[發(fā)明專利]一種檢測物聯(lián)網(wǎng)設(shè)備遭受入侵的方法及檢測裝置

有效

• 申請?zhí)枺?/td>: 201910767588.6
• 申請日: 2019-08-20
• 公開（公告）號: CN110572372B
• 公開（公告）日: 2021-12-10
• 發(fā)明（設(shè)計）人: 侯賀明;葉志鋼;譚國權(quán);李明棟
• 申請（專利權(quán)）人: 武漢綠色網(wǎng)絡(luò)信息服務(wù)有限責(zé)任公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08
• 代理公司: 深圳市六加知識產(chǎn)權(quán)代理有限公司 44372
• 代理人: 向彬

1.一種檢測物聯(lián)網(wǎng)設(shè)備遭受入侵的方法，其特征在于，所述方法包括：

獲取物聯(lián)網(wǎng)設(shè)備與登錄設(shè)備之間交互時所產(chǎn)生的會話流量；

對所述會話流量進行解析，確定所述會話流量的回顯模式；

若所述會話流量為單字符回顯模式，則所述物聯(lián)網(wǎng)設(shè)備未遭受入侵；若所述會話流量為多字符回顯模式，則所述物聯(lián)網(wǎng)設(shè)備存在潛在入侵風(fēng)險；

當(dāng)所述物聯(lián)網(wǎng)設(shè)備存在潛在入侵風(fēng)險時，確定所述會話流量中是否存在隨機字符形式的輸出結(jié)束命令；

若所述會話流量中存在隨機字符形式的輸出結(jié)束命令，則所述物聯(lián)網(wǎng)設(shè)備存在入侵風(fēng)險。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述方法還包括：

若所述會話流量中不存在隨機字符形式的輸出結(jié)束命令，則所述物聯(lián)網(wǎng)設(shè)備存在潛在入侵風(fēng)險；

在所述物聯(lián)網(wǎng)設(shè)備存在潛在入侵風(fēng)險時，確定所述會話流量中是否存在文件下載命令；

若所述會話流量中存在文件下載命令，則所述物聯(lián)網(wǎng)設(shè)備存在入侵風(fēng)險；

若所述會話流量中不存在文件下載命令，則所述物聯(lián)網(wǎng)設(shè)備不存在入侵風(fēng)險。

3.根據(jù)權(quán)利要求2所述的方法，其特征在于，所述文件下載命令為echo命令，確定所述會話流量中是否存在文件下載命令包括：

確定在所述會話流量中是否存在指定參數(shù)的echo命令，其中，指定參數(shù)的echo命令包括echo–ne、echo–en、echo-n–e或echo-e-n；

若在所述會話流量中存在指定參數(shù)的echo命令，則獲取指定參數(shù)的echo命令的格式；

若指定參數(shù)的echo命令中攜帶有指定數(shù)據(jù)進制的字節(jié)數(shù)據(jù)，且每個指定數(shù)據(jù)進制的字節(jié)數(shù)據(jù)均以\x或\0開始，則所述會話流量中存在文件下載命令。

4.根據(jù)權(quán)利要求2所述的方法，其特征在于，所述方法還包括：

若所述會話流量中存在文件下載命令，獲取所述文件下載命令中包含的多個分段數(shù)據(jù)以及每個分段數(shù)據(jù)攜帶的重定向符；

根據(jù)每個分段數(shù)據(jù)攜帶的重定向符對分段數(shù)據(jù)進行整合，得到下載至所述物聯(lián)網(wǎng)設(shè)備中的入侵文件，以破解所述入侵文件，對所述入侵文件進行分析，進而依據(jù)所述入侵文件改善所述物聯(lián)網(wǎng)設(shè)備的防御策略。

5.根據(jù)權(quán)利要求2所述的方法，其特征在于，確定所述會話流量中是否存在文件下載命令包括：

獲取所述會話流量中文件下載命令的數(shù)目；

判斷所述會話流量中文件下載命令的數(shù)目是否大于預(yù)設(shè)的數(shù)量閾值；

若大于，則標(biāo)定所述會話流量中存在文件下載命令；若不大于，則標(biāo)定所述會話流量中不存在文件下載命令。

6.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述會話流量為基于telnet協(xié)議的會話流量，對所述會話流量進行解析，確定所述會話流量的回顯模式包括：

對所述會話流量進行解析，分別得到所述登錄設(shè)備發(fā)送至所述物聯(lián)網(wǎng)設(shè)備的第一數(shù)據(jù)流，以及所述物聯(lián)網(wǎng)設(shè)備發(fā)送至所述登錄設(shè)備的第二數(shù)據(jù)流；

針對同一TCP連接中的流量，判斷所述第一數(shù)據(jù)流中的字符與所述第二數(shù)據(jù)流中的字符是否相同；

若相同，獲取所述第一數(shù)據(jù)流和所述第二數(shù)據(jù)流中的負載部分的字符長度，若所述第一數(shù)據(jù)流和所述第二數(shù)據(jù)流中負載部分的字符長度分別為一個字節(jié)，則所述會話流量為單字符回顯模式，若所述第一數(shù)據(jù)流和所述第二數(shù)據(jù)流中負載部分的字符長度分別大于一個字節(jié)，則所述會話流量為多字符回顯模式。