CN101588247B - 用于检测服务器的漏洞的系统和方法 - Google Patents

Abstract

提供一种用于检测服务器的漏洞的系统和方法。所述系统包括：检查服务器，用于从提供服务并可能被外部攻击的服务服务器收集关于预定命令的响应信息，并基于响应信息检测和分析服务服务器的漏洞；管理终端，用于显示漏洞的检测和分析结果；以及数据库，用于存储和管理关于分别与服务服务器相对应的漏洞的模式信息。所述方法包括：在检查服务器处，在数据库中存储和管理关于分别与服务服务器相对应的漏洞的模式信息；在检查服务器处，从提供服务并可能被外部攻击的服务服务器收集关于预定命令的响应信息，并基于响应信息检测和分析服务服务器的漏洞；以及在管理终端显示漏洞的检测和分析结果。从而有效管理服务器的漏洞并防止对服务器的损害。

Description

用于检测服务器的漏洞的系统和方法

相关申请

本申请要求在2008年5月22日提交的韩国专利申请2008-0047552的优先权，该韩国专利申请被作为参考合并于此，就如在这里完整提出一样。

技术领域

本发明涉及用于检测提供服务的服务器的漏洞的系统和方法。

背景技术

随着因特网的发展，网站的数量在急剧地增加，提供服务的服务器的数量也在急剧增加。然而，增加的服务器在不同的环境中运行并需要不同的功能。因此，很难保持它们的安全级别统一以及很难手动地检查安全级别。

通过利用这些困难，黑客能够侵入易受攻击的服务器，上载他们创建的恶意程序或文件，并在远程站点执行上载的程序或文件，从而获取重要信息或修改网站。用这种方法，黑客可以对服务供应商造成致命的损害。而且，这些黑客变成了严重的问题，因为他们不仅可以损害特定服务器，而且还损害在同一网络中的其它服务器。

然而，由黑客创建的利用服务器的漏洞的程序或文件不是计算机病毒或恶意代码，因此很难使用现有的杀毒程序或恶意代码检测程序来检测它们。因此，当服务器被攻击时，对于相应的服务供应商来说，很难在不正常的现象发生之前意识到攻击。即使服务供应商意识到攻击，在大多数情况下也只是在重要信息已经被泄露或网站已经被修改之后。

为了防止这些损害，需要开发一种能够检测服务器的漏洞、确定在服务器中是否有问题并处理该问题的检查系统。

发明内容

本发明提出一种用于检测服务器的漏洞的系统和方法，包括：通过端口扫描来检测可能被攻击的服务器，从被检测的服务器接收关于至少一个预定命令的响应信息，基于所述响应信息来检测和分析服务器的漏洞，以及从而实现服务器的漏洞的有效管理。

本发明还提出一种用于检测服务器的漏洞的系统和方法，包括：通过端口扫描来检测可能被攻击的服务器，从被检测的服务器接收关于至少一个预定命令的响应信息，基于所述响应信息来检测服务器的漏洞，将检测结果报告给管理员终端，以及从而能够防止对服务器的损害。

根据本发明的一个方面，提供一种用于检测服务器的漏洞的系统，包括：检查服务器，用于从提供服务以及可能被外部攻击的一个或多个服务服务器(service server)收集关于至少一个预定命令的响应信息，并基于所收集的响应信息来检测和分析服务服务器的漏洞；管理终端，用于显示服务服务器的漏洞的检测和分析的结果；以及数据库，用于存储和管理关于分别与服务服务器相对应的漏洞的模式信息。

检查服务器可以在提供服务的服务服务器上执行端口扫描，根据端口扫描的结果来检测可能被外部攻击的服务服务器，将预定命令发送到被检测的服务服务器，收集关于被发送的命令的响应信息，以及基于所收集的响应信息来检测和分析服务服务器的漏洞。

特别地，检查服务器可以根据端口扫描的结果将打开至少一个端口的服务服务器检测为可能被外部攻击的服务服务器。此外，检查服务器可以将从服务服务器收集的关于预定命令的响应信息与存储在数据库中的模式信息进行比较，并根据比较结果来检测和分析服务服务器的漏洞。

