CN107563197A - 一种针对数据库层的拖库撞库攻击防御方法 - Google Patents

Abstract

本发明涉及一种针对数据库层的拖库撞库攻击防御方法，在数据库中配置用于诱骗攻击的后台防御模块，输入SQL请求，后台防御模块依据SQL请求的返回值，进行判断；若符合攻击条件，则进行阻断；否则为正常访问，完成请求，返回数据并结束。本发明通过用于诱骗攻击的后台防御模块，在实际操作中，对于输入的SQL请求进行反应，判断当前SQL是否存在攻击性，对攻击性SQL进行阻断，对正常访问返回数据。本发明通过直接在数据库设置后门结构，能够更为主动、智能、高效地挖掘及发现攻击者的拖库及撞库行为，保证数据库的安全。

Description

一种针对数据库层的拖库撞库攻击防御方法

技术领域

本发明涉及数字信息的传输，例如电报通信的技术领域，特别涉及一种网络技术、数据库安全防护技术方面的针对数据库层的拖库撞库攻击防御方法。

背景技术

随着互联网和移动互联网的高速发展，越来越多的应用被接入到网络中，使得越来越多人体会到其带来的便利，人们的工作、生活、娱乐逐渐与网络密不可分。

然而，人们使用的大多数网络应用服务都是基于web，这些web***中拥有海量的用户数据，这些数据一旦泄露后，不仅会给用户精神和经济上带来巨大损失，还会给服务商的经营者带来负面影响。这其中主要包括了撞库攻击和拖库攻击。撞库，是一种黑客攻击方式，黑客通过收集互联网已泄露的用户和密码信息，生成对应的字典表，尝试批量登陆其他网站后，得到一系列可以登陆的用户。拖库，是黑客入侵有价值的网站，把注册用户的资料数据库全部盗走的行为。拖库、撞库行为都会给用户的日常生活带来严重困扰，甚至直接带来经济损失，危害性极大，用户数据的保护一直是如今互联网世界的一个焦点，安全服务商与黑客之间在用户数据这个舞台上一直在进行着旷日持久的攻防战。

传统的防御拖库、撞库的方法是分级管理密码、定期修改密码、网站漏洞检测、网站挂马实时监控及网站篡改实时监控等，但这些方法都未针对数据库进行保护。

发明内容

本发明的主要目的在于克服现有网络技术、数据库安全防护技术的不足，提供一种针对数据库层的拖库撞库攻击防御方法。

本发明的技术方案为，一种针对数据库层的拖库撞库攻击防御方法，所述方法包括以下步骤：

步骤1.1：在数据库中配置用于诱骗攻击的后台防御模块；

步骤1.2：输入SQL请求；

步骤1.3：后台防御模块依据SQL请求的返回值，进行判断；若符合攻击条件，则进行阻断；否则为正常访问，完成请求，返回数据并结束。

优选地，所述步骤1.1中，后台防御模块包括用于诱骗攻击的蜜罐、用于防御拖库攻击的保护表和用于防御撞库攻击的登陆SQL语句模板中的任意一种或几种。

优选地，所述后台防御模块采用用于诱骗攻击的蜜罐；所述蜜罐包括在数据库中建立的基于蜜罐技术的测试表，并命名，及在数据库及数据库中的若干表中***基于蜜罐技术的测试数据；若步骤1.3的返回值为蜜罐中数据，则符合攻击条件，当前SQL请求为拖库攻击，阻断。

优选地，所述测试表的命名字符中包括字符“user”。

优选地，所述数据库中的若干表包括用户表、资金表和账户表；所述测试数据包括与实际用户表、资金表和账户表内信息或业务不相关的数据。

优选地，所述后台防御模块采用用于防御拖库攻击的保护表，设定保护阈值，若步骤1.3的返回值为保护表中数据，且返回数据不在保护阈值内，则符合攻击条件，当前SQL请求为拖库攻击，阻断。

优选地，所述拖库包括一次性拖库攻击和批量拖库攻击；用于防御一次性拖库攻击的保护表配置在数据库中，所述保护阈值为数据库中配置的保护表的行数；用于防御批量拖库攻击的保护表配置在数据库中，所述保护阈值为数据库中配置的保护表的行数、查询时间间隔和查询次数。

