CN113965363B - 一种基于Web用户行为的漏洞研判方法和装置 - Google Patents

一种基于Web用户行为的漏洞研判方法和装置 Download PDF

Info

Publication number
CN113965363B
CN113965363B CN202111183881.1A CN202111183881A CN113965363B CN 113965363 B CN113965363 B CN 113965363B CN 202111183881 A CN202111183881 A CN 202111183881A CN 113965363 B CN113965363 B CN 113965363B
Authority
CN
China
Prior art keywords
data
format
attack
user request
response data
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202111183881.1A
Other languages
English (en)
Other versions
CN113965363A (zh
Inventor
刘世园
尹鑫洋
王中祥
董纪刚
刘一轩
曹佳旭
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Topsec Technology Co Ltd
Beijing Topsec Network Security Technology Co Ltd
Beijing Topsec Software Co Ltd
Original Assignee
Beijing Topsec Technology Co Ltd
Beijing Topsec Network Security Technology Co Ltd
Beijing Topsec Software Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Topsec Technology Co Ltd, Beijing Topsec Network Security Technology Co Ltd, Beijing Topsec Software Co Ltd filed Critical Beijing Topsec Technology Co Ltd
Priority to CN202111183881.1A priority Critical patent/CN113965363B/zh
Publication of CN113965363A publication Critical patent/CN113965363A/zh
Application granted granted Critical
Publication of CN113965363B publication Critical patent/CN113965363B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G06F21/577—Assessing vulnerabilities and evaluating computer system security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/03—Indexing scheme relating to G06F21/50, monitoring users, programs or devices to maintain the integrity of platforms
    • G06F2221/033—Test or assess software
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02D—CLIMATE CHANGE MITIGATION TECHNOLOGIES IN INFORMATION AND COMMUNICATION TECHNOLOGIES [ICT], I.E. INFORMATION AND COMMUNICATION TECHNOLOGIES AIMING AT THE REDUCTION OF THEIR OWN ENERGY USE
    • Y02D30/00—Reducing energy consumption in communication networks
    • Y02D30/50—Reducing energy consumption in communication networks in wire-line communication networks, e.g. low power modes or reduced link rate

Abstract

本申请的实施例提供了一种基于Web用户行为的漏洞研判方法和装置。方法包括接收用户请求数据，获取用户请求数据的数据请求格式，并判断数据请求格式与预设数据库中的攻击数据格式是否匹配；若是，则跟踪用户请求数据，并获取服务器基于用户请求数据生成的响应数据的响应数据格式，判断响应数据格式与预设数据库中的攻击成功格式是否匹配；若是，则阻断响应数据。以此方式，可以在用户请求数据对于服务器的攻击行为成功时，才对响应数据进行阻断，提高了攻击行为判断的有效性，有利于快速定位服务器操作系统的漏洞，方便运维人员进行后期风险处理。

