CN114039862A - 基于动态拓扑分析的ctf题解检测节点构建方法与系统 - Google Patents

Abstract

本发明公开了一种基于动态拓扑分析的CTF题解检测节点构建方法与系统。本发明首先获取赛题场景拓扑数据，并解析为有向图；然后基于DFS算法从带有漏洞服务的终端节点的具体端口出发，为每个漏洞服务生成有向图的生成树；接着对所有的DFS生成树进行分析，形成终点‑起点字典，将终点所在节点及对应的端口，作为辅助检测节点的接入坐标；最后向有向图中插入辅助检测节点，并将有向图再转换为场景拓扑数据。本发明将场景拓扑抽象为有向图，结合漏洞服务坐标，对赛题场景拓扑动态分析，能够自动创建辅助检测节点，以检测解题状态。大大减少了举办方出题人赛题设计压力，能够适应未来更新频繁的CTF赛事。

Description

基于动态拓扑分析的CTF题解检测节点构建方法与系统

技术领域

本发明涉及一种基于动态拓扑分析的CTF题解检测节点构建方法与系统，属于网络安全、计算机软件领域。

背景技术

CTF(Capture The Flag)，即夺旗赛，是一种流行的信息安全竞赛形式，其主要竞赛模式分为三类，解题模式(Jeopardy)、攻防模式(Attack-Defense)及混合模式(Mix)。其中，攻防模式作为激励式的实操对抗型比赛模式锲合“信息技术及网络空间安全人才储备”的国家安防要求。

通常而言，在攻防模式CTF赛制中，参赛队伍在网络空间相互进行攻击防守，挖掘网络服务漏洞并攻击对手服务来得分，修补自身服务漏洞进行防御来规避失分。攻防模式赛制要求以实时得分反应比赛状态，最终以得分直接分出胜负。因此，该CTF模式是一种强竞争激励的高观赏性及高透明度的网络安全赛制。值得一提的是，由于攻防模式出色的赛事性能，为了丰富CTF的竞赛模式，再此基础上衍生大量相似的竞赛模式，如运维赛(Operation)与渗透赛(Explore-Exploit)等，在此，统称为类攻防模式(AD-Like)。

由于类攻防模式为了实现对抗观赏性与透明度，必然要求以实时得分反应比赛状态。因此，必须设计一种真实且高效的题解检测方案，以实现以下技术细节要求：(1) 由于类攻防模式赛程较长，一般会持续48小时，因此，要求题解检测方案提供固定频率的题解解答状态；(2) 由于类攻防模式试题场景拓扑较为复杂，一般具有多个同虚拟网络区段的靶标节点以及多种预设服务漏洞，因此，要求题解检测方案提供快速且准确的检测手段以覆盖各个靶标节点与预设服务漏洞。

由于类攻防模式的特殊技术细节要求，现有CTF类攻防模式竞赛平台为实现高效的题解检测机制，通常会对攻防题目做各式约束。这些约束包括试题场景拓扑复杂度约束及预设漏洞服务复杂度约束。在现有平台的题目约束上，为了适应更健全的CTF比赛与合理的考察范围，往往要求举办方出题人对赛题设计及检测逻辑均有深入的了解。

为了响应“信息技术及网络空间安全人才储备”战略，在频繁举办CTF类攻防模式竞赛的条件下，有效减少举办方出题人赛题设计压力，成为了保持CTF类攻防模式竞赛活力的“金钥匙”。

发明内容

发明目的：针对上述现有技术存在的问题，本发明目的在于提供一种基于动态拓扑分析的CTF题解检测节点构建方法与系统，结合漏洞服务坐标（即目标终端节点及其端口），对赛题场景拓扑动态分析，能够自动创建辅助检测节点，以检测解题状态。最大程度地减少举办方出题人赛题设计压力，以适应未来更新频繁的CTF赛事。

技术方案：为实现上述发明目的，本发明采用如下技术方案：

有益效果：与现有技术相比，本发明具有如下优点：

一种基于动态拓扑分析的CTF题解检测节点构建方法，包括如下步骤：

获取赛题场景拓扑数据，并解析为有向图；有向图中的节点为场景拓扑中的节点，包括终端节点、交换机节点和/或网络安防设备节点、以及路由器节点；有向图中每个节点信息包括节点名称、节点等级、节点的端口以及端口-邻接节点的映射信息；有向图的边的两端为场景拓扑中相连的两个节点及其端口，边的末端节点的等级大于等于边的始端节点的等级；终端节点上设计有漏洞服务，每个漏洞服务包括目标终端节点及设计端口；

