[發明專利]一種基于Hook技術獲取Bash執行信息的方法、裝置與設備

在審

• 申請號: 202210310756.0
• 申請日: 2022-03-28
• 公開（公告）號: CN114626057A
• 公開（公告）日: 2022-06-14
• 發明（設計）人: 陳靖遠;李昌志;蔣倩;張嘉歡
• 申請（專利權）人: 北京長亭未來科技有限公司
• 主分類號: G06F21/55
• 分類號: G06F21/55;G06F9/54;G06F8/75
• 代理公司: 深圳睿臻知識產權代理事務所(普通合伙) 44684
• 代理人: 張海燕

本發明實施例提供了一種基于Hook技術獲取Bash執行信息的方法、裝置與設備，通過對插樁函數和套接字的構建，分析Bash源碼邏輯，尋找合適的函數插入位置，插入對應的插樁函數，利用插樁函數實時獲取各個節點的Bash命令執行信息，并發送至套接字，等待外部程序獲取。本發明實施例可以在用戶無感知的情況下實時地獲取到用戶（可能是正常用戶也可能是惡意用戶）在Bash終端操作的詳細信息，可以后續對Bash命令的審計等需求場景提供便利，從而更好的保障用戶的安全。

技術領域

本發明實施例涉及網絡安全技術領域，具體涉及一種基于Hook技術獲取Bash執行信息的方法、裝置與設備。

背景技術

從根本上說，Shell是一個執行命令的宏處理器。術語宏處理器是指擴展文本和符號以創建更大表達式的功能。

Unix shell既是命令解釋器又是編程語言。作為命令解釋器，Shell為豐富的GNU實用程序集提供了用戶界面。Shell可以以交互或非交互方式使用。在交互模式下，接受從鍵盤輸入的指令；以非交互方式執行時，Shell 執行從文件中讀取的命令。Shell還提供了一小組內置命令（builtins），實現了通過單獨的實用程序不可能或不方便獲得的功能。

而Bash是GNU操作系統的Shell，它目前幾乎可以在每個版本的Unix和一些其他操作系統上運行，包括Linux與Mac OS X v10.4起至macOS Mojave都將它作為默認Shell，是目前主流的Shell之一。

在Bash中，它會將用戶執行的命令存儲在～/.bash_history中，使用history命令可以對其進行查看等操作。但是，用戶所執行的命令并不能實時的寫入到～/.bash_history文件中，而是先保存在緩存中，只有當用戶注銷或者手動執行history-w命令后，緩存中的命令才會寫入到～/bash_history文件中，無法對用戶所執行的Bash命令進行實時的審計。

發明內容

為此，本發明實施例提供一種基于Hook技術獲取Bash執行信息的方法、裝置與設備，以解決現有技術無法實時獲取到詳細的用戶Bash執行信息，以供后續Bash命令的安全審計的技術問題。

為了實現上述目的，本發明實施例提供如下技術方案：

根據本發明實施例的第一方面，本申請實施例提供了一種基于Hook技術獲取Bash執行信息的方法，所述方法包括：

構建用于獲取Bash執行信息的插樁函數以及用于接收Bash執行信息的套接字；

分析Bash源碼邏輯，尋找合適的函數插入位置，插入對應的插樁函數；

啟動Bash命令，利用各個插樁函數，分別實時獲取各個節點的Bash執行信息；

將所述Bash執行信息進行組裝并發送至所述套接字，等待外部程序獲取。

優選地，所述方法還包括：

在當前Bash執行信息發送至所述套接字之后，判斷Bash會話是否繼續執行后續命令；

若Bash會話繼續執行后續命令，則啟動后續Bash命令，利用各個插樁函數，分別實時獲取各個節點的后續Bash執行信息；并將所述后續Bash執行信息進行組裝并發送至所述套接字；

若Bash會話不再繼續執行后續命令，則退出Bash會話。

進一步地，構建用于獲取Bash執行信息的插樁函數，包括：

定義Bash會話序列，記錄Bash會話中的命令序號，每次使用時自增1，設置初始命令序號為0；

定義所需插樁函數；

所述插樁函數包括：

第一插樁函數，用于獲取Bash會話啟動時的初始信息；

第二插樁函數，用于獲取Bash命令執行前的第一信息；

第三插樁函數，用于獲取Bash命令執行內置命令或磁盤文件前的第二信息；