Description

一种基于Web用户行为的漏洞研判方法和装置
技术领域
本申请的实施例涉及网络安全领域，并且更具体地，涉及一种基于Web用户行为的漏洞研判方法和装置。
背景技术
Web应用防护系统能够对用户的攻击行为进行监测，在检查到具有攻击特征的请求数据时，能够对该请求数据进行拦截，以阻止攻击行为为服务器造成是危害。
但是目前的web应用防护系统对用户的请求数据进行检测时，只要检测到攻击特征就会对请求数据进行拦截，并且生成记录日志，并不考虑具有攻击行为的请求数据是否会对服务器造成实质性危害，这就导致大量的攻击行为记录日志是无效的，不便于定位服务器的真实漏洞。
发明内容
根据本申请的实施例，提供了一种基于Web用户行为的漏洞研判方案。
在本申请的第一方面，提供了一种基于Web用户行为的漏洞研判方法。该方法包括：
接收用户请求数据，获取用户请求数据的数据请求格式，并判断所述数据请求格式与预设数据库中的攻击数据格式是否匹配；
若是，则跟踪所述用户请求数据，并获取服务器基于所述用户请求数据生成的响应数据的响应数据格式，判断所述响应数据格式与预设数据库中的攻击成功格式是否匹配；
若是，则阻断所述响应数据。
通过采用上述技术方案，若用户请求数据的数据请求格式与预设数据库中的攻击数据格式匹配成功，则认为用户请求数据存在攻击行为，便对用户请求数据持续跟踪，直至服务器根据用户请求数据返回响应数据，再判断响应数据，若响应数据的响应数据格式与预设数据库中的攻击成功格式匹配成功，则代表用户请求数据的攻击行为攻击成功，服务器存在真实漏洞，需对响应数据进行阻断，本申请提供的方法提高了攻击行为判断的有效性，有利于快速定位服务器操作系统的漏洞，方便运维人员进行后期风险处理。
可选的，所述跟踪所述用户请求数据包括：
基于http协议，建立所述用户请求数据和响应数据之间的匹配关系，跟踪所述用户请求数据以确定服务器基于所述用户请求数据生成的响应数据。
可选的，还包括：
若是，则生成记录日志，所述记录日志包括针对所述服务器的攻击成功格式和与所述攻击成功格式对应的攻击数据格式；
根据所述攻击数据格式，以及攻击成功后的响应数据的攻击成功格式构成攻击行为判断模型，所述攻击行为判断模型用于判断所述用户请求数据针对服务器操作系统的攻击行为的有效性。
可选的，在构成所述攻击行为判断模型之后，还包括：
在获取到用户请求数据的数据请求格式以及与所述用户请求数据对应的响应数据的响应数据格式后，根据所述数据请求格式、所述响应数据格式以及所述攻击行为判断模型，确定是否阻断所述响应数据；
所述攻击行为判断模型表征为：
一攻击数据格式对应一个或多个攻击成功格式，在获取到相对应的攻击数据格式和攻击成功格式时，输出阻断信号，用于阻断所述响应数据。
在本申请的第二方面，提供了一种基于Web用户行为的漏洞研判装置，该装置包括：
第一处理模块，用于接收用户请求数据，获取用户请求数据的数据请求格式，并判断所述数据请求格式与预设数据库中的攻击数据格式是否匹配；
第二处理模块，用于在判断所述数据请求格式与预设数据库中的攻击数据格式是否匹配的结果为是时，跟踪所述用户请求数据，并获取服务器基于所述用户请求数据生成的响应数据的响应数据格式，判断所述响应数据格式与预设数据库中的攻击成功格式是否匹配；
阻断模块，用于在判断所述响应数据格式与预设数据库中的攻击成功格式是否匹配的结果为是时，阻断所述响应数据。
可选的，所述第二处理模块还用于：
基于http协议，建立所述用户请求数据和响应数据之间的匹配关系，跟踪所述用户请求数据以确定服务器基于所述用户请求数据生成的响应数据。
可选的，还包括：
记录模块，用于在判断所述响应数据格式与预设数据库中的攻击成功格式是否匹配的结果为是时，生成记录日志，所述记录日志包括针对所述服务器的攻击成功格式和与所述攻击成功格式对应的攻击数据格式；