这里，命令可以是请求对服务服务器的访问验证的命令、请求对服务服务器的访问的命令以及请求特定响应的命令中的一个。

根据本发明的另一个方面，提供一种用于检测服务器的漏洞的系统，包括：扫描器，用于检测提供服务以及可能被外部攻击的至少一个服务服务器；收集器，用于从被检测的服务服务器收集关于一个或多个预定命令的响应信息；以及分析器，用于基于所收集的响应信息来检测和分析服务服务器的漏洞。

扫描器可以在提供服务的服务服务器上执行端口扫描，并根据端口扫描的结果将打开至少一个端口的服务服务器检测为可能被外部攻击的服务服务器。

收集器可以随后将预定命令发送到可能被外部攻击的被检测的服务服务器，并收集关于被发送的命令的响应信息。

分析器可以将从服务服务器收集的关于预定命令的响应信息与存储在数据库中的模式信息进行比较，并根据比较结果来检测和分析服务服务器的漏洞。此外，分析器可以将服务服务器的漏洞的检测和分析的结果存储在数据库中，将结果提供给管理终端以使得管理员可以检查结果，或将通知消息发送给管理员。

根据本发明的另一个方面，提供一种用于检测服务器的漏洞的方法，包括：在检查服务器处，在数据库中存储和管理关于分别与一个或多个服务服务器相对应的漏洞的模式信息；在检查服务器处，从提供服务以及可能被外部攻击的至少一个服务服务器收集关于至少一个预定命令的响应信息，并基于所收集的响应信息来检测和分析服务服务器的漏洞；以及在管理终端处显示服务服务器的漏洞的检测和分析的结果。

服务服务器的漏洞的检测和分析可以包括：在提供服务的服务服务器上执行端口扫描，并根据端口扫描的结果来检测可能被外部攻击的服务服务器；以及将预定命令发送到被检测的服务服务器，收集关于被发送的命令的响应信息，以及基于所收集的响应信息来检测和分析服务服务器的漏洞。

特别地，服务服务器的检测可以包括根据端口扫描的结果将打开至少一个端口的服务服务器检测为可能被外部攻击的服务服务器。服务服务器的漏洞的检测和分析可以包括将从服务服务器收集的关于预定命令的响应信息与存储在数据库中的模式信息进行比较，并根据比较结果来检测和分析服务服务器的漏洞。

这里，命令可以是请求对服务服务器的访问验证的命令、请求对服务服务器的访问的命令以及请求特定响应的命令中的一个。

根据本发明的另一个方面，提供一种用于检测服务器的漏洞的方法，包括：检测提供服务以及可能被外部攻击的至少一个服务服务器；从被检测的服务服务器收集关于一个或多个预定命令的响应信息；以及基于所收集的响应信息来检测和分析服务服务器的漏洞。

服务服务器的检测可以包括：在提供服务的服务服务器上执行端口扫描；以及根据端口扫描的结果将打开至少一个端口的服务服务器检测为可能被外部攻击的服务服务器。

响应信息的收集可以包括随后将预定命令发送到可能被外部攻击的被检测的服务服务器，并收集关于被发送的命令的响应信息。

服务服务器的漏洞的检测和分析可以包括将从服务服务器收集的关于预定命令的响应信息与存储在数据库中的模式信息进行比较，并根据比较结果来检测和分析服务服务器的漏洞。

此外，该方法还可以包括将服务服务器的漏洞的检测和分析的结果存储在数据库中，将该结果提供给管理终端以使得管理员可以检查结果，或将通知消息发送给管理员。

附图说明

通过参考附图来详细描述本发明的优选示例性实施方式，本发明的上述以及其它特征和优点对于本领域技术人员来说将变得更明显，其中：

图1示意性地示出了根据本发明的一个示例性实施方式的系统的构造；

图2是图1中示出的检查服务器的框图；

图3是示出了根据本发明的一个示例性实施方式的检测服务器的漏洞的方法的流程图；以及

图4示出了显示了根据本发明的一个示例性实施方式的检查结果的屏幕的示例。

具体实施方式

在下文将参考附图更全面地描述本发明，在附图中示出了本发明的实施方式。然而，本发明可以以许多不同的形式被实现，并且不应当被理解为局限于此处所提出的实施方式。而是，提供这些实施方式以使得本领域普通技术人员能够充分地实现和实施本发明。

