CN112769833A - 命令注入攻击的检测方法、装置、计算机设备和存储介质 - Google Patents

命令注入攻击的检测方法、装置、计算机设备和存储介质 Download PDF

Info

Publication number
CN112769833A
CN112769833A CN202110037147.8A CN202110037147A CN112769833A CN 112769833 A CN112769833 A CN 112769833A CN 202110037147 A CN202110037147 A CN 202110037147A CN 112769833 A CN112769833 A CN 112769833A
Authority
CN
China
Prior art keywords
injection attack
data
command injection
data packet
rule
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN202110037147.8A
Other languages
English (en)
Other versions
CN112769833B (zh
Inventor
候天齐
梁彧
田野
傅强
王杰
杨满智
蔡琳
金红
陈晓光
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Eversec Beijing Technology Co Ltd
Original Assignee
Eversec Beijing Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Eversec Beijing Technology Co Ltd filed Critical Eversec Beijing Technology Co Ltd
Priority to CN202110037147.8A priority Critical patent/CN112769833B/zh
Publication of CN112769833A publication Critical patent/CN112769833A/zh
Application granted granted Critical
Publication of CN112769833B publication Critical patent/CN112769833B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/06—Management of faults, events, alarms or notifications
    • H04L41/0631—Management of faults, events, alarms or notifications using root cause analysis; using analysis of correlation between notifications, alarms or events based on decision criteria, e.g. hierarchy, tree or time analysis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1466—Active attacks involving interception, injection, modification, spoofing of data unit addresses, e.g. hijacking, packet injection or TCP sequence number attacks

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

本发明公开了一种命令注入攻击的检测方法、装置、计算机设备和存储介质。该方法包括：通过深度报文检测设备实时获取流量数据，所述深度报文检测设备为在服务器旁路部署；对流量数据进行解析，获取多种协议类型的数据包，并将各所述数据包与命令注入攻击规则进行匹配；如果确定目标数据包与命令注入攻击规则相匹配，则阻断数据包发送方的流量数据，并进行命令注入攻击告警。使用本发明的技术方案，可以实现在保证Web应用服务器正常业务进行的同时，实时检测并阻断SQL注入攻击，提高了Web应用服务器的安全性。