模型生成模块，用于根据所述攻击数据格式，以及攻击成功后的响应数据的攻击成功格式构成攻击行为判断模型，所述攻击行为判断模型用于判断所述用户请求数据针对服务器操作系统的攻击行为的有效性。
可选的，还包括：
判断模块，用于在获取到用户请求数据的数据请求格式以及与所述用户请求数据对应的响应数据的响应数据格式后，根据所述数据请求格式、所述响应数据格式以及所述攻击行为判断模型，确定是否阻断所述响应数据；
所述攻击行为判断模型表征为：
一攻击数据格式对应一个或多个攻击成功格式，在获取到相对应的攻击数据格式和攻击成功格式时，输出阻断信号，用于阻断所述响应数据。
在本申请的第三方面，提供了一种电子设备。该电子设备包括：存储器和处理器，所述存储器上存储有计算机程序，所述处理器执行所述程序时实现如以上所述的方法。
在本申请的第四方面，提供了一种计算机可读存储介质，其上存储有计算机程序，所述程序被处理器执行时实现如根据本申请的第一方面的方法。
本申请公开的一种一种基于Web用户行为的漏洞研判方法和装置，通过对用户请求数据进行检测，若用户请求数据的数据请求格式与预设数据库中的攻击数据格式匹配成功，则认为用户请求数据存在攻击行为，便对用户请求数据持续跟踪，直至服务器根据用户请求数据返回响应数据，再判断响应数据，若响应数据的响应数据格式与预设数据库中的攻击成功格式匹配成功，则代表用户请求数据的攻击行为攻击成功，服务器存在真实漏洞，需对响应数据进行阻断。本申请提供的方法，只有在用户请求数据的攻击行为对服务器生效时，才对响应数据进行拦截，提高了攻击行为判断的有效性，有利于快速定位服务器操作系统的漏洞，方便运维人员进行后期风险处理。
应当理解，发明内容部分中所描述的内容并非旨在限定本申请的实施例的关键或重要特征，亦非用于限制本申请的范围。本申请的其它特征将通过以下的描述变得容易理解。
附图说明
结合附图并参考以下详细说明，本申请各实施例的上述和其他特征、优点及方面将变得更加明显。在附图中，相同或相似的附图标记表示相同或相似的元素，其中：
图1示出了本申请实施例的一种基于Web用户行为的漏洞研判方法的应用场景示意图。
图2示出了根据本申请的实施例一种基于Web用户行为的漏洞研判方法的流程图；
图3示出了根据本申请的实施例的一种基于Web用户行为的漏洞研判装置的方框图；
图4示出了适于用来实现本申请实施例的终端设备或服务器的结构示意图。
具体实施方式
为使本申请实施例的目的、技术方案和优点更加清楚，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的全部其他实施例，都属于本申请保护的范围。
本申请中，通过对用户请求数据进行检测，获取用户请求数据的数据请求格式，并判断所述数据请求格式与预设数据库中的攻击数据格式是否匹配，在匹配成功时，持续跟踪该用户请求数据，并获取服务器基于所述用户请求数据生成的响应数据的响应数据格式，判断所述响应数据格式与预设数据库中的攻击成功格式是否匹配，如果匹配成功，则表示用户请求数据的攻击行为有效，服务器操作系统存在真实漏洞，便阻断响应数据，使得响应数据无法返回发出用户请求数据的客户端，本申请有利于确定用户攻击行为的有效性，并且只有在用户攻击行为有效时才拦截响应数据，与传统的只有用户请求数据存在攻击行为便对用户请求数据进行拦截，生成记录日志相较，减少了记录日志的数量，降低了资源占用。
图1示出了本申请实施例的一种基于Web用户行为的漏洞研判方法的应用场景示意图。
在图1所示的场景中，示例性的示出用户客户端通过web请求方式向服务器发送用户请求数据，服务器在接收用户请求数据后，基于用户请求数据生成响应数据，并返回至客户端。本方法的程序能够集成于电子设备，在客户端发出用户请求数据时，获取用户请求数据并对其进行检测，在服务器返回响应数据时，获取响应数据并进行检测，以下对本申请实施例提供的一种基于Web用户行为的漏洞研判方法详细阐述。
