CN103384242A - 基于Nginx代理服务器的入侵检测方法及系统 - Google Patents

Abstract

本发明提供了一种基于Nginx代理服务器的入侵检测方法，其包括：捕获步骤，在Nginx代理服务器处捕获来自各个客户端的数据包；验证步骤，对所捕获的数据包进行合法性验证，验证数据包是否携带有认证服务器分配的合法证书；传递步骤，提取验证通过的客户端数据包中的有效信息并进行封装后传递；匹配检测步骤，接收所传递的有效信息，并根据弱点库中存储的弱点代码来对有效信息进行匹配检测，判断有效信息中是否包含与弱点库中存储的弱点代码匹配的代码；隔离步骤，对客户端进行隔离，以防止其对网络进行恶意攻击。本发明可减小由于检测系统响应速度远小于网络的传输速度所导致的误报率和漏报率，最大限度的保障服务器端的安全。

Description

基于Nginx代理服务器的入侵检测方法及系统

技术领域

本发明涉及计算机技术领域，具体说涉及一种基于Nginx代理服务器的入侵检测方法及系统。

背景技术

Nginx("engine x")是一个高性能的HTTP和反向代理服务器，也是一个IMAP/POP3/SMTP代理服务器。Nginx是由Igor Sysoev为俄罗斯访问量第二的Rambler.ru站点开发的，第一个公开版本0.1.0发布于2004年10月4日。其将源代码以类BSD许可证的形式发布，因它的稳定性、丰富的功能集、示例配置文件和低系统资源的消耗而闻名。

入侵检测可以被定义为对计算机和网络资源的恶意使用行为进行识别和相应处理的方法。目前，入侵检测的方法有很多，如基于专家系统入侵检测方法，基于神经网络的入侵检测方法等。

但当前各种的入侵检测方法存在着如下问题和不足：（1）由于检测系统响应速度远小于网络的传输速度，很容易导致难以避免的误报率和漏报率；（2）另一方面，入侵检测系统未与服务器进行很好的结合，即入侵检测系统不能及时的通知服务器客户端的危险性，使应用服务能及时禁止客户端的访问。因此，其自身的安全性有待提高。

发明内容

本发明针对现有技术中的上述问题，提供了一种基于Nginx代理服务器的入侵检测方法，所述方法包括以下步骤：

S101、捕获步骤，在Nginx代理服务器处捕获来自各个客户端的数据包；

S102、验证步骤，对所捕获的数据包进行合法性验证，验证所述数据包是否携带有认证服务器分配的合法证书；

S103、传递步骤，提取验证通过的客户端数据包中的有效信息并进行封装后传递；

S104、匹配检测步骤，接收所传递的有效信息，并根据弱点库中存储的弱点代码来对所述有效信息进行匹配检测，判断所述有效信息中是否包含与弱点库中存储的弱点代码匹配的代码，如果否，响应所述客户端发送的请求信息；

S105、隔离步骤，对所述客户端进行隔离，以防止其对网络进行恶意攻击。

根据本发明的一个实施例，在所述验证步骤S102中，如果判断所述数据包中带有所述合法证书，则进行传递步骤S103，如果不带有所述合法证书，则进行隔离步骤S105。

根据本发明的另一个实施例，所述有效信息包括客户端IP地址、客户端MAC地址、客户端会话信息以及所请求的网页地址和请求数据。

根据本发明的一个实施例，在执行所述步骤S104中，还包括以下步骤：

S104a、读取弱点库模块中具有的危险代码，构建搜索引擎，其中弱点库中存储的危险代码由所述弱点库模块不断更新，其中危险代码包括SQL注入攻击、XSS跨站攻击、目录遍历攻击、执行远程命令；

S104b、分别对所述有效信息中的网页地址和请求数据进行检测，如果所述有效信息中包含了与弱点库中存储的弱点代码匹配的代码，则将所述有效信息中的客户端IP地址、客户端MAC地址及检测到的危险代码添加到黑名单列表中。

根据本发明的另一个实施例，所述黑名单列表是动态更新的，其由数据库维护模块来进行维护，如果在预定时间内未检测到黑名单中的客户端有非法操作，则将所述客户端从黑名单列表中删除，从而解除对通过合法性验证的客户端的隔离。

