ПРОГРАММНАЯ И АППАРАТНАЯ СОСТАВЛЯЮЩАЯ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ

И ИХ БЕЗОПАСНОСТЬ

УДК 004

АНАЛИЗ ПРОБЛЕМ РАЗРАБОТКИ СЕРВЕРНОЙ ЧАСТИ АВТОМАТИЗИРОВАННОЙ СИСТЕМЫ ПРОВЕРКИ ПРАВИЛЬНОСТИ

СОСТАВЛЕНИЯ SQL ЗАПРОСОВ

AN ANALYSIS OF THE DEVELOPMENT PROBLEMS OF THE SERVER PART OF A COMPUTER-AIDED SYSTEM FOR CHECKING THE

CORRECTNESS OF SQL QUERIES

П.А. Мальцев

Сибирский государственный автомобильно-дорожный университет (СибАДИ), Россия, г. Омск

SQL запросов, которые затем проверяет преподаватель. Довольно часто, защита лабораторных работ проходит при личном контроле преподавателя, который самостоятельно оценивает каждый запрос учащегося.

Основной проблемой при данном подходе является время защиты лабораторных работ. Так как единовременно к защите допускается только один студент, это занимает большое количество времени, что в свою очередь приводит к тому, что за время пары далеко не все желающие успевают защитить свои работы. Таким образом у студентов накапливаются задания, которые необходимо сдать, а времени на защиту не прибавляется.

Одним из очевидных подходов к решению вышеописанной проблемы, является разработка автоматизированной системы проверки правильности составления SQL запросов, которая позволит обеспечить защиту лабораторных работ студентов единовременно. В статье рассмотрена проблема разработки серверной части данной автоматизированной системы.

Выбор технологий, способов и принципов реализации приложения

Для удобства пользователей автоматизированной системы проверки правильности написания SQL запросов было решено реализовать ее с Web интерфейсом на основе клиент-

серверной архитектуры. Это повышает удобство использования системы, так как нет необходимости устанавливать на каждый компьютер приложение. При таком подходе необходимо развернуть его на сервере и дать доступ к нему из вне. А так как браузер есть на каждом компьютере, то нет необходимости в специальной подготовке рабочего места, и пользователи смогут тренироваться, подключаясь к системе из любого места, где есть интернет.

Для разработки серверной части автоматизированной системы проверки правильности SQL запросов было решено использовать следующий стек технологий: язык программирования

Python и фреймворк Django.

Python – высокоуровневый интерпретируемый язык программирования, который поддерживает несколько парадигм программирования, в том числе структурное, объектно-

Фундаментальные и прикладные исследования молодых учёных: материалы Международной научно- практической конференции студентов, аспирантов и молодых учёных, 8-9 февраля 2017 г.

ПРОГРАММНАЯ И АППАРАТНАЯ СОСТАВЛЯЮЩАЯ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ

И ИХ БЕЗОПАСНОСТЬ

ориентированное, функциональное. Python поддерживает большое количество полезных функций в стандартной библиотеке, имеет высокую читаемость кода, что хорошо сказывается на командной разработке. Также этот язык поддерживает кроссплатформенную разработку и широко используется для Web разработки. Помимо всего прочего плюсом является присутствие

уPython большого количества фреймворков для Web разработки.

Впару к Python был выбран Django. Это фреймворк, который поддерживает концепцию MVT

– Model-View-Template (Модель-Представление-Шаблон) [1]. Подобная концепция даёт

возможность разделить модель приложения, интерфейс пользователя и взаимодействие с пользователем.

Модель отвечает за информацию о данных и методах работы с этими данными, реагирует на запросы и изменяет своё состояние. При этом в ней нет информации о том, как визуализировать данные.

Шаблон отвечает за отображение информации.

Представление же обеспечивает связь между пользователем и системой. Контролирует ввод данных пользователем и использует модель и шаблон для реализации необходимой реакции.

Сайты на Django состоят из одного или нескольких приложений, которые являются подключаемыми и жёстко не привязаны друг к другу, что позволят повторно использовать эти приложения.

Маршрутизация сайтов на Django осуществляется с помощью регулярных выражений, к каждому выражению подставляется функция. Такая схема связывает шаблоны с логикой приложения и моделями.

Большим плюсом фреймворка оказалась стандартная панель администрирования, которая позволяет создавать, удалять, изменять объекты БД, и встроенная система аутентификации, в которой реализованы сессии пользователей и хэширование паролей, и другими элементами, повышающими безопасность сайта.

