基于代理模式的SQL注入漏洞检测技术研究

SQL注入（SQLinjection）漏洞是网站中普遍存在的漏洞之一,同时也是影响企业运营且最具破坏性的漏洞之一。SQL注入漏洞的检测模式可分为手工分析和自动化工具扫描分析两种方式。虽然有很多自动化工具可以帮助我们快速检测SQL注入漏洞,但工具检测能力十分有限,就目前而言,扫描工具的最大瓶颈在于如何确保爬虫所得待测数据的全面性。由于爬虫技术的限制,大部分扫描工具的误报和漏报概率都比较大。人工分析虽然可以保证漏洞检测的准确度,但检测过程需要消耗大量时间且效率比较低下。针对此种情况,文章提出一种基于代理模式的SQL注入漏洞检测方法,该方法在兼顾准确率和效率的基础之上,综合利用已有漏洞检测工具的优点,实现快速全面收集待测数据,以此确保SQL注入漏洞检测的高效性和准确性。另外,文章还利用该方法对Web应用中的XSS漏洞进行了检测分析,并取得了非常好的效果。