CN113395255B

CN113395255B - 一种autossh反向代理检测方法、系统、设备及可读存储介质

Info

Publication number: CN113395255B
Application number: CN202110483528.9A
Authority: CN
Inventors: 马小博; 瞿建; 王鑫; 卞华峰; 潘鹏宇; 李森
Original assignee: Xian Jiaotong University
Current assignee: Xian Jiaotong University
Priority date: 2021-04-30
Filing date: 2021-04-30
Publication date: 2022-07-12
Anticipated expiration: 2041-04-30
Also published as: CN113395255A

Abstract

本发明公开了一种autossh反向代理检测方法、系统、设备及可读存储介质，通过先对待检测流量按照内网IP进行归类，然后再再按照TCP流进行归类，对一个IP地址的每个TCP流进行autossh心跳流匹配测试，如果某个TCP流匹配成功，则对TCP流匹配成功的IP地址的每个TCP流进行autossh数据流匹配测试，如果存在某个TCP流匹配成功，则说明流量中存在autossh搭建的反向代理，否则说明流量中不存在autossh搭建的反向代理，本发明基于autossh的TCP流特征对数据包进行检测，采用层次化的快速流匹配模型，能够高效、快速、精准的对autossh反向代理流量进行识别。本发明autossh反向代理检测方法复杂度低，匹配速度块，可以适用于大规模网络管理的情况。

Description

一种autossh反向代理检测方法、系统、设备及可读存储介质

技术领域

本发明属于网络安全与流量分析领域，尤其涉及到一种autossh反向代理检测方法、系统、设备及可读存储介质。

背景技术

近些年来，互联网上各式各样的攻击层出不穷，网络安全成为了保护广大人民群众财产重中之重。防火墙是最常见的网络防护之一，是通过结合各类用于安全管理与筛选的软件和硬件设备，帮助计算机网络于其内、外网之间构建一道相对隔绝的保护屏障，以保护用户资料与信息安全性的一种技术一般来说，一些高校、科研院所、政府部门会在防火墙中规定访问的权限，只有部分内网的IP地址才能访问一些敏感资源，例如教务系统、科研管理系统、内网资源站等网站。同时，防火墙也可能限制了绝大部分的端口外部开放，一些敏感端口通常需要管理部门的备案，如22、135、445、3389等端口。

虽然上述的防火墙策略能够限制外部设备对内部网络进行访问，但是也给内部人员造成了不便。如果内部人员由于出差等原因离开了内网环境，那么很难对内部网络资源进行访问。一些部门会提供VPN用以远程接入内网，但是一些没有账号的合作单位仍然无法访问内网资源。鉴于此种情况，一些内部员工可能会自己搭建反向代理来绕过防火墙的限制策略，从而能够做到外部对内网进行访问。网络管理员很难知道这种反向代理的存在，也很难对此进行有效的防护，因此无形间增加了整个内网的攻击面，也减弱了网络的安全性。在linux等系统中，通常系统工具ssh可以用来建立反向隧道。不幸的是这种ssh反向链接会因为超时而关闭，因此逐渐被autossh所替代，大多数反向隧道均采用了autossh进行搭建。Autossh采用了ssh作为技术支撑，并在此基础之上添加了隧道监视端口，用以处理异常，以建立稳定、长久的反向连接。因此，对autossh的反向代理进行检测是是一个具有极高应用价值的问题，是目前亟需解决的问题。

发明内容

本发明的目的在于提供一种autossh反向代理检测方法、系统、设备及可读存储介质，以克服现有技术的不足。

为达到上述目的，本发明采用如下技术方案：

一种autossh反向代理检测方法，包括以下步骤：

S1，对待检测流量按照内网IP进行归类；

S2，将步骤S1中按IP分类后的流再按照TCP流进行归类；

S3，对一个IP地址的每个TCP流进行autossh心跳流匹配测试，如果某个TCP流匹配成功，则进行步骤S4，否则说明流量中不存在autossh搭建的反向代理；

S4，对TCP流匹配成功的IP地址的每个TCP流进行autossh数据流匹配测试，如果存在某个TCP流匹配成功，则说明流量中存在autossh搭建的反向代理。

进一步的，在等间隔时间内利用代理服务器发送心跳数据包。

进一步的，对按照内网IP进行归类后的每个IP的流量分别处理。

进一步的，进行autossh心跳流匹配测试具体包括以下步骤：

a：输入待匹配的TC P流，统计该TCP流的数据包个数，如果该数据包个数小于100个，则认为数据量不足以进行判别，返回匹配失败；如果数据包个数大于等于100个，则进行下一步；