Description

命令注入攻击的检测方法、装置、计算机设备和存储介质
技术领域
本发明实施例涉及信息安全和攻击检测技术，尤其涉及一种命令注入攻击的检测方法、装置、计算机设备和存储介质。
背景技术
命令注入攻击也即SQL(Structured Query Language，结构化查询语言)注入攻击属于数据库安全攻击手段之一，攻击者把SQL命令插入到Web表单的输入域或页面请求的查询字符串中，欺骗服务器执行恶意的SQL命令，从而达到入侵数据库乃至操作系统的目的。
现有技术中，将数据库安全防护系统串联部署在Web应用服务器和外网链路中间，通过数据库安全防护系统对SQL注入攻击进行检测。但是数据库安全防护系统一旦出现单点故障，会影响Web应用服务器的正常业务运行。并且，数据库安全防护系统只对基于HTTP(HyperText Transfer Protocol，超文本传输协议)协议的数据识别度较高，其他协议数据中存在SQL注入攻击数据时难以检测。
发明内容
本发明实施例提供一种命令注入攻击的检测方法、装置、计算机设备和存储介质，以实现在保证Web应用服务器正常业务进行的同时，实时检测并阻断SQL注入攻击，提高了Web应用服务器的安全性。
第一方面，本发明实施例提供了一种命令注入攻击的检测方法，该方法包括：
通过深度报文检测设备实时获取流量数据，所述深度报文检测设备为在服务器旁路部署；
对流量数据进行解析，获取多种协议类型的数据包，并将各所述数据包与命令注入攻击规则进行匹配；
如果确定目标数据包与命令注入攻击规则相匹配，则阻断数据包发送方的流量数据，并进行命令注入攻击告警。
第二方面，本发明实施例还提供了一种命令注入攻击的检测装置，该装置包括：
流量数据获取模块，用于通过深度报文检测设备实时获取流量数据，所述深度报文检测设备为在服务器旁路部署；
数据包匹配模块，用于对流量数据进行解析，获取多种协议类型的数据包，并将各所述数据包与命令注入攻击规则进行匹配；
流量数据阻断模块，用于如果确定目标数据包与命令注入攻击规则相匹配，则阻断数据包发送方的流量数据，并进行命令注入攻击告警。
第三方面，本发明实施例还提供了一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现如本发明实施例中任一所述的命令注入攻击的检测方法。
第四方面，本发明实施例还提供了一种包含计算机可执行指令的存储介质，所述计算机可执行指令在由计算机处理器执行时用于执行如本发明实施例中任一所述的命令注入攻击的检测方法。
本发明实施例通过在服务器旁路部署深度报文检测设备，通过深度报文检测设备实时采集流量数据，并对流量数据进行解析，将解析出的基于多种协议类型的数据包与命令注入攻击规则进行匹配，当匹配成功时，阻断数据包发送方的流量数据，并进行命令注入攻击告警。解决了现有技术中通过数据库安全防护系统对命令注入攻击进行检测的方式，在数据库安全防护系统出现故障时影响服务器正常业务运行的问题，以及数据库安全防护系统对除HTTP协议数据之外的其他协议类型数据难以检测的问题，实现了在保证Web应用服务器正常业务进行的同时，实时检测并阻断SQL注入攻击，提高了Web应用服务器的安全性。
附图说明
图1是本发明实施例一中的一种命令注入攻击的检测方法的流程图；
图2a是本发明实施例二中的一种命令注入攻击的检测方法的流程图；
图2b是本发明具体适用场景一中的DPI设备部署示意图；
图3是本发明实施例三中的一种命令注入攻击的检测装置的结构示意图；
图4是本发明实施例四中的一种计算机设备的结构示意图。
具体实施方式
下面结合附图和实施例对本发明作进一步的详细说明。可以理解的是，此处所描述的具体实施例仅仅用于解释本发明，而非对本发明的限定。另外还需要说明的是，为了便于描述，附图中仅示出了与本发明相关的部分而非全部结构。
实施例一
图1是本发明实施例一提供的一种命令注入攻击的检测方法的流程图，本实施例可适用于实时进行命令注入攻击检测，并在检测到命令注入攻击时及时进行阻断的情况，该方法可以由命令注入攻击的检测装置来执行，该装置可以由软件和/或硬件来实现，并一般集成在计算机设备中。
如图1所示，本发明实施例的技术方案，具体包括如下步骤：
S110、通过深度报文检测设备实时获取流量数据，所述深度报文检测设备为在服务器旁路部署。
其中，深度报文检测(Deep Packet Inspection，DPI)设备可以实现对网络的关键点处的流量和报文内容进行检测分析，可以根据事先定义的策略对检测流量进行过滤控制。DPI设备可以实时获取服务器的流量数据。
现有技术中的数据库防护系统是以串联的方式部署在服务器和网络链路中间，当数据库防护系统出现单点故障时，会影响服务器和网络链路的正常通信，妨碍正常业务运行。
在本发明实施例中，在服务器的旁路部署DPI设备，由DPI设备对服务器的流量数据进行采集和解析。旁路部署DPI设备的好处在于，即使DPI设备出现单点故障，也不影响服务器和网络链路之间的正常通信，保证了服务器业务的正常运行。