优选地，所述后台防御模块采用用于防御撞库攻击的登陆SQL语句模板，配置登陆失败次数，对SQL请求进行处理后与SQL语句模板结构匹配，若步骤1.3的返回值为登陆失败次数的极值，则符合攻击条件，当前SQL请求为撞库攻击，阻断。

优选地，判断当前SQL请求为撞库攻击包括以下步骤：

步骤2.1：将当前SQL请求的参数删除或使用特征符号进行表示，以生成登陆SQL语句模板的方式生成标准化的SQL请求；

步骤2.2：将步骤2.1的SQL请求与登陆SQL语句模板进行匹配，若匹配失败，则阻断，否则允许发出SQL请求的IP进行登陆；

步骤2.3：若发出SQL请求的IP登陆次数超过数据库配置的登陆失败次数且登陆失败，则当前SQL请求为撞库攻击，阻断；否则，登陆成功。

优选地，所述SQL语句模板为仅包括登陆请求特征结构的SQL语句。

本发明提供一种优化的针对数据库层的拖库撞库攻击防御方法，通过用于诱骗攻击的后台防御模块，在实际操作中，对于输入的SQL请求进行反应，判断当前SQL是否存在攻击性，对攻击性SQL进行阻断，对正常访问返回数据。本发明通过直接在数据库设置后门结构，能够更为主动、智能、高效地挖掘及发现攻击者的拖库及撞库行为，保证数据库的安全。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例，基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明涉及一种针对数据库层的拖库撞库攻击防御方法，所述方法包括以下步骤。

步骤1.1：在数据库中配置用于诱骗攻击的后台防御模块。

步骤1.2：输入SQL请求。

步骤1.3：后台防御模块依据SQL请求的返回值，进行判断；若符合攻击条件，则进行阻断；否则为正常访问，完成请求，返回数据并结束。

所述步骤1.1中，后台防御模块包括用于诱骗攻击的蜜罐、用于防御拖库攻击的保护表和用于防御撞库攻击的登陆SQL语句模板中的任意一种或几种。

本发明中，后台防御模块主要用于诱骗攻击并针对攻击返回特定返回值，使得攻击能够被识别并阻断，允许正常访问的进行。

本发明中，后台防御模块可以为用于诱骗攻击的蜜罐、用于防御拖库攻击的保护表和用于防御撞库攻击的登陆SQL语句模板的一种或几种，由技术人员依据实际的攻击情况自行设置。

以下对用于诱骗攻击的蜜罐、用于防御拖库攻击的保护表和用于防御撞库攻击的登陆SQL语句模板的情况做逐一叙述。

所述后台防御模块采用用于诱骗攻击的蜜罐；所述蜜罐包括在数据库中建立的基于蜜罐技术的测试表，并命名，及在数据库及数据库中的若干表中***基于蜜罐技术的测试数据；若步骤1.3的返回值为蜜罐中数据，则符合攻击条件，当前SQL请求为拖库攻击，阻断。

所述测试表的命名字符中包括字符“user”。

所述数据库中的若干表包括用户表、资金表和账户表；所述测试数据包括与实际用户表、资金表和账户表内信息或业务不相关的数据。

本发明中，蜜罐是网络管理员经过周密布置而设下的“黑匣子”，通过布置一些作为诱饵的信息，对攻击方进行欺骗，诱使攻击方对诱饵信息实施攻击，从而可以对攻击行为进行捕获和分析，进而通过技术和管理手段来增强实际信息的安全防护能力。

本发明中，一般情况下，包含“user”关键字的表是攻击者频繁攻击的对象，因此将测试表命名为“user”或包括字符“user”。

本发明中，测试表是正常业务不访问的，故一旦在SQL请求中发现对配置的测试表的操作，将被视为拖库攻击，并立即阻断。

本发明中，包括用户表、资金表和账户表的若干表一般被判定为重要表，重要表存储了数据库里的重要信息，若干表包括且不限于用户表、资金表和账户表。

本发明中，测试数据是指在重要表中***的一些与实际用户或业务不相关的数据，因此这些数据在正常业务中是不会被访问到，故一旦在SQL查询返回结果中发现存在测试数据，将被视为拖库攻击，并立即阻断。

