随着网络应用的普及，尤其是基于B/S（Browser/Server，浏览器/服务器）结构的信息系统广泛部署，其安全问题也随之日益凸显。在众多网络攻击手段中，SQL注入攻击因其破坏力强、实施简单而备受攻击者的青睐。SQL注入攻击是指利用SQL语言的某些特性，通过在Web应用程序中构造特殊的输入，注入恶意SQL代码，从而实现非法获取、篡改数据库中数据的目的。由于大多数B/S架构的系统都依赖于数据库，尤其是像Microsoft SQL Server这样的广泛使用的数据库系统，因此，研究如何在IIS（Internet Information Services）+ SQL Server平台上防御SQL注入攻击具有极为重要的现实意义。
吴长虹在其论文《在IIS+SQL Server中利用ISAPI Rewrite防SQL注入攻击》中，提出了一种有效的方法来应对这一挑战。这种方法主要是利用IIS的ISAPI（Internet Server Application Programming Interface）过滤器进行配置，通过正则式匹配和替换请求中的敏感字符来防止注入攻击。ISAPI Rewrite是IIS的一个扩展，通过它，开发者或系统管理员可以配置一个或多个ISAPI过滤器，以便在IIS接收到Web请求时进行预处理，从而在应用代码执行之前阻止恶意请求。
具体到防御技术层面，ISAPI Rewrite通过编写特定的过滤规则来实现防御。这些规则基于正则表达式，这是一种能够匹配一系列字符串的模式。在配置过程中，需要定义一系列的RewriteCond和RewriteRule指令。其中，RewriteCond用于定义条件，而RewriteRule则是根据条件匹配的请求来重写URL或直接拒绝请求。这两个指令是实现ISAPI Rewrite过滤规则的核心，它们能够灵活地匹配请求中的特定模式，并进行相应的处理。
一个典型的SQL注入点通常存在于用户能够输入数据的Web表单或URL参数中，比如登录表单的用户名和密码输入框，或是任何其他接收用户输入数据的地方。攻击者可以利用这些输入点构造包含SQL代码的输入，试图篡改原有的SQL语句。例如，在POST注入点，攻击者可能会在用户名和密码输入框中输入恶意的SQL代码片段，如“admin’; --”，如果系统未对用户输入进行适当的过滤或转义，这段代码可能被服务器错误地解释为合法的SQL指令，从而绕过正常的验证流程。而在GET注入点，攻击者则通过修改URL参数来尝试注入SQL代码，比如在URL中添加“?username=’ OR 1=1 --”，这样即使后续有逻辑与之进行AND操作，条件也会因“1=1”而总是成立。
为了有效防御SQL注入，开发者或系统管理员需要先识别出可能存在注入风险的页面或参数，然后根据具体情况编写相应的正则式过滤规则。这些规则应当能够检测出常见的注入攻击模式，如在字符串中包含“'”、“OR”、“AND”、“UNION”等关键字，以及在字符串中非法使用“;”和“--”等。ISAPI Rewrite过滤器能够在请求到达数据库之前对其进行拦截，避免恶意输入被数据库执行，从而达到防御SQL注入的目的。
配置ISAPI Rewrite过滤器并不复杂，通常的步骤包括下载相应的ISAPI Rewrite扩展模块，配置IIS服务器将其添加为ISAPI筛选器，然后重启IIS服务。接下来，需要编写具体的正则式匹配规则来定义哪些请求是合法的，哪些可能是注入攻击。在编写规则时，要特别注意正则式的准确性和覆盖面，因为规则的质量直接关系到防护效果。通常，开发者需要有扎实的正则表达式知识，并且熟悉SQL注入的手法，以确保能够覆盖尽可能多的注入场景。
总结而言，在IIS+SQL Server的环境下，利用ISAPI Rewrite进行SQL注入防护是一种简单而有效的方法。通过正则式过滤规则，可以在不改变源程序代码的前提下，拦截恶意的SQL注入请求，保障Web应用程序及数据库的安全。随着Web安全问题的日益严峻，理解和掌握这种防御技术对于维护网络应用系统的安全具有非常重要的意义。
