[發明專利]基于檢測驅動的網絡蠕蟲主動遏制方法及對抗工具自動生成系統

在審

• 申請號: 201410195362.0
• 申請日: 2014-05-09
• 公開（公告）號: CN103944920A
• 公開（公告）日: 2014-07-23
• 發明（設計）人: 張大勇;辛毅;張兆心
• 申請（專利權）人: 哈爾濱工業大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06F21/56;H04L12/26
• 代理公司: 哈爾濱市松花江專利商標事務所 23109
• 代理人: 楊立超

1.一種基于檢測驅動的網絡蠕蟲主動遏制方法，其特征在于：所述方法的具體實現過程為：

步驟一、在網絡出入口捕獲流量進行匹配：捕獲網絡流量與蠕蟲特征庫進行匹配，檢測到蠕蟲的感染節點提交到控制管理中心，從而觸發投放器對感染節點進行遠程修復；

步驟二、在執行步驟一時，同時基于規則匹配通過高速掃描網絡中存在的嚴重漏洞的易感主機，通過模擬攻擊，對目標主機系統進行攻擊性的安全漏洞掃描；

步驟三、系統控制管理中心根據漏洞、網絡蠕蟲和對抗工具的關系模式來找到其對應關系，完成系統指定的任務列表；

步驟四、漏洞的命名方式采用CVE漏洞庫的方式，通過CVE找到其他與CVE兼容的數據庫中的相應漏洞的信息，通過漏洞、蠕蟲和遠程網絡蠕蟲清除工具的關系模式，系統控制管理中心即可完成對漏洞和蠕蟲的遏制工作。

2.一種網絡蠕蟲對抗工具自動生成系統，所述網絡蠕蟲對抗工具包含遠程網絡蠕蟲清除工具、主動修補補丁、投放工具；遠程網絡蠕蟲清除工具用于查找主機上是否感染特定蠕蟲并修復對應漏洞；主動修補補丁是指非官方漏洞修補工具，用于在官方的正式補丁出現之前，對應的漏洞攻擊程序已經出現且蠕蟲也開始在網絡上蔓延開時進行相應的漏洞和蠕蟲防范；投放工具是傳送遠程網絡蠕蟲清除工具和主動修補補丁到目標主機的載體，用于漏洞攻擊；

其特征在于：所述自動生成系統包括：

遠程網絡蠕蟲清除工具分析與自動生成子系統，包括停止蠕蟲進程子模塊、停止和刪除服務子模塊、刪除蠕蟲體文件子模塊、刪除或者恢復蠕蟲修改的操作系統配置信息子模塊，

停止蠕蟲進程子模塊，用于找到病毒的進程句柄，針對運行后出現隱藏形式的蠕蟲過修改生成的代碼來實現停止蠕蟲進程，針對運行后出現不隱藏形式的病毒利用Windows的任務管理器得到進程名，通過Windows的進程操作的API枚舉所有進程查找到與該進程名相同和路徑相同的進程后就能停止蠕蟲進程，

停止和刪除服務子模塊用于停止蠕蟲開啟的服務并刪除蠕蟲的服務信息，對于保存在文件內或者注冊表內動態生成的病毒服務名稱通過該文件名或者注冊表項所在的路徑得到，從而調用Windows下的刪除服務或注冊表的API實現停止和刪除服務，

刪除蠕蟲體文件子模塊用于獲取文件路徑，根據蠕蟲的文件名稱以及相對路徑刪除相應文件，

刪除或者恢復蠕蟲修改的操作系統配置信息子模塊用于獲取蠕蟲隨操作系統自動運行方式，通過對蠕蟲的運行跟蹤獲得所述方式；

投放工具分析與自動生成子系統，包括投放工具分析子模塊、投放工具自動生成子模塊，

投放工具分析子模塊用于向目標主機發送報文使得能夠引起有漏洞的服務調用，之后發送構造好的溢出報文，造成服務的溢出并執行Shellcode，攻擊成功后在目標主機上執行傳輸命令從WACSD的服務器下載對應的遠程網絡蠕蟲清除工具或者漏洞補丁工具，傳輸結束后則執行運行遠程網絡蠕蟲清除工具或者漏洞補丁工具，

投放工具自動生成子模塊，用于實現投放工具的自動生成，利用固定的代碼框架指定溢出攻擊報文發送代碼，并指定對應的漏洞CVE標識，然后將系統編譯生成的代碼，并把投放工具信息寫入數據庫中；

主動修補補丁分析與自動生成子系統，包括主動修補補丁分析子模塊和主動修補補丁自動生成子模塊，

主動修補補丁分析子模塊采用增加代碼的方法來進行漏洞修補，通過在系統內存實時修改存在問題的代碼，以實現實時修復，

主動修補補丁自動生成子模塊，用于自動生成對DLL/EXE的補丁，為有漏洞的函數定義每一個參數及參數類型，然后需要定義確定哪一個參數有問題的條件判斷和發現有問題時的返回值如何賦值，并指定有漏洞的DLL/EXE路徑，再編譯生成補丁，每一個生成的補丁都是一個DLL，補丁DLL的DllMain函數中，當發生DLL_PROCESS_ATTACH消息時，利用Detour?API把補丁函數替換Target?Function。