S120、对流量数据进行解析，获取多种协议类型的数据包，并将各所述数据包与命令注入攻击规则进行匹配。
协议类型用于表示数据包发送方与服务器之间的通信规则，协议类型可以包括多种，示例性的，HTTPS协议、SNMP(Simple Network Management P，简单网络管理)协议、FTP(File Transfer Protocol，文件传输协议)协议或者ICMP(Internet Control MessageProtocol，Internet控制信息协议)协议等。典型的，协议类型可以包括HTTP协议和/或SQL协议。
数据包是通信传输中的数据单位，数据包中包括发送方和接收方的地址信息，并根据对应的协议类型进行通信传输。
命令注入攻击规则可以是SQL注入攻击的特征字符或特征字段，SQL注入攻击的实质是通过操作输入来修改SQL语句，从而使服务器执行恶意的SQL命令，因此，SQL注入攻击语句中通常都包含某些特殊的字符或字段。因此，通过命令注入攻击规则的匹配，即可识别SQL注入攻击语句，从而确定存在SQL注入攻击行为。命令注入攻击规则还可以包括数据包发送方黑名单，每检测到一次SQL注入攻击行为时，即将数据包发送方加入黑名单，当检测到目标数据包的数据发送方位于黑名单内，即可确定为存在SQL注入攻击行为。
现有技术中的数据库防护系统在对流量数据进行SQL注入攻击检测的过程中，存在协议类型识别能力有限的问题，仅对基于HTTP协议的数据识别度较高，对其他协议类型的数据识别度较低。
在本发明实施例中，DPI设备对采集到的流量数据进行解析，可以识别出基于多种协议类型的数据包，将数据包中的数据内容与命令注入攻击规则进行匹配，即可实现SQL注入攻击的检测。实现了对流量数据的精准的协议解析，提高了对数据包信息识别的准确性，从而提高了SQL注入攻击检测的准确性。
S130、如果确定目标数据包与命令注入攻击规则相匹配，则阻断数据包发送方的流量数据，并进行命令注入攻击告警。
在本发明实施例中，DPI设备可以根据目标数据包的发送方地址信息确定数据包发送方。在一次SQL注入攻击行为中，数据包发送方也即攻击方会向服务器发送多个数据包，服务器接收到多个数据包后将各数据包进行结合，执行对应的恶意SQL命令后才构成一次完整的SQL注入攻击行为。
当目标数据包与命令注入攻击规则相匹配时，说明目标数据包中存在SQL注入攻击语句，可以确定存在SQL注入攻击行为。DPI设备可以阻断数据包发送方与服务器之间的通信链接，从而阻断了SQL注入攻击流量数据来源，使数据包发送方无法再发送后续的数据包，因此无法构成一次完整的SQL注入攻击行为，阻止了SQL注入攻击。
同时，当检测到存在SQL注入攻击行为时，可以进行SQL注入攻击的告警提示，以通知网络管理人员及时对SQL注入攻击行为进行处理。
本实施例的技术方案，通过在服务器旁路部署深度报文检测设备，通过深度报文检测设备实时采集流量数据，并对流量数据进行解析，将解析出的基于多种协议类型的数据包与命令注入攻击规则进行匹配，当匹配成功时，阻断数据包发送方的流量数据，并进行命令注入攻击告警。解决了现有技术中通过数据库安全防护系统对命令注入攻击进行检测的方式，在数据库安全防护系统出现故障时影响服务器正常业务运行的问题，以及数据库安全防护系统对除HTTP协议数据之外的其他协议类型数据难以检测的问题，实现了在保证Web应用服务器正常业务进行的同时，实时检测并阻断SQL注入攻击，提高了Web应用服务器的安全性。
实施例二
图2a是本发明实施例二提供的一种命令注入攻击的检测方法的流程图，本发明实施例在上述实施例的基础上，对实时获取流量数据的过程、对流量数据进行解析的过程、将数据包与命令注入攻击规则进行匹配的过程以及阻断数据包发送方流量数据的过程进行了进一步的具体化。
相应的，如图2a所示，本发明实施例的技术方案，具体包括如下步骤：
S210、通过深度报文检测设备实时获取引流设备获取、复制并发送的流量数据。
在本发明实施例中，在服务器和外网链路中设置引流设备。可选的，所述引流设备可以为网络分流器、防火墙或者三层流量交换机。
优选的，可以采用网络分流器作为引流设备，网络分流器可以将数据发送方发送到服务器的数据进行复制，并转发到DPI设备。相比于防火墙或者三层流量交换机，网络分流器具有更强的专一性，传输流量数据的速度也更加快速。
在本发明实施例中，引流设备实时获取流量数据，并将复制后的流量数据转发至DPI设备，由DPI设备进行流量数据的解析。
S220、通过深度报文检测设备对获取的流量数据进行协议类型解析，获取多种协议类型的数据包。
在本发明实施例中，DPI设备可以实现对流量数据的协议识别，从而获取基于多种协议类型的数据包。
S230、将各所述数据包输入至规则匹配模型中，通过规则匹配模型对各所述数据包与命令注入攻击规则进行匹配。
