CN110221977B - 基于ai的网站渗透测试方法 - Google Patents

基于ai的网站渗透测试方法 Download PDF

Info

Publication number
CN110221977B
CN110221977B CN201910476344.2A CN201910476344A CN110221977B CN 110221977 B CN110221977 B CN 110221977B CN 201910476344 A CN201910476344 A CN 201910476344A CN 110221977 B CN110221977 B CN 110221977B
Authority
CN
China
Prior art keywords
information
attack
sensitive
information collection
processor
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201910476344.2A
Other languages
English (en)
Other versions
CN110221977A (zh
Inventor
徐乐晨
袁键
杨枭
秦岳
杨明旭
章明飞
杨明勋
张鹏
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Jiangsu Hengtong Industrial Control Safety Research Institute Co Ltd
Original Assignee
Jiangsu Hengtong Industrial Control Safety Research Institute Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Jiangsu Hengtong Industrial Control Safety Research Institute Co Ltd filed Critical Jiangsu Hengtong Industrial Control Safety Research Institute Co Ltd
Priority to CN201910476344.2A priority Critical patent/CN110221977B/zh
Publication of CN110221977A publication Critical patent/CN110221977A/zh
Application granted granted Critical
Publication of CN110221977B publication Critical patent/CN110221977B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/36—Preventing errors by testing or debugging software
    • G06F11/3668—Software testing
    • G06F11/3672—Test management
    • G06F11/3676—Test management for coverage analysis
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/36—Preventing errors by testing or debugging software
    • G06F11/3668—Software testing
    • G06F11/3672—Test management
    • G06F11/3684—Test management for test design, e.g. generating new test cases
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/36—Preventing errors by testing or debugging software
    • G06F11/3668—Software testing
    • G06F11/3672—Test management
    • G06F11/3688—Test management for test execution, e.g. scheduling of test suites

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Quality & Reliability (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Debugging And Monitoring (AREA)
  • Medical Treatment And Welfare Office Work (AREA)

Abstract

本发明公开了一种基于ai的网站渗透测试方法。本发明一种基于ai的网站渗透测试方法，包括：从信息搜集阶段开始进行信息串联与学习，对已有信息进行串联拼接攻击测试路径，进行测试尝试，尝试过程中遇到新信息量，将继续进行搜集并前后串联之后进行攻击路径重组。本发明的有益效果：不同于传统漏洞检测主要局限于WEB和主机两大方向，VACKBOT涵盖了云端、客户端、移动端及IOT设备。