图2示出了根据本申请实施例的一种基于Web用户行为的漏洞研判方法的流程图。
步骤S100、接收用户请求数据，获取用户请求数据的数据请求格式，并判断所述数据请求格式与预设数据库中的攻击数据格式是否匹配。
其中，判断所述数据请求格式与预设数据库中的攻击数据格式是否匹配，可以是在用户向服务器发出用户请求数据时，对用户请求数据进行检测，提取用户请求数据的数据请求格式，并与预设数据库中的攻击数据格式匹配。
常见的对攻击手段包括xxs攻击、sql注入、命令执行等，每种攻击是手段均具有特定的数据请求格式。例如，xss攻击的请求数据格式为a=</script>alert(2)<script>，其中</script>alert(2)<script>数据就是xss攻击特征；sql注入的请求数据格式为：a=and 0<>(select @@version)，其中and 0<>(select @@version)数据就是sql注入特征；命令执行的请求数据格式为：a=whoami，其中whoami数据就是命令执行的攻击特征。
在将数据请求格式与攻击数据格式匹配后，若匹配失败，则用户请求数据不存在攻击特征，对用户请求数据放行，服务器在接收到用户请求数据后，生成响应数据返回至发出用户请求数据的客户端。
若匹配成功，则执行步骤S200。
步骤S200、跟踪所述用户请求数据，并获取服务器基于所述用户请求数据生成的响应数据的响应数据格式，判断所述响应数据格式与预设数据库中的攻击成功格式是否匹配；
其中，用户请求数据可以是基于http协议的web请求方式，基于http协议，建立用户请求数据和响应数据之间的匹配关系，跟踪用户请求数据以确定服务器基于用户请求数据生成的响应数据。
在本申请实施例中，判断所述响应数据格式与预设数据库中的攻击成功格式是否匹配的方式可以是，根据用户请求数据的请求数据格式在预设数据库中匹配与之对应的攻击成功格式，然后获取响应数据的响应数据格式，将响应数据格式与攻击成功格式匹配，以判断响应数据是否存在被攻击成功的特征，若否，则放行响应数据，若是，则执行步骤S300。
在一个具体的示例中，服务器在接收到Xss攻击时，xss攻击的请求数据格式为a=</script>alert(2)<script>，目的是让计算机弹出一个小窗，窗口显示数据为2），预设数据库中存储有与</script>alert(2)<script>对应的攻击成功格式，攻击成功格式同样为<script>alert(2)</script>，因此，当服务器返回给用户的响应数据中包含了同样的<script>alert(2)</script>对应数据，则认为攻击成功，反之则认为攻击失败。
在一些实施例中，若sql注入的请求数据格式为a=and 0<>(select @@version)，与之对应的攻击成功格式为5.5.53或者5.5.52，因此，在服务器的响应数据为5.5.53或者5.5.52格式时，则认为响应数据存在攻击成功特征，用户请求数据攻击成功；若命令执行的请求数据格式为a=whoami，与之对应的攻击成功格式为administrator或者system，在服务器的响应数据为administrator或者system时，则认为响应数据存在攻击成功特征。
步骤S300、阻断所述响应数据。
在阻断响应数据之后，可以生成记录日志，记录日志包括针对上述服务器的攻击成功格式和与该攻击成功格式对应的攻击数据格式，以便于运维人员定位服务器操作系统存在的漏洞，针对该漏洞的用户请求数据的攻击数据格式，以及攻击成功后的响应数据的攻击成功格式构成攻击行为判断模型。