在本发明实施例中，可以通过预先训练得到的规则匹配模型，对DPI设备解析得到的数据包进行SQL注入攻击规则的匹配。
规则匹配模型可以根据多个包含SQL注入攻击语句的数据包以及预设的机器学习模型进行训练得到，本实施例对规则匹配模型的训练过程和具体训练方式不进行限制。
所述命令注入攻击规则可以包括命令注入攻击规则库中预存的各命令注入攻击规则，以及对预存的各命令注入攻击规则进行关联和/或组合后形成的命令注入攻击规则。
在本发明实施例中，DPI设备可以预存命令注入攻击规则库，命令注入攻击规则库中包括多种SQL注入攻击规则，规则匹配模型在对数据包进行SQL注入攻击规则的匹配时，不仅可以将数据包与预存的SQL注入攻击规则进行特征匹配，还可以将数据包与各SQL注入攻击规则的关联、组合或者变种之后获得的新SQL注入攻击规则进行特征匹配。
S240、判断是否存在目标数据包与命令注入攻击规则相匹配，如果是，则执行S250，否则返回执行S210。
在本发明实施例中，如果目标数据包与命令注入攻击规则相匹配，说明存在SQL注入攻击行为。
S250、向数据包发送方发送重置连接数据包，以阻断数据包发送方继续发送流量数据。
重置连接数据包，也即RST(Reset)数据包，RST数据包用于强制关闭数据包发送方与服务器之间的链接。
DPI设备在确定目标数据包与命令注入攻击规则相匹配时，通过目标数据包中的发送方地址信息，获取目标数据包对应的数据包发送方，并向目标数据包对应的数据包发送方发送RST数据包，以断开目标数据包对应的数据包发送方与服务器之间的链接，阻断SQL注入攻击的流量数据来源。
S260、进行命令注入攻击告警。返回执行S210。
DPI设备在向数据包发送方发送RST数据包的同时，还会进行SQL注入攻击的告警提示。
本实施例的技术方案，通过在服务器旁路部署深度报文检测设备，通过深度报文检测设备实时采集引流设备复制并发送过来的流量数据，并对流量数据进行解析，将解析出的基于多种协议类型的数据包与命令注入攻击规则进行匹配，当匹配成功时，向数据包发送方发送重置连接数据包，以阻断数据包发送方的流量数据，并进行命令注入攻击告警。解决了现有技术中通过数据库安全防护系统对命令注入攻击进行检测的方式，在数据库安全防护系统出现故障时影响服务器正常业务运行的问题，以及数据库安全防护系统对除HTTP协议数据之外的其他协议类型数据难以检测的问题，实现了在保证Web应用服务器正常业务进行的同时，实时检测并阻断SQL注入攻击，提高了Web应用服务器的安全性。
具体适用场景一
图2b是本发明具体适用场景一中的DPI设备部署示意图，如图2b所示，外网链路和Web应用服务器之间设置有汇聚分流设备，也即上述实施例中的引流设备，DPI设备在服务器旁路部署。汇聚分流设备将外网链路发送的流量数据复制并转发至DPI设备。DPI设备对采集到的流量数据进行协议识别，获取多种协议类型的数据包，将数据包与DPI设备中已设定的SQL注入攻击规则进行匹配，如果能够匹配，则说明该数据包对应的原始流量数据中存在SQL注入攻击行为。DPI设备识别该数据包的发送方，也即攻击者，并向攻击者发送RST数据包以封堵对应的SQL注入攻击流量数据，DPI设备还会通过发送邮件或短信的方式进行告警提示，通知网络管理人员存在SQL注入攻击行为。如果没有匹配，DPI设备则实时监测并记录流量数据的相关信息。
实施例三
图3是本发明实施例三提供的一种命令注入攻击的检测装置的结构示意图，该装置包括：流量数据获取模块310、数据包匹配模块320以及流量数据阻断模块330，其中：
流量数据获取模块310，用于通过深度报文检测设备实时获取流量数据，所述深度报文检测设备为在服务器旁路部署；
数据包匹配模块320，用于对流量数据进行解析，获取多种协议类型的数据包，并将各所述数据包与命令注入攻击规则进行匹配；
流量数据阻断模块330，用于如果确定目标数据包与命令注入攻击规则相匹配，则阻断数据包发送方的流量数据，并进行命令注入攻击告警。
本实施例的技术方案，通过在服务器旁路部署深度报文检测设备，通过深度报文检测设备实时采集流量数据，并对流量数据进行解析，将解析出的基于多种协议类型的数据包与命令注入攻击规则进行匹配，当匹配成功时，阻断数据包发送方的流量数据，并进行命令注入攻击告警。解决了现有技术中通过数据库安全防护系统对命令注入攻击进行检测的方式，在数据库安全防护系统出现故障时影响服务器正常业务运行的问题，以及数据库安全防护系统对除HTTP协议数据之外的其他协议类型数据难以检测的问题，实现了在保证Web应用服务器正常业务进行的同时，实时检测并阻断SQL注入攻击，提高了Web应用服务器的安全性。
在上述实施例的基础上，所述流量数据获取模块310，用于：
通过深度报文检测设备实时获取引流设备获取、复制并发送的流量数据。
在上述实施例的基础上，所述引流设备为网络分流器、防火墙或者三层流量交换机。
在上述实施例的基础上，所述数据包匹配模块320，包括：
协议类型解析单元，用于通过深度报文检测设备对获取的流量数据进行协议类型解析，获取多种协议类型的数据包；