所述后台防御模块采用用于防御拖库攻击的保护表，设定保护阈值，若步骤1.3的返回值为保护表中数据，且返回数据不在保护阈值内，则符合攻击条件，当前SQL请求为拖库攻击，阻断。

所述拖库包括一次性拖库攻击和批量拖库攻击；用于防御一次性拖库攻击的保护表配置在数据库中，所述保护阈值为数据库中配置的保护表的行数；用于防御批量拖库攻击的保护表配置在数据库中，所述保护阈值为数据库中配置的保护表的行数、查询时间间隔和查询次数。

本发明中，一次性拖库是指将数据一次性批量导出，通过配置保护表及保护阈值，如保护表的行数，一旦在SQL请求中包含所配置的保护表且返回行数超过所配置的行数时将被视为疑似一次性拖库，并立即阻断。

本发明中，自动批量拖库是一次性拖库的一种变形，指周期性地自动将数据按批次导出，通过配置保护表及保护阈值，如保护表的行数、查询时间间隔和查询次数，一旦在SQL请求中，发现同一个IP同时满足在所配置的时间间隔内的以下条件：

①查询所配置的保护表；

②查询次数超过所配置的查询次数；

③返回行数超过所配置的行数；

则视为疑似自动批量拖库攻击，并立即阻断。

所述后台防御模块采用用于防御撞库攻击的登陆SQL语句模板，配置登陆失败次数，对SQL请求进行处理后与SQL语句模板结构匹配，若步骤1.3的返回值为登陆失败次数的极值，则符合攻击条件，当前SQL请求为撞库攻击，阻断。

判断当前SQL请求为撞库攻击包括以下步骤：

步骤2.1：将当前SQL请求的参数删除或使用特征符号进行表示，以生成登陆SQL语句模板的方式生成标准化的SQL请求；

步骤2.2：将步骤2.1的SQL请求与登陆SQL语句模板进行匹配，若匹配失败，则阻断，否则允许发出SQL请求的IP进行登陆；

步骤2.3：若发出SQL请求的IP登陆次数超过数据库配置的登陆失败次数且登陆失败，则当前SQL请求为撞库攻击，阻断；否则，登陆成功。

所述SQL语句模板为仅包括登陆请求特征结构的SQL语句。

本发明中，配置登陆SQL语句模板，是指将登陆请求的SQL语句中参数部分删除或使用特定的符号进行表示，生成一条没有参数仅有登陆请求特征结构的SQL语句。

本发明中，步骤2.2中，匹配失败时，判定为攻击性SQL注入，阻断。

本发明中，给出以下实施例：

①配置基于蜜罐技术的测试表my_user并***一些数据，将此表作为诱饵，诱使攻击者进行攻击，一旦发现攻击者对测试表my_user进行操作，则判断其为攻击者进行阻断；

②配置保护表user表，配置测试数据用户A、用户B、用户C，这些数据在实际业务操作中是不会涉及的，将测试数据作为诱饵，诱使攻击者进行攻击，一旦发现攻击者操作返回操作结果中包含这些数据，则判断其为攻击者进行阻断；

③配置保护表user表、行数阀值为20行，当同一个IP对user表进行了操作且操作结果返回行数为30，则将此IP操作疑似为一种一次性拖库行为进行阻断；

④配置保护表user表、行数阀值为5行、时间间隔为1秒、操作次数为3次，若同一IP在1秒内对user表进行多次操作且满足操作次数超过3次，同时每次返回行数大于5行，则认为此IP疑似一种自动拖库行为进行阻断；

⑤通过配置登陆SQL语句模板比如select * from user where user=:1 andpassword=:2，若同一个IP多次使用该登陆SQL语句模板进行多次登陆且登陆失败，当登陆失败次数超过配置尝试登陆失败次数，则将此IP操作疑似为一种自动撞库行为进行阻断。

