Abstract
SQL injection attacks are still common issue in web applications. Although different techniques have been proposed to prevent SQL injection attack, it has a high impact on web applications, especially associated with large and sensitive databases. In this attack, an attacker can inject malicious code into the data entry field of the input form and bypass authentication, access, then modification and deletion of data within the database. In this paper, a lightweight algorithm is introduced based on encoding of the query named (EQA) considering HTTP traffic parameters e.g. request and response time and message length. EQA hides the SQL relationship with the database, and prevents some common types of SQL injection (Tautology, Piggybacked and Comment). EQA is implemented and tested using MySQL and PHP environment and Wireshark platform. The results demonstrate that the proposal has a good performance in terms of security level, reducing HTTP request and response time and message length.
Keywords
Comment
Encoding Query
HTTP traffic
Piggybacked
SQL injection
Tautology
Vulnerabilities
Abstract
هجمات حقن SQL ال تزال مشكلة شائعة في تطبيقات الويب. على الرغم من أنه تم اقتراح تقنيات مختلفة لمنع
هجوم حقن SQL، إال أنه له تأثير كبير على تطبيقات الويب، خاصةً المرتبطة بقواعد البيانات الكبيرة والحساسة. في هذا
الهجوم، يمكن للمهاجمين إدخال تعليمات برمجية ضارة في حقل إدخال البيانات في نموذج اإلدخال وتجاوز المصادقة
والوصول ثم تعديل البيانات وحذفها داخل قاعدة البيانات. في هذه الورقة، نقدم خوارزمية خفيفة الوزن تستند على ترميز
االستعالم، اسميناها )EQA )تأخذ في االعتبار معلمات حركة مرور HTTP مثل طلب ووقت االستجابة وطول الرسالة.
تخفي EQA عالقة SQL مع قاعدة البيانات، وتمنع بعض األنواع الشائعة من حقن SQL مثل ) ,Tautology
Comment and Piggybacked). يتم تطبيق واختبار EQA باستخدام بيئة MySQL و PHP ومنصة
Wireshark. توضح النتائج أن اقتراحنا له أداء جيد من حيث مستوى األمان، مما يقلل من طلب HTTP ووقت
االستجابة وطول الرسالة.
هجوم حقن SQL، إال أنه له تأثير كبير على تطبيقات الويب، خاصةً المرتبطة بقواعد البيانات الكبيرة والحساسة. في هذا
الهجوم، يمكن للمهاجمين إدخال تعليمات برمجية ضارة في حقل إدخال البيانات في نموذج اإلدخال وتجاوز المصادقة
والوصول ثم تعديل البيانات وحذفها داخل قاعدة البيانات. في هذه الورقة، نقدم خوارزمية خفيفة الوزن تستند على ترميز
االستعالم، اسميناها )EQA )تأخذ في االعتبار معلمات حركة مرور HTTP مثل طلب ووقت االستجابة وطول الرسالة.
تخفي EQA عالقة SQL مع قاعدة البيانات، وتمنع بعض األنواع الشائعة من حقن SQL مثل ) ,Tautology
Comment and Piggybacked). يتم تطبيق واختبار EQA باستخدام بيئة MySQL و PHP ومنصة
Wireshark. توضح النتائج أن اقتراحنا له أداء جيد من حيث مستوى األمان، مما يقلل من طلب HTTP ووقت
االستجابة وطول الرسالة.
Keywords
Comment
Encoding Query
HTTP traffic
Piggybacked
SQL injection
Tautology
Vulnerabilities