CN112398843A

CN112398843A - 一种基于http走私攻击的检测方法及装置

Info

Publication number: CN112398843A
Application number: CN202011239330.8A
Authority: CN
Inventors: 吴建亮; 胡鹏; 韩成海
Original assignee: Guangzhou Jeeseen Network Technologies Co Ltd
Current assignee: Guangzhou Jeeseen Network Technologies Co Ltd
Priority date: 2020-11-09
Filing date: 2020-11-09
Publication date: 2021-02-23

Abstract

一种基于http走私攻击的检测方法及装置，方法包括以下步骤：检测目标站点是否存在CDN，若存在判断目标站点不存在http走私攻击型漏洞，否则构造多个漏洞特征数据包发送至目标站点；检测目标站点响应码，若为正常判断目标站点不存在漏洞，否则，初步判断目标站点存在漏洞，构造特殊数据包并通过多线程发送至目标站点，获取响应结果A；通过多线程向目标站点发送正常数据包，获取响应结果B；若响应结果A与B相同，则判断目标站点不存在http走私攻击型漏洞，否则，判断目标站点存在http走私攻击型漏洞并对较结果进行筛选，筛选判定目标站点漏洞类型，从数据库中调用对应的修复方案修复漏洞。该方法具有漏报率低、适用性高的特点，且检测过程快捷方便。

Description

一种基于http走私攻击的检测方法及装置

技术领域

本发明涉及网络安全技术领域，特别是涉及一种基于http走私攻击的检测方法及装置。

背景技术

随着计算机网络技术的不断发展，企业的信息化程度越来越高，许多企业开始利用信息化手段来提升自身管理水平、增加企业竞争力。然而，网络攻击技术也相应的快速发展，攻击手段日益层出不穷，企业网络安全问题形势严峻。因此，企业不能只用防守思维为维护企业网络安全，还要了解攻击者的攻击方式，从攻击者的角度出发做好相应防护，才能更好的维护企业网络安全。

现有网络攻击方式中，http走私攻击是一种较为冷门却危害甚大的攻击方式，是由服务器前后端不一致引起的，它可以使攻击者绕过安全控制，在未经授权的情况下访问敏感数据并直接危害其它应用程序用户。由于http走私攻击的利用环境比较苛刻、攻击手法复杂化和比较罕见，导致安全测试人员在测试web漏洞的时候会忽略http走私攻击型漏洞，且市面上的扫描器一般不会配备检测http走私攻击的功能，所以企业网站中存在的http走私攻击型漏洞仍然是企业网络安全防护中的一大弱点。

因此，针对现有技术不足，提供一种基于http走私攻击的检测方法及装置甚为必要。

发明内容

本发明的目的之一在于避免现有技术的不足之处而提供一种基于http走私攻击的检测方法，能够有效快捷的检测出目标站点存在的http走私攻击型漏洞并提供修复建议，保障企业网络安全，且具有极高的普适性和较低的漏报率。

本发明的上述目的通过以下技术措施实现。

提供一种基于http走私攻击的检测方法，包括以下步骤：

S1：检测目标站点是否存在CDN，若不存在，进入步骤S2，否则，判断目标站点不存在http走私攻击型漏洞。

S2：根据http走私攻击型漏洞形成原理，构造多个http走私攻击型漏洞特征数据包。

S3：将多个http走私攻击型漏洞特征数据包作为请求数据包发送至目标站点，获取目标站点响应码。

S4：检测目标站点响应码，若检测到目标站点响应码为异常响应码，初步判断目标站点存在http走私攻击型漏洞，进入步骤S6。

否则，判断目标站点不存在http走私攻击型漏洞。

S5：构造特殊数据包，并通过多线程向目标站点发送特殊数据包，获取响应结果A。

S6：通过多线程向目标站点发送正常数据包，获取响应结果B。

S7：比较响应结果A与响应结果B，若响应结果A与响应结果B相同，则判断目标站点不存在http走私攻击型漏洞，否则，判断目标站点存在http走私攻击型漏洞，进入步骤S8。