在下文中，将参考图1至4详细描述根据本发明的示例性实施方式的用于检测服务器的漏洞的系统和方法。

本发明提供一种能够检测和分析提供服务的服务服务器的漏洞的新的系统。更具体地，本发明的示例性实施方式包括通过端口扫描来检测可能被攻击的服务器，从被检测的服务器接收关于至少一个预定命令的响应信息，基于所述响应信息来检测和分析服务器的漏洞，以及将检测结果报告给管理终端。

图1示意性地示出了根据本发明的一个示例性实施方式的系统的构造。

如图1所示，根据本发明的一个示例性实施方式的用于检测服务器的漏洞的系统可以包括用户终端110、服务服务器120、检查服务器130、数据库(DB)131以及管理员终端140。

服务服务器120可以通过因特网提供各种类型的服务，并且服务服务器120可以包括例如网络服务器、内容服务器、图像服务器、文件传输协议(FTP)服务器以及DB服务器。

检查服务器130可以与一个或多个服务服务器120交互操作，周期性地检测和分析交互操作的服务服务器120的漏洞，并将结果报告给管理员。更具体地，检查服务器130可以在交互操作的服务服务器120上执行端口扫描，并将打开至少一个端口的服务服务器检测为可能被外部攻击的服务服务器。然后，检查服务器130可以从被检测的服务服务器收集关于至少一个预定命令的响应信息，并基于所收集的响应信息来检测和分析服务服务器的漏洞。

这里，端口扫描通常被称为用于黑客的侦查程序，并指在具有特定因特网协议(IP)地址或域名的服务器中查找哪个端口打开或关闭的技术。

另外，检查服务器130可以将检测和分析的结果存储在DB 131中，并通过例如发送电子邮件或短消息服务(SMS)消息到由管理员管理的管理员终端140来将结果报告给管理员。

管理员终端140显示服务器的漏洞的检测和分析的结果以让管理员检查，从而管理员可以基于检测和分析的结果来改正服务服务器的漏洞。此外，管理员可以基于存储在DB 131中的检测和分析的结果来连续地检查服务服务器的漏洞是否被改正，从而可以充分地管理服务器的安全。

如上所述，本发明的示例性实施方式通过端口扫描来检测可能被攻击的服务器，从被检测的服务器接收关于至少一个预定命令的响应信息，以及基于所述响应信息来检测和分析服务器的漏洞，从而实现服务器的漏洞的有效管理。

图2是图1中示出的检查服务器130的框图。

如图2所示，根据本发明的示例性实施方式的检查服务器130可以包括第一接口210、扫描器220、收集器230、分析器240、通知器250、第二接口260以及第三接口270。

检查服务器130可以通过第一接口210与至少一个服务服务器进行交互操作，通过第二接口260与管理员终端进行交互操作，以及通过第三接口270与DB进行交互操作。用这种方式，检查服务器130可以检测和分析服务服务器的漏洞，这在下面将详细描述。

首先，扫描器220可以检测可进入的路径。例如，扫描器220可以在所有交互操作的服务服务器上执行端口扫描，并基于端口扫描的结果来检测可能被外部攻击的服务服务器。

当检测到可能被外部攻击的服务服务器时，控制器230可以随后将一个或多个预定命令发送到被检测的服务服务器并收集关于被发送的命令的响应信息。

分析器240可以基于所收集的响应信息来检测和分析服务服务器的漏洞。这时，分析器240可以将所收集的响应信息与存储在DB中的模式信息进行比较，并根据比较结果来检测和分析服务服务器的漏洞。

