[發明專利]一種非法外聯的判定方法、系統及裝置

在審

• 申請號: 202111211459.2
• 申請日: 2021-10-18
• 公開（公告）號: CN113938305A
• 公開（公告）日: 2022-01-14
• 發明（設計）人: 彭強兵;范淵;楊勃
• 申請（專利權）人: 杭州安恒信息技術股份有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L67/146;H04L69/16
• 代理公司: 北京集佳知識產權代理有限公司 11227
• 代理人: 高勇

1.一種非法外聯的判定方法，其特征在于，包括：

在外部程序對服務器發起或監聽網絡連接請求時，獲取所述網絡連接請求中的程序標識特征；

判斷所述程序標識特征是否存在于預設程序標識特征庫；

若所述程序標識特征存在于所述預設程序標識特征庫，則判定所述網絡連接請求對應的網絡連接為非法外聯。

2.如權利要求1所述的非法外聯的判定方法，其特征在于，獲取所述網絡連接中的程序標識特征，包括：

在所述外部程序對所述服務器發起或監聽所述網絡連接請求時，獲取包含所述網絡連接請求的日志信息；

獲取所述日志信息中的所述程序標識特征。

3.如權利要求2所述的非法外聯的判定方法，其特征在于，獲取包含所述網絡連接請求的日志信息，包括：

在所述外部程序對所述服務器發起所述網絡連接請求時，調用所述服務器的系統調用表中的原生connect系統調用地址被修改后的第一系統調用地址；

在獲取中斷指令后基于所述第一系統調用地址獲取包含所述網絡連接請求的日志信息。

4.如權利要求2所述的非法外聯的判定方法，其特征在于，獲取包含所述網絡連接請求的日志信息，包括：

在所述外部程序對所述服務器監聽所述網絡連接請求時，調用所述服務器的系統調用表中的原生accept系統調用地址被修改后的第二系統調用地址；

在獲取中斷指令后基于所述第二系統調用地址獲取包含所述網絡連接請求的日志信息。

5.如權利要求1所述的非法外聯的判定方法，其特征在于，在獲取所述網絡連接請求中的程序標識特征之后，還包括：

若所述程序標識特征是所述外部程序對所述服務器發起所述網絡連接請求時獲取的所述程序標識特征，則調用所述服務器的系統調用表中的原生connect函數以使所述服務器與所述外部程序之間建立所述網絡連接；

若所述程序標識特征是所述外部程序對所述服務器監聽所述網絡連接請求時獲取的所述程序標識特征，則調用所述服務器的系統調用表中的原生accept函數以使所述服務器對所述外部程序發起等待連接請求。

6.如權利要求1所述的非法外聯的判定方法，其特征在于，在所述外部程序對所述服務器發起所述網絡連接請求時，所述程序標識特征為所述服務器的connect系統調用日志中的程序標識特征；

在所述外部程序對所述服務器監聽所述網絡連接請求時，所述程序標識特征為所述服務器的accept系統調用日志中的程序標識特征。

7.如權利要求1所述的非法外聯的判定方法，其特征在于，判斷所述程序標識特征是否存在于預設程序標識特征庫，包括：

將所述程序標識特征由內核態程序通過Netlink套接字發送至用戶態程序，以通過所述用戶態程序判斷所述程序標識特征是否存在于所述預設程序標識特征庫。

8.如權利要求1至7任一項所述的非法外聯的判定方法，其特征在于，所述程序標識特征為所述外部程序所在的外部終端對應的IP地址。

9.一種非法外聯的判定系統，其特征在于，包括：

程序標識特征獲取單元，用于在外部程序對服務器發起或監聽網絡連接請求時，獲取所述網絡連接請求中的程序標識特征；

程序標識特征判斷單元，用于判斷所述程序標識特征是否存在于預設程序標識特征庫；若所述程序標識特征存在于所述預設程序標識特征庫，則觸發非法外聯判定單元；

所述非法外聯判定單元用于判定所述網絡連接請求對應的網絡連接為非法外聯。

10.一種非法外聯的判定裝置，其特征在于，包括：

存儲器，用于存儲計算機程序；

處理器，用于執行所述計算機程序時實現如權利要求1至8任一項所述的非法外聯的判定方法的步驟。