S8：筛选判定目标站点存在的http走私攻击型漏洞类型，从数据库中调用对应的修复方案修复http走私攻击型漏洞。

优选的，步骤S1中通过远程调用api接口检测目标站点是否存在CDN。

优选的，步骤S1所述http走私攻击型漏洞包括CL.CL类型漏洞、CL.TE类型漏洞、TE.CL类型漏洞或者TE.TE类型漏洞。

优选的，步骤S 5异常响应码为405响应码。

优选的，步骤S5中所述特殊数据包为将步骤S2中http走私攻击型漏洞特征数据包中的payload前后缀进行修改后的数据包。

优选的，步骤S6中所述正常数据包为不包括步骤S2中http走私攻击型漏洞特征数据包中payload的数据包。

优选的，步骤S5所述响应结果A和步骤S6中所述响应结果B为响应码或者响应体。

优选的，步骤S8中根据响应结果A筛选出造成响应结果A的特殊数据包，并根据造成响应结果A的特殊数据包中的payload判定http走私攻击型漏洞类型。

本发明的基于http走私攻击的检测方法，包括以下步骤：S1：检测目标站点是否存在CDN，若不存在，进入步骤S2，否则，判断目标站点不存在http走私攻击型漏洞；S2：根据http走私攻击型漏洞形成原理，构造多个http走私攻击型漏洞特征数据包；S3：将多个http走私攻击型漏洞特征数据包作为请求数据包发送至目标站点，获取目标站点响应码；S4：检测目标站点响应码，若检测到目标站点响应码为异常响应码，初步判断目标站点存在http走私攻击型漏洞，进入步骤S6；否则，判断目标站点不存在http走私攻击型漏洞；S5：构造特殊数据包，并通过多线程向目标站点发送特殊数据包，获取响应结果A；S6：通过多线程向目标站点发送正常数据包，获取响应结果B；S7：比较响应结果A与响应结果B，若响应结果A与响应结果B相同，则判断目标站点不存在http走私攻击型漏洞，否则，判断目标站点存在http走私攻击型漏洞，进入步骤S8；S8：筛选判定目标站点存在的http走私攻击型漏洞类型，从数据库中调用对应的修复方案修复http走私攻击型漏洞。通过判断CDN是否存在、响应码是否为异常响应码、特殊数据和正常数据的响应码是否一样三步检测过程自动化判断目标站点是否存在http走私攻击型漏洞，具有漏报率低、适用性高的特点，且检测过程快捷方便。

本发明的另一目的在于在于避免现有技术的不足之处而提供一种基于http走私攻击的检测装置，能够实现基于http走私攻击的检测方法，有效快捷的自动化检测出目标站点存在的http走私攻击型漏洞并提供修复建议，保障企业网络安全，且具有极高的普适性和较低的漏报率。

本发明的上述目的通过以下技术措施实现。

提供一种基于http走私攻击的检测装置，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现基于http走私攻击的检测方法。

本发明的基于http走私攻击的检测装置，包括存储器、处理器以及存储在所述存储器中并可在处理器上运行的计算机程序，处理器执行计算机程序时实现基于http走私攻击的检测方法。基于http走私攻击的检测方法，包括以下步骤：S1：检测目标站点是否存在CDN，若不存在，进入步骤S2，否则，判断目标站点不存在http走私攻击型漏洞；S2：根据http走私攻击型漏洞形成原理，构造多个http走私攻击型漏洞特征数据包；S3：将多个http走私攻击型漏洞特征数据包作为请求数据包发送至目标站点，获取目标站点响应码；S4：检测目标站点响应码，若检测到目标站点响应码为异常响应码，初步判断目标站点存在http走私攻击型漏洞，进入步骤S6；否则，判断目标站点不存在http走私攻击型漏洞；S5：构造特殊数据包，并通过多线程向目标站点发送特殊数据包，获取响应结果A；S6：通过多线程向目标站点发送正常数据包，获取响应结果B；S7：比较响应结果A与响应结果B，若响应结果A与响应结果B相同，则判断目标站点不存在http走私攻击型漏洞，否则，判断目标站点存在http走私攻击型漏洞，进入步骤S8；S8：筛选判定目标站点存在的http走私攻击型漏洞类型，从数据库中调用对应的修复方案修复http走私攻击型漏洞。通过判断CDN是否存在、响应码是否为异常响应码、特殊数据和正常数据的响应码是否一样三步检测过程自动化判断目标站点是否存在http走私攻击型漏洞，具有漏报率低、适用性高的特点，且检测过程快捷方便。

附图说明

利用附图对本发明作进一步的说明，但附图中的内容不构成对本发明的任何限制。

图1是本发明一种基于http走私攻击的检测方法的流程图。

具体实施方式

结合以下实施例对本发明作进一步说明。

实施例1。

一种基于http走私攻击的检测方法，包括以下步骤：

S1：检测目标站点是否存在CDN，若不存在，进入步骤S2，否则，判断目标站点不存在http走私攻击型漏洞。通过远程调用api接口检测目标站点是否存在CDN。http走私攻击型漏洞的形成原因是前端服务器CDN和后端服务器接收数据不同步，引起对客户端传入的数据理解不一致，从而导致漏洞的产生，所以可以通过检测目标站点是否存在CDN目标站点判断目标站点http走私攻击型漏洞存在的可能性。http走私攻击型漏洞包括CL.CL类型漏洞、CL.TE类型漏洞、TE.CL类型漏洞或者TE.TE类型漏洞，其中CL指代Content-Length标头，TE指代Transfer-Encoding。需要说明的是，CL.CL类型漏洞、CL.TE类型漏洞、TE.CL类型漏洞或者TE.TE类型漏洞形成原因以及遵循的规范均为本领域人员所熟知，在此不再赘述。