b：计算该TCP流的上行、下行数据总比特数，计算上下行数据量之比，若比值在设定心跳流数据量阈值内，则进行下一步，反之匹配失败；

c：将心跳流数据包按长度分割方法分隔，计算输入TCP流数据包的长度分布；与分隔后的心跳流占比计算JS散度作为距离的度量，如果JS散度小于0.02，则进行下一步，反之匹配失败；

d：统计输入TCP流中每个两个相邻数据包之间的时间间隔，如果时间间隔均在[0,2]∪[595,605]的区间之内，则匹配成功，反之匹配失败。

进一步的，设定心跳流数据量阈值为[0.95,1.05]。

进一步的，进行autossh数据流匹配测试具体包括以下步骤：

步骤1：输入待匹配的TCP流，统计该TCP流的数据包个数，如果该数据包个数小于100000个，则认为数据量不足以进行判别，返回匹配失败；如果数据包个数大于等于100000个，则进行下一步。

步骤2：计算该TCP流的上行、下行数据总比特数，计算上下行数据量之比，若比值在设定数据流阈值范围内，则进行下一步，反之匹配失败。

步骤3：按照表1中的长度分割方法，计算输入的TCP流数据包的长度分布；接着与表1中的流B占比计算JS散度作为距离的度量，如果JS散度小于0.02，则匹配成功，反之匹配失败。

进一步的，数据流阈值范围为[10,30]。

一种autossh反向代理检测系统，包括IP归类模块、TCP分类模块和匹配模块；

IP归类模块用于将待检测流量按照内网IP进行归类，将分类后的结果传输至TCP分类模块，TCP分类模块根据IP分类后的流再按照TCP流进行归类；匹配模块根据TCP流分类后的结果对一个IP地址的每个TCP流进行autossh心跳流匹配测试，如果某个TCP流匹配成功，对TCP流匹配成功的IP地址的每个TCP流进行autossh数据流匹配测试，如果存在某个TCP流匹配成功，则说明流量中存在autossh搭建的反向代理；否则说明流量中不存在autossh搭建的反向代理。

一种终端设备，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现上述autossh反向代理的检测方法的步骤。

一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，所述计算机程序被处理器执行时实现上述autossh反向代理的检测方法的步骤。

与现有技术相比，本发明具有以下有益的技术效果：

本发明一种autossh反向代理检测方法，通过先对待检测流量按照内网IP进行归类，然后再再按照TCP流进行归类，对一个IP地址的每个TCP流进行autossh心跳流匹配测试，如果某个TCP流匹配成功，则对TCP流匹配成功的IP地址的每个TCP流进行autossh数据流匹配测试，如果存在某个TCP流匹配成功，则说明流量中存在autossh搭建的反向代理，否则说明流量中不存在autossh搭建的反向代理，本发明基于autossh的TCP流特征对数据包进行检测，采用层次化的快速流匹配模型，能够高效、快速、精准的对autossh反向代理流量进行识别。本发明autossh反向代理检测方法复杂度低，匹配速度块，可以适用于大规模网络管理的情况。

进一步的，进行autossh数据流匹配测试，参数的阈值可以实际中灵活选取，不依赖于完整的TCP连接，可以选取任意连续时间段的TCP流中的部分数据包进行检测，更能够容易的改写为在线检测算法进行长时间持久监测。

一种autossh反向代理检测系统，基于autossh的TCP流特征，采用层次化的快速流匹配模型，结合多条TCP流的统计特征对autossh进行匹配，能够高效、快速、精准的对autossh反向代理流量进行识别。

附图说明

图1为本发明实施例中系统流程图。

具体实施方式

下面结合附图对本发明做进一步详细描述：

一种autossh反向代理检测方法，包括以下步骤：

S1，对待检测流量按照内网IP进行归类，对每个IP的流量分别处理；

S2，将步骤S1中按IP分类后的流再按照TCP流进行归类；

本发明将autossh的检测分为两个独立的TCP流检测，分别记为流A与流B，当与某个IP地址相关的流量同时出现与流A、流B相似的流量时，即流量同时匹配上了流A、流B，就能够认为该IP地址使用了autossh搭建了反向代理。之后会分别介绍流A与流B的细节，定义流量与流A、流B的匹配过程。

