Web应用程序正渐渐成为我们日常生活的重要组成部分,人们许多活动都依赖于Web应用程序的功能。与之相随的是,Web的安全问题也越来越严重。因此,对Web安全的研究也就成为信息安全领域的一个重点和热点。其中,SQL注入攻击作为Web安全中最普遍、最高危的漏洞之一,连续多年列为OWASP(开发式Web应用程序安全项目,Open Web Application Security Project)年度十大攻击行为,并且多次排名第一。为了有效提高Web应用程序的安全性,本文针对Web安全中的SQL注入攻击,结合用户输入过滤、SQL语法树结构比较、网络爬虫、人工神经网络等方法,尝试解决Web安全中的SQL注入攻击问题。本文的主要研究工作如下:1、针对传统的SQL注入攻击过滤方法拦截率较低和误报率较高的问题,本文将SQL语法树比较的安全策略引入用户输入过滤的设计中,提出了一种基于SQL语法树的SQL注入攻击过滤方法。该方法首先提取用户输入,然后假设用户输入的参数类型为字符型,将用户输入X带入指定的SQL语句“select a from b where c=?”(?为占位符)进行解析。若解析失败,则进行拦截;若解析成功,则将进生成的SQL语法树的特征(SQL语法树的结点总数)与期望特征进行比较,以此判断是否进行拦截。最后再判断用户输入的参数类型是否可能为数字型,若可能为数字型,则将用户输入以数字型带入指定的SQL语句,重复上述步骤。以此判别用户输入是否为SQL注入攻击。2、针对方法1中存在的不足:用户正常输入的参数类型实际为字符型,但是在若假设该输入的参数类型为数字型,则该输入则为SQL注入攻击。在这种场景下,方法1可能会对该用户正常输入产生误报。本文在上述的SQL注入攻击过滤方法的基础上,考虑Web应用程序,其接收的HTTP请求报文中的URL和参数与Web应用程序后台数据库执行的SQL语句存在一定的映射关系的特点,结合网络爬虫、URL长度检测、访问频率控制,提出了一种新的SQL注入攻击过滤方法LFS。该方法包括学习和过滤两个阶段。其中,学习阶段在安全的环境下进行,通过爬虫和数据库代理,根据用户提供的启始数据进行爬行,生成URL和SQL语句的映射表。过滤阶段在现实环境下,通过URL长度检测、连接频率检测、SQL语法树特征,以此来检测SQL注入攻击。3、随着人工智能的不断发展,机器学习模型精确度的大幅度提升,如何利用机器学习模型来更好地对SQL注入攻击进行防御成了研究热点。在上述背景下,本文结合人工神经网络和词袋模型(Bag of Words,BoW)针对SQL注入攻击,提出了一种基于深度神经网络的SQL注入攻击过滤方法。该方法首先对用户输入进行词法分析,生成一个个token,之后根据词袋模型转换为对应的数值特征向量。接着,利用深度学习框架TensorFlow,根据这些特征向量分别采用多层感知器和循环神经网络两种人工神经网络结构来训练产生用于SQL注入攻击过滤的模型,从而实现SQL注入攻击检测。本文利用来自SQLMAP生成的SQL注入攻击实验数据对上述三个方法的拦截率、误报率等性能进行实验验证。实验结果显示,本文所提几种SQL过滤方法明显优于传统的SQL注入攻击过滤方法,能够有效提升SQL注入攻击的拦截率并降低误报率,为后续相关研究提供新的思路和方法。