CN113518019B

CN113518019B - 基于存活端口的系统识别方法

Info

Publication number: CN113518019B
Application number: CN202111045265.XA
Authority: CN
Inventors: 刘加勇; 朱林; 白兴伟; 刘加瑞
Original assignee: Beijing Huayuan Information Technology Co Ltd
Current assignee: Beijing Huayuan Information Technology Co Ltd
Priority date: 2021-09-07
Filing date: 2021-09-07
Publication date: 2022-03-08
Anticipated expiration: 2041-09-07
Also published as: CN113518019A

Abstract

本公开的实施例提供了基于存活端口的系统识别方法、装置、设备和计算机可读存储介质。所述方法包括对目标机进行端口探测，确定所述目标机中每一个端口的存活状态；根据所述目标机中每一个端口的存活状态生成编码，所述编码用于对端口存活状态进行标记；将所述编码输入至通过监督学习算法进行训练的系统识别模型中，得到输出的所述目标机的系统类型。以此方式，实现了对系统类型的精准识别。

Description

基于存活端口的系统识别方法

技术领域

本公开的实施例一般涉及网络安全技术领域，并且更具体地，涉及基于存活端口的系统识别方法、装置、设备和计算机可读存储介质。

背景技术

现有识别系统类型的技术主要基于ICMP协议的Ping，发送ICMP包，通过查看返回的TTL值，进行系统的大致判断。

但是，通过TTL值判断系统类型，当存在防火墙或者安全软件的情况时，会导致ping目标IP收不到响应；当使用脚本实现ICMP的ping发包时，需要管理员权限；同时TTL值还可以进行人为修改，对系统类型的判断进一步增加了难度。

发明内容

根据本公开的实施例，提供了一种基于存活端口的系统识别方案。

在本公开的第一方面，提供了一种基于存活端口的系统识别方法。该方法包括：

对目标机进行端口探测，确定所述目标机中每一个端口的存活状态；

根据所述目标机中每一个端口的存活状态生成编码，所述编码用于对端口存活状态进行标记；

将所述编码输入至通过监督学习算法进行训练的系统识别模型中，得到输出的所述目标机的系统类型。

进一步地，所述对目标机进行端口探测，确定所述目标机中每一个端口的存活状态包括：

通过无序扫描的方式对目标机进行端口探测，确定所述目标机中每一个端口的存活状态。

进一步地，所述根据所述目标机中每一个端口的存活状态生成编码包括：

对每一个端口的存活状态进行标记；

按照端口的标号顺序，对标记后的端口进行排序，根据端口的存活状态生成编码。

进一步地，所述监督学习算法包括朴素贝叶斯、SVM、决策树、逻辑回归、Adaboosting、XGboost和神经网络算法。

进一步地，所述系统识别模型通过如下步骤训练得到：

生成训练样本集合，其中，训练样本包括多组用于对端口存活状态进行标记的数组以及与其对应的系统类型；

将所述训练样本集合按照预设比例划分为训练集和验证集；

将所述训练集中的数组作为输入，将与所述编码对应的系统类型作为输出，以CTC为损失函数，训练系统识别模型。

进一步地，还包括：

通过所述验证集对所述系统识别模型进行检测，若检测失败，则重新进行训练。

进一步地，还包括：

接收所述目标机在接收ICMP包后返回的TTL值；

通过所述TTL值对所述目标机的系统类型进行二次验证，若验证失败，则进行人工校验。

在本公开的第二方面，提供了一种基于存活端口的系统识别装置。该装置包括：

探测模块，用于对目标机进行端口探测，确定所述目标机中每一个端口的存活状态；

编码模块，用于根据所述目标机中每一个端口的存活状态生成编码，所述编码用于对端口存活状态进行标记；

训练模块，用于将所述编码输入至通过监督学习算法进行训练的系统识别模型中，得到输出的所述目标机的系统类型。

在本公开的第三方面，提供了一种电子设备。该电子设备包括：存储器和处理器，所述存储器上存储有计算机程序，所述处理器执行所述程序时实现如以上所述的方法。

在本公开的第四方面，提供了一种计算机可读存储介质，其上存储有计算机程序，所述程序被处理器执行时实现如根据本公开的第一方面的方法。

本申请实施例提供的基于存活端口的系统识别方法，通过对目标机进行端口探测，确定所述目标机中每一个端口的存活状态；根据所述目标机中每一个端口的存活状态生成编码，所述编码用于对端口存活状态进行标记；将所述编码输入至通过监督学习算法进行训练的系统识别模型中，得到输出的所述目标机的系统类型，实现了对系统类型的精准识别。