Также в Django присутствует ORM (объектно-реляционное отображения) – это технология,

которая позволяет преобразовать классы Python в таблицы реляционных БД, что значительно 741 упрощает работу с СУБД и увеличивает безопасность приложения, так как исключит человеческий фактор и закроет возможность использования SQL-инъекций.

Именно из-за качеств, перечисленных выше, для разработки серверной части приложения

были выбраны Python и Django.

Для реализации основной функции автоматизированной системы - проверки правильности

написания SQL запросов было решено использовать метод “сравнения результатов запроса” и на сервере стек технологий Python+Django.

Пользователь отправляет свой запрос на сервер, который обработает его. Затем установит подключение с нужными БД, передаст СУБД запрос пользователя и получит результат этого запроса. На следующем шаге сервер передаст результаты на клиент. Как только тест будет закончен, с клиента придут окончательные ответы пользователя, которые снова будут отправлены СУБД для выполнения, но в этот раз каждый запрос будет проверен на правильность. На основе количества правильных ответов и веса каждого из них тестируемому будет выставлена оценка, которая будет сохранена в БД приложения.

Для достоверности проверки используются теневая и открытая базы данных к которым будет адресован SQL-запрос. В качестве теневой и открытой БД могут выступать БД,

созданные в различных СУБД, ограничение стоит только в наличии драйвера для соединения python и СУБД [5]. Это позволяет пользователям тренироваться с различными технологиями с учётом их особенностей.

Архитектура БД приложения

В качестве СУБД для автоматизированной системы был взят MySQL, так это свободно распространяемое ПО и хорошо работает в связке с python и django [7].

Для создания приложения была разработана схема данных, представленная на рисунке 1

Фундаментальные и прикладные исследования молодых учёных: материалы Международной научно- практической конференции студентов, аспирантов и молодых учёных, 8-9 февраля 2017 г.

ПРОГРАММНАЯ И АППАРАТНАЯ СОСТАВЛЯЮЩАЯ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ

И ИХ БЕЗОПАСНОСТЬ

Теперь подробнее о базе данных. Пользователи группируются, но каждый пользователь может состоять только в одной группе. Все вопросы разбиты на категории. Они также могут входить только в одну категорию.

Тест состоит из множества вопросов, вопросы могут состоять в нескольких тестах, связаны эти таблицы через таблицу TestTask. Для каждого теста возможно создать несколько вариантов.

Для прохождения тестирования пользователи должны быть подписаны на тесты, для этого организуется связь «многие ко многим» через таблицу TestPerson, также в это таблицу будет

записана оценка пользователя после тестирования.

Ответы тестируемых будут записываться в таблицу Answer. Персонифицировать ответы пользователей позволяет связь с таблицами TestPerson и TestTask.

Таблица ConnectionString, которая хранит в себе информацию для подключения к внешним БД, связана с таблицами Test и Task, что образует кольцо, но это необходимо для реализации тренажёра для пользователей и разделения тестов для разных СУБД.

Данная архитектура позволяет создавать тесты с несколькими вариантами ответов для разных СУБД, повторно использовать вопросы. Также можно несколько раз подписывать пользователя на один и тот же тест или сразу всю группу.

Вопросы разделены на категории, что позволяет создавать разнообразные тесты.

В случае несогласия пользователя (студента) с результатами существует возможность

просмотреть его ответы и при правомерности апелляции исправить оценку за тест.

Далее речь пойдёт о реализованных функциях на основе данной архитектуры базы данных.

Основные функции системы

Разработанная система обладает необходимой функциональностью. Ее функции ориентированы на различные группы пользователей.

Фундаментальные и прикладные исследования молодых учёных: материалы Международной научно- практической конференции студентов, аспирантов и молодых учёных, 8-9 февраля 2017 г.

ПРОГРАММНАЯ И АППАРАТНАЯ СОСТАВЛЯЮЩАЯ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ

И ИХ БЕЗОПАСНОСТЬ

Функция добавления пользователей и групп

Функция добавления пользователей реализована так, что пользователю необходимо ввести название группы и список студентов, а точнее фамилию и имя через пробел. С клиента POST запросом будет возвращено два значения Groups и users.

Users содержит в себе список пользователей в формате фамилия, имя. Друг от друга данные разных пользователей отделяет символ конца строки.

Если поле группы будет не пустым, то значение, переданное от пользователя, будет сохранено как имя группы.