根据本发明的一个实施例，在所述步骤S104a中，采用AC自动机算法来构建所述搜索引擎。

根据本发明的一个实施例，在执行所述步骤S102中，进行合法性验证之后，进一步还要进行黑名单列表验证，查询所述黑名单列表以判断携带有认证服务器分配的合法证书的客户端是否记录在所述黑名单列表中，如果是，则执行隔离步骤S105以将所述客户端进行隔离。

根据本发明的一个实施例，在所述传递步骤S103中，将所述有效信息通过socket套接字形式进行封装。

根据本发明的一个实施例，采用自定义TLV的报文格式对所述有效信息进行封装。

根据本发明的另一个方面，还提供了一种基于Nginx代理服务器的入侵检测系统，其包括：

Nginx数据捕获模块，其设于Nginx代理服务器中，用于从所述代理服务器侧捕获来自各个客户端的数据包；

Nginx客户端验证模块，其与所述Nginx数据捕获模块通信，对所捕获的数据包进行合法性验证，验证所述数据包是否携带有认证服务器分配的合法证书，如果是，与传递模块进行通信，如果否，则与隔离模块进行通信；

传递模块，其用于提取验证通过的客户端数据包中的有效信息并用进行封装后传递；

匹配检测模块，其用于接收所传递的有效信息，并根据弱点库中存储的弱点代码来对所述有效信息进行匹配检测，判断所述有效信息中是否包含与弱点库中存储的弱点代码匹配的代码；

隔离模块，对未通过验证的客户端以及所述有效信息中包含与弱点库中存储的弱点代码匹配的代码的客户端进行隔离，以防止其对网络进行恶意攻击；

弱点库模块，其用于存储弱点库代码以及与所述代码相关的信息，为所述匹配检测模块提供检测依据。

根据本发明的一个实施例，所述匹配检测模块中还包括以下模块：

用于读取弱点库模块中具有的危险代码，构建搜索引擎的模块，其中弱点库中存储的危险代码由所述弱点库模块不断更新，其中危险代码包括SQL注入攻击、XSS跨站攻击、目录遍历攻击、执行远程命令；和

用于分别对所述有效信息中的网页地址和请求数据进行检测，如果所述有效信息中包含了与弱点库中存储的弱点代码匹配的代码，则将所述有效信息中的客户端IP地址、客户端MAC地址及检测到的危险代码添加到黑名单列表中的模块。

根据本发明的一个实施例，所述系统还包括数据库维护模块，其用于对所述黑名单列表进行维护，如果在预定时间内未检测到黑名单列表中的客户端有非法操作，则将所述客户端从黑名单列表中删除，从而解除对通过合法性验证的客户端的隔离。

本发明带来了以下有益效果：

从代理服务器Nginx（“engine x”）环节直接截获客户端数据，并对客户端数据进行即时的分析、响应，并实时防范危险客户端的攻击，有效地减小了由于检测系统响应速度远小于网络的传输速度所导致的误报率和漏报率，最大限度的保障服务器端的安全。同时，将检测系统分布在不同机器，减小服务器端负荷，在代理服务器上增加抵御网络入侵的功能。对于具有危险性的客户端，可以进行有效的防范。当检测到客户端具有危险性时，代理服务器会自动阻断其与服务器之间的连接，最大程度保障服务器的安全。

本发明的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点可通过在说明书、权利要求书以及附图中所特别指出的结构来实现和获得。

附图说明

图1a是根据本发明一个实施例的基于Nginx代理服务器的入侵检测方法的流程图；

图1b是根据本发明的一个实施例进行匹配检测的流程图；

图2是根据本发明的一个实施例一种自定义TLV格式封装的示意图；

图3是根据本发明一个实施例实现基于Nginx代理服务器的入侵检测系统的结构框图。

具体实施方式

以下将结合附图及实施例来详细说明本发明的实施方式，借此对本发明如何应用技术手段来解决技术问题，并达成技术效果的实现过程能充分理解并据以实施。需要说明的是，只要不构成冲突，本发明中的各个实施例以及各实施例中的各个特征可以相互结合，所形成的技术方案均在本发明的保护范围之内。