所述协议类型包括超文本传输协议和/或结构化查询语言协议。
在上述实施例的基础上，所述数据包匹配模块320，包括：
规则匹配单元，用于将各所述数据包输入至规则匹配模型中，通过规则匹配模型对各所述数据包与命令注入攻击规则进行匹配。
在上述实施例的基础上，所述命令注入攻击规则包括命令注入攻击规则库中预存的各命令注入攻击规则，以及对预存的各命令注入攻击规则进行关联和/或组合后形成的命令注入攻击规则。
在上述实施例的基础上，所述流量数据阻断模块330，包括：
重置连接数据包发送单元，用于向数据包发送方发送重置连接数据包，以阻断数据包发送方继续发送流量数据。
本发明实施例所提供的命令注入攻击的检测装置可执行本发明任意实施例所提供的命令注入攻击的检测方法，具备执行方法相应的功能模块和有益效果。
实施例四
图4为本发明实施例四提供的一种计算机设备的结构示意图，如图4所示，该计算机设备包括处理器70、存储器71、输入装置72和输出装置73；计算机设备中处理器70的数量可以是一个或多个，图4中以一个处理器70为例；计算机设备中的处理器70、存储器71、输入装置72和输出装置73可以通过总线或其他方式连接，图4中以通过总线连接为例。
存储器71作为一种计算机可读存储介质，可用于存储软件程序、计算机可执行程序以及模块，如本发明实施例中的命令注入攻击的检测方法对应的模块(例如，命令注入攻击的检测装置中的流量数据获取模块310、数据包匹配模块320以及流量数据阻断模块330)。处理器70通过运行存储在存储器71中的软件程序、指令以及模块，从而执行计算机设备的各种功能应用以及数据处理，即实现上述的命令注入攻击的检测方法。该方法包括：
通过深度报文检测设备实时获取流量数据，所述深度报文检测设备为在服务器旁路部署；
对流量数据进行解析，获取多种协议类型的数据包，并将各所述数据包与命令注入攻击规则进行匹配；
如果确定目标数据包与命令注入攻击规则相匹配，则阻断数据包发送方的流量数据，并进行命令注入攻击告警。
存储器71可主要包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需的应用程序；存储数据区可存储根据终端的使用所创建的数据等。此外，存储器71可以包括高速随机存取存储器，还可以包括非易失性存储器，例如至少一个磁盘存储器件、闪存器件、或其他非易失性固态存储器件。在一些实例中，存储器71可进一步包括相对于处理器70远程设置的存储器，这些远程存储器可以通过网络连接至计算机设备。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。
输入装置72可用于接收输入的数字或字符信息，以及产生与计算机设备的用户设置以及功能控制有关的键信号输入。输出装置73可包括显示屏等显示设备。
实施例五
本发明实施例五还提供一种包含计算机可执行指令的存储介质，所述计算机可执行指令在由计算机处理器执行时用于执行一种命令注入攻击的检测方法，该方法包括：
通过深度报文检测设备实时获取流量数据，所述深度报文检测设备为在服务器旁路部署；
对流量数据进行解析，获取多种协议类型的数据包，并将各所述数据包与命令注入攻击规则进行匹配；
如果确定目标数据包与命令注入攻击规则相匹配，则阻断数据包发送方的流量数据，并进行命令注入攻击告警。
当然，本发明实施例所提供的一种包含计算机可执行指令的存储介质，其计算机可执行指令不限于如上所述的方法操作，还可以执行本发明任意实施例所提供的命令注入攻击的检测方法中的相关操作。
通过以上关于实施方式的描述，所属领域的技术人员可以清楚地了解到，本发明可借助软件及必需的通用硬件来实现，当然也可以通过硬件实现，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在计算机可读存储介质中，如计算机的软盘、只读存储器(Read-Only Memory,ROM)、随机存取存储器(RandomAccess Memory,RAM)、闪存(FLASH)、硬盘或光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。
值得注意的是，上述命令注入攻击的检测装置的实施例中，所包括的各个单元和模块只是按照功能逻辑进行划分的，但并不局限于上述的划分，只要能够实现相应的功能即可；另外，各功能单元的具体名称也只是为了便于相互区分，并不用于限制本发明的保护范围。
注意，上述仅为本发明的较佳实施例及所运用技术原理。本领域技术人员会理解，本发明不限于这里所述的特定实施例，对本领域技术人员来说能够进行各种明显的变化、重新调整和替代而不会脱离本发明的保护范围。因此，虽然通过以上实施例对本发明进行了较为详细的说明，但是本发明不仅仅限于以上实施例，在不脱离本发明构思的情况下，还可以包括更多其他等效实施例，而本发明的范围由所附的权利要求范围决定。

