит пробел, точку с запятой и правую скобку, которая наиболее подходит для распознавания атаки и нормальной строки. Однако важен гибкий выбор набора в зависимости от наблюдаемых данных.

Атаки на веб-додатки є відносно новим видом загрози. Якщо в веб-додатку належним чином не провадиться фільтрація вхідних параметрів, то зловмисники можуть отримати можливість фальсифікувати базу даних, використовуючи форму на веб-сторінці або змінюючи інші вхідні дані. Математичне моделювання та ідентифікація інформаційних об’єктів відіграють важливу роль при вирішенні задач розпізнавання образів. Однією з таких задач є виявлення атак на веб-додатки або нормальних запитів. Дослідження, присвячені вивченню виявлення атак або нормальних запитів, почалися порівняно недавно. Проте існує багато досліджень в цьому напрямку. Атака виду SQL-ін’єкції — поширений спосіб злому веб-додатків, які мають базу даних. Запропоновано математичний спосіб ідентифікації атак SQL-ін’єкцій за допомогою обмеженої знизу функції, що залежить від вхідного рядка. Для побудови такої функції використано символи і ключові слова, які часто зустрічаються в побудові атак зловмисників. За допомогою запропонованого методу можна виявляти атаки ін’єкцій SQL, використовуючи один символ. Проте експериментально показано, що даний метод виявлення з використанням набору численних символів дозволяє більш точно визначити вразливість виду SQL-ін’єкції. У запропонованому методі створено набір символів, що поєднується як з атакою, так і з нормальними запитами, з раніше відомим порогом, використовуючи приблизні дані атак та нормальних запитів. Згідно з експериментами з штучними даними набір містить пробіл, крапку з комою і праву дужку, що найбільше підходить для виявлення атаки чи нормального запиту.

Attacks to web applications are a relatively new type of attack. If the web application does not filter incoming parameters properly, then attackers can get the opportunity to falsify the database using the form on the web page or by changing other incoming data. Mathematical modeling and identification of information objects play an important role in solving problems of pattern recognition. One of these tasks is to detect attacks or normal requests for web applications. Studies on the detection of attacks or normal requests for web applications began relatively recently. Nevertheless, there is a lot of research in this direction. Attack of the form of SQL-injection is a common way of hacking web applications that have a database. Our paper proposes a mathematical method for identifying SQL-injection attacks using a function bounded below that depends on the input string. To build such a function, we used special characters and keywords that are often found in the construction of attacks by intruders. In our proposed method, we can detect SQL-injection attacks using a single character. Nevertheless, we experimentally show that the proposed detection method using a set of numerous symbols allows us to determine the vulnerability of the form of SQL-injection more accurately. In the proposed method, we created a character set that combines both attack and normal detections, and the previously known threshold, using the approximate data of the attackers and normal strings. According to our experiments with artificial data, the set contains a space, a semicolon, and the right bracket has worked well for a larger weight range for the attack and the normal string.