攻击行为判断模型表征为：一攻击数据格式对应一个或多个攻击成功格式，在获取到相对应的攻击数据格式和攻击成功格式时，输出阻断信号，用于阻断响应数据。
在本申请实施例中，在获取到用户请求数据的数据请求格式以及与用户请求数据对应的响应数据的响应数据格式后，可以将数据请求格式和响应数据格式输入至攻击行为判断模型内，根据攻击行为判断模型的处理结果，确定用户请求数据是否对服务器存在有效攻击行为，在存在有效攻击行为时，服务器返回的响应数据，达到修复服务器操作系统漏洞的目的。
本申请公开的一种基于Web用户行为的漏洞研判方法，接收用户请求数据，判断用户请求数据的数据请求格式与预设数据库中的攻击数据格式是否匹配，在匹配成功时，持续跟踪用户请求数据，判断响应数据的响应数据格式与预设数据库中的攻击成功格式是否匹配，若匹配，则阻断响应数据，并生成记录日志。即只有在用户请求数据的攻击行为有效时，才对服务器的响应数据进行拦截，并生成记录日志，提高了攻击行为判断的有效性，有利于快速定位服务器操作系统的漏洞，方便运维人员进行后期风险处理，如打冷补丁修改源代码，或通过对服务器返回的响应数据进行阻断达到漏洞修复效果，无需客户进行补丁安装、漏洞修复等操作，降低了漏洞修复时间成本，提高了漏洞修复效率。
需要说明的是，对于前述的各方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本申请并不受所描述的动作顺序的限制，因为依据本申请，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于可选实施例，所涉及的动作和模块并不一定是本申请所必须的。
以上是关于方法实施例的介绍，以下通过装置实施例，对本申请所述方案进行进一步说明。
图3示出了根据本申请的实施例的一种基于Web用户行为的漏洞研判装置的方框图。该装置包括：
第一处理模块201，用于接收用户请求数据，获取用户请求数据的数据请求格式，并判断所述数据请求格式与预设数据库中的攻击数据格式是否匹配；
第二处理模块202，用于在判断所述数据请求格式与预设数据库中的攻击数据格式是否匹配的结果为是时，跟踪所述用户请求数据，并获取服务器基于所述用户请求数据生成的响应数据的响应数据格式，判断所述响应数据格式与预设数据库中的攻击成功格式是否匹配；
阻断模块203，用于在判断所述响应数据格式与预设数据库中的攻击成功格式是否匹配的结果为是时，阻断所述响应数据。
在一种可能实现的方式中，所述第二处理模块202还用于：
基于http协议，建立所述用户请求数据和响应数据之间的匹配关系，跟踪所述用户请求数据以确定服务器基于所述用户请求数据生成的响应数据。
在一种可能实现的方式中，还包括：
记录模块，用于在判断所述响应数据格式与预设数据库中的攻击成功格式是否匹配的结果为是时，生成记录日志，所述记录日志包括针对所述服务器的攻击成功格式和与所述攻击成功格式对应的攻击数据格式；
模型生成模块，用于根据所述攻击数据格式，以及攻击成功后的响应数据的攻击成功格式构成攻击行为判断模型，所述攻击行为判断模型用于判断所述用户请求数据针对服务器操作系统的攻击行为的有效性。
在一种可能实现的方式中，还包括：
判断模块，用于在获取到用户请求数据的数据请求格式以及与所述用户请求数据对应的响应数据的响应数据格式后，根据所述数据请求格式、所述响应数据格式以及所述攻击行为判断模型，确定是否阻断所述响应数据；
所述攻击行为判断模型表征为：
一攻击数据格式对应一个或多个攻击成功格式，在获取到相对应的攻击数据格式和攻击成功格式时，输出阻断信号，用于阻断所述响应数据。
所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，所述描述的模块的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。