После этого пройдёт проверка на пустоту поля c пользователями. Если в поле не является пустым, то строка, полученная с клиента, будет преобразована в список.

Далее циклом по одному будут создаваться аккаунты студентов. Логином будет выступать название группы плюс тире и номер под которым он вводился администратором. Пароль формируется по схожему принципу “Qwerty123” плюс номер студента.

После завершения создания пользователей произойдёт автоматическое перенаправление на главную страницу панели администратора.

Функция создания теста

Следующей будет рассмотрена функция для создания тестов.

Сначала пользователю (преподавателю) отправляется форма в которой ему предлагается заполнить поля, необходимые для создания теста. Как только пользователь заполняет поле с выбором подключаемой БД и нажимает кнопку. На сервер идёт ajax запрос на предоставление категорий и вопросов, которые подходят для выбранной БД. У пользователя появляется выбор вопросов из категорий. После заполнения всех необходимых полей информация передаётся на сервер в JSON файле.

Следующим шагом JSON файл декодирует и все данные из него разбиваются по различным переменным.

По выбранной БД отбирается список возможных вопросов и собирается список категорий из переданных данных.

Создаётся и записывается тест с переданным именем, датой активации и временем 743 прохождения.

Далее записывается связь между тестом и подключением к внешней БД.

На последнем этапе запускается цикл для помещения в тест вопросов по количеству необходимых вариантов. Вложенные цикл проходит по всем категориям, которые были выбраны. Внутри него формирует список с номерами вопросов, которые могут использоваться и входят в нужную категорию. После чего в цикле while случайно из списка возможных вопросов выбирается номер и если такого вопроса еще в тесте нет, то он добавляется в тест, пока не наберётся нужное количество вопросов. Привязка вопроса к тесту идёт через таблицу TestTask, в которой также указано, к каком варианту теста относится этот вопрос.

Функция подписания студента на тест

Следующим действием будет подписание студента на тест. Преподавателю также вначале отправляется пустая форма для заполнения, где он заполняет, кого он хочет подписать и на

какой тест. Есть возможность подписать либо одного человека, либо сразу всю группу.

После заполнения формы с помощью POST запроса данные уходят на сервер. На сервере проверяется входит ли студенты, выбранные для тестирования в какую-нибудь из выбранных

групп, если да, то дубликат удаляется. В итоге формируется список студентов для подписания на тест, данные о тех, кто был выбран за счет подключения всей группы для тестирования,

извлекаются из БД по их принадлежности к группе.

Следующий шаг - выяснение, сколько существует вариантов для данного теста. Все

найденные варианты заносятся в список.

Последним этапом осуществляется выбор случайного варианта и его закрепление за тестируемым. Если этот вариант уже пройден студентом и список вариантов не пустой, то студент будет подписан на другой случайный вариант.

Функция тестирования студентов

Тест для студента начинается, как только он переходит по ссылке. На сервер приходит GET запрос с информацией об id теста и варианте студента. Из БД извлекаются необходимые

Фундаментальные и прикладные исследования молодых учёных: материалы Международной научно- практической конференции студентов, аспирантов и молодых учёных, 8-9 февраля 2017 г.

ПРОГРАММНАЯ И АППАРАТНАЯ СОСТАВЛЯЮЩАЯ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ

И ИХ БЕЗОПАСНОСТЬ

вариант.

Далее с помощью ajax приходят JSON файлы с различными флагами. В зависимости от флага происходит отбор по одному из трех полей. Как только все иметь значение True, будут получены ответы студента за определённый тест и сразу же отправлены на клиент.

Функция просмотра результатов пользователей

Помимо просмотра ответов от пользователя есть возможность узнать успеваемость студентов. Функция устроена таким образом, что для начала нужно выбрать группу, результаты которой мы хотим посмотреть.

После этого появляется возможность фильтровать результаты по пользователям, тестам, оценкам, вариантам. Вся информация с клиента ajax запросами в JSON файлах с разными флагами.

Функция тренажёра

Чтобы студенты имели возможность подготовиться к тестированию и проверить свои знания была реализована функция тренажёра, которая позволяет выбрать нужные категории и решать задания без временных ограничений.

Изначально на клиент POST запросом уходит информация о всех существующих категориях.

Далее ajax запросом возвращается JSON файл с выбранными категориями и флагом, который отвечает за формирование теста. В следствие чего формируется тест из всех вопросов, которые входят в нужные категории, однако вопросы, которые преподаватель пожелает скрыть от студентов не попадут в данный тест.