本发明通过配置蜜罐诱使攻击者进行攻击，用于发现攻击者并进行阻断，通过配置保护表并设定保护阈值，用于发现一次性拖库及自动拖库行为并阻断，通过配置登陆SQL语句模板、配置尝试登陆失败次数，用于发现攻击者的撞库行为并阻断，在实际操作中，对于输入的SQL请求进行反应，判断当前SQL是否存在攻击性，对攻击性SQL进行阻断，对正常访问返回数据。本发明通过直接在数据库设置后门结构，能够更为主动、智能、高效地挖掘及发现攻击者的拖库及撞库行为，保证数据库的安全。

Claims (10)

1.一种针对数据库层的拖库撞库攻击防御方法，其特征在于：所述方法包括以下步骤：

步骤1.1：在数据库中配置用于诱骗攻击的后台防御模块；

步骤1.2：输入SQL请求；

步骤1.3：后台防御模块依据SQL请求的返回值，进行判断；若符合攻击条件，则进行阻断；否则为正常访问，完成请求，返回数据并结束。

2.根据权利要求1所述的一种针对数据库层的拖库撞库攻击防御方法，其特征在于：所述步骤1.1中，后台防御模块包括用于诱骗攻击的蜜罐、用于防御拖库攻击的保护表和用于防御撞库攻击的登陆SQL语句模板中的任意一种或几种。

3.根据权利要求2所述的一种针对数据库层的拖库撞库攻击防御方法，其特征在于：所述后台防御模块采用用于诱骗攻击的蜜罐；所述蜜罐包括在数据库中建立的基于蜜罐技术的测试表，并命名，及在数据库及数据库中的若干表中***基于蜜罐技术的测试数据；若步骤1.3的返回值为蜜罐中数据，则符合攻击条件，当前SQL请求为拖库攻击，阻断。

4.根据权利要求3所述的一种针对数据库层的拖库撞库攻击防御方法，其特征在于：所述测试表的命名字符中包括字符“user”。

5.根据权利要求3所述的一种针对数据库层的拖库撞库攻击防御方法，其特征在于：所述数据库中的若干表包括用户表、资金表和账户表；所述测试数据包括与实际用户表、资金表和账户表内信息或业务不相关的数据。

6.根据权利要求2所述的一种针对数据库层的拖库撞库攻击防御方法，其特征在于：所述后台防御模块采用用于防御拖库攻击的保护表，设定保护阈值，若步骤1.3的返回值为保护表中数据，且返回数据不在保护阈值内，则符合攻击条件，当前SQL请求为拖库攻击，阻断。

7.根据权利要求6所述的一种针对数据库层的拖库撞库攻击防御方法，其特征在于：所述拖库包括一次性拖库攻击和批量拖库攻击；用于防御一次性拖库攻击的保护表配置在数据库中，所述保护阈值为数据库中配置的保护表的行数；用于防御批量拖库攻击的保护表配置在数据库中，所述保护阈值为数据库中配置的保护表的行数、查询时间间隔和查询次数。

8.根据权利要求2所述的一种针对数据库层的拖库撞库攻击防御方法，其特征在于：所述后台防御模块采用用于防御撞库攻击的登陆SQL语句模板，配置登陆失败次数，对SQL请求进行处理后与SQL语句模板结构匹配，若步骤1.3的返回值为登陆失败次数的极值，则符合攻击条件，当前SQL请求为撞库攻击，阻断。

9.根据权利要求8所述的一种针对数据库层的拖库撞库攻击防御方法，其特征在于：判断当前SQL请求为撞库攻击包括以下步骤：

步骤2.1：将当前SQL请求的参数删除或使用特征符号进行表示，以生成登陆SQL语句模板的方式生成标准化的SQL请求；

步骤2.2：将步骤2.1的SQL请求与登陆SQL语句模板进行匹配，若匹配失败，则阻断，否则允许发出SQL请求的IP进行登陆；

步骤2.3：若发出SQL请求的IP登陆次数超过数据库配置的登陆失败次数且登陆失败，则当前SQL请求为撞库攻击，阻断；否则，登陆成功。

10.根据权利要求2所述的一种针对数据库层的拖库撞库攻击防御方法，其特征在于：所述SQL语句模板为仅包括登陆请求特征结构的SQL语句。