另外，在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

第一实施例

如图1a所示，其中显示了根据本发明一个实施例的基于Nginx代理服务器的入侵检测方法的流程图。

首先，在捕获步骤中，当客户端向网络发送含有请求报文的数据包时，在Nginx代理服务器处由其捕获来自各个客户端的数据包，如步骤S101所示。

客户端请求首先到达代理服务器Nginx，为了提高代理服务器响应速度，捕获数据作为一个Nginx上的内嵌模块实现，可直接通过Nginx中的内置变量获取。

Nginx可捕获到HTTP（Hyper-text Transfer Protocal）请求报文中的所有内容。其中，从网络捕获的客户端数据包有效信息包括：客户端IP、客户端MAC、客户端会话（Session）信息以及客户端HTTP请求报文中的网页地址（UniformResource Locator，URL）和报文的请求数据。

随后，在验证步骤S102中，由Nginx代理服务器进一步对所捕获的数据包进行合法性验证，验证该数据包是否携带有认证服务器分配的合法证书。Nginx代理服务器对数据库中预先存储的客户端验证信息（如合法证书的详细信息）进行遍历查询，然后与所接收的合法证书进行比对。如果相匹配，则表明该客户端是经过认证服务器认证为合法的。否则，认为不合法，拒绝该客户端访问网络，并将其隔离，执行下述的隔离步骤S105。

根据本发明的一个实施例，优选在合法性验证步骤之后继续进行黑名单验证，查询黑名单列表以判断携带有认证服务器分配的合法证书的客户端是否记录在黑名单列表中。如果是，则执行隔离步骤S105以将该客户端进行隔离。

黑名单列表中存储的客户端均为那些发送的数据包中包含了与弱点库中存储的弱点代码匹配的危险代码的客户端。

在一个实施例中，黑名单列表优选可以动态更新。黑名单列表可由数据库维护模块来进行维护。如果在预定时间内未检测到黑名单中的客户端有非法操作，则将该客户端从黑名单列表中删除（例如删除该客户端在列表中的IP地址、MAC地址及检测到的危险代码信息），从而解除对已通过合法性验证的客户端的隔离。

如图1a所示，在传递步骤S103中，提取验证通过的客户端数据包中的有效信息并用套接字形式进行封装后传递。在一个实施例中，优选采用自定义TLV（Type-Length-Value）的报文格式对该有效信息进行封装。自定义TLV格式如附图2所示。

其中，“1字节长度属性值”，其可以在{0x01，0x02，0x04}内取值，若为0x01，则表示后面的长度值占1位。例如，报文开头时，“1字节长度属性值”取值为0x01，则“客户端IP长度”占1个字节，用1个字节表示客户端IP的长度。若“客户端IP长度”值为“0x10”（十进制为16），则表示后面“客户端IP”占16字节。同理，“1字节属性值长度”取值为0x02时，表示后面的长度值用两字节表示。如后面长度值为“0x010x01”（转换为十进制即为257），表示后面的实际内容占257个字节。

接下来，在匹配检测步骤S104中，接收所传递的有效信息，并根据弱点库中存储的弱点代码来对有效信息进行匹配检测，判断有效信息中是否包含与弱点库中存储的弱点代码匹配的代码。如果否，继续执行捕获步骤S101，如果是，则如图1b所示，执行以下步骤。

在步骤S104a中，读取弱点库模块中具有的危险代码，构建搜索引擎，其中弱点库中存储的危险代码由弱点库模块不断更新，其中危险代码包括SQL注入攻击、XSS跨站攻击、目录遍历攻击、执行远程命令。

关于弱点库模块的更新，目前主要采用配置文件的形式进行。系统搜集整理目前存在的弱点库代码，并将其输入到配置文件中。当有新的弱点库代码出现时，可将其加入到配置文件中，以达到更新弱点库代码的目的。

其中，采用AC（Aho-Corasick automation）自动机算法来构建上述搜索引擎。目前，AC自动机算法是处理多模匹配最快速的一种算法。一个常见的例子就是给出n个单词，再给出一段包含m个字符的文章，用AC自动机算法找出有多少个单词在文章里出现过。

在步骤S104b中，分别对有效信息中的网页地址URL和请求数据进行检测，如果有效信息中包含了与弱点库中存储的弱点代码匹配的代码，则将有效信息中的客户端IP地址、客户端MAC地址及检测到的危险代码添加到黑名单列表中。

由于黑名单列表是动态更新的，因此当一段预定的时间过后，某个已通过合法性验证的客户端并没有进行非法操作，则将该客户端从黑名单列表中删除，解除对该客户端的禁止。除非在接下来的匹配检测步骤S104中又检测到其含有与弱点库中存储的弱点代码匹配的代码为止。

这样，当某客户端一段时间被例如黑客当作攻击工具之后，可以自动恢复对网络的请求，从而保证正常的通信。

最后，在隔离步骤S105中，如果发送数据包的客户端没有得到来自认证服务器的合法性证书，或者有合法证书但携带有与弱点库中的弱点代码匹配的危险代码，就对其进行隔离，以防止其对网络进行恶意攻击。

关于对客户端隔离的措施，其原理如下：当检测到客户端没有合法证书或者有与弱点库匹配的代码时，重置客户端要访问的网页地址URL，将该网页地址重新定向到客户端提示页面，提示用户可能进行了非法操作，此操作将被纪录并禁止用户访问一段时间。

在合法性验证步骤之后，进行的黑名单验证是为了加快对客户端是否包含危险代码的验证速度。由于黑名单列表中存储的客户端信息比对要比直接采用搜索引擎对危险性代码遍历查询快得多。因此，在本发明的一个实施例中，将匹配检测后发现包含危险代码的客户端列到黑名单中，以便以后入侵检测的方便。

第二实施例

如图3所示，其中显示了根据本发明的基于Nginx代理服务器的入侵检测系统。它包括：

Nginx数据捕获模块310，其设于Nginx代理服务器中，用于从所述代理服务器侧捕获来自各个客户端的数据包；

Nginx客户端验证模块320，其与Nginx数据捕获模块310通信，对所捕获的数据包进行合法性验证，验证数据包是否携带有认证服务器分配的合法证书，如果是，与传递模块330进行通信，如果否，则与隔离模块进行通信；

传递模块330，其用于提取验证通过的客户端数据包中的有效信息并用套接字形式进行封装后传递；

匹配检测模块340，其用于接收所传递的有效信息，并根据弱点库中存储的弱点代码来对所述有效信息进行匹配检测，判断所述有效信息中是否包含与弱点库中存储的弱点代码匹配的代码；

隔离模块350，对未通过验证的客户端以及所述有效信息中包含与弱点库中存储的弱点代码匹配的代码的客户端进行隔离，以防止其对网络进行恶意攻击。

此外，匹配检测模块340中还包括以下模块：

用于读取弱点库模块中具有的危险代码，构建搜索引擎的模块，其中弱点库中存储的危险代码由所述弱点库模块不断更新，其中危险代码包括SQL注入攻击、XSS跨站攻击、目录遍历攻击、执行远程命令；和

用于分别对所述有效信息中的网页地址和请求数据进行检测，如果所述有效信息中包含了与弱点库中存储的弱点代码匹配的代码，则将所述有效信息中的客户端IP地址、客户端MAC地址及检测到的危险代码添加到黑名单列表中的模块。

此外，系统还包括弱点库模块360和数据库维护模块370。弱点库模块360主要存储弱点库代码，并存储危险性代码相关信息，为匹配检测模块提供检测依据。而数据库维护模块370还用于对匹配检测模块产生的结果进行危险性分析，并根据分析结果维护黑名单。对所述黑名单列表进行维护表现在，如果在预定时间内未检测到黑名单列表中的客户端有非法操作，则将该客户端从黑名单列表中删除，从而解除对通过合法性验证的客户端的隔离。

本领域的技术人员应该明白，上述的本发明的各模块或各步骤可以用通用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，可选地，它们可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储装置中由计算装置来执行，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。

虽然本发明所揭露的实施方式如上，但所述的内容只是为了便于理解本发明而采用的实施方式，并非用以限定本发明。任何本发明所属技术领域内的技术人员，在不脱离本发明所揭露的精神和范围的前提下，可以在实施的形式上及细节上作任何的修改与变化，但本发明的专利保护范围，仍须以所附的权利要求书所界定的范围为准。

Claims (12)

1.一种基于Nginx代理服务器的入侵检测方法，其特征在于，包括以下步骤：

S101、捕获步骤，在Nginx代理服务器处捕获来自各个客户端的数据包；

S102、验证步骤，对所捕获的数据包进行合法性验证，验证所述数据包是否携带有认证服务器分配的合法证书；

S103、传递步骤，提取验证通过的客户端数据包中的有效信息并进行封装后传递；

S104、匹配检测步骤，接收所传递的有效信息，并根据弱点库中存储的弱点代码来对所述有效信息进行匹配检测，判断所述有效信息中是否包含与弱点库中存储的弱点代码匹配的代码，如果否，响应所述客户端发送的请求信息；