В остальном эта функция работает также как функция для проведения тестирования.

Обеспечение безопасности автоматизированной системы

Еще один достаточно важный аспект – это безопасность системы тестирования, включая

защиту от межсайтового скриптинга (XSS)

Фундаментальные и прикладные исследования молодых учёных: материалы Международной научно- практической конференции студентов, аспирантов и молодых учёных, 8-9 февраля 2017 г.

ПРОГРАММНАЯ И АППАРАТНАЯ СОСТАВЛЯЮЩАЯ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ

И ИХ БЕЗОПАСНОСТЬ

следует использовать умеренно и всегда обращать пристальное внимание на экранирование всех параметров, которые предоставлены пользователем [1].

Защита от кликдженкинга

Кликдженкинг - механизм обмана пользователей, при котором переход по ссылке на каком- либо сайте перенаправляет пользователя на вредоносную страницу – стал очень

эффективным. Часто он используется для распространения ссылок на вредоносные сайты. Недавно подобные техники показали свою эффективность в деанонимизации посетителей сайта. Также переход по вредоносной ссылке может привести к тому, что злоумышленник получит доступ к данным пользователя.

В классическом сценарии кликджекинга злоумышленник прячет определенную кнопку в прозрачной области. Эта область располагается над элементом страницы, на который должен нажать пользователь, также она может перемещаться за курсором мыши. При нажатии на элемент происходит обработка события и перенаправляется на невидимую кнопку.

Django предоставляет защиту от этой атаки в виде определенного модуля, который, при использовании соответствующего браузера, может предотвратить отображение сайта внутри фрейма. Есть возможность отключить данную защиту для выбранных представлений или настроить значение отправляемого заголовка [1].

Защита от перехвата данных при отсутствии HTTPS

Применение этой защиты хорошо отражается на безопасности. При отсутствии HTTPS злоумышленник имеет возможность перехватывать аутентификационные данные или любую другую информацию, передаваемую между клиентом и сервером. А в случае активной атаки —

может даже изменять данные, передаваемые в любом направлении.

Django может обеспечить защиту от перехвата данных при отсутствии HTTPS. Существует ряд простых настроек, которыми не следует пренебрегать при создании веб-приложения.

Список встроенных инструментов для защиты от перехвата данных: 1) Настройка перенаправления HTTP запросов на HTTPS;

Фундаментальные и прикладные исследования молодых учёных: материалы Международной научно- практической конференции студентов, аспирантов и молодых учёных, 8-9 февраля 2017 г.

ПРОГРАММНАЯ И АППАРАТНАЯ СОСТАВЛЯЮЩАЯ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ

ИИХ БЕЗОПАСНОСТЬ

2.Документация Python [Электронный ресурс]. – Режим доступа: https://docs.python.org/3.5/ ,

свободный, дата обращения (20.12.2016).

3.Github Django-jet[Электронный ресурс]. – Режим доступа: https://github.com/geex-arts/django-jet ,

свободный, дата обращения (20.12.2016).

4.Github Django-registration [Электронный ресурс]. – Режим доступа:

https://github.com/ubernostrum/django-registration , свободный (дата обращения: 23.12.2016).

5.pyodbc [Электронный ресурс]. – Режим доступа: https://mkleehammer.github.io/pyodbc/ , свободный (дата обращения: 23.12.2016).

6.Документация Django [Электронный ресурс]. – Режим доступа: https://docs.djangoproject.com/en/1.10/ , свободный (дата обращения: 23.12.2016).

7.Документация MySQL [Электронный ресурс]. – Режим доступа: https://dev.mysql.com/doc/ , свободный (дата обращения: 23.12.2016).

8.Марк Лутц. Изучаем python [Электронный ресурс]. – Режим доступа: http://www.shashkovs.ru/_prog/Lutc_M._-_Izuchaem_Python_(4-e_izdanie)-_2011.pdf , свободный (дата обращения: 23.12.2016).

AN ANALYSIS OF THE DEVELOPMENT PROBLEMS OF THE SERVER PART OF A COMPUTER-AIDED SYSTEM FOR CHECKING THE CORRECTNESS OF SQL QUERIES

P.A. Maltsev

Фундаментальные и прикладные исследования молодых учёных: материалы Международной научно- практической конференции студентов, аспирантов и молодых учёных, 8-9 февраля 2017 г.