Description

基于ai的网站渗透测试方法
技术领域
本发明涉及网站渗透测试领域，具体涉及一种基于ai的网站渗透测试方法。
背景技术
目前当下的网站渗透测试框架知名的为msf(metasploit-framework)。
它是一个集合了各平台上流行的溢出漏洞和shellcode利用的自动化测试框架，他集合了扫描模块，漏洞利用模块，后渗透权限控制框架，后渗透攻击模块调用功能，各模块之间可以实现横向调用与利用，甚至是开源的ruby开发语言也可以进行二次开发自己编写自己对应环境的脚本来加入框架进行利用。
其中1871个漏洞利用脚本，1068个扫描脚本，327个后渗透调用功能，546个回弹传输利用脚本，44种编码等。
但是这框架始终需要在你已知漏洞的情况下进行辅助利用。
传统技术存在以下技术问题：
那么渗透测试过程开始的初期根据基本的渗透测试流程他没有完整涵盖，比如信息搜集环节。此框架仅依赖于已有的信息使用人工进行分析之后再针对性地对漏洞进行利用，而不能自行在信息搜索环节提供任何帮助，所以对信息处理有很大的难度，对于简单的主机与资产的导入都有一定的困难。
发明内容
本发明要解决的技术问题是提供一种基于ai的网站渗透测试方法，本发明会自动将完整的渗透过程中的每一个环节的信息量进行搜集，串联，拼凑，形成可用的攻击链来对目标进行测试与利用。
为了解决上述技术问题，本发明提供了一种基于ai的网站渗透测试方法，包括：从信息搜集阶段开始进行信息串联与学习，对已有信息进行串联拼接攻击测试路径，进行测试尝试，尝试过程中遇到新信息量，将继续进行搜集并前后串联之后进行攻击路径重组；
在信息搜集过程中的每一个切入点都会录入到ai大脑的信息图谱中形成目标脆弱点画像。那么在信息搜集阶段ai会如此迭代地去“分析”攻击元素；接下来就是对信息搜集的结果进行利用，称之为攻击路径的规划。
ai大脑会将信息搜集中的信息拼凑关联来组成可能的攻击路径。
当成功利用一种攻击路径达成测试之后，ai会将结果录入信息图谱，作为最有效信息继续分析利用，用作横向目标之间的信息元素。
在其中一个实施例中，信息搜集中形成多种攻击切入点：弱口令、软件系统资产信息、硬件设备资产信息、敏感文件、敏感邮箱、敏感目录和敏感部门。
在其中一个实施例中，在每个环节使用历届blackhat黑帽子大会上世界排名靠前的开源工具，与当下流行的红队攻击工具来进行测试。
在其中一个实施例中，比如弱口令，当使用第一轮人工录入的字典进行爆破之后，在搜集信息过程中，对任何与目标相关的字符串都会进行合理化的重组加入字典并且迭代进下一轮的爆破中，也会横向加入到其他信息搜集的过程中去进行利用。
在其中一个实施例中，比如软件系统资产信息，框架根据ip地址进行第一轮的资产搜集之后会录入到ai大脑的信息图谱中形成唯一拓扑，为后续的横向渗透测试提供了相应的保障。
在其中一个实施例中，同样地在硬件资产信息搜集过程中我们的ai大脑会根据市面上的各种设备指纹库来比配扫描，对目标对硬件资产进行排查并录入信息图谱。
在其中一个实施例中，敏感文件环节的话，根据各种市面上已开源的各类应用系统所存在的信息泄漏漏洞与文件形成特征库，匹配扫描敏感文件的泄漏情况，并且将结果汇总加入ai大脑的信息图谱中。
一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现任一项所述方法的步骤。
一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现任一项所述方法的步骤。
一种处理器，所述处理器用于运行程序，其中，所述程序运行时执行任一项所述的方法。
本发明的有益效果：
不同于传统漏洞检测主要局限于WEB和主机两大方向，VACKBOT涵盖了云端、客户端、移动端及IOT设备。我们在传统安全攻击领域有非常深厚的积累，包括sqli、rce、lfi、xss、ssrf、overflow等，但我们的攻击手段不限于此，包括劫持、嗅探、钓鱼、假wifi、假基站、加密勒索在内的传统安全产品根本无法覆盖的攻击类型，我们都会去加以利用来突破目标系统。在上述的攻击路径构造中，我们的ai大脑会对攻击路径进行特征存储，比如此次攻击中遇到的可利用信息为a,b,c,d即可形成攻击链A，第二轮遇到e,d,b,u可形成攻击链B。那么A与B会被我们的ai大脑进行学习，将来如果遇到信息元素e与d的时候，我们的框架会优先搜寻查找b与u信息元素来进行攻击路径规划。
附图说明
图1是背景技术中网站渗透测试方法的示意图。
图2是本发明基于ai的网站渗透测试方法的示意图。
具体实施方式
下面结合附图和具体实施例对本发明作进一步说明，以使本领域的技术人员可以更好地理解本发明并能予以实施，但所举实施例不作为对本发明的限定。
本专利从信息搜集阶段开始进行信息串联与学习，对已有信息进行串联拼接攻击测试路径，进行测试尝试，尝试过程中遇到新信息量，将继续进行搜集并前后串联之后进行攻击路径重组。在每个环节使用历届blackhat黑帽子大会上世界排名靠前的开源工具，与当下流行的红队攻击工具来进行测试，意在高效，可拓展。
信息搜集中形成多种攻击切入点：弱口令、软件系统资产信息、硬件设备资产信息、敏感文件、敏感邮箱、敏感目录和敏感部门。
在信息搜集过程中的每一个切入点都会录入到ai大脑的信息图谱中形成目标脆弱点画像。比如弱口令，当使用第一轮人工录入的字典进行爆破之后，在搜集信息过程中，对任何与目标相关的字符串都会进行合理化的重组加入字典并且迭代进下一轮的爆破中，也会横向加入到其他信息搜集的过程中去进行利用；又比如软件系统资产信息，我们的框架根据ip地址进行第一轮的资产搜集之后会录入到ai大脑的信息图谱中形成唯一拓扑，为后续的横向渗透测试提供了相应的保障；同样地在硬件资产信息搜集过程中我们的ai大脑会根据市面上的各种设备指纹库来比配扫描，对目标对硬件资产进行排查并录入信息图谱；敏感文件环节的话我们会根据各种市面上已开源的各类应用系统所存在的信息泄漏漏洞与文件形成特征库，匹配扫描敏感文件的泄漏情况，并且将结果汇总加入ai大脑的信息图谱中；敏感目录与敏感文件同理；敏感部门则是ai一个大展身手的机会，我们的ai会在所有信息搜集过程中涉及到的人名，部门名会进行合理化的排列组合，并且加入新的字典，对应此次目标重新构造混合复杂密码，然后将此字典横向用于其他的信息搜集过程，比如软件系统的某些登陆口被扫描发现到之后，我们的ai会使用字典内容尝试对登陆口进行登陆爆破，这种行为导致的命中率将会是史无前例的。
那么在信息搜集阶段我们的ai会如此迭代地去“分析”攻击元素。接下来就是对信息搜集的结果进行利用，我们称之为攻击路径的规划。
我们的ai大脑会将信息搜集中的信息拼凑关联来组成可能的攻击路径。
当成功利用一种攻击路径达成测试之后，ai会将结果录入信息图谱，作为最有效信息继续分析利用，用作横向目标之间的信息元素。
当然所有的一切都可以人工进行监察与干预并且操作。
以上所述实施例仅是为充分说明本发明而所举的较佳的实施例，本发明的保护范围不限于此。本技术领域的技术人员在本发明基础上所作的等同替代或变换，均在本发明的保护范围之内。本发明的保护范围以权利要求书为准。