图4示出了适于用来实现本申请实施例的电子设备的结构示意图。
如图4所示，电子设备包括中央处理单元(CPU)401，其可以根据存储在只读存储器(ROM)402中的程序或者从存储部分408加载到随机访问存储器(RAM)404中的程序而执行各种适当的动作和处理。在RAM 403中，还存储有系统400操作所需的各种程序和数据。CPU401、ROM 402以及RAM 403通过总线404彼此相连。输入/输出(I/O)接口405也连接至总线404。
以下部件连接至I/O接口405：包括键盘、鼠标等的输入部分406；包括诸如阴极射线管(CRT)、液晶显示器(LCD)等以及扬声器等的输出部分407；包括硬盘等的存储部分408；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分409。通信部分409经由诸如因特网的网络执行通信处理。驱动器410也根据需要连接至I/O接口405。可拆卸介质411，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器410上，以便于从其上读出的计算机程序根据需要被安装入存储部分408。
特别地，根据本申请的实施例，上文参考流程图图1描述的过程可以被实现为计算机软件程序。例如，本申请的实施例包括一种计算机程序产品，其包括承载在机器可读介质上的计算机程序，该计算机程序包含用于执行流程图所示的方法的程序代码。在这样的实施例中，该计算机程序可以通过通信部分409从网络上被下载和安装，和/或从可拆卸介质411被安装。在该计算机程序被中央处理单元(CPU)401执行时，执行本申请的系统中限定的上述功能。
需要说明的是，本申请所示的计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本申请中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。而在本申请中，计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：无线、电线、光缆、RF等等，或者上述的任意合适的组合。
附图中的流程图和框图，图示了按照本申请各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，前述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。
描述于本申请实施例中所涉及到的单元或模块可以通过软件的方式实现，也可以通过硬件的方式来实现。所描述的单元或模块也可以设置在处理器中，例如，可以描述为：一种处理器包括第一处理模块、第二处理模块和阻断模块。其中，这些单元或模块的名称在某种情况下并不构成对该单元或模块本身的限定，例如，第一处理模块还可以被描述为“用于接收用户请求数据，并判断用户请求数据是否存在攻击特征”。
作为另一方面，本申请还提供了一种计算机可读存储介质，该计算机可读存储介质可以是上述实施例中描述的电子设备中所包含的；也可以是单独存在，而未装配入该电子设备中的。上述计算机可读存储介质存储有一个或者多个程序，当上述前述程序被一个或者一个以上的处理器用来执行描述于本申请的一种基于Web用户行为的漏洞研判方法。
以上描述仅为本申请的较佳实施例以及对所运用技术原理的说明。本领域技术人员应当理解，本申请中所涉及的申请范围，并不限于上述技术特征的特定组合而成的技术方案，同时也应涵盖在不脱离前述申请构思的情况下，由上述技术特征或其等同特征进行任意组合而形成的其它技术方案。例如上述特征与本申请中申请的(但不限于)具有类似功能的技术特征进行互相替换而形成的技术方案。