流A表示autossh中的心跳TCP流，每隔10分钟代理服务器会主动发送心跳数据包。如果某条TCP流匹配了流A，则说明该TCP流与流A在特征上相似，记内网向外的数据包方向为上行，反之为下行，根据抓包分析后的结果，流A的上行数据长度与下行数据长度约为1：1，数据包长度分布如表1所示：

表1流A与流B数据包长度分布表

流A的具体匹配过程如下：

a：输入待匹配的TCP流，统计该TCP流的数据包个数，如果该数据包个数小于100个，则认为数据量不足以进行判别，返回匹配失败；如果数据包个数大于等于100个，则进行下一步；

b：计算该TCP流的上行、下行数据总比特数，计算上下行数据量之比，若比值落在区间[0.95,1.05]中，则进行下一步，反之匹配失败；

c：将流A与流B数据包按长度分割方法分隔，如表1所示，计算输入TCP流数据包的长度分布；接着与分隔后的流A占比计算JS散度作为距离的度量，如果JS散度小于0.02，则进行下一步，反之匹配失败；

d：统计输入TCP流中每个两个相邻数据包之间的时间间隔，如果时间间隔均落在[0,2]∪[595,605]的区间之内，则匹配成功，反之匹配失败。

流B主要用来进行反向代理数据传输的通信，用户上传下载的数据均通过流B。如果某条TCP流匹配了流B，则说明该TCP流与流B在特征上相似。根据抓包分析后的结果，流A的上行数据长度与下行数据长度约为20：1。

流B的具体匹配过程如下：

步骤2：计算该TCP流的上行、下行数据总比特数，计算上下行数据量之比，若比值落在区间[10,30]中，则进行下一步，反之匹配失败。

本发明一个实施例中，提供了一种终端设备，该终端设备包括处理器以及存储器，所述存储器用于存储计算机程序，所述计算机程序包括程序指令，所述处理器用于执行所述计算机存储介质存储的程序指令。处理器采用中央处理单元(CPU)，或者采用其他通用处理器、数字信号处理器(DSP)、专用集成电路(ASIC)、现成可编程门阵列(FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等，其是终端的计算核心以及控制核心，其适于实现一条或一条以上指令，具体适于加载并执行一条或一条以上指令从而实现相应方法流程或相应功能；本发明实施例所述的处理器可以用于autossh反向代理检测方法的操作。

实施例：一种autossh反向代理检测系统，如图1所示，能够用于实现上述实施例中的网络可用带宽测量方法，包括IP归类模块、TCP分类模块和匹配模块；

本发明再一个实施例中，本发明还提供了一种存储介质，具体采用计算机可读存储介质(Memory)，所述计算机可读存储介质是终端设备中的记忆设备，用于存放程序和数据。计算机可读存储介质包括终端设备中的内置存储介质，提供存储空间，存储了终端的操作系统，也可包括终端设备所支持的扩展存储介质。并且，在该存储空间中还存放了适于被处理器加载并执行的一条或一条以上的指令，这些指令可以是一个或一个以上的计算机程序(包括程序代码)。需要说明的是，此处的计算机可读存储介质可以是高速RAM存储器，也可以是非不稳定的存储器(Non-volatile memory)，例如至少一个磁盘存储器。可由处理器加载并执行计算机可读存储介质中存放的一条或一条以上指令，以实现上述实施例中有关autossh反向代理检测方法的相应步骤。

实施例：

步骤1:假设现在需要检测IP地址为192.168.0.233的用户是否通过外界主机(IP地址为123.123.123.123)搭建了autossh反向代理，网络管理者收集了其过去一小时内的所有数据包，想要进行检测。过去一小时内，192.168.0.233与123.123.123.123之间一共有3条TCP连接，记为T₁，T₂和T₃，表2中分别列出了其长度分布，其他属性分如下所示：