Claims (7)

1.一种基于ai的网站渗透测试方法，其特征在于，包括：从信息搜集阶段开始进行信息串联与学习，对已有信息进行串联拼接攻击测试路径，进行测试尝试，尝试过程中遇到新信息量，将继续进行搜集并前后串联之后进行攻击路径重组；
在信息搜集过程中的每一个切入点都会录入到ai大脑的信息图谱中形成目标脆弱点画像，信息搜集中形成的攻击切入点包括弱口令、软件系统资产信息和硬件设备资产信息；
信息搜集中形成的攻击切入点为弱口令时，当使用第一轮人工录入的字典进行爆破之后，在搜集信息过程中，对任何与目标相关的字符串都会进行合理化的重组加入字典并且迭代进下一轮的爆破中，也会横向加入到其他信息搜集的过程中去进行利用；
信息搜集中形成的攻击切入点为软件系统资产信息时，框架根据ip地址进行第一轮的资产搜集之后会录入到ai大脑的信息图谱中形成唯一拓扑，为后续的横向渗透测试提供了相应的保障；
信息搜集中形成的攻击切入点为硬件设备资产信息时，在硬件资产信息搜集过程中ai大脑会根据市面上的各种设备指纹库来比配扫描，对目标对硬件资产进行排查并录入信息图谱；
那么在信息搜集阶段ai会如此迭代地去分析攻击元素；接下来就是对信息搜集的结果进行利用，称之为攻击路径的规划；
ai大脑会将信息搜集中的信息拼凑关联来组成可能的攻击路径，当成功利用一种攻击路径达成测试之后，ai会将结果录入信息图谱，作为最有效信息继续分析利用，用作横向目标之间的信息元素。
2.如权利要求1所述的基于ai的网站渗透测试方法，其特征在于，信息搜集中形成的攻击切入点还包括：敏感文件、敏感邮箱、敏感目录和敏感部门。
3.如权利要求1所述的基于ai的网站渗透测试方法，其特征在于，在每个环节使用历届blackhat黑帽子大会上世界排名靠前的开源工具，与当下流行的红队攻击工具来进行测试。
4.如权利要求2所述的基于ai的网站渗透测试方法，其特征在于，敏感文件环节的话，根据各种市面上已开源的各类应用系统所存在的信息泄漏漏洞与文件形成特征库，匹配扫描敏感文件的泄漏情况，并且将结果汇总加入ai大脑的信息图谱中。
5.一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现权利要求1到4任一项所述方法的步骤。
6.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现权利要求1到4任一项所述方法的步骤。
7.一种处理器，其特征在于，所述处理器用于运行程序，其中，所述程序运行时执行权利要求1到4任一项所述的方法。
CN201910476344.2A 2019-06-03 2019-06-03 基于ai的网站渗透测试方法 Active CN110221977B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201910476344.2A CN110221977B (zh) 2019-06-03 2019-06-03 基于ai的网站渗透测试方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201910476344.2A CN110221977B (zh) 2019-06-03 2019-06-03 基于ai的网站渗透测试方法

Publications (2)

Publication Number Publication Date
CN110221977A CN110221977A (zh) 2019-09-10
CN110221977B true CN110221977B (zh) 2023-04-14

Family

ID=67819161

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201910476344.2A Active CN110221977B (zh) 2019-06-03 2019-06-03 基于ai的网站渗透测试方法

Country Status (1)

Country Link
CN (1) CN110221977B (zh)