这里，模式信息可以指关于分别与被检查的服务服务器相对应的漏洞的信息，并且模式信息可以在DB中被存储和管理。

分析器240可以将服务服务器的漏洞的检测和分析的结果存储在DB中或将结果提供给管理员终端，从而使管理员正确地处理结果。此外，当分析器240请求通知器250将服务服务器的漏洞的检测和分析的结果发送给管理员时，通知器250可以使用电子邮件或消息来将结果发送给管理员。

如上所述，本发明的示例性实施方式通过端口扫描来检测可能被攻击的服务器，从被检测的服务器接收关于至少一个预定命令的响应信息，基于所述响应信息来检测服务器的漏洞，并将检测结果报告给管理员终端，从而能够防止对服务器的损害。

图3是示出了根据本发明的一个示例性实施方式的检测服务器的漏洞的方法的流程图。

如图3所示，检查服务器可以检测具有可进入的路径的服务服务器。例如，检查服务器可以在所有的交互操作的服务服务器上执行端口扫描，并基于端口扫描的结果来检测可能被外部攻击的服务服务器(S310)。

更具体地，检查服务器可以首先检查特定服务服务器在与因特网相连的情况下是否正常地运行。这时，如下面的示例1所示，检查服务器可以使用ping命令并基于响应来检查服务服务器在与因特网相连的情况下是否正常地运行。

示例1

请求：ping<服务服务器的IP地址>

响应：从<服务服务器的IP地址>应答字节＝32时间＜1ms TTL＝128

当检查服务器使用ping命令确定服务服务器在与因特网相连的情况下运行时，检查服务器可以使用插槽通信来检查是否服务服务器的所有端口中的至少一个打开，所有端口例如编号为0至65535的端口。此外，甚至在技术上不允许ping命令的服务器也可以通过端口扫描来检查服务器在与因特网相连的情况下是否正常地运行。

当用这种方法检测到可能被外部攻击的服务服务器时，检查服务器可以收集关于服务服务器的状态信息(S320)。这时，服务服务器可以将至少一个预定命令发送到服务服务器并收集响应于该命令的响应信息。

更具体地，检查服务器可以发送至少一个命令，并且收集关于该命令的响应信息，所述命令例如请求访问验证的命令、请求访问的命令或请求对服务服务器的特定响应的命令。首先，如下面的示例2所示，可以在命令窗口中请求对网络服务器的访问验证，并收集响应信息。

示例2

请求：OPTION*HTTP/1.0

主机：<服务服务器的IP地址>

响应：允许：PUT、DELETE、UPDATE

使用至少一个用于网络服务器的这样的命令，检查服务器可以收集响应信息，该响应信息指示是否可以在网络服务器中删除或修改信息。

如在下面的示例3中所示，可以在命令窗口中通过请求对FTP服务器的访问验证来收集响应信息。例如，检查服务器可以检查1)是否可以从能被任何用户使用的匿名账户来访问FTP服务器，或2)是否可以从使用容易被猜出的密码的管理员账户来访问FTP服务器，所述密码例如“root”、“admin”或“administrator”。

示例3

请求：ftp<服务服务器的IP地址>

用户：<ID>

密码：<PW>

响应：用户登陆

使用用于FTP服务器的至少一个这样的命令，检查服务器可以收集响应信息，该响应信息指示是否可以访问服务服务器，即FTP服务器。

如在下面的示例4中所示，可以在命令窗口中通过请求对DB服务器的访问来收集响应信息。

示例4

请求：SELECT*FROM sysusers

SELECT*FROM sysusers

响应：ODBC错误、JDBC错误

使用用于DB服务器的至少一个这种命令，检查服务器可以收集响应信息，该响应信息指示是否可以访问服务服务器，即DB服务器，或接收错误信息或所请求的信息。特别地，错误信息可以被确定以指示BD服务器被访问，但是发生了有关命令的错误。

随后，检查服务器可以基于所收集的响应信息来检测和分析服务服务器的漏洞(S330)。这时，检查服务器可以将所收集的响应信息与存储在DB中的模式信息进行比较，并根据比较结果来检测服务服务器的漏洞。