T₁：613个数据包，相邻数据包时间间隔均在[0,2]∪[595,605]的区间内，上下行传输数据量之比为0.98。

T₂：240184个数据包，存在相邻数据包时间间隔不在[0,2]∪[595,605]的区间内，上下行传输数据量之比为13.42。

T₃：613968个数据包，存在相邻数据包时间间隔不在[0,2]∪[595,605]的区间内，上下行传输数据量之比为15.74。

表2案例中T₁，T₂与T₃的数据包长度分布表

步骤2:顺序遍历T₁，T₂和T₃，计算是否匹配流A。

计算T₁是否与流A匹配：

子步骤1：T₁数据包个数大于100个，进入下一步；

子步骤2：T₁上下行数据量之比为0.98，落在区间[0.95,1.05]中，进入下一步；

子步骤3：T₁与流A的JS散度为0.0089，小于阈值0.02，进入下一步；

子步骤4：T₁相邻数据包时间间隔均在[0,2]∪[595,605]的区间内，匹配成功。

由于T₁与流A匹配，所以不需要再用流A对T₂和T₃进行匹配，直接进入下一步骤。

步骤3:T₁与流A匹配，所以顺序遍历T₂和T₃，计算是否匹配流B。

计算T₂是否与流B匹配：

子步骤1：T₂数据包个数大于100000个，进入下一步；

子步骤2：T₂上下行数据量之比为13.42，落在区间[10,30]中，进入下一步；

子步骤3：T₂与流B的JS散度为0.1185，大于阈值0.02，不匹配；

计算T₃是否与流B匹配：

子步骤1：T₃数据包个数大于100000个，进入下一步；

子步骤2：T₃上下行数据量之比为15.74，落在区间[10,30]中，进入下一步；

子步骤3：T₃与流B的JS散度为0.0074，小于阈值0.02，匹配成功；

存在流B的匹配T₃

输出结果：T₁与流A匹配，T₃与流B匹配，说明流量中存在autossh搭建的反向代理。

本发明所提出的多序列匹配算法，计算复杂度低，匹配速度块，可以适用于大规模网络管理的情况。该方法不依赖于完整的TCP连接，可以选取任意连续时间段的TCP流中的部分数据包进行检测，更能够容易的改写为在线检测算法进行长时间持久监测。

Claims

1.一种autossh反向代理检测方法，其特征在于，包括以下步骤：

S1，对待检测流量按照内网IP进行归类；

S2，将步骤S1中按IP分类后的流再按照TCP流进行归类；

S3，对一个IP地址的每个TCP流进行autossh心跳流匹配测试，如果某个TCP流匹配成功，则进行步骤S4，否则说明流量中不存在autossh搭建的反向代理；对按照内网IP进行归类后的每个IP的流量分别处理；

进行autossh心跳流匹配测试具体包括以下步骤：

d：统计输入TCP流中每个两个相邻数据包之间的时间间隔，如果时间间隔均在[0,2]∪[595,605]的区间之内，则匹配成功，反之匹配失败；

S4，对TCP流匹配成功的IP地址的每个TCP流进行autossh数据流匹配测试，如果存在某个TCP流匹配成功，则说明流量中存在autossh搭建的反向代理；

进行autossh数据流匹配测试具体包括以下步骤：

步骤1：输入待匹配的TCP流，统计该TCP流的数据包个数，如果该数据包个数小于100000个，则认为数据量不足以进行判别，返回匹配失败；如果数据包个数大于等于100000个，则进行下一步；

步骤2：计算该TCP流的上行、下行数据总比特数，计算上下行数据量之比，若比值在设定数据流阈值范围内，则进行下一步，反之匹配失败；

步骤3：按长度分割方法计算输入的TCP流数据包的长度分布；接着采用TCP流的下行数据占比计算JS散度作为距离的度量，如果JS散度小于0.02，则匹配成功，反之匹配失败。

2.根据权利要求1所述的一种autossh反向代理检测方法，其特征在于，在等间隔时间内利用代理服务器发送心跳数据包。

3.根据权利要求1所述的一种autossh反向代理检测方法，其特征在于，设定心跳流数据量阈值为[0.95,1.05]。

4.根据权利要求1所述的一种autossh反向代理检测方法，其特征在于，数据流阈值范围为 [10,30]。

5.一种autossh反向代理检测系统，其特征在于，包括IP归类模块、TCP分类模块和匹配模块；

IP归类模块用于将待检测流量按照内网IP进行归类，将分类后的结果传输至TCP分类模块，TCP分类模块根据IP分类后的流再按照TCP流进行归类；

匹配模块根据TCP流分类后的结果对一个IP地址的每个TCP流进行autossh心跳流匹配测试，如果某个TCP流匹配成功，对TCP流匹配成功的IP地址的每个TCP流进行autossh数据流匹配测试，如果存在某个TCP流匹配成功，则说明流量中存在autossh搭建的反向代理；否则说明流量中不存在autossh搭建的反向代理；

进行autossh心跳流匹配测试具体包括以下步骤：

进行autossh数据流匹配测试具体包括以下步骤：

6.一种终端设备，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现权利要求1至4任一项所述方法的步骤。

7.一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1至4任一项所述方法的步骤。