Claims (6)

1.一种基于Web用户行为的漏洞研判方法，其特征在于，包括：
接收用户请求数据，获取用户请求数据的数据请求格式，并判断所述数据请求格式与预设数据库中的攻击数据格式是否匹配；
若是，则跟踪所述用户请求数据，并获取服务器基于所述用户请求数据生成的响应数据的响应数据格式，判断所述响应数据格式与预设数据库中的攻击成功格式是否匹配；
基于http协议，建立所述用户请求数据和响应数据之间的匹配关系，跟踪所述用户请求数据以确定服务器基于所述用户请求数据生成的响应数据；
若是，则生成记录日志，所述记录日志包括针对所述服务器的攻击成功格式和与所述攻击成功格式对应的攻击数据格式；
根据所述攻击数据格式，以及攻击成功后的响应数据的攻击成功格式构成攻击行为判断模型，所述攻击行为判断模型用于判断所述用户请求数据针对服务器操作系统的攻击行为的有效性；
若是，则阻断所述响应数据。
2.根据权利要求1所述的一种基于Web用户行为的漏洞研判方法，其特征在于，在构成所述攻击行为判断模型之后，还包括：
在获取到用户请求数据的数据请求格式以及与所述用户请求数据对应的响应数据的响应数据格式后，根据所述数据请求格式、所述响应数据格式以及所述攻击行为判断模型，确定是否阻断所述响应数据；
所述攻击行为判断模型表征为：
一攻击数据格式对应一个或多个攻击成功格式，在获取到相对应的攻击数据格式和攻击成功格式时，输出阻断信号，用于阻断所述响应数据。
3.一种基于Web用户行为的漏洞研判装置，其特征在于，包括：
第一处理模块（201），用于接收用户请求数据，获取用户请求数据的数据请求格式，并判断所述数据请求格式与预设数据库中的攻击数据格式是否匹配；
第二处理模块（202），用于在判断所述数据请求格式与预设数据库中的攻击数据格式是否匹配的结果为是时，跟踪所述用户请求数据，并获取服务器基于所述用户请求数据生成的响应数据的响应数据格式，判断所述响应数据格式与预设数据库中的攻击成功格式是否匹配；基于http协议，建立所述用户请求数据和响应数据之间的匹配关系，跟踪所述用户请求数据以确定服务器基于所述用户请求数据生成的响应数据； 第二处理模块（202）的子记录模块，用于在判断所述响应数据格式与预设数据库中的攻击成功格式是否匹配的结果为是时，生成记录日志，所述记录日志包括针对所述服务器的攻击成功格式和与所述攻击成功格式对应的攻击数据格式；第二处理模块（202）的子模型生成模块，用于根据所述攻击数据格式，以及攻击成功后的响应数据的攻击成功格式构成攻击行为判断模型，所述攻击行为判断模型用于判断所述用户请求数据针对服务器操作系统的攻击行为的有效性；
阻断模块（203），用于在判断所述响应数据格式与预设数据库中的攻击成功格式是否匹配的结果为是时，阻断所述响应数据。
4.根据权利要求3所述的一种基于Web用户行为的漏洞研判装置，其特征在于，还包括：
判断模块，用于在获取到用户请求数据的数据请求格式以及与所述用户请求数据对应的响应数据的响应数据格式后，根据所述数据请求格式、所述响应数据格式以及所述攻击行为判断模型，确定是否阻断所述响应数据；
所述攻击行为判断模型表征为：
一攻击数据格式对应一个或多个攻击成功格式，在获取到相对应的攻击数据格式和攻击成功格式时，输出阻断信号，用于阻断所述响应数据。
5.一种电子设备，包括存储器和处理器，所述存储器上存储有计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求1~2中任一项所述的方法。
6.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述程序被处理器执行时实现如权利要求1~2中任一项所述的方法。
CN202111183881.1A 2021-10-11 2021-10-11 一种基于Web用户行为的漏洞研判方法和装置 Active CN113965363B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202111183881.1A CN113965363B (zh) 2021-10-11 2021-10-11 一种基于Web用户行为的漏洞研判方法和装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202111183881.1A CN113965363B (zh) 2021-10-11 2021-10-11 一种基于Web用户行为的漏洞研判方法和装置