最后，检查服务器将服务服务器的漏洞提供到管理员终端(S340)以使得管理员可以检查漏洞。并且，管理员可以改正服务服务器的漏洞。下面将参考图4来描述在该操作中显示在管理员终端上的细节。

图4示出了显示了根据本发明的一个示例性实施方式的检查结果的屏幕的示例。

如图4所示，管理员终端显示从检查服务器接收到的服务服务器的漏洞以使得管理员可以查看它。这里，可以显示对网络服务器的访问验证，例如写入和删除验证。在该画面中，管理员可以看到关于具有漏洞的服务服务器的信息和漏洞的细节。

如上所述，本发明的示例性实施方式不包括在访问服务服务器之后检测或分析服务服务器的漏洞。而是，本发明的示例性实施方式可以基于关于至少一个预定命令的响应信息来容易地检测和分析服务服务器的漏洞，而不管服务服务器是否被访问。

上述方法可以被实施为计算机可读记录介质中的计算机可读代码。计算机可读记录介质是用于存储可以被计算机系统读取的数据的任何记录介质。计算机可读记录介质的示例包括只读存储器(ROM)、随机存取存储器(RAM)、光盘只读存储器(CD-ROM)、磁带、软盘以及光数据存储装置。可替换地，介质可以以载波的形式(例如，因特网传输)被实施。另外，计算机可读记录介质可以被分布到通过网络连接的计算机系统，并且计算机可读代码可以通过分散式方法被存储和执行。

用于检测服务器的漏洞的系统和方法不局限于上述示例性实施方式的构造和方法，所有或某些示例性实施方式可以被选择性地结合以产生变换方式。

虽然本发明参考特定示例性实施方式而被示出和描述，但本领域技术人员应当理解，在不背离所附权利要求限定的本发明的精神和范围的情况下可以做出在形式和细节上的改变。

Claims (20)

1.一种用于检测服务器的漏洞的系统，该系统包括：

检查服务器，被配置成发送至少一个预定命令至提供服务并因此可能被外部攻击的至少一个服务服务器，以从所述至少一个服务器收集关于至少一个预定命令的响应信息，并基于所收集的响应信息来检测和分析所述服务服务器的漏洞，而不管所述服务服务器是否被访问；

管理终端，被配置成显示对所述服务服务器的漏洞的检测和分析的结果；以及

数据库，被配置成存储和管理关于分别与所述服务服务器相对应的漏洞的模式信息。

2.根据权利要求1所述的系统，其中，所述检查服务器被配置成在提供服务的所述至少一个服务服务器上执行端口扫描，以根据所述端口扫描的结果来检测至少一个可能被外部攻击的服务服务器、将所述预定命令发送到被检测的服务服务器、收集关于被发送的命令的响应信息、以及基于所收集的响应信息来检测和分析所述服务服务器的漏洞。

3.根据权利要求2所述的系统，其中，所述检查服务器被配置成根据所述端口扫描的结果将打开至少一个端口的服务服务器检测为可能被外部攻击的服务服务器。

4.根据权利要求1所述的系统，其中，所述检查服务器被配置成将从所述服务服务器收集的关于所述预定命令的响应信息与存储在所述数据库中的模式信息进行比较，以根据比较结果来检测和分析所述服务服务器的漏洞。

5.根据权利要求1所述的系统，其中，所述命令是请求对所述服务服务器的访问验证的命令、请求对所述服务服务器的访问的命令以及请求特定响应的命令中的一者。

6.一种用于检测服务器的漏洞的系统，该系统包括：

扫描器，用于检测提供服务以及可能被外部攻击的至少一个服务服务器；

收集器，被配置成发送至少一个预定命令至所述至少一个服务服务器，以及从所述至少一个服务服务器收集关于所述至少一个预定命令的响应信息；以及

分析器，用于基于所收集的响应信息来检测和分析所述服务服务器的漏洞，而不管所述服务服务器是否被访问。

7.根据权利要求6所述的系统，其中，所述扫描器被配置成在提供服务的所述至少一个服务服务器上执行端口扫描，以根据所述端口扫描的结果将打开至少一个端口的服务服务器检测为可能被外部攻击的服务服务器。