S2：根据http走私攻击型漏洞形成原理，构造多个http走私攻击型漏洞特征数据包。例如，对于CL.CL类型漏洞，构造特征数据包过程如下：

对于CL.TE类型漏洞，构造特征数据包过程如下：

对于上述CL.CL类型漏洞特征数据包构造过程构造出的数据包，形成http的攻击流程为:前端服务器CDN获取到的数据包的长度为6，然后将上述整个数据包转发给后端的服务器，而后端服务器获取到的数据包长度为5。当读取完前5个字符后，后端服务器认为该请求已经读取完毕，然后发送出去。而此时的缓冲区去还剩余一个字母A，对于后端服务器来说，这个A是下一个请求的一部分，但是还没有传输完毕。若此时恰巧有一个其他的正常用户对服务器进行了请求，则该A字母会拼凑到下一个正常用户请求的前面，导致下一个用户在发送请求数据包时会出错，实现http走私攻击。需要说明的是，TE.CL类型漏洞或者TE.TE类型漏洞的特征数据包构造与CL.CL类型漏洞特征数据包构造方式相似并且攻击流程均为本领域人员熟知，在此不再赘述。

S4：检测目标站点响应码，若检测到目标站点响应码为异常响应码，初步判断目标站点存在http走私攻击型漏洞，进入步骤S6。否则，判断目标站点不存在http走私攻击型漏洞。异常响应码为405响应码。

S5：构造特殊数据包，并通过多线程向目标站点发送特殊数据包，获取响应结果A。响应结果A为响应码或者响应体。由于http协议存在许多奇怪的缺陷和综合CDN优化规则链，所以要对payload前后缀进行模糊测试来进一步检测判断。特殊数据包为将http走私攻击型漏洞特征数据包中payload前后缀进行修改后的数据包，本实施例中通用以下多种修改规则修改正常数据包中payload前后缀：

msg.replace('Content-Length:0','Content-Length:'+str(cl))//根据rpc协议规范，在Content-Length请求头的值前面填充一个特定字符，来构造特殊数据包；

msg.replace('Transfer-Encoding','Transfer_Encoding')//根据rpc协议规范，在Transfer-Encoding请求头，将“-”替换成“_”，来构造特殊数据包；

msg.replace('Content-Length','Content_Length')//根据rpc协议规范，；在Content-Length请求头，将“-”替换成“_”，来构造特殊数据包；

msg.replace('Transfer-Encoding','Transfer Encoding')//根据rpc协议规范，在Transfer-Encoding请求头，将“-”去除，来构造特殊数据包；

msg.replace('Content-Length','Content-Length')//根据rpc协议规范，在Content-Length请求头后面添加多一个空格，来构造特殊数据包；

msg.replace('Transfer-Encoding','Transfer-Encoding')//根据rpc协议规范，在Transfer-Encoding请求头前面添加多一个空格，来构造特殊数据包；

msg.replace('Transfer-Encoding:','Transfer-Encoding:')//根据rpc协议规范,在Transfer-Encoding请求头的值前面添加多一个空格，来构造特殊数据包；

msg.replace('Transfer-Encoding:','Transfer-Encoding:\t')//根据rpc协议规范，在Transfer-Encoding请求头的值前面添加多一个Tab符，来构造特殊数据包；

msg.replace('Transfer-Encoding:','Transfer-Encoding:\u000B')//根据rpc协议规范，在Transfer-Encoding请求头的值前面添加多一个特殊unicode码，来构造特殊数据包；

需要说明的是，修改正常数据包中payload前后缀的修改规则不限于上述修改规则，可以结合RPC协议规范的缺陷和CDN优化规则链的弱点构造出更多规则修改正常数据包中payload前后缀，规则越多，特殊数据包的种类越多，可以发现更多难以发现的http走私攻击型漏洞，漏报率越低。

S6：通过多线程向目标站点发送正常数据包，获取响应结果B。响应结果B为响应码或者响应体。正常数据包为不包括步骤S2中http走私攻击型漏洞特征数据包中payload的数据包。

