CN112084499A

CN112084499A - 一种基于语法分析的0day攻击检测方法、装置、设备及介质

Info

Publication number: CN112084499A
Application number: CN202010956184.4A
Authority: CN
Inventors: 龚子倬; 范渊; 吴卓群
Original assignee: Hangzhou Dbappsecurity Technology Co Ltd
Current assignee: DBAPPSecurity Co Ltd; Hangzhou Dbappsecurity Technology Co Ltd
Priority date: 2020-09-11
Filing date: 2020-09-11
Publication date: 2020-12-15

Abstract

本申请公开了一种基于语法分析的0day攻击检测方法、装置、设备及介质，包括：获取服务器的web应用技术信息；确定出所述web应用技术信息对应的语法分析器以得到目标语法分析器；当获取到用户输入信息，则利用所述目标语法分析器对所述用户输入信息进行攻击检测。这样，通过语法分析的方式对用户输入信息进行检测，能够有效进行0day攻击检测，并且，利用服务器对应的语法分析器对用户输入信息检测，能够提升检测效率。

Description

一种基于语法分析的0day攻击检测方法、装置、设备及介质

技术领域

本申请涉及信息安全技术领域，特别涉及一种基于语法分析的0day攻击检测方法、装置、设备及介质。

背景技术

随着互联网时代的来临与电子交易的兴起，互联网上的WEB应用数量与类型激增。但是WEB应用开发者的技术、安全意识参差不齐，很多网站都存在严重的安全漏洞。恶意攻击者会利用这些漏洞攻击网站，牟取利益。虽然有大量安全人员对攻击进行防护。但是对于0day即未公开漏洞的攻击，目前大部分措施都是在0day公布之后，对0day进行分析、修复，并没有真正防御0day的能力。

目前，主流攻击检测方法都是采用正则表达式的方式，根据已经公布的漏洞写正则表达式。或者检测输入中是否含有某些敏感输入。这种方式只能针对已有的攻击进行防护，并不能防护变形的0day攻击。而且效率也比较低。而最近几年兴起的机器学习检测也存在速度慢的缺点，在面对大量输入的时候会对服务器产生较大的压力的问题。