基于DFS算法从带有漏洞服务的终端节点的具体端口出发，为每个漏洞服务生成有向图的生成树；

对所有的DFS生成树进行分析，形成终点-起点字典，将终点所在节点及对应的端口，作为辅助检测节点的接入坐标；

向有向图中插入辅助检测节点，并将有向图再转换为场景拓扑数据。

具体地，有向图中终端节点等级低于交换机节点和网络安防设备节点；交换机节点和网络安防设备节点低于路由器节点；终端节点仅支持与交换机节点和网络安防设备节点相连接；场景拓扑中若存在连接外部网络的路由器节点，则有且仅有一个外网路由器节点，交换机节点和网络安防设备节点不可与外网路由器节点直接连接。

作为优选，每个节点的信息还包括允许连接对象等级区间信息，根据该信息创建有向图的边，或者遍历有向图中的节点。

作为优选，基于DFS算法生成有向图的生成树的方法，具体包括：

（1）从有向图中带有漏洞服务的终端节点的具体端口Vi出发，并将节点标记为已访问节点；

（2）检查当前节点的邻接节点，并根据当前节点允许连接对象等级区间过滤不可连接的邻接节点；

（3）从可选用的邻接节点中选取一个尚未访问的节点，标记为已访问节点，并回到步骤（2）从它继续进行深度优先搜索，当不存在此类邻接节点时回溯；反复操作直到从Vi出发可达的所有节点都已经访问。

作为优选，对所有的DFS生成树进行分析，形成终点-起点字典的方法为：将有向图的每个生成树的起点和叶子节点构成映射，并以叶子节点为键构造哈希表，形成终点-起点字典。

作为优选，在生成有向图的生成树时，为每个带有漏洞服务的终端节点上的端口生成一个树，所有的生成树中若存在完全相同的生成树则去除重复；在形成的终点-起点字典中去除重复的起点，为一个漏洞服务确定一个辅助检测节点的接入坐标。

作为优选，若终点所在节点仅有单一网段区域，则只在该节点上设置一个辅助检测节点。

作为优选，获取的赛题场景拓扑数据为JSON场景拓扑数据，包括所有节点信息和节点间端口连接信息，经过拓扑分析插入辅助检测节点后，再序列化为JSON场景拓扑数据。

一种基于动态拓扑分析的CTF题解检测节点构建系统，包括如下模块：

场景拓扑编辑与解析模块，用于获取赛题场景拓扑数据，并解析为有向图；有向图中的节点为场景拓扑中的节点，包括终端节点、交换机节点和/或网络安防设备节点、以及路由器节点；有向图中每个节点信息包括节点名称、节点等级、节点的端口以及端口-邻接节点的映射信息；有向图的边的两端为场景拓扑中相连的两个节点及其端口，边的末端节点的等级大于等于边的始端节点的等级；终端节点上设计有漏洞服务，每个漏洞服务包括目标终端节点及设计端口；以及用于向有向图中插入辅助检测节点，并将有向图再转换为场景拓扑数据。

以及，动态拓扑分析模块，用于基于DFS算法从带有漏洞服务的终端节点的具体端口出发，为每个漏洞服务生成有向图的生成树；以及对所有的DFS生成树进行分析，形成终点-起点字典，将终点所在节点及对应的端口，作为辅助检测节点的接入坐标。

一种计算机系统，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述计算机程序被加载至处理器时实现所述的基于动态拓扑分析的CTF题解检测节点构建方法。

有益效果：与现有技术相比，本发明将赛题场景拓扑抽象为有向图，从漏洞服务坐标出发，通过基于DFS生成树算法进行动态拓扑分析，可向场景拓扑中动态添加辅助检测节点，以完成CTF类攻防模式赛题检测，大大减少了举办方出题人赛题设计压力。本发明将场景拓扑中的节点进行合理的分等级管理，并通过连接关系的约束，能够将符合设计标准的场景拓扑转换为有向图，从而基于DFS生成树算法寻找漏洞服务坐标至高级节点的路径，能够快速确定最优的辅助检测节点构建方案，能够适用于绝大多数赛题场景。本发明方案架构灵活，可以在此基础上进行节点类型、等级和约束的拓展，有利于开发者使用及二次开发。

附图说明

图1为本发明实施例中示例的赛题基础场景拓扑与漏洞服务设计图。

图2为由图1抽象出的有向图示意图。

图3为本发明实施例中第二示例的有向图示意图。

图4为本发明实施例中第三示例的有向图示意图。

图5为本发明实施例的方法流程图。

图6为本发明实施例的系统示意图。

具体实施方式

下面将结合附图和具体实施例，对本发明的技术方案进行清楚、完整的描述。

为更好理解本发明的技术方案，先介绍本发明实施例中示意的一种CTF类攻防模式赛题的基础场景拓扑与漏洞服务设计图，如图1所示。

一、基础场景拓扑设计

(1) 场景拓扑中所涉及的靶标类型支持：终端节点、交换机节点、路由器节点与网络安防设备节点(如防火墙等)。路由器节点有连接内部网络的路由器节点（内网路由器节点）和连接外部网络的路由器节点（外网路由器节点），外网路由器节点为外网出口节点，外网型拓扑中通常有且仅有一个外部网络节点，内网型拓扑中不含任何外部网络节点。本实施例中将所有终端节点划为N I型节点，交换机与网络安防设备节点划为N II型节点，内网路由器节点与外网路由器节点分别为N III A型和N III B 型节点。