应当理解，发明内容部分中所描述的内容并非旨在限定本公开的实施例的关键或重要特征，亦非用于限制本公开的范围。本公开的其它特征将通过以下的描述变得容易理解。

附图说明

结合附图并参考以下详细说明，本公开各实施例的上述和其他特征、优点及方面将变得更加明显。在附图中，相同或相似的附图标记表示相同或相似的元素，其中：

图1示出了根据本公开的实施例的基于存活端口的系统识别方法的流程图；

图2示出了根据本公开的实施例的端口标记示意图；

图3示出了根据本公开的实施例的训练样本示意图；

图4示出了根据本公开的实施例的神经网络示意图；

图5示出了根据本公开的实施例的基于存活端口的系统识别装置的方框图；

图6示出了能够实施本公开的实施例的示例性电子设备的方框图。

具体实施方式

为使本公开实施例的目的、技术方案和优点更加清楚，下面将结合本公开实施例中的附图，对本公开实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本公开一部分实施例，而不是全部的实施例。基于本公开中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的全部其他实施例，都属于本公开保护的范围。

另外，本文中术语“和/或”，仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。另外，本文中字符“/”，一般表示前后关联对象是一种“或”的关系。

图1示出了根据本公开实施例的基于存活端口的系统识别方法100的流程图。方法100包括：

S110，对目标机进行端口探测，确定所述目标机中每一个端口的存活状态。

在一些实施例中，可使用扫描工具或者代码脚本探测目标机全部端口（65535）的存活状态；

具体地，可使用python监测主机存活的端口，代码如下：

#!/usr/bin/env python

# coding-utf8

import argparse

import socket

import sys

#author: wolf_ribble

def scan_ports(host,start_port,end_port):

"""Scan remote hosts"""

try:

sock=socket.socket(socket.AF_INET, socket.SOCK_STREAM)

except socket.error,error_msg:

print 'Socket creation failed.Error code:' + str(error_msg[0]) + 'Erroe message:' + error_msg[1]

sys.exit()

try:

remote_ip = socket.gethostbyname(host)

except socket.error,error_msg:

print error_msg

sys.exit()

end_port +=1

for port in range(start_port,end_port):

try:

sock.connect((remote_ip,port))

print 'Port' + str(port) + 'is ipen'

sock.close()

sock=socket.socket(socket.AF_INET, socket.SOCK_STREAM)

except socket.error,error_msg:

#print error_msg

pass

if __name__ == '__main__':

parser = argparse.ArgumentParser(description='remote port scaner')parser.add_argument('--host',action="store",dest="host",default='www.wealink.com') parser.add_argument('--start-port',action="store",dest="start_port",default='1',type=int) parser.add_argument('--end-port',action="store",dest="end_port",default='100',type=int) given_args = parser.parse_args()

host,start_port,end_start=given_args.host,given_args.start_port,given_args.end_port

scan_ports(host,start_port,end_start)

进一步地，也可通过支持全平台扫描的端口扫描工具，进行端口存活状态的探测，如支持Linux、macOS、Windows和Android(Termux)系统的扫描工具Nmap等；

当使用Nmap进行端口存活状态的探测时，可通过如下代码进行探测：

sudo unimap -f targets.txt --iport 1 --lport 1000 --min-rate 1000（对1-1000的端口进行探测）

进一步地，也可通过脚本工具对目标机的存活端口进行探测。例如，通过ScanPort脚本工具，对当前目标机的存活端口进行探测。

在一些实施例中，可针对实际的应用场景仅对部分端口的存活状态进行扫描。通常状态下一台计算机的端口数目为65535个，但是在应用中，常用的端口数目仅为8080个，因此，为了提高扫描效率，在本公开中，可仅对常用的8080个端口进行扫描，即，确定所述8080个端口的存活状态。

在一些实施例中，按照端口标号对端口进行存活状态的扫描时，很容易被拦截（防火墙等），因此，在公开中，通过无序扫描的方式，打乱端口编码的标号顺序，对端口进行存活状态的扫描。

S120，根据所述目标机中每一个端口的存活状态生成编码，所述编码用于对端口存活状态进行标记。

在一些实施例中，根据端口的存活状态对每一个端口进行标记，将存活端口标记为1，不存活端口标记为0，当所有的端口均标记完成后，按照端口标号对标记后的端口进行排序，根据端口的存活状态生成编码，如图2所示。

S130，将所述编码输入至通过监督学习算法进行训练的系统识别模型中，得到输出的所述目标机的系统类型。

其中，所述监督学习算法包括朴素贝叶斯、SVM、决策树、逻辑回归、Adaboosting、XGboost和神经网络算法等。

在一些实施例中，当所述监督学习算法为神经网络算法时，所述系统识别模型可通过如下步骤训练得到：

生成训练样本集合，其中，训练样本包括多组对端口存活状态进行标记的编码以及与其对应的系统类型，如图3所示，将window系统类型标记为1、Linux系统类型标记为0、将MacOs系统类型标记为2；