发明内容

有鉴于此，本申请的目的在于提供一种基于语法分析的0day攻击检测方法、装置、设备及介质，能够有效进行0day攻击检测，并且提升检测效率。其具体方案如下：

第一方面，本申请公开了一种基于语法分析的0day攻击检测方法，包括：

获取服务器的web应用技术信息；

确定出所述web应用技术信息对应的语法分析器以得到目标语法分析器；

当获取到用户输入信息，则利用所述目标语法分析器对所述用户输入信息进行攻击检测。

可选的，所述获取服务器的web应用技术信息，包括：

通过调用所述服务器的操作系统API获取对应的操作系统类型。

可选的，所述获取服务器的web应用技术信息，包括：

通过对所述服务器当前操作系统运行的进程进行关键字匹配，确定出所述服务器运行的web服务器软件；

分析出所述web服务器软件采用的语言类型和语言版本。

可选的，所述获取服务器的web应用技术信息，包括：

确定出所述服务器的web应用程序路径；

通过所述web应用程序路径查找数据库连接字符串；

利用查找到的所述数据库连接字符串分析出对应的数据库类型和数据库版本。

可选的，所述获取服务器的web应用技术信息，包括：

利用所述服务器当前操作系统运行的进程的名称确定出对应的数据库类型和数据库版本。

可选的，所述0day攻击检测方法，还包括：

将预先生成的各操作系统类型对应的语法分析器、各语言类型以及语言版本对应的语法分析器、各数据库类型以及数据库版本对应的语法分析器部署于所述服务器。

可选的，所述0day攻击检测方法，还包括：若检测出攻击行为，则进行拦截。

第二方面，本申请公开了一种基于语法分析的0day攻击检测装置，包括：

应用技术信息获取模块，用于获取服务器的web应用技术信息；

语法分析器确定模块，用于确定出所述web应用技术信息对应的语法分析器以得到目标语法分析器；

攻击检测模块，用于当获取到用户输入信息，则利用所述目标语法分析器对所述用户输入信息进行攻击检测。

第三方面，本申请公开了一种电子设备，包括处理器和存储器；其中，

所述存储器，用于保存计算机程序；

所述处理器，用于执行所述计算机程序以实现前述的0day攻击检测方法。

第四方面，本申请公开了一种计算机可读存储介质，用于保存计算机程序，其中，所述计算机程序被处理器执行时实现前述的0day攻击检测方法。

可见，本申请先获取服务器的web应用技术信息，然后确定出所述web应用技术信息对应的语法分析器以得到目标语法分析器，当获取到用户输入信息，则利用所述目标语法分析器对所述用户输入信息进行攻击检测。攻击者要想执行其输入的payload，payload必须要符合对应语言的基本语法规则，本申请通过语法分析的方式对用户输入信息进行检测，能够有效进行0day攻击检测，并且，利用服务器对应的语法分析器对用户输入信息检测，能够提升检测效率。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为本申请公开的一种基于语法分析的0day攻击检测方法流程图；

图2为本申请公开的一种基于语法分析的0day攻击检测装置结构示意图；

图3为本申请公开的一种电子设备结构图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

目前，主流攻击检测方法都是采用正则表达式的方式，根据已经公布的漏洞写正则表达式。或者检测输入中是否含有某些敏感输入。这种方式只能针对已有的攻击进行防护，并不能防护变形的0day攻击。而且效率也比较低。而最近几年兴起的机器学习检测也存在速度慢的缺点，在面对大量输入的时候会对服务器产生较大的压力的问题。为此，本申请提供了一种基于语法分析的0day攻击检测方案，能够有效进行0day攻击检测，并且提升检测效率。

参见图1所示，本申请实施例公开了一种基于语法分析的0day攻击检测方法，包括：

步骤S11：获取服务器的web应用技术信息。

在具体的实施方式中，本实施例可以通过调用所述服务器的操作系统API获取对应的操作系统类型。并且，通过对所述服务器当前操作系统运行的进程进行关键字匹配，确定出所述服务器运行的web服务器软件；分析出所述web服务器软件采用的语言类型和语言版本。以及确定出所述服务器的web应用程序路径；通过所述web应用程序路径查找数据库连接字符串；利用查找到的所述数据库连接字符串分析出对应的数据库类型和数据库版本，或者，利用所述服务器当前操作系统运行的进程的名称确定出对应的数据库类型和数据库版本。

具体的，可以预定义常见web服务器软件名称，脚本语言名称，数据库软件名称和web服务器软件对应的默认路径，通过前述预定义的信息获取web应用技术信息。比如，定义web服务器软件名称，包括apache，nginx，tomcat等，通过检查当前系统运行进程中是否含有对应的关键字以判断出运行的web服务器软件，然后根据所使用的web服务器软件，查找对应的默认路径，然后解析对应服务器软件的配置文件，利用预定义的脚本语言名称分析对应服务器软件使用了哪种后端语言和版本，比如，读取apache的配置文件，可以分析出后端所使用的语言，然后找到后端语言的安装目录，从而可以获得版本，或者直接执行后端语言的解释器也可以获得版本。对于数据库的识别可以检查web应用程序指定的web路径，在web路径下寻找数据库连接字符串，分析数据库类型，或者分析系统中运行进程的名字。

步骤S12：确定出所述web应用技术信息对应的语法分析器以得到目标语法分析器。

也即，确定出操作系统类型对应的语法分析器，语言类型和语言版本对应的语法分析器，数据库类型和数据库类型对应的语法分析器。

在具体的实施方式中，可以根据各操作系统类型、各语言类型以及语言版本、各数据库类型以及数据库版本对应的语法规则预先生成相应的语法分析器，并将生成的语法分析器部署于所述服务器。

也即，本申请实施例可以将预先生成的各操作系统类型对应的语法分析器、各语言类型以及语言版本对应的语法分析器、各数据库类型以及数据库版本对应的语法分析器部署于所述服务器，当确定出目标语法分析器之后，在服务器中加载所述目标语法分析器。比如，获取到的web应用技术信息包括Linux，apache，php和mysql，则只需加载php和mysql和bash的分析器即可，这样大大减少了语法规则的解析时间。

在具体的实施方式中，可以预定生成常见脚本语言asp，php，aspx，jsp。常见数据库语言mysql，mssql，oracle，以及bash和cmd语法对应的语法分析器。通过分析大量的攻击日志，针对三种常见漏洞可以归纳出如下特点：