Publications (2)

Publication Number Publication Date
CN113965363A CN113965363A (zh) 2022-01-21
CN113965363B true CN113965363B (zh) 2023-07-14

Family

ID=79463535

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202111183881.1A Active CN113965363B (zh) 2021-10-11 2021-10-11 一种基于Web用户行为的漏洞研判方法和装置

Country Status (1)

Country Link
CN (1) CN113965363B (zh)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115065540B (zh) * 2022-06-20 2024-03-12 北京天融信网络安全技术有限公司 检测web漏洞攻击的方法、装置和电子设备

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109067813A (zh) * 2018-10-24 2018-12-21 腾讯科技（深圳）有限公司 网络漏洞检测方法、装置、存储介质和计算机设备
CN110390202A (zh) * 2019-07-30 2019-10-29 中国工商银行股份有限公司 用于检测业务逻辑漏洞的方法、装置、系统、设备及介质
CN111885061A (zh) * 2020-07-23 2020-11-03 深信服科技股份有限公司 一种网络攻击检测方法、装置、设备及介质
CN112702342A (zh) * 2020-12-22 2021-04-23 北京天融信网络安全技术有限公司 网络事件处理方法、装置、电子设备及可读存储介质

Family Cites Families (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105049440B (zh) * 2015-08-06 2018-04-10 福建天晴数码有限公司 检测跨站脚本攻击注入的方法及系统
CN107046518A (zh) * 2016-02-05 2017-08-15 阿里巴巴集团控股有限公司 网络攻击的检测方法及装置
CN105959324A (zh) * 2016-07-15 2016-09-21 江苏博智软件科技有限公司 基于正则匹配的网络攻击检测方法及装置
CN108696481A (zh) * 2017-04-07 2018-10-23 北京京东尚科信息技术有限公司 漏洞检测方法和装置
CN107659583B (zh) * 2017-10-27 2020-08-04 深信服科技股份有限公司 一种检测事中攻击的方法及系统
CN112154635B (zh) * 2018-05-22 2023-08-08 上海诺基亚贝尔股份有限公司 Sfc覆盖网络中的攻击源追踪
CN109167797B (zh) * 2018-10-12 2022-03-01 北京百度网讯科技有限公司 网络攻击分析方法和装置
CN111385270A (zh) * 2018-12-29 2020-07-07 北京奇虎科技有限公司 基于waf的网络攻击检测方法及装置
CN113162945B (zh) * 2021-05-07 2021-12-14 北京安普诺信息技术有限公司 漏洞检测分析方法、装置及基于此的漏洞验证方法、系统

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109067813A (zh) * 2018-10-24 2018-12-21 腾讯科技（深圳）有限公司 网络漏洞检测方法、装置、存储介质和计算机设备
CN110390202A (zh) * 2019-07-30 2019-10-29 中国工商银行股份有限公司 用于检测业务逻辑漏洞的方法、装置、系统、设备及介质
CN111885061A (zh) * 2020-07-23 2020-11-03 深信服科技股份有限公司 一种网络攻击检测方法、装置、设备及介质
CN112702342A (zh) * 2020-12-22 2021-04-23 北京天融信网络安全技术有限公司 网络事件处理方法、装置、电子设备及可读存储介质

Also Published As

Publication number Publication date
CN113965363A (zh) 2022-01-21

Similar Documents

Publication Publication Date Title
US10032025B1 (en) Behavior-based ransomware detection
RU2680736C1 (ru) Сервер и способ для определения вредоносных файлов в сетевом трафике
US8739287B1 (en) Determining a security status of potentially malicious files
US20080141376A1 (en) Determining maliciousness of software
US8959624B2 (en) Executable download tracking system
CN110881051B (zh) 安全风险事件处理方法、装置、设备及存储介质
CN110069929B (zh) 漏洞处置分析方法及其分析模型的构建方法和装置
CN110929259A (zh) 进程安全验证白名单生成方法、装置
CN112653654A (zh) 安全监控方法、装置、计算机设备及存储介质
CN113965363B (zh) 一种基于Web用户行为的漏洞研判方法和装置
US11550920B2 (en) Determination apparatus, determination method, and determination program
US11916953B2 (en) Method and mechanism for detection of pass-the-hash attacks
US11372971B2 (en) Threat control
CN111586013B (zh) 网络入侵检测方法、装置、节点终端及存储介质
US10880316B2 (en) Method and system for determining initial execution of an attack
CN115118504B (zh) 知识库更新方法、装置、电子设备及存储介质
CN116722994A (zh) 数据的检测方法、装置、电子设备及存储介质
CN113824748B (zh) 一种资产特征主动探测对抗方法、装置、电子设备及介质
CN116094743A (zh) 一种信息发送方法、信息接收方法及装置
CN114584324A (zh) 一种基于区块链的身份授权方法和系统
US11449610B2 (en) Threat detection system
CN113810351A (zh) 网络攻击的攻击者确定方法及装置和计算机可读存储介质
CN116760819B (zh) 计算机文件网络传送方法、计算机装置和装置介质
CN113596056B (zh) 漏洞扫描方法、装置、电子设备和计算机可读存储介质
CN112417506A (zh) 一种隐私数据监测方法、装置、电子设备及存储介质

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant