CN109218322A

CN109218322A - 一种拟态防御方法、装置及系统

Info

Publication number: CN109218322A
Application number: CN201811136830.1A
Authority: CN
Inventors: 张铮; 邬江兴; 刘镇武
Original assignee: Zhengzhou Angshi Information Technology Co Ltd
Current assignee: Zhengzhou Angshi Information Technology Co Ltd
Priority date: 2018-09-28
Filing date: 2018-09-28
Publication date: 2019-01-15
Anticipated expiration: 2038-09-28
Also published as: CN109218322B

Abstract

本申请公开了一种拟态防御方法、装置及系统，其中，方法包括：在接收到第一访问请求的情况下，使用至少两个第一异构元素对第一访问请求访问的应用程序进行异构化编译，得到至少两个结果应用程序；任意一个异构元素得到一个结果应用程序；将访问请求复制分发到预设的至少两个应用服务器；所述应用服务器用于基于访问请求运行对应的结果应用程序；一个结果应用程序对应一个应用服务器；在接收到应用服务器发送的异常运行信息时，进行防攻击处理；异常运行信息用于表示第一访问请求中存在恶意攻击脚本。通过本申请实施例，可以判断出访问请求中是否包括异常攻击脚本，在判断出存在异常攻击脚本时，进行防攻击处理；从而避免云服务器被攻击。

Description

一种拟态防御方法、装置及系统

技术领域

本申请涉及网络安全领域，特别是涉及一种拟态防御方法、装置及系统。

背景技术

在云计算领域，用户终端通过互联网访问云服务器的资源，云服务器为用户终端提供远程的业务处理及存储服务能力。用户终端的大部分用户信息都会存储在云服务器，其中，用户信息可以包括：个人信息以及业务数据。攻击者通过服务软件、服务应用或者服务逻辑中存在的漏洞，将恶意攻击脚本(SQL注入攻击所使用的恶意攻击脚本，和/或，脚本攻击所使用的恶意攻击脚本)上传至云服务器；并利用云服务器中的应用程序存在脚本漏洞这一特点，使云服务器的业务系统在执行应用程序时，会执行由恶意攻击脚本产生的外部语句，导致云服务器遭到攻击；云服务器遭到攻击的后果包括：使云服务器的业务瘫痪，窃取、篡改或删除用户信息、盗取目标用户权限、控制相关设备和资源为其所用等。

目前，一般通过在应用程序中设置有过滤规则，通过过滤规则来滤除掉恶意攻击脚本，从而防止云服务器的业务系统执行恶意攻击脚本所产生的外部语句。

但是，当应用程序中的过滤规则不够详尽或者被攻击者绕过的情况下，恶意攻击脚本还是会被云服务器的业务系统执行，即对恶意攻击脚本的防御能力较弱。

发明内容

基于此，本申请提出了一种拟态防御方法，用以防止云服务器被攻击。

本申请还提供了一种拟态防御装置与系统，用以保证上述方法在实际中的实现及应用。

本申请提供的技术方案为：

一种拟态防御方法，应用于控制服务器，包括：

在接收到第一访问请求的情况下，使用至少两个第一异构元素对所述第一访问请求访问的应用程序进行异构化编译，得到至少两个结果应用程序；任意一个所述异构元素得到一个所述结果应用程序；

将所述访问请求复制分发到预设的至少两个应用服务器；所述应用服务器用于基于所述访问请求运行对应的所述结果应用程序；一个所述结果应用程序对应一个所述应用服务器；

在接收到所述应用服务器发送的异常运行信息时，进行防攻击处理；所述异常运行信息用于表示所述第一访问请求中存在恶意攻击脚本。

其中，所述使用至少两个第一异构元素对所述第一访问请求访问的应用程序进行异构化编译，包括：

若所述第一访问请求访问的应用程序中包括目标数据库语言的语句，则对所述目标数据库语言的语句采用所述至少两个第一异构元素进行编译；所述目标数据库语言为运行所述第一访问请求访问的应用程序所需的数据库语言；

若所述第一访问请求访问的应用程序中包括目标脚本语言的语句，则对所述目标脚本语言的语句采用所述至少两个第一异构元素进行编译；所述目标脚本语言为运行所述第一访问请求访问的应用程序所需的脚本语言。

其中，还包括：

在接收到第二访问请求的情况下，使用至少两个第二异构元素对所述第二访问请求访问的应用程序进行异构化编译；所述至少一个第二异构元素与所述至少一个第一异构元素不同。

其中，所述至少两个第一异构元素为三个第一异构元素；至少两个结果应用程序为三个结果应用程序；所述至少两个应用服务器为三个应用服务器。

其中，在所述将所述访问请求复制分发到预设的至少两个应用服务器之后，还包括：

在接收到所述应用服务器发送的运行结果时，将所述运行结果反馈给客户端；所述运行结果为用于表示所述访问请求中不存在恶意攻击脚本的结果。

本申请还公开了一种拟态防御装置，包括：

编译单元，用于在接收到第一访问请求的情况下，使用至少两个第一异构元素对所述第一访问请求访问的应用程序进行异构化编译，得到至少两个结果应用程序；任意一个所述异构元素得到一个所述结果应用程序；

复制分发单元，用于将所述访问请求复制分发到预设的至少两个应用服务器；所述应用服务器用于基于所述访问请求运行对应的所述结果应用程序；一个所述结果应用程序对应一个所述应用服务器；

异常响应单元，用于在接收到所述应用服务器发送的异常运行信息时，进行防攻击处理；所述异常运行信息用于表示所述第一访问请求中存在恶意攻击脚本。

其中，所述编译单元，包括：

第一编译子单元，用于若所述第一访问请求访问的应用程序中包括目标数据库语言的语句，则对所述目标数据库语言的语句采用所述至少两个第一异构元素进行编译；所述目标数据库语言为运行所述第一访问请求访问的应用程序所需的数据库语言；

第二编译子单元，用于若所述第一访问请求访问的应用程序中包括目标脚本语言的语句，则对所述目标脚本语言的语句采用所述至少两个第一异构元素进行编译；所述目标脚本语言为运行所述第一访问请求访问的应用程序所需的脚本语言。

其中，还包括：

异构编译单元，用于在接收到第二访问请求的情况下，使用至少两个第二异构元素对所述第二访问请求访问的应用程序进行异构化编译；所述至少一个第二异构元素与所述至少一个第一异构元素不同。

其中，还包括：

反馈单元，用于在接收到所述应用服务器发送的运行结果时，将所述运行结果反馈给客户端；所述运行结果为用于表示所述访问请求中不存在恶意攻击脚本的结果。

本申请还公开了一种拟态防御系统，包括：客户端和控制服务器；

所述客户端用于向所述控制服务器发送访问请求；

所述控制服务器用于上述任意一项所述的拟态防御方法。

本申请的有益效果为：

至少两个结果应用程序是对应用程序采用至少两个异构元素编译得到的；每个应用服务器按照与异构元素相符的解释规则运行对应的结果应用程序，即不同应用服务器对应的解释规则不同；若访问请求中含有恶意攻击脚本时，访问请求中恶意攻击脚本的所有关键字和函数只有一种解释规则，因此，该恶意攻击脚本的解释规则最多只与一个应用服务器解释规则相符，即最多只有一个应用服务器执行恶意攻击脚本的过程中不产生异常运行信息；因此，当访问请求中包括恶意攻击脚本时，至少两个应用服务器会产生异常运行信息；并且在本申请实施例中，在接收到异常运行信息的情况下，进行防攻击处理；从而避免云服务器被攻击。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为本申请中一种拟态方法实施例的流程图；

图2为本申请中一种拟态防御装置实施例的结构示意图；

图3为本申请中一种拟态防御系统的结构示意图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

本申请实施例涉及客户端和云服务器，客户端上部署有用户网站和软件应用；在实际应用中客户端可以为浏览器。

步骤101：在客户端接收到用户对云服务的触发指令时，客户端生成配置信息。

在本实施例中，客户端接收到用户对用户网站或软件应用的触发指令后，表示用户触发了相应的云服务。此时，客户端中显示预设的多种操作系统、预设的多种数据库语言和预设的多种脚本语言，以供用户选择；在本实施例中，为了描述方便，将用户所选择的信息称为配置信息。

用户从预设的多种操作系统中选择一种操作系统，为了描述方便，将用户所选的操作系统称为目标操作系统，该目标操作系统为用户所需云服务提运行环境；用户从预设的多种数据库语言中选择一种数据库语言，为了描述方便，将用户所选的数据库语言称为目标数据库语言；用户从多种预设的脚本语言中选择一种脚本语言，为了描述方便，将用户所选的脚本语言称为目标脚本语言。例如，预设的多种操作系统可以为Windows、Centos和RedHat；预设的多种脚本语言可以为PHP、Perl和JSP。

需要说明的是，目标操作系统可以为Windows、Centos和RedHat中的任意一种，目标脚本语言可以为PHP、Perl和JSP中的任意一种。由于这种因为这种目标操作系统与目标脚本语言的多样性，大大增加了攻击者的攻击难度和成本。

步骤102：客户端向控制服务器发送第一访问请求以及配置信息。

步骤103：控制服务器分配目标数量个应用服务器，并依据配置信息对应用服务器进行配置。

在本步骤中，目标数量为至少两个，在没有特别说明的情况下，下文所提到的目标数量，都为本步骤的目标数量。例如，在实际应用中，本步骤的目标数量为3个，则在下文中所有的目标数量都是指3个。

具体的，控制服务器对应用服务器进行配置的过程可以包括：对每个应用服务器，采用目标镜像文件生成目标操作系统，为每个应用服务器分配内存空间，磁盘空间。并且，在应用服务器中配置目标数据库语言文件以及目标脚本语言文件。例如，当目标操作系统为Windows时，目标镜像文件为Windows镜像文件；目标数据库语言为SQL时，在每个应用服务器中配置SQL文件；目标脚本语言为PHP时，在每个应用服务器中配置的PHP脚本语言文件。

在实际应用中，控制服务器还在云服务器后端放置预设的目标数据库语言异构程序，以及预设的目标脚本语言异构程序。例如，目标数据库语言为SQL，目标脚本语言为PHP时，控制服务器在云服务器后端中放置SQL.exe应用程序以及PHP.exe应用程序。其中，目标数据库语言异构程序，用于对客户端的第一访问请求所访问的应用程序中的目标数据库语言进行多样化异构编译；同理，目标脚本语言异构程序，用于对客户端访问的应用程序中的目标脚本语言进行多样化异构编译。

步骤104：控制服务器依据第一访问请求，对与第一访问请求所访问的应用程序进行异构化编译。

在本步骤中，客户端发送的访问请求中包括了所访问的应用程序标识，接着，控制服务器依据第一访问请求中的应用程序标识，确定客户端所访问的应用程序，并对所确定的应用程序进行多样化异构化编译，具体的，控制服务器对应用程序进行多样化异构化编译的过程可以包括步骤A1～步骤A3：

步骤A1：确定应用程序中的第一程序模块与第二程序模块。

在本步骤中，第一程序模块为应用程序中采用目标数据库语言编写的程序语句；第二程序模块为应用程序中采用目标脚本语言编写的程序语句。

步骤A2：采用目标数据库语言异构程序对第一程序模块进行异构编译。

步骤A3：采用目标脚本语言异构程序对第二程序模块进行异构编译。

在本步骤中，对第一程序模块与第二程序模块进行异构编译时，采用目标数量个异构元素进行编译，其中，一个异构元素得到一个编译后的应用程序；为了描述方便，本实施例将编译后的应用程序称为结果应用程序。

本申请实施例中，为了防止恶意脚本代码对应用程序的攻击，在云服务器部署了目标数量个应用服务器，并且在每个应用服务器中运行对应的结果应用程序。并且，一个应用服务器对应一个结果应用程序，并且不同应用服务器所对应的结果应用程序不同。

需要说明的是，步骤103与步骤104的执行顺序可以互换，也可以并行执行，并行执行即是在对应用程序进行异构化的同时，对所部署的应用服务器进行配置；当然，在实际应用中，对应用程序的异构编译与对应用服务器的配置，可以根据实际情况确定执行顺序，本实施例不对具体的执行顺序作限定。

在实际应用中，云服务器后端的异构编译程序在对应用程序进行异构化编译的过程中，可以对应用服务器进行部署，对于部署和编译还可以进行灵活的部署，实现快速供应和部署，计费方式灵活。

步骤105：控制服务器将第一访问请求复制为目标数量个第一访问请求。

步骤106：控制服务器将复制后的第一访问请求分发给所部署的目标数量个应用服务器，使得每个应用服务器都接收到一个第一访问请求。

在本实施例中，每个应用服务器接收到一个第一访问请求后，按照第一访问请求运行对应的结果应用程序，并且不同的应用服务器需要同时运行对应的应用程序。在本实施例中，对于部署的应用服务器与结果应用程序间的对应关系，本实施例不作具体限定。

需要说明的是，在本步骤中，在目标数量个应用服务器同时运行对应的应用程序时，不同的应用服务器间应用保持通信隔离。

步骤107：控制服务器依据目标数量个应用服务器的运行结果，确定是否受到恶意脚本的攻击。

在本步骤中，运行结果可能为正常运行结果，也可能为异常运行信息，在本实施例中，根据目标数量个应用服务器的运行结果进行响应裁决。具体的，响应裁决可以包括：当目标数量个应用服务器的运行结果都不存在异常运行信息，则确定没有受到恶意脚本的攻击，当目标数量个应用服务器的运行结果存在异常运行信息时，则确定访问请求中包含恶意脚本，需要进行防攻击操作。

具体的，在本实施例中，依据目标数量个应用服务器的运行结果，确定是否已受到恶意脚本的攻击的原理为：在一次访问中，恶意脚本中的所有关键字和函数只符合一种解释规则；目标数量个结果应用程序是对同一个应用程序采用多种异构元素编译得到的，因此，运行目标数量个结果应用程序时，不同的结果应用程序所采用的解释规则不同；由于采用不同的解释规则对同一个恶意攻击脚本执行时，所得到的恶意攻击脚本结果是不同的。

因此，在本申请实施例中，当访问请求中包括恶意攻击脚本时，该恶意攻击脚本最多只与一个结果应用程序的解释规则相同，即不可能与目标数量个结果应用程序的执行规则都相同；因此，目标数量个应用服务器对含有恶意脚本的访问请求的执行结果不可能相同；但是，当访问请求中不含有恶意攻击脚本时，服务器只需执行结果应用程序中代码无需执行恶意攻击脚本的程序语句，并且结果应用程序的功能是相同的，因此，对目标数量个结果应用程序运行后的结果是相同的。

需要说明的是，在实际应用中，当再次接收到访问请求时，为了描述方便，将再次接收大访问请求称为第二访问请求，采用的第二异构元素(第二访问请求所访问的应用程序进行异构编译所使用的异构元素)与第一异构元素(对第一访问请求对应的应用程序编译时所使用的异构元素)不同。即每次所使用的结果应用程序对应的异构元素不同，使得控制服务器在不同时间段表现出不一样的异构特性，对攻击者呈现出异构元素的不确定性，使得进一步增大了攻击难度。

进一步需要说明的是，在本实施例中，为了体现冗余性控制服务器在响应访问请求时，采用目标数量个应用服务器运行目标数量个结果应用程序；在实际应用中，目标数量的取值为3时，可以对恶意攻击脚本达到较好的防御效果，当然，目标数量的取值为3并不时决定的，还是需要依据实际情况进行确定，本实施例不对目标数量的取值进行限定，只要大于2即可。

参考图2，示出了本申请一种拟态防御的装置实施例的结构示意图，该装置实施例应用于控制服务器，可以包括：

编译单元201，用于在接收到第一访问请求的情况下，使用至少两个第一异构元素对所述第一访问请求访问的应用程序进行异构化编译，得到至少两个结果应用程序；任意一个所述异构元素得到一个所述结果应用程序；

复制分发单元202，用于将所述访问请求复制分发到预设的至少两个应用服务器；所述应用服务器用于基于所述访问请求运行对应的所述结果应用程序；一个所述结果应用程序对应一个所述应用服务器；

异常响应单元203，用于在接收到所述应用服务器发送的异常运行信息时，进行防攻击处理；所述异常运行信息用于表示所述第一访问请求中存在恶意攻击脚本。

其中，所述编译单元201，可以包括：

其中，该装置实施例还可以包括：

参考图3，示出了本申请中一种拟态防御系统，该拟态防御系统包括客户端301和控制服务器302。

其中，所述客户端301用于向所述控制服务器302发送访问请求；

所述控制服务器302用于执行上述实施例对应的拟态防御方法。

本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其它实施例的不同之处，各个实施例之间相同相似部分互相参见即可。在本文中，诸如“第一”和“第二”等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。在文中的“包括”、“包含”等词语解释为包含的含义而不是排他或穷举的含义；也就是说，是“包含但不限于”的含义。在不脱离本发明构思的前提下，还可以做出变形、同等替换、改进等，这些都属于本发明的保护范围。

对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本申请。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本申请的精神或范围的情况下，在其它实施例中实现。因此，本申请将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims

1.一种拟态防御方法，其特征在于，应用于控制服务器，包括：

2.根据权利要求1所述的方法，其特征在于，所述使用至少两个第一异构元素对所述第一访问请求访问的应用程序进行异构化编译，包括：

3.根据权利要求1所述的方法，其特征在于，还包括：

4.根据权利要求1所述的方法，其特征在于，包括：所述至少两个第一异构元素为三个第一异构元素；至少两个结果应用程序为三个结果应用程序；所述至少两个应用服务器为三个应用服务器。

5.根据权利要求1所述的方法，其特征在于，在所述将所述访问请求复制分发到预设的至少两个应用服务器之后，还包括：

6.一种拟态防御装置，其特征在于，应用于控制服务器，包括：

7.根据权利要求6所述的装置，其特征在于，所述编译单元，包括：

8.根据权利要求6所述的装置，其特征在于，还包括：

9.根据权利要求6所述的装置，其特征在于，还包括：

10.一种拟态防御系统，其特征在于，包括：客户端和控制服务器；

所述客户端用于向所述控制服务器发送访问请求；

所述控制服务器用于执行权利要求1至权利要求5任意一项所述的拟态防御方法。