对于代码执行漏洞，攻击者输入的payload为符合对应语言语法的语句，因此复用当前脚本语言语法即可防止脚本执行漏洞。比如，php源码是开源的，除去开头解析php代码起始标志的部分代码，其他部分可以直接把php的语法分析器拿来用，这样生成对应语法分析器，只要攻击者输入的payload被生成的语法分析器解析，则说明存在攻击行为。

对于命令执行漏洞，攻击者输入的payload通常为围绕bash或者cmd语法的语句，可以针对bash和cmd分别做两种语法分析器。根据对应的操作系统类型加载即可。

对于sql注入漏洞，则需要对数据库语言语法做特殊处理。因为对于sql注入漏洞而言，攻击者输入的并不是完全符合sql语法的sql语句，而是sql语句片段。通过分析归纳，sql注入可以分为两类，一种是数字型sql注入漏洞，形式为1and 1＝1。另一种为字符型sql注入漏洞，形式为1'and'1'＝'1。这是最简化的情况，实际情况中，上面的数字1可能是一个非常复杂的表达式。mysql是开源软件，可以把mysql源码中解析表达式语法的部分取出来解析这里的表达式。从本质上来看，攻击者如果要利用sql注入，必须要确定sql语句是否执行，也就意味着必须要用到至少一个运算符。所以可以在语法分析中写出如下的语法“表达式运算符表达式”,配合从mysql源码中取出来的语法解析部分即可精确识别数字型sql注入。对于字符型sql注入，需要确定引号的作用范围，双引号和单引号本质一样，这里只举例单引号。一般的sql注入语句为1'and'1'＝'1。直接在两端加上单引号，即可补全为'1'and'1'＝'1'，引号的范围就确定了，整个表达式就变成了一个符合基本sql语法规则的表达式。其他可以参照数字型sql注入。以上是对mysql的语法做的解析，对于mssql和oracle，与mysql的基本语法是一致的，只需要对照手册，把特殊语法和函数加上即可识别。

以上的特征，即便是0day也不例外，也即，本申请实施例不但可以检测已知攻击，对于0day攻击也能做到高效检测。

并且，针对任一语法分析器，可以预设解析层数阈值，也即，解析到词所需要的层数，以此提升检测准确率。

需要指出的是，传统的正则表达式解析器只能检测到固定的特征。本实施例根据语法实现了解析器，只要攻击者想要进行攻击，输入的payload就必须符合后端的语法规则，也就能被预先实现的解析器解析。另外，由于攻击者输入的都是代码片段，因此需要设置解析层数阈值降低误报率，如果攻击者想要成功实施攻击，攻击的payload都会有一定的长度，可以通过分析大量的攻击日志，设置准确的阈值，大大降低了误报率。

步骤S13：当获取到用户输入信息，则利用所述目标语法分析器对所述用户输入信息进行攻击检测。

在具体的实施方式中，可以获取用户输入信息，利用所述目标语法分析器对所述用户输入信息进行攻击检测，若检测出攻击行为，则进行拦截。

也即，如果检测出用户输入信息对应的用户输入行为是攻击行为，则进行拦截。

需要指出的是，虽然语法分析技术本身是在开发编译器过程中出现的，用来对编程语言源代码进行分析，生成中间代码。但是对于任何结构化文本，都可以应用语法分析技术，经过分析，可以很容易从中提取想要获得的数据。在0day攻击中，根据攻击者使用的不同攻击点，输入有可能使用多种不同语法，并且可能是不完整的语法结构，这种未知性也是0day攻击不容易检测的关键所在。根据web应用服务器所使用技术的语法规则，实现对应的语法分析器，可以很好的识别0day攻击输入。本申请实施例提供了一种高效且适用型广，迁移性强的0day检测方法。根据web应用服务器所使用的技术加载对应的语法分析器，据此分析用户输入是否含有恶意行为。动态加载语法分析器，只根据需要动态加载语法分析器，减少了实时检测规则的数量，降低了服务器的负担。同时，可以在语法分析器中移植常用的语法规则，为了避免攻击者利用那些不常见的语法进行攻击，也可以移植全部语法规则，通过移植某种语言本身的常用的或者全部语法规则，能够实现检测绝大部分的攻击payload。而不需要像传统防护设备的正则表达式解析器一样，需要随时跟进新漏洞，随时添加新规则。