(2) 场景拓扑中靶标连接具有明确约束，即：终端节点仅支持与交换机节点、网络安防设备节点相连接，不可与其他终端节点相连接；交换机节点和网络安防设备节点不可与外网路由器节点直接连接；路由器节点为高级网络设备，不可直接与终端节点相连接，一张拓扑图中仅有一个外网路由器节点。

(3) 在场景拓扑中，内网路由器节点连接多个不同网段区域，其任意端口具有各自独立的网段区域，而外网路由器节点仅有单一网段区域，其任意端口均具有相同的网段区域。

(4) 在场景拓扑中，辅助检测节点为虚拟容器即可，不受数量约束，且可与任意非终端节点相连接。

二、漏洞服务设计

(1) 场景靶标漏洞服务通常设计于终端节点，罕有设计于交换节点，因此本发明仅考虑终端节点上的漏洞服务设计。

(2) 任意场景靶标漏洞服务必须包含目标终端节点及其具体设计端口。

(3) 任意终端节点的某端口上，可设计多个场景靶标漏洞服务。

基于上述基础场景拓扑与漏洞服务设计，现将阐述动态拓扑分析的具体原理。

通过对上述赛题场景描述，显然，可抽象为如图2所示的有向图G，该有向图G中的节点为场景拓扑中的节点，边的两端为场景拓扑中相连的两个节点及其端口，边的末端节点的等级大于等于边的始端节点的等级，N III A型节点指向N III B型节点。图中Vi表示漏洞服务具体设计端口（这里用端口表示两个设备的接口，相当于终端实体网卡接口）。

动态拓扑分析的目标即：在如图2所示的有向图G的生成树T中，寻求起点为漏洞服务坐标-终点为网络交换设备节点的路径，并在该终点的场景靶标节点的目标端口上设置辅助检测节点NH。因此，本发明实施例设计了基于DFS（深度优先搜索）生成树算法的动态拓扑分析：

（1）从有向图G中带有漏洞服务的终端节点的具体端口Vi出发，并将节点标记为已访问节点；

（2）检查当前节点的邻接节点，并根据当前节点允许连接对象等级区间过滤不可连接的邻接节点；

（3）从可选用的邻接节点中选取一个尚未访问的节点，标记为已访问节点，并回到步骤（2）从它继续进行深度优先搜索，当不存在此类邻接节点时回溯；反复操作直到从Vi出发可达的所有节点都已经访问。

在上述路径DFS遍历的过程中经过的边加上原图所有的节点就构成了场景拓扑抽象有向图G的DFS生成树T。由于存在多个初始起点Vi，因此，存在i个DFS生成树T。根据图2，应存在6个有向图G的DFS生成树T，其中V1与V2的生成树T完全一致，V3与V4的生成树T叶子节点一致，但其根节点所连接的端口不同。因此，移除重复的有向图G的DFS生成树T后，仅存在V1/2、V3、V4、V5、V6为根节点的5个DFS生成树。

选取有向图G的每个DFS生成树上的叶子节点Lj，构成映射{Vi, Lj}。将上述映射以L为键，构造哈希表，形成终点-起点字典。根据图2，最终映射表为{N III.b P1, [V1,V2, V3, V4]}与{N III.b P0, [V5, V6]}。

因此，需要在抽象场景靶标节点N III.b，即标准外部网络节点，上下端口P0、P1分别接入辅助检测节点NH。考虑到本示例中外部网络节点仅有单一网段区域，故而仅需向其任意端口接入一个辅助检测节点NH（将NH节点的网卡连接至目标网络交换设备上，使NH节点的网关为目标网络交换设备上的目标IP地址），即可完成对所有场景拓扑节点上漏洞服务检测。