Claims (10)

1.一种命令注入攻击的检测方法，其特征在于，包括：
通过深度报文检测设备实时获取流量数据，所述深度报文检测设备为在服务器旁路部署；
对流量数据进行解析，获取多种协议类型的数据包，并将各所述数据包与命令注入攻击规则进行匹配；
如果确定目标数据包与命令注入攻击规则相匹配，则阻断数据包发送方的流量数据，并进行命令注入攻击告警。
2.根据权利要求1所述的方法，其特征在于，通过深度报文检测设备实时获取流量数据，包括：
通过深度报文检测设备实时获取引流设备获取、复制并发送的流量数据。
3.根据权利要求2所述的方法，其特征在于，所述引流设备为网络分流器、防火墙或者三层流量交换机。
4.根据权利要求1所述的方法，其特征在于，对流量数据进行解析，获取多种协议类型的数据包，包括：
通过深度报文检测设备对获取的流量数据进行协议类型解析，获取多种协议类型的数据包；
所述协议类型包括超文本传输协议和/或结构化查询语言协议。
5.根据权利要求4所述的方法，其特征在于，将各所述数据包与命令注入攻击规则进行匹配，包括：
将各所述数据包输入至规则匹配模型中，通过规则匹配模型对各所述数据包与命令注入攻击规则进行匹配。
6.根据权利要求5所述的方法，其特征在于，所述命令注入攻击规则包括命令注入攻击规则库中预存的各命令注入攻击规则，以及对预存的各命令注入攻击规则进行关联和/或组合后形成的命令注入攻击规则。
7.根据权利要求1所述的方法，其特征在于，阻断数据包发送方的流量数据，包括：
向数据包发送方发送重置连接数据包，以阻断数据包发送方继续发送流量数据。
8.一种命令注入攻击的检测装置，其特征在于，包括：
流量数据获取模块，用于通过深度报文检测设备实时获取流量数据，所述深度报文检测设备为在服务器旁路部署；
数据包匹配模块，用于对流量数据进行解析，获取多种协议类型的数据包，并将各所述数据包与命令注入攻击规则进行匹配；
流量数据阻断模块，用于如果确定目标数据包与命令注入攻击规则相匹配，则阻断数据包发送方的流量数据，并进行命令注入攻击告警。
9.一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求1-7中任一所述的命令注入攻击的检测方法。
10.一种包含计算机可执行指令的存储介质，其特征在于，所述计算机可执行指令在由计算机处理器执行时用于执行如权利要求1-7中任一所述的命令注入攻击的检测方法。
CN202110037147.8A 2021-01-12 2021-01-12 命令注入攻击的检测方法、装置、计算机设备和存储介质 Active CN112769833B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202110037147.8A CN112769833B (zh) 2021-01-12 2021-01-12 命令注入攻击的检测方法、装置、计算机设备和存储介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202110037147.8A CN112769833B (zh) 2021-01-12 2021-01-12 命令注入攻击的检测方法、装置、计算机设备和存储介质

