研究員開發(fā)新技術(shù) 抵御SQL注入攻擊
Core Security Technologies公司的研究員開發(fā)了一種新的自動(dòng)黑客技術(shù)，能讓攻擊者輕易地找到和攻擊SQL注入漏洞，還有攻擊者常用的代碼錯(cuò)誤。以下就是對防御SQL注入攻擊的詳細(xì)內(nèi)容的描述。
由Core researcher Sebastian Cufre組織的研究可以幫助漏洞查找者提高發(fā)現(xiàn)SQL注入漏洞的效率，這樣以來可以在攻擊者利用它們之前就將漏洞修復(fù)好。Cufre不能參加這一會(huì)議，所以CoreLabs的研究員Fernando Federico Russ在2010年的CanSecWest應(yīng)用安全會(huì)議上演示了這一黑盒技術(shù)。
Russ說：“這有助于自動(dòng)查找和攻擊SQL注入漏洞，最棒的是有一個(gè)SQL提取功能，能讓你在后端數(shù)據(jù)庫上直接執(zhí)行SQL語句。”
SQL注入一直是種流行的攻擊技術(shù)，因?yàn)榇a錯(cuò)誤會(huì)讓攻擊者獲取Web應(yīng)用程序的訪問權(quán)，這在許多網(wǎng)站中都很常見。攻擊者能夠在Web表格中添加結(jié)構(gòu)化的查詢語言(SQL)來測試數(shù)據(jù)庫，以檢查結(jié)果數(shù)據(jù)庫的調(diào)試錯(cuò)誤并獲取訪問權(quán)限。
黑客工具包讓攻擊者能更容易地攻擊和危害網(wǎng)站，并將網(wǎng)站上建立的惡意代碼傳播給網(wǎng)站訪問者。企業(yè)已采取措施，減少Web應(yīng)用程序中的SQL注入代碼錯(cuò)誤。
Russ的技術(shù)研究顯示了黑客測試技術(shù)如何被應(yīng)用來高效查找SQL注入錯(cuò)誤。黑盒測試為獲取黑客動(dòng)向采取了外部方式來測試軟件。它讓軟件測試員理解黑客在受危害的機(jī)器上可能采取的攻擊類別。
Russ說：“我們正努力掌握漏洞知識(shí)和推斷串注入點(diǎn)的標(biāo)準(zhǔn)測試。”
這一技術(shù)消除了自動(dòng)SQL注入漏洞評估過程中的誤報(bào)情況。這一方法還可自動(dòng)生成攻擊代碼。Core計(jì)劃在它的網(wǎng)站上發(fā)布相應(yīng)的研究論文。
目前，網(wǎng)站站長們有很多方法來測試他們網(wǎng)站上的代碼錯(cuò)誤。很多靜態(tài)和動(dòng)態(tài)代碼分析工具能夠用來查找可導(dǎo)致SQL注入的代碼錯(cuò)誤，盡管專家們稱這些工具越來越先進(jìn)，但其中的大多數(shù)工具還是存在很大的誤差和很高的誤報(bào)率。2008年的時(shí)候，SQL注入攻擊非常嚴(yán)重，微軟曾在公告中指出了幾款可消除開發(fā)過程中錯(cuò)誤的工具。
另外，組織機(jī)構(gòu)可以限制用戶的訪問權(quán)限，在應(yīng)用程序全面投入運(yùn)營之前，通過應(yīng)用靜態(tài)代碼分析來檢測錯(cuò)誤，以改進(jìn)軟件開發(fā)過程。而且可在SQL串導(dǎo)致底層數(shù)據(jù)庫崩潰時(shí)，減少顯示給用戶的調(diào)試錯(cuò)誤。
【編輯推薦】
