计算机应用研究

作者：马佳鑫,张铮,刘鹏,刘浩,周宛秋,刘慧,

单位：1.紫金山实验室内生安全研究中心,南京211100；2.信息工程大学网络空间安全学院,郑州450001；3.河南师范大学计算机与信息工程学院,河南新乡453000；

关键词：SQL注入攻击,SQL随机化,静态分析,数据流传播,

基金：紫金山实验室自立课题(ZL042306)；河南省科技攻关项目(242102211094)；；

应用程序使用随机化SQL语句可在随机化SQL环境中访问数据库并防御SQL注入攻击。分析了应用程序SQL语句随机化存在的挑战，提出了一种基于反向数据流传播的SQL语句随机化方法。反向数据流传播算法从数据库操作函数出发，反向追踪SQL语句的数据传播，可快速、准确地识别应用程序源码中的SQL语句。实验表明基于PHP 8.0内核实现的算法识别SQL语句准确率达91.7%。基于反向数据流传播的SQL语句随机化方法较传统方法实施更便捷、通用性更强，该方法处理后的应用程序可适用于随机化SQL环境防御SQL注入攻击。

来源：2025年第10期

《计算机应用研究》期刊编辑部

查看计算机应用研究杂志2025年第10期