模型驱动的Web应用SQL注入渗透测试

• 作者: 刘磊 张莹 杨巨峰 田伟 许静
• 来源期刊: 高技术通讯
• 关键词: Web 渗透测试 结构化查询语言(SQL)注入 攻击建模 安全漏洞 用例
• 年，卷（期）: 2012,（11）
• 所属期刊栏目: 计算机与通信技术
• 页码范围: 1161-1168
• 页数: 8页
• 字数: 7134字
• 语种: 中文
• DOI: 10.3772/j.issn.1002-0470.2012.11.009

摘要

针对结构化查询语言(SQL)注入渗透测试用例不充分造成测试漏报的问题,对基于形式化建模生成渗透测试用例问题进行了研究,提出了以下方法:将SQL注入漏洞渗透测试用例生成分为两步:第1步建立渗透测试用例的形式化模型,以用例模型更全面、有规律地描述当前各种SQL注入攻击的方法模式,指导生成更多种类的用例输入；第2步提出若干新的SQL注入漏洞渗透测试用例覆盖度准则,将用例模型实例化、生成覆盖更多样式的用例输入.实验表明,用上述方法生成的用例,优于当前其它研究中使用的随机枚举用例,可更有效地测出隐藏于Web应用不足防御措施之后的SQL注入漏洞,从而降低渗透测试结果的漏报.

作者信息

序号	姓名	单位	发文数	被引次数	H指数	G指数
1	田伟	南开大学信息技术科学学院	3	54	2.0	3.0
2	张莹	南京大学计算机软件新技术重点实验室	17	61	5.0	7.0
3	杨巨峰	南开大学信息技术科学学院	6	63	3.0	6.0
4	刘磊	南开大学信息技术科学学院	23	63	4.0	7.0
5	许静	南京大学计算机软件新技术重点实验室	3	16	2.0	3.0