Publications (2)

Publication Number Publication Date
CN112769833A true CN112769833A (zh) 2021-05-07
CN112769833B CN112769833B (zh) 2023-01-24

Family

ID=75701611

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202110037147.8A Active CN112769833B (zh) 2021-01-12 2021-01-12 命令注入攻击的检测方法、装置、计算机设备和存储介质

Country Status (1)

Country Link
CN (1) CN112769833B (zh)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113486343A (zh) * 2021-07-13 2021-10-08 深信服科技股份有限公司 一种攻击行为的检测方法、装置、设备和介质
CN114386023A (zh) * 2021-12-30 2022-04-22 恒安嘉新（北京）科技股份公司 终端数据检测方法、装置、计算机设备及存储介质
CN114900352A (zh) * 2022-04-25 2022-08-12 中国工商银行股份有限公司 旁路阻断方法、装置、电子设备、介质和程序产品
CN115348096A (zh) * 2022-08-15 2022-11-15 中国电信股份有限公司 命令注入漏洞检测方法、系统、设备及存储介质

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101388763A (zh) * 2007-09-12 2009-03-18 北京启明星辰信息技术有限公司 一种支持多种数据库类型的sql注入攻击检测系统
CN101425937A (zh) * 2007-11-02 2009-05-06 北京启明星辰信息技术有限公司 一种适于高速局域网环境的sql注入攻击检测系统
CN104135490A (zh) * 2014-08-14 2014-11-05 浪潮(北京)电子信息产业有限公司 入侵检测系统分析方法和入侵检测系统
WO2018018699A1 (zh) * 2016-07-29 2018-02-01 广州市乐商软件科技有限公司 网站脚本攻击防范方法及装置
CN107657174A (zh) * 2016-07-26 2018-02-02 北京计算机技术及应用研究所 一种基于协议指纹的数据库入侵检测方法
CN110417679A (zh) * 2018-04-26 2019-11-05 阿里巴巴集团控股有限公司 规避旁路阻断的方法、装置和系统

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101388763A (zh) * 2007-09-12 2009-03-18 北京启明星辰信息技术有限公司 一种支持多种数据库类型的sql注入攻击检测系统
CN101425937A (zh) * 2007-11-02 2009-05-06 北京启明星辰信息技术有限公司 一种适于高速局域网环境的sql注入攻击检测系统
CN104135490A (zh) * 2014-08-14 2014-11-05 浪潮(北京)电子信息产业有限公司 入侵检测系统分析方法和入侵检测系统
CN107657174A (zh) * 2016-07-26 2018-02-02 北京计算机技术及应用研究所 一种基于协议指纹的数据库入侵检测方法
WO2018018699A1 (zh) * 2016-07-29 2018-02-01 广州市乐商软件科技有限公司 网站脚本攻击防范方法及装置
CN110417679A (zh) * 2018-04-26 2019-11-05 阿里巴巴集团控股有限公司 规避旁路阻断的方法、装置和系统