Families Citing this family (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110717184A (zh) * 2019-09-27 2020-01-21 北京计算机技术及应用研究所 一种分布式安全测试系统
CN110968873A (zh) * 2019-11-22 2020-04-07 上海交通大学 一种基于人工智能的自动化渗透测试的系统和方法
CN110851841B (zh) * 2019-11-26 2022-05-17 西安四叶草信息技术有限公司 渗透测试方法、设备及存储介质
CN111488588B (zh) * 2020-04-17 2023-08-11 北京墨云科技有限公司 一种基于ai的自动化渗透测试方法
CN111581645B (zh) * 2020-04-17 2023-08-15 北京墨云科技有限公司 一种基于ai的自动化渗透测试系统的迭代攻击方法
CN111475818B (zh) * 2020-04-17 2023-08-11 北京墨云科技有限公司 一种基于ai的自动化渗透测试系统的渗透攻击方法
CN111488587B (zh) * 2020-04-17 2023-08-15 北京墨云科技有限公司 一种基于ai的自动化渗透测试系统
CN111541693B (zh) * 2020-04-23 2022-04-15 北京凌云信安科技有限公司 面向多类系统的自动化渗透测试与数据取证系统
CN111726358A (zh) * 2020-06-18 2020-09-29 北京优特捷信息技术有限公司 攻击路径分析方法、装置、计算机设备及存储介质
CN116015881B (zh) * 2022-12-27 2023-08-29 北京天融信网络安全技术有限公司 渗透测试方法、装置、设备及存储介质

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101242279A (zh) * 2008-03-07 2008-08-13 北京邮电大学 用于web系统的自动化渗透性测试系统和方法
WO2008142710A2 (en) * 2007-05-24 2008-11-27 Iviz Techno Solutions Pvt. Ltd Method and system for simulating a hacking attack on a network
WO2011017566A1 (en) * 2009-08-05 2011-02-10 Core Sdi, Incorporated System and method for extending automated penetration testing to develop an intelligent and cost efficient security strategy

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
ES2446944T3 (es) * 2007-04-12 2014-03-10 Core Sdi, Incorporated Sistema, método y medio legible por ordenador para proporcionar pruebas de penetración de red
CN104009881B (zh) * 2013-02-27 2017-12-19 广东电网公司信息中心 一种系统渗透测试的方法以及装置
CN105871885B (zh) * 2016-05-11 2019-06-25 南京航空航天大学 一种网络渗透测试方法
CN108234525A (zh) * 2018-03-30 2018-06-29 阜阳职业技术学院 一种计算机网络安全中的信息防泄漏防盗窃管理系统
CN109344624B (zh) * 2018-10-26 2022-02-18 深信服科技股份有限公司 基于云端协作的渗透测试方法、平台、设备及存储介质

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2008142710A2 (en) * 2007-05-24 2008-11-27 Iviz Techno Solutions Pvt. Ltd Method and system for simulating a hacking attack on a network
CN101242279A (zh) * 2008-03-07 2008-08-13 北京邮电大学 用于web系统的自动化渗透性测试系统和方法
WO2011017566A1 (en) * 2009-08-05 2011-02-10 Core Sdi, Incorporated System and method for extending automated penetration testing to develop an intelligent and cost efficient security strategy

Also Published As

Publication number Publication date
CN110221977A (zh) 2019-09-10

Similar Documents

Publication Publication Date Title
CN110221977B (zh) 基于ai的网站渗透测试方法
US10387656B2 (en) Integrated interactive application security testing
CN113067812B (zh) Apt攻击事件溯源分析方法、装置和计算机可读介质
Hatada et al. Empowering anti-malware research in Japan by sharing the MWS datasets
CN103428196A (zh) 一种基于url白名单的web应用入侵检测方法和装置
CN110677438A (zh) 一种攻击链构建方法、装置、设备、介质
CN110677381A (zh) 渗透测试的方法及装置、存储介质、电子装置
CN113901475A (zh) 一种针对工控终端设备的输入验证漏洞的模糊挖掘方法
CN111884989A (zh) 一种针对电力web系统的漏洞探测方法和系统
CN115766258B (zh) 一种基于因果关系图的多阶段攻击趋势预测方法、设备及存储介质
Hasan et al. Web application safety by penetration testing
Djanali et al. SQL injection detection and prevention system with raspberry Pi honeypot cluster for trapping attacker
CN111049828B (zh) 网络攻击检测及响应方法及系统
WO2017163141A1 (en) Integrated interactive application security testing
Khalid et al. Web vulnerability finder (WVF): automated black-box web vulnerability scanner
CN110442582B (zh) 场景检测方法、装置、设备和介质
Jiang et al. Design and implementation of a machine learning enhanced web honeypot system
CN109474567B (zh) Ddos攻击溯源方法、装置、存储介质及电子设备
Yermalovich et al. Formalization of attack prediction problem
CN115242487B (zh) 一种基于元行为的apt攻击样本增强及检测方法
CN111385253B (zh) 一种面向配电自动化系统网络安全的脆弱性检测系统
Årnes et al. Using a virtual security testbed for digital forensic reconstruction
CN113923007A (zh) 一种安全渗透测试方法、装置、电子设备及存储介质
Jatinkushwah et al. Web application security using VAPT
Jeon et al. An Effective Threat Detection Framework for Advanced Persistent Cyberattacks

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant