随着计算机网络技术的发展,基于数据库架构和Web技术的应用系统已日趋流行,并在企业内的业务系统中得到广泛的应用。由于Web应用本身带有天然的缺陷,使其很容易受到外界攻击。为了抵御越来越严重的安全风险,专家们也积极研究新的防范措施。Web安全渗透测试技术就是一种效果良好的防范技术,该技术是完全模拟黑客的手段对Web应用系统进行攻击探测。通常攻击者有多种手段对Web应用实施攻击,SQL注入攻击是最常见且危害较大的一种,至少有70%的Web站点存在SQL注入漏洞。这些漏洞不仅威胁到数据库信息,还对系统和用户信息造成威胁。因此,做好相关的入侵检测和防范工作是保证Web应用系统和整个信息基础设施安全的关键。由于目前存在的SQL注入检测大都是基于语法分析的策略,这种策略的检测效率较低,并且现有的SQL注入漏洞扫描系统也普遍存在对漏洞的扫描不够全面等缺陷,本文针对以上问题具体做了以下工作。1、通过研究SQL注入漏洞相关的防御和检测技术,利用本地搭建好的实验环境,以Pubs数据库为例子结合多种渗透手法进行SQL注入实验,在手工SQL注入的基础上又介绍了工具注入的原理,并总结了手工注入和工具注入的特点和异同。2、根据SQL注入攻击的特点,提出了4种具体的防御措施,为SQL注入漏洞检测方法提供了参考。实验证明使用这些防御措施的Web应用系统可以防范绝大多数的SQL注入攻击,并且对Web应用系统中出现的SQL注入点也有较好的识别效果。3、根据SQL注入攻防的实验理论,设计了一个SQL注入漏洞扫描系统,此系统扫描算法采用树模型结构,并运用正则规则改进了传统的提取URL的方法,使从HTML字符串中提取出的URL为绝对路径,系统还引入了多线程技术,通过实验证明该系统能有效的检测出网络站点存在的SQL注入漏洞。