可见，本申请实施例先获取服务器的web应用技术信息，然后确定出所述web应用技术信息对应的语法分析器以得到目标语法分析器，当获取到用户输入信息，则利用所述目标语法分析器对所述用户输入信息进行攻击检测。攻击者要想执行其输入的payload，payload必须要符合对应语言的基本语法规则，本申请通过语法分析的方式对用户输入信息进行检测，能够有效进行0day攻击检测，并且，利用服务器对应的语法分析器对用户输入信息检测，能够提升检测效率。

参见图2所示，本申请实施例公开了一种基于语法分析的0day攻击检测装置，包括：

应用技术信息获取模块11，用于获取服务器的web应用技术信息；

语法分析器确定模块12，用于确定出所述web应用技术信息对应的语法分析器以得到目标语法分析器；

攻击检测模块13，用于当获取到用户输入信息，则利用所述目标语法分析器对所述用户输入信息进行攻击检测。

在具体的实施方式中，所述应用技术信息获取模块11，具体用于通过调用所述服务器的操作系统API获取对应的操作系统类型。通过对所述服务器当前操作系统运行的进程进行关键字匹配，确定出所述服务器运行的web服务器软件；分析出所述web服务器软件采用的语言类型和语言版本。确定出所述服务器的web应用程序路径；通过所述web应用程序路径查找数据库连接字符串；利用查找到的所述数据库连接字符串分析出对应的数据库类型和数据库版本，或利用所述服务器当前操作系统运行的进程的名称确定出对应的数据库类型和数据库版本。

并且，所述攻击检测装置，还包括：

语法分析器生成模块，用于根据各操作系统类型、各语言类型以及语言版本、各数据库类型以及数据库版本对应的语法规则预先生成相应的语法分析器；

语法分析器部署模块，用于将生成的语法分析器部署于所述服务器。

并且，所述攻击检测装置，还包括拦截模块，用于若所述攻击检测模块13检测出攻击行为，则进行拦截。

参见图3所示，本申请实施例公开了一种电子设备，包括处理器21和存储器22；其中，所述存储器22，用于保存计算机程序；所述处理器21，用于执行所述计算机程序，以实现前述实施例公开的0day攻击检测方法。

关于上述0day攻击检测方法的具体过程可以参考前述实施例中公开的相应内容，在此不再进行赘述。

进一步的，本申请实施例还公开了一种计算机可读存储介质，用于保存计算机程序，其中，所述计算机程序被处理器执行时实现前述实施例公开的0day攻击检测方法。

本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其它实施例的不同之处，各个实施例之间相同或相似部分互相参见即可。对于实施例公开的装置而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。

结合本文中所公开的实施例描述的方法或算法的步骤可以直接用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质中。

以上对本申请所提供的一种基于语法分析的0day攻击检测方法、装置、设备及介质进行了详细介绍，本文中应用了具体个例对本申请的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本申请的方法及其核心思想；同时，对于本领域的一般技术人员，依据本申请的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本申请的限制。

Claims

1.一种基于语法分析的0day攻击检测方法，其特征在于，包括：

获取服务器的web应用技术信息；

2.根据权利要求1所述的0day攻击检测方法，其特征在于，所述获取服务器的web应用技术信息，包括：

3.根据权利要求1所述的0day攻击检测方法，其特征在于，所述获取服务器的web应用技术信息，包括：

分析出所述web服务器软件采用的语言类型和语言版本。

4.根据权利要求1所述的0day攻击检测方法，其特征在于，所述获取服务器的web应用技术信息，包括：

确定出所述服务器的web应用程序路径；

通过所述web应用程序路径查找数据库连接字符串；

5.根据权利要求1所述的0day攻击检测方法，其特征在于，所述获取服务器的web应用技术信息，包括：

6.根据权利要求1所述的0day攻击检测方法，其特征在于，还包括：

根据各操作系统类型、各语言类型以及语言版本、各数据库类型以及数据库版本对应的语法规则预先生成相应的语法分析器，并将生成的语法分析器部署于所述服务器。

7.根据权利要求1至6任一项所述的0day攻击检测方法，其特征在于，还包括：

若检测出攻击行为，则进行拦截。

8.一种基于语法分析的0day攻击检测装置，其特征在于，包括：

9.一种电子设备，其特征在于，包括处理器和存储器；其中，

所述存储器，用于保存计算机程序；

所述处理器，用于执行所述计算机程序以实现如权利要求1至7任一项所述的0day攻击检测方法。

10.一种计算机可读存储介质，其特征在于，用于保存计算机程序，其中，所述计算机程序被处理器执行时实现如权利要求1至7任一项所述的0day攻击检测方法。