78、基于文本和流量特征的 SQL 注入综合检测

基于文本和流量特征的 SQL 注入综合检测

1 数据预处理

1.1 脚本去重

在完成前面的步骤后，原始样本中会存在脚本重复的情况，因此需要对脚本进行去重处理。去重后，SQL 注入样本有 76666 个脚本，正常样本有 38471 个脚本。

1.2 长度统一

深度学习模型的原始输入特征长度必须固定，所以需要统一样本中脚本的长度。具体操作步骤如下：
1. 计算 SQL 注入样本中脚本长度的分布。
2. 基于统计结果，选择 80、240 和 400 作为样本长度的标准化长度，并分别生成相应的样本进行对比实验。
3. 对于长度不足的样本，进行零填充操作。
4. 对于长样本，进行截取操作，以滑动窗口的形式将脚本数据放置在不同位置，并删除不包含关键字的脚本。

例如，“union select DD, DD”包含 18 个字符（空格算 1 个字符）。在统一为长度 14 后，新的脚本有：“union select D”，“union select DD”，“ion select DD,”，“on Select DD, D”，“n select DD, DD”。由于所有脚本都包含关键字“select”，所以无需删除不包含关键字的脚本。

长度统一后，对训练集中的 SQL 注入样本和正常样本进行标注，SQL 注入脚本标记为“0”，正常脚本标记为“1”。然后，将这两种类型的样本按照 10:1 的比例划分为训练集和测试集。将训练集中的脚本转换为 tfrecord 格式，以便 TensorFlow 能够有效读取。训练集中的两种类型样本主要用于模型的训练和测试。对广义测试集进行与上述相同的预处理，但广义