MWAD：面向AI驱动的SQL注入检测的多模态Web攻击数据集

概述

多模态Web攻击数据集（MWAD） 是一个新颖的带标签网络安全数据集，是作者在澳大利亚拉筹伯大学进行网络安全研究期间开发的。

数据集的生成方法、设计和描述发表于同行评审期刊论文：

Yeboah, P. N., et al. (2026). SQL injection detection using self-supervised pre-training and multimodal techniques. Intelligent Systems with Applications, 31, 200702.
https://doi.org/10.1016/j.iswa.2026.200702

与通常只包含HTTP请求或网络流量的传统Web攻击数据集不同，MWAD将应用层HTTP请求数据与网络流特征相结合，提供Web攻击的多模态表示。

MWAD旨在支持开发与评估用于Web攻击检测的人工智能（AI）和机器学习（ML）模型，重点聚焦SQL注入（SQLi）。通过结合互补的数据模态，该数据集使研究人员能够探索多模态学习方法，从而提高AI驱动的Web攻击检测的准确性和鲁棒性。

每个MWAD样本结合了两种互补的数据模态：

1. HTTP请求数据，表示Web请求的内容和结构。
2. 网络流特征，表示相应网络流量的行为特征。

数据集生成流水线

该数据集是在受控的私有网络环境中生成的，使用托管在Metasploitable虚拟机上的易受攻击的Web服务器。

SQL注入攻击使用SQLMap和SQL注入载荷执行。使用以下工具收集和处理产生的流量：

• Wireshark用于HTTP请求日志记录
• Tcpdump用于数据包捕获
• NFStream用于网络流特征提取

HTTP请求数据和相应的流级特征随后被标记并组合，以生成最终的多模态数据集。

图1. MWAD生成流水线，展示SQL注入执行、HTTP请求收集、数据包捕获、流特征提取和多模态数据集成。

数据集组成

数据模态

HTTP请求模态

HTTP模态包含与易受攻击的Web应用交互期间生成的请求级信息。

该模态可支持：

• HTTP请求的文本分析
• 恶意载荷检测
• 基于令牌的机器学习
• 深度学习和基于Transformer的建模
• 自监督表示学习

网络流模态

网络流模态包含使用NFStream从捕获流量中提取的统计和行为特征。

该模态可支持：

• 流量分类
• 异常检测
• 行为攻击分析
• 传统机器学习
• 与HTTP请求表示的多模态融合

主要特点

• 公开可用的多模态网络安全数据集
• 包含配对的HTTP请求和网络流信息
• 包含清晰标注的良性流量和SQL注入流量
• 平衡数据集，每个类别包含500个样本
• 通过受控的SQL注入实验生成
• 支持可复现的网络安全研究
• 适用于单模态和多模态模型评估
• 适用于机器学习、深度学习和自监督学习

数据集新颖性

许多Web攻击数据集要么只提供应用层请求信息，要么只提供网络级流量特征。

MWAD旨在提供同一Web交互的应用层与网络流成对表示。这使研究人员能够考察与单独依赖任一模态相比，结合这两种模态是否能改进SQL注入检测。

因此，该数据集为研究Web攻击检测中的多模态学习和数据融合策略提供了可重复使用的研究资源。

相关出版物

MWAD数据集的生成方法、设计和评估发表于以下同行评审出版物：

Intelligent Systems with Applications, Elsevier.

引用

如果您在研究中使用MWAD，请引用：

@article{yeboah2026sql,
  title={SQL injection detection using self-supervised pre-training and multimodal techniques},
  author={Yeboah, Paul Ntim and Kayes, A. S. M. and Rahayu, Wenny and Pardede, Eric and Mahbub, Syed},
  journal={Intelligent Systems with Applications},
  volume={31},
  pages={200702},
  year={2026},
  publisher={Elsevier},
  doi={10.1016/j.iswa.2026.200702}
}