[發明專利]命令注入攻擊的檢測方法、裝置、計算機設備和存儲介質

有效

• 申請號: 202110037147.8
• 申請日: 2021-01-12
• 公開（公告）號: CN112769833B
• 公開（公告）日: 2023-01-24
• 發明（設計）人: 侯天齊;梁彧;田野;傅強;王杰;楊滿智;蔡琳;金紅;陳曉光
• 申請（專利權）人: 恒安嘉新（北京）科技股份公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L41/0631
• 代理公司: 北京品源專利代理有限公司 11332
• 代理人: 孟金喆

1.一種命令注入攻擊的檢測方法，其特征在于，包括：

通過深度報文檢測設備實時獲取流量數據，所述深度報文檢測設備為在服務器旁路部署；

對流量數據進行解析，獲取多種協議類型的數據包，并將各所述數據包與命令注入攻擊規則進行匹配；所述命令注入攻擊規則是命令注入攻擊的特征字符或特征字段，和數據包發送方黑名單；所述命令注入攻擊規則包括命令注入攻擊規則庫中預存的各命令注入攻擊規則，以及對預存的各命令注入攻擊規則進行關聯和/或組合后形成的命令注入攻擊規則；

如果確定目標數據包與命令注入攻擊規則相匹配，則阻斷數據包發送方的流量數據，并進行命令注入攻擊告警；

所述阻斷數據包發送方的流量數據，包括：

向數據包發送方發送重置連接數據包，以阻斷數據包發送方繼續發送流量數據；

深度報文檢測設備在確定目標數據包與命令注入攻擊規則相匹配時，通過目標數據包中的發送方地址信息，獲取目標數據包對應的數據包發送方，并向目標數據包對應的數據包發送方發送重置連接數據包，以斷開目標數據包對應的數據包發送方與服務器之間的鏈接，阻斷命令注入攻擊的流量數據來源。

2.根據權利要求1所述的方法，其特征在于，通過深度報文檢測設備實時獲取流量數據，包括：

通過深度報文檢測設備實時獲取引流設備獲取、復制并發送的流量數據。

3.根據權利要求2所述的方法，其特征在于，所述引流設備為網絡分流器、防火墻或者三層流量交換機。

4.根據權利要求1所述的方法，其特征在于，對流量數據進行解析，獲取多種協議類型的數據包，包括：

通過深度報文檢測設備對獲取的流量數據進行協議類型解析，獲取多種協議類型的數據包；

所述協議類型包括超文本傳輸協議和/或結構化查詢語言協議。

5.根據權利要求4所述的方法，其特征在于，將各所述數據包與命令注入攻擊規則進行匹配，包括：

將各所述數據包輸入至規則匹配模型中，通過規則匹配模型對各所述數據包與命令注入攻擊規則進行匹配。

6.根據權利要求5所述的方法，其特征在于，所述命令注入攻擊規則包括命令注入攻擊規則庫中預存的各命令注入攻擊規則，以及對預存的各命令注入攻擊規則進行關聯和/或組合后形成的命令注入攻擊規則。

7.一種命令注入攻擊的檢測裝置，其特征在于，包括：

流量數據獲取模塊，用于通過深度報文檢測設備實時獲取流量數據，所述深度報文檢測設備為在服務器旁路部署；

數據包匹配模塊，用于對流量數據進行解析，獲取多種協議類型的數據包，并將各所述數據包與命令注入攻擊規則進行匹配；所述命令注入攻擊規則是命令注入攻擊的特征字符或特征字段，和數據包發送方黑名單；所述命令注入攻擊規則包括命令注入攻擊規則庫中預存的各命令注入攻擊規則，以及對預存的各命令注入攻擊規則進行關聯和/或組合后形成的命令注入攻擊規則；

流量數據阻斷模塊，用于如果確定目標數據包與命令注入攻擊規則相匹配，則阻斷數據包發送方的流量數據，并進行命令注入攻擊告警；

所述流量數據阻斷模塊，包括：重置連接數據包發送單元，用于向數據包發送方發送重置連接數據包，以阻斷數據包發送方繼續發送流量數據；

深度報文檢測設備在確定目標數據包與命令注入攻擊規則相匹配時，通過目標數據包中的發送方地址信息，獲取目標數據包對應的數據包發送方，并向目標數據包對應的數據包發送方發送重置連接數據包，以斷開目標數據包對應的數據包發送方與服務器之間的鏈接，阻斷命令注入攻擊的流量數據來源。

8.一種計算機設備，包括存儲器、處理器及存儲在存儲器上并可在處理器上運行的計算機程序，其特征在于，所述處理器執行所述程序時實現如權利要求1-6中任一所述的命令注入攻擊的檢測方法。

9.一種包含計算機可執行指令的存儲介質，其特征在于，所述計算機可執行指令在由計算機處理器執行時用于執行如權利要求1-6中任一所述的命令注入攻擊的檢測方法。