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113486343A (zh) * 2021-07-13 2021-10-08 深信服科技股份有限公司 一种攻击行为的检测方法、装置、设备和介质
CN114386023A (zh) * 2021-12-30 2022-04-22 恒安嘉新（北京）科技股份公司 终端数据检测方法、装置、计算机设备及存储介质
CN114900352A (zh) * 2022-04-25 2022-08-12 中国工商银行股份有限公司 旁路阻断方法、装置、电子设备、介质和程序产品
CN115348096A (zh) * 2022-08-15 2022-11-15 中国电信股份有限公司 命令注入漏洞检测方法、系统、设备及存储介质
CN115348096B (zh) * 2022-08-15 2023-12-19 中国电信股份有限公司 命令注入漏洞检测方法、系统、设备及存储介质

Also Published As

Publication number Publication date
CN112769833B (zh) 2023-01-24

Similar Documents

Publication Publication Date Title
CN112887274B (zh) 命令注入攻击的检测方法、装置、计算机设备和存储介质
CN112769833B (zh) 命令注入攻击的检测方法、装置、计算机设备和存储介质
US9848016B2 (en) Identifying malicious devices within a computer network
CN106411562B (zh) 一种电力信息网络安全联动防御方法及系统
US6279113B1 (en) Dynamic signature inspection-based network intrusion detection
KR100468232B1 (ko) 분산된 침입탐지 에이전트와 관리자 시스템을 이용한네트워크 기반 침입자 역추적 시스템 및 그 방법
US20050182950A1 (en) Network security system and method
US11463459B2 (en) Network security intrusion detection
CN104811449A (zh) 检测撞库攻击方法及系统
EP4060958B1 (en) Attack behavior detection method and apparatus, and attack detection device
CN109302421A (zh) 应用系统安全防护策略优化方法及装置
CN106302450A (zh) 一种基于ddos攻击中恶意地址的检测方法及装置
CN112822223B (zh) 一种dns隐蔽隧道事件自动化检测方法、装置和电子设备
CN113347184A (zh) 网络流量安全检测引擎的测试方法、装置、设备及介质
CN113098852A (zh) 一种日志处理方法及装置
CN109190408B (zh) 一种数据信息的安全处理方法及系统
KR101022167B1 (ko) 네트워크 자산의 취약성을 고려한 침입탐지시스템의로그최적화 장치
CN113037779B (zh) 一种积极防御系统中的智能自学习白名单方法和系统
CN113328976B (zh) 一种安全威胁事件识别方法、装置及设备
CN112565259B (zh) 过滤dns隧道木马通信数据的方法及装置
CN114050917A (zh) 音频数据的处理方法、装置、终端、服务器及存储介质
CN113596058A (zh) 一种恶意地址的处理方法、装置、计算机设备和存储介质
KR100870871B1 (ko) 액세스레벨에서의 유해트래픽 차단장치 및 보안시스템
CN114785542B (zh) 一种木马检测方法、系统、电子设备和存储介质
CN118138272A (zh) 一种正则表达式拒绝服务攻击的防御方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
CB03 Change of inventor or designer information

Inventor after: Hou Tianqi

Inventor after: Liang Yu

Inventor after: Tian Ye

Inventor after: Fu Qiang

Inventor after: Wang Jie

Inventor after: Yang Manzhi

Inventor after: Cai Lin

Inventor after: Jin Hong

Inventor after: Chen Xiaoguang

Inventor before: Waiting for tianqi

Inventor before: Liang Yu

Inventor before: Tian Ye

Inventor before: Fu Qiang

Inventor before: Wang Jie

Inventor before: Yang Manzhi

Inventor before: Cai Lin

Inventor before: Jin Hong

Inventor before: Chen Xiaoguang

CB03 Change of inventor or designer information
GR01 Patent grant
GR01 Patent grant