将所述训练样本集合按照预设比例划分为训练集和验证集；所述预设比例通常为6:4，即所述训练集和验证集的比例为6:4，也可根据实际应用场景进行设定。

如图4所示，将所述训练集中的编码作为输入，将与所述数组对应的系统类型作为输出，训练系统识别模型；

进一步地，可以以CTC为损失函数，训练所述系统识别模型。

进一步地，基于所述验证集对所述系统识别模型进行检测，若检测成功（准确率符合要求），则将所述系统识别模型作为最终的系统识别模型；若检测失败（准确率不符合要求），则重新进行训练；通常准确率标准为92%，即，准确率大于等于92%时，检测合格。

在一些实施例中，将步骤S120获取的编码，输入至所述系统识别模型，返回一个预测标签，根据所述预设标签的数值确定具体的系统类型，若标签值为1，则所述目标机的系统为windows；若标签值为0，则所述目标机的系统为Linux；若标签值为2，则所述目标机的系统为MacOs。

进一步地，还包括：

接收所述目标机在接收ICMP包后返回的TTL值；

所述TTL值可用于表示系统类型，具体地：

WINDOWS NT/2000 TTL：128

WINDOWS 95/98 TTL：32

UNIX TTL：255

LINUX TTL：64

WIN7 TTL：64

通过所述TTL值对所述目标机的系统类型进行二次验证，若验证失败，即，TTL值代表的系统类型与通过所述系统识别模型输出的系统类型不同时，则进行人工校验。

根据本公开的实施例，实现了以下技术效果：

根据对目标机端口中每一个端口的存活状态生成编码，将所述编码输入至通过监督学习算法进行训练的系统识别模型中，得到输出的所述目标机的系统类型，可以方便、简洁、准确的识别系统类型，即，实现了对系统类型的精准识别。

需要说明的是，对于前述的各方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本公开并不受所描述的动作顺序的限制，因为依据本公开，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于可选实施例，所涉及的动作和模块并不一定是本公开所必须的。

以上是关于方法实施例的介绍，以下通过装置实施例，对本公开所述方案进行进一步说明。

图5示出了根据本公开的实施例的基于存活端口的系统识别装置500的方框图。如图5所示，装置500包括：

探测模块510，用于对目标机进行端口探测，确定所述目标机中每一个端口的存活状态；

编码模块520，用于根据所述目标机中每一个端口的存活状态生成编码，所述编码用于对端口存活状态进行标记；

训练模块530，用于将所述编码输入至通过监督学习算法进行训练的系统识别模型中，得到输出的所述目标机的系统类型。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，所述描述的模块的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

图6示出了可以用来实施本公开的实施例的电子设备700的示意性框图。如图所示，设备600包括中央处理单元（CPU）601，其可以根据存储在只读存储器（ROM）602中的计算机程序指令或者从存储单元608加载到随机访问存储器（RAM）603中的计算机程序指令，来执行各种适当的动作和处理。在RAM 603中，还可以存储设备600操作所需的各种程序和数据。CPU 601、ROM602以及RAM 703通过总线604彼此相连。输入/输出（I/O）接口605也连接至总线604。

设备600中的多个部件连接至I/O接口605，包括：输入单元606，例如键盘、鼠标等；输出单元607，例如各种类型的显示器、扬声器等；存储单元608，例如磁盘、光盘等；以及通信单元609，例如网卡、调制解调器、无线通信收发机等。通信单元609允许设备600通过诸如因特网的计算机网络和/或各种电信网络与其他设备交换信息/数据。

处理单元601执行上文所描述的各个方法和处理，例如方法100。例如，在一些实施例中，方法100可被实现为计算机软件程序，其被有形地包含于机器可读介质，例如存储单元608。在一些实施例中，计算机程序的部分或者全部可以经由ROM602和/或通信单元609而被载入和/或安装到设备600上。当计算机程序加载到RAM 603并由CPU 601执行时，可以执行上文描述的方法100的一个或多个步骤。备选地，在其他实施例中，CPU 601可以通过其他任何适当的方式（例如，借助于固件）而被配置为执行方法100。

本文中以上描述的功能可以至少部分地由一个或多个硬件逻辑部件来执行。例如，非限制性地，可以使用的示范类型的硬件逻辑部件包括：场可编程门阵列（FPGA）、专用集成电路（ASIC）、专用标准产品（ASSP）、芯片上系统的系统（SOC）、负载可编程逻辑设备（CPLD）等等。