8.根据权利要求6所述的系统，其中，所述收集器被配置成随后将所述至少一个预定命令发送到可能被外部攻击的被检测的服务服务器，以收集关于被发送的命令的响应信息。

9.根据权利要求6所述的系统，其中，所述分析器被配置成将从所述服务服务器收集的关于所述至少一个预定命令的响应信息与存储在数据库中的模式信息进行比较，以根据比较结果来检测和分析所述服务服务器的漏洞。

10.根据权利要求6所述的系统，其中，所述分析器被配置成将对所述服务服务器的漏洞的检测和分析的结果存储在数据库中，以及将所述结果提供给管理终端以使得管理员能检查所述结果，或将通知消息发送给管理员。

11.一种用于检测服务器的漏洞的方法，该方法包括：

在检查服务器处，在数据库中存储和管理关于分别与一个或多个服务服务器相对应的漏洞的模式信息；

从所述检查服务器向所述一个或多个服务服务器发送至少一个预定命令；

在检查服务器处，从提供服务以及可能被外部攻击的至少一个服务服务器收集关于至少一个预定命令的响应信息，并基于所收集的响应信息来检测和分析所述服务服务器的漏洞，而不管所述服务服务器是否被访问；以及

向管理终端发送对所述服务服务器的漏洞的检测和分析的结果以用于在所述管理终端进行显示。

12.根据权利要求11所述的方法，其中，对所述服务服务器的漏洞的检测和分析包括：

在提供服务的服务服务器上执行端口扫描，并根据所述端口扫描的结果来检测可能被外部攻击的服务服务器；以及

将所述预定命令发送到被检测的服务服务器，收集关于被发送的命令的响应信息，以及基于所收集的响应信息来检测和分析所述服务服务器的漏洞。

13.根据权利要求12所述的方法，其中，对所述服务服务器的检测包括根据所述端口扫描的结果将打开至少一个端口的服务服务器检测为可能被外部攻击的服务服务器。

14.根据权利要求11所述的方法，其中，对所述服务服务器的漏洞的检测和分析包括将从所述服务服务器收集的关于所述预定命令的响应信息与存储在所述数据库中的模式信息进行比较，并根据比较结果来检测和分析所述服务服务器的漏洞。

15.根据权利要求11所述的方法，其中，所述命令是请求对所述服务服务器的访问验证的命令、请求对所述服务服务器的访问的命令以及请求特定响应的命令中的一者。

16.一种用于检测服务器的漏洞的方法，该方法包括：

检测提供服务以及可能被外部攻击的至少一个服务服务器；

向所述至少一个服务服务器发送至少一个预定命令；

从被检测的服务服务器收集关于一个或多个预定命令的响应信息；以及

基于所收集的响应信息来检测和分析所述服务服务器的漏洞，而不管所述服务服务器是否被访问。

17.根据权利要求16所述的方法，其中，对所述服务服务器的检测包括：

在提供服务的服务服务器上执行端口扫描；以及

根据所述端口扫描的结果将打开至少一个端口的服务服务器检测为可能被外部攻击的服务服务器。

18.根据权利要求16所述的方法，其中，所述响应信息的收集包括随后将所述预定命令发送到可能被外部攻击的被检测的服务服务器，并收集关于被发送的命令的响应信息。

19.根据权利要求16所述的方法，其中，对所述服务服务器的漏洞的检测和分析包括将从所述服务服务器收集的关于所述预定命令的响应信息与存储在数据库中的模式信息进行比较，并根据比较结果来检测和分析所述服务服务器的漏洞。

20.根据权利要求16所述的方法，该方法还包括将对所述服务服务器的漏洞的检测和分析的结果存储在数据库中，将所述结果提供给管理终端以使得管理员能检查所述结果，或将通知消息发送给管理员。