S105、隔离步骤，对所述客户端进行隔离，以防止其对网络进行恶意攻击。

2.根据权利要求1所述的方法，其特征在于，在所述验证步骤S102中，如果判断所述数据包中带有所述合法证书，则进行传递步骤S103，如果不带有所述合法证书，则进行隔离步骤S105。

3.根据权利要求1所述的方法，其特征在于，所述有效信息包括客户端IP地址、客户端MAC地址、客户端会话信息以及所请求的网页地址和请求数据。

4.根据权利要求3所述的方法，其特征在于，在执行所述步骤S104中，还包括以下步骤：

S104a、读取弱点库模块中具有的危险代码，构建搜索引擎，其中弱点库中存储的危险代码由所述弱点库模块不断更新，其中危险代码包括SQL注入攻击、XSS跨站攻击、目录遍历攻击、执行远程命令；

S104b、分别对所述有效信息中的网页地址和请求数据进行检测，如果所述有效信息中包含了与弱点库中存储的弱点代码匹配的代码，则将所述有效信息中的客户端IP地址、客户端MAC地址及检测到的危险代码添加到黑名单列表中。

5.根据权利要求4所述的方法，其特征在于，所述黑名单列表是动态更新的，其由数据库维护模块来进行维护，如果在预定时间内未检测到黑名单中的客户端有非法操作，则将所述客户端从黑名单列表中删除，从而解除对通过合法性验证的客户端的隔离。

6.根据权利要求4所述的方法，其特征在于，在所述步骤S104a中，采用AC自动机算法来构建所述搜索引擎。

7.根据权利要求4所述的方法，其特征在于，在执行所述步骤S102中，进行合法性验证之后，进一步还要进行黑名单列表验证，查询所述黑名单列表以判断携带有认证服务器分配的合法证书的客户端是否记录在所述黑名单列表中，如果是，则执行隔离步骤S105以将所述客户端进行隔离。

8.根据权利要求1-7中任一项所述的方法，其特征在于，在所述传递步骤S103中，将所述有效信息通过socket套接字形式进行封装。

9.根据权利要求8所述的入侵检测方法，其特征在于，采用自定义TLV的报文格式对所述有效信息进行封装。

10.一种基于Nginx代理服务器的入侵检测系统，其特征在于，包括：

Nginx数据捕获模块（310），其设于Nginx代理服务器中，用于从所述代理服务器侧捕获来自各个客户端的数据包；

Nginx客户端验证模块（320），其与所述Nginx数据捕获模块（310）通信，对所捕获的数据包进行合法性验证，验证所述数据包是否携带有认证服务器分配的合法证书，如果是，与传递模块（330）进行通信，如果否，则与隔离模块进行通信；

传递模块（330），其用于提取验证通过的客户端数据包中的有效信息并进行封装后传递；

匹配检测模块（340），其用于接收所传递的有效信息，并根据弱点库中存储的弱点代码来对所述有效信息进行匹配检测，判断所述有效信息中是否包含与弱点库中存储的弱点代码匹配的代码；

隔离模块（350），对未通过验证的客户端以及所述有效信息中包含与弱点库中存储的弱点代码匹配的代码的客户端进行隔离，以防止其对网络进行恶意攻击；

弱点库模块（360），其用于存储弱点库代码以及与所述代码相关的信息，为所述匹配检测模块（340）提供检测依据。

11.根据权利要求10所述的系统，其特征在于，所述匹配检测模块（340）中还包括以下模块：

用于读取弱点库模块（360）中具有的危险代码，构建搜索引擎的模块，其中弱点库中存储的危险代码由所述弱点库模块不断更新，其中危险代码包括SQL注入攻击、XSS跨站攻击、目录遍历攻击、执行远程命令；和

用于分别对所述有效信息中的网页地址和请求数据进行检测，如果所述有效信息中包含了与弱点库中存储的弱点代码匹配的代码，则将所述有效信息中的客户端IP地址、客户端MAC地址及检测到的危险代码添加到黑名单列表中的模块。

12.根据权利要求11所述的系统，其特征在于，所述系统还包括数据库维护模块（370），其用于对所述黑名单列表进行维护，如果在预定时间内未检测到黑名单列表中的客户端有非法操作，则将所述客户端从黑名单列表中删除，从而解除对通过合法性验证的客户端的隔离。

Images