用于实施本公开的方法的程序代码可以采用一个或多个编程语言的任何组合来编写。这些程序代码可以提供给通用计算机、专用计算机或其他可编程数据处理装置的处理器或控制器，使得程序代码当由处理器或控制器执行时使流程图和/或框图中所规定的功能/操作被实施。程序代码可以完全在机器上执行、部分地在机器上执行，作为独立软件包部分地在机器上执行且部分地在远程机器上执行或完全在远程机器或服务器上执行。

在本公开的上下文中，机器可读介质可以是有形的介质，其可以包含或存储以供指令执行系统、装置或设备使用或与指令执行系统、装置或设备结合地使用的程序。机器可读介质可以是机器可读信号介质或机器可读储存介质。机器可读介质可以包括但不限于电子的、磁性的、光学的、电磁的、红外的、或半导体系统、装置或设备，或者上述内容的任何合适组合。机器可读存储介质的更具体示例会包括基于一个或多个线的电气连接、便携式计算机盘、硬盘、随机存取存储器（RAM）、只读存储器（ROM）、可擦除可编程只读存储器（EPROM或快闪存储器）、光纤、便捷式紧凑盘只读存储器（CD-ROM）、光学储存设备、磁储存设备、或上述内容的任何合适组合。

此外，虽然采用特定次序描绘了各操作，但是这应当理解为要求这样操作以所示出的特定次序或以顺序次序执行，或者要求所有图示的操作应被执行以取得期望的结果。在一定环境下，多任务和并行处理可能是有利的。同样地，虽然在上面论述中包含了若干具体实现细节，但是这些不应当被解释为对本公开的范围的限制。在单独的实施例的上下文中描述的某些特征还可以组合地实现在单个实现中。相反地，在单个实现的上下文中描述的各种特征也可以单独地或以任何合适的子组合的方式实现在多个实现中。

尽管已经采用特定于结构特征和/或方法逻辑动作的语言描述了本主题，但是应当理解所附权利要求书中所限定的主题未必局限于上面描述的特定特征或动作。相反，上面所描述的特定特征和动作仅仅是实现权利要求书的示例形式。

Claims

1.一种基于存活端口的系统识别方法，其特征在于，包括：

根据所述目标机中每一个端口的存活状态生成编码，所述编码用于对端口存活状态进行标记；所述根据所述目标机中每一个端口的存活状态生成编码包括：对每一个端口的存活状态进行标记；按照端口的标号顺序，对标记后的端口进行排序，根据端口的存活状态生成编码；

将所述编码输入至通过监督学习算法进行训练的系统识别模型中，返回一个预测标签，根据所述预设标签的数值得到输出的所述目标机的系统类型；所述系统识别模型通过如下步骤训练得到：生成训练样本集合，其中，训练样本包括多组对端口存活状态进行标记的编码以及与其对应的系统类型；将所述训练样本集合案子预设比例划分为训练集和验证集；将所述训练集中的编码作为输入，将与所述编码对应的系统类型作为输出，以CTC为损失函数，训练系统识别模型；通过所述验证集对所述系统识别模型进行检测，若检测失败，则重新进行训练；

接收所述目标机发送ICMP包返回的TTL值；通过所述TTL值对所述目标机的系统类型进行二次验证，若验证失败，则进行人工校验。

2.根据权利要求1所述的方法，其特征在于，所述对目标机进行端口探测，确定所述目标机中每一个端口的存活状态包括：

3.根据权利要求1所述的方法，其特征在于，所述监督学习算法包括朴素贝叶斯、SVM、决策树、逻辑回归、Adaboosting、XGboost和神经网络算法。

4.一种基于存活端口的系统识别装置，其特征在于，包括：

编码模块，用于根据所述目标机中每一个端口的存活状态生成编码，所述编码用于对端口存活状态进行标记；所述根据所述目标机中每一个端口的存活状态生成编码包括：对每一个端口的存活状态进行标记；按照端口的标号顺序，对标记后的端口进行排序，根据端口的存活状态生成编码；

训练模块，用于将所述编码输入至通过监督学习算法进行训练的系统识别模型中，返回一个预测标签，根据所述预设标签的数值得到输出的所述目标机的系统类型；

所述系统识别模型通过如下步骤训练得到：生成训练样本集合，其中，训练样本包括多组对端口存活状态进行标记的编码以及与其对应的系统类型；将所述训练样本集合案子预设比例划分为训练集和验证集；将所述训练集中的编码作为输入，将与所述编码对应的系统类型作为输出，以CTC为损失函数，训练系统识别模型；通过所述验证集对所述系统识别模型进行检测，若检测失败，则重新进行训练；

5.一种电子设备，包括存储器和处理器，所述存储器上存储有计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求1~3中任一项所述的方法。

6.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述程序被处理器执行时实现如权利要求1~3中任一项所述的方法。