S7：比较响应结果A与响应结果B，若响应结果A与响应结果B相同，则判断目标站点不存在http走私攻击型漏洞，否则，判断目标站点存在http走私攻击型漏洞，进入步骤S8。例如，响应结果A与响应结果B均为服务器返回的处理结果，则证明目标站点不存在http走私攻击型漏洞；若响应结果A为响应码403，响应结果B均为服务器返回的处理结果，则证明目标站点存在http走私攻击型漏洞。

S8：筛选判定目标站点存在的http走私攻击型漏洞类型，从数据库中调用对应的修复方案修复http走私攻击型漏洞，为用户提供修复建议，维护企业网络安全。筛选判定过程为根据响应结果A筛选出造成响应结果A的特殊数据包，并根据造成响应结果A的特殊数据包中的payload判定http走私攻击型漏洞类型，可以通过特殊数据包的构造过程反向判断。

该基于http走私攻击的检测方法，从CL.CL、CL.TE、TE.CL、TE.TE四种漏洞类型进行入手，普适性高，能够有效快捷的检测出目标站点存在的http走私攻击型漏洞并提供修复建议，保障企业网络安全，且具有较低的漏报率。

实施例2。

一种基于http走私攻击的检测装置，包括存储器、处理器以及存储在存储器中并可在处理器上运行的计算机程序，处理器执行计算机程序时实现实施例1基于http走私攻击的检测方法。本实施例中，检测装置可以是扫描器，用户将数据包发送至扫描器，扫描器调用api接口检测用户网站是否存在CDN。该基于http走私攻击的检测装置，能够自动化检测出CL.CL、CL.TE、TE.CL、TE.TE四种类型漏洞等，且高效快捷，漏报率低。

最后应当说明的是，以上实施例仅用以说明本发明的技术方案而非对本发明保护范围的限制，尽管参照较佳实施例对本发明作了详细说明，本领域的普通技术人员应当理解，可以对本发明的技术方案进行修改或者等同替换，而不脱离本发明技术方案的实质和范围。

Claims

1.一种基于http走私攻击的检测方法，其特征在于，包括以下步骤：

S1：检测目标站点是否存在CDN，若不存在，进入步骤S2，否则，判断目标站点不存在http走私攻击型漏洞；

S2：根据http走私攻击型漏洞形成原理，构造多个http走私攻击型漏洞特征数据包；

S3：将多个http走私攻击型漏洞特征数据包作为请求数据包发送至目标站点，获取目标站点响应码；

S4：检测目标站点响应码，若检测到目标站点响应码为异常响应码，初步判断目标站点存在http走私攻击型漏洞，进入步骤S6；

否则，判断目标站点不存在http走私攻击型漏洞；

S5：构造特殊数据包，并通过多线程向目标站点发送特殊数据包，获取响应结果A；

S6：通过多线程向目标站点发送正常数据包，获取响应结果B；

S7：比较响应结果A与响应结果B，若响应结果A与响应结果B相同，则判断目标站点不存在http走私攻击型漏洞，否则，判断目标站点存在http走私攻击型漏洞，进入步骤S8；

2.根据权利要求1所述的基于http走私攻击的检测方法，其特征在于，步骤S1中通过远程调用api接口检测目标站点是否存在CDN。

3.根据权利要求1所述的基于http走私攻击的检测方法，其特征在于，步骤S1所述http走私攻击型漏洞包括CL.CL类型漏洞、CL.TE类型漏洞、TE.CL类型漏洞或者TE.TE类型漏洞。

4.根据权利要求1所述的基于http走私攻击的检测方法，其特征在于，步骤S 5异常响应码为405响应码。

5.根据权利要求1所述的基于http走私攻击的检测方法，其特征在于，步骤S5中所述特殊数据包为将步骤S2中http走私攻击型漏洞特征数据包中的payload前后缀进行修改后的数据包。

6.根据权利要求1所述的基于http走私攻击的检测方法，其特征在于，步骤S6中所述正常数据包为不包括步骤S2中http走私攻击型漏洞特征数据包中payload的数据包。

7.根据权利要求1所述的基于http走私攻击的检测方法，其特征在于，步骤S5所述响应结果A和步骤S6中所述响应结果B为响应码或者响应体。

8.根据权利要求1所述的基于http走私攻击的检测方法，其特征在于，步骤S8中根据响应结果A筛选出造成响应结果A的特殊数据包，并根据造成响应结果A的特殊数据包中的payload判定http走私攻击型漏洞类型。

9.一种基于http走私攻击的检测装置，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现如权利要求1至6所述的基于http走私攻击的检测方法。