[發明專利]一種檢測和防范反彈shell的方法和系統

有效

• 申請號: 201710540141.6
• 申請日: 2017-07-04
• 公開（公告）號: CN107423622B
• 公開（公告）日: 2020-04-28
• 發明（設計）人: 鄭翔;樊治國;宋為輝
• 申請（專利權）人: 上海高重信息科技有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 上海順華專利代理有限責任公司 31203
• 代理人: 陸林輝

1.一種檢測和防范反彈shell的方法，具體包括如下步驟：

步驟1，捕獲執行shell程序的動作；

步驟2，檢測shell程序進程是否帶終端屬性；

如果shell程序進程不帶終端屬性，說明這是一個反彈shell；判定是反彈shell后，向反彈shell進程發出終止信號，殺死進程；

步驟3，直至終止反彈shell。

2.根據權利要求1所述的一種檢測和防范反彈shell的方法，其特征在于，所述步驟1的捕獲執行shell程序的動作是1)從Linux內核里捕獲執行shell程序的動作；或2)從/proc目錄中查詢正在運行的shell程序。

3.根據權利要求1所述的一種檢測和防范反彈shell的方法，其特征在于，所述步驟2的檢測shell程序進程是否帶終端屬性；如果是從Linux內核里捕獲執行shell程序的動作，在捕獲的同時，可以一并獲取進程的終端屬性；或者捕獲到shell程序進程，可以通過/proc文件系統查詢進程的終端屬性。

4.一種反彈shell檢測和防御系統，以實現上述檢測和防范反彈shell的方法；該反彈shell檢測和防御系統包括：shell程序捕獲模塊、反彈shell檢測模塊、反彈shell終止模塊、webshell/反彈木馬輔助識別模塊；其中：

所述shell程序捕獲模塊，用于捕獲執行shell程序的動作；

所述反彈shell檢測模塊，用于獲取shell進程的終端屬性，如果不能取得shell進程的終端屬性，則判定該shell進程為反彈shell進程；

所述反彈shell終止模塊，用于終止反彈shell進程的運行；

所述webshell/反彈木馬輔助識別模塊，用于報告啟動反彈shell的webshell是后門腳本。

5.根據權利要求4所述的一種反彈shell檢測和防御系統，其特征在于，所述獲取shell進程終端屬性的時機，是在捕獲執行shell程序動作的同時獲取，或在捕獲執行shell程序動作的之后查詢shell進程的進程屬性，并從中獲得終端屬性。

6.根據權利要求4所述的一種反彈shell檢測和防御系統，其特征在于，所一步的，上述終止反彈shell進程的方式，是令進程在獲知自身為反彈shell進程時自行終止，或由防御程序殺死反彈shell進程。

7.根據權利要求4所述的一種反彈shell檢測和防御系統，其特征在于，如果反彈shell不是由webshell啟動的，那么啟動反彈shell的程序是反彈木馬。