图3、4分别给出其他两种场景拓扑与漏洞服务设计图。如图3所示的场景，根据有向图生成以V1、V3、V4、V5、V6为根节点的5个DFS生成树，路径信息为：

N I(V1) –>N II x –>N II z –> N III.a v

N I(V1) –>N II x–> N III.a u P0

N I(V3) –>N II x –> N II z –> N III.a v

N I(V3) –> N II x –> N III.a u P0

N I(V4) –> N II y –> N III.a u P1

N I(V5) –> N II m –> N II n –> N III.a v

N I(V6) –> N II m –> N II n –> N III.a v

最终得到的映射表为{ N III.a v, [V1, V3, V5, V6]}、{ N III.a u P0, [V1,V3]}与{ N III.a u P1, [V4]}。去除重复的起点后得到{ N III.a v, [V1, V3, V5,V6]}与{ N III.a u P1, [V4]}，或者{ N III.a v, [V5, V6]}、{ N III.a u P0, [V1,V3]}与{ N III.a u P1, [V4]}。所以分别在N III.a v、N III.a u P1接入辅助检测节点NH1、NH3可完成对所有场景拓扑节点上漏洞服务检测，或者分别在N III.a v、N III.a uP0、N III.a u P1接入辅助检测节点NH1、NH2、NH3也可完成对所有场景拓扑节点上漏洞服务检测。

如图4所示的场景，根据有向图生成以V1、V3、V4、V5、V6为根节点的5个DFS生成树，路径信息为：

N I(V1) –> N II x –> N II z

N I(V1) –> N II x –> N III.a u P0 –> N III.a v

N I(V3) –> N II x –> N II z

N I(V3) –> N II x –> N III.a u P0 –> N III.a v

N I(V4) –> NII y –> N III.a u P1

N I(V5) –> N II m –> N II n –> N III.a v

N I(V6) –> N II m –> N II n –> N III.a v

最终得到的映射表为{ N III.a v, [V1, V3, V5, V6]}、{ N II z, [V1, V3]}与{ N III.a u P1, [V4]}。去除重复的起点后得到{ N III.a v, [V1, V3, V5, V6]}与{ N III.a u P1, [V4]}，或者{ N III.a v, [V5, V6]}、{ N II z, [V1, V3]}与{ NIII.a u P1, [V4]}。可在N III.a v、N III.a u P1接入辅助检测节点NH1、NH3，或者在NIII.a v、N II z、N III.a u P1接入辅助检测节点NH1、NH2、NH3。上面的表述中节点未进行端口区分的，表示该节点上端口网段相同。

综上，如图5所示，本发明实施例提供的一种基于动态拓扑分析的CTF题解检测节点构建方法，首先获取赛题场景拓扑数据，并解析为有向图G；然后基于DFS算法从带有漏洞服务的终端节点的具体端口出发，为每个漏洞服务生成有向图G的生成树T；接着对所有的DFS生成树T进行分析，形成终点-起点字典，将终点所在节点及对应的端口，作为辅助检测节点的接入坐标；最后向有向图G中插入辅助检测节点，并将有向图G再转换为场景拓扑数据。

基于上述方法，本发明实施例一种基于动态拓扑分析的CTF题解检测节点构建系统，如图6所示，设有场景拓扑编辑与解析模块与动态拓扑分析模块。

场景拓扑编辑与解析模块负责实现场景拓扑数据解析与场景拓扑编辑，因此，该模块包含解析功能域与编辑功能域。解析功能域通过解析JSON场景拓扑数据，将其反序列化为上述的图对象G，图对象G中的每个节点对象包含各自的端口-邻接节点对象映射信息、自身节点等级信息、允许连接对象等级区间信息以及其自身业务信息(如节点名称，镜像名称，端口类型等)；编辑功能域支持图对象G中节点选取、节点信息修改、节点连接修改、目标节点删除与新节点插入等功能，并允许将图对象G序列化为JSON场景拓扑数据。

动态拓扑分析模块负责CTF类攻防模式赛题场景拓扑动态分析。该模块通过对反序列化后的图对象G输入操作，依照上文所述的生成树算法过程，生图对象G的DFS生成树T后，并对DFS生成树T分析，获取终点-起点字典后，确定辅助检测节点NH接入具体坐标。

综上所述，完整的基于动态拓扑分析的CTF题解检测方案为：

输入的CTF类攻防模式赛题场景拓扑JSON数据，首先经过场景拓扑编辑与解析模块的解析功能域反序列化为图对象G，再经过动态拓扑分析模块确定辅助检测节点NH接入节点的端口信息，最后通过场景拓扑编辑与解析模块的编辑功能域实现辅助检测节点NH向目标坐标的拓扑插入，并最终将插入后的图对象G序列化为CTF类攻防模式赛题场景拓扑JSON数据作为输出。

场景拓扑JSON数据格式

如下：

{

“topology”:

“elements”:

{

“ports”: [

{“端口信息”：…},

…

],

“其他节点信息”: …

},

“connections”: [

{“source”: …, “target”: …, “其他连接信息”: …},

…

]

}

其中“elements”中包含拓扑topology中所有节点信息（序列化后包含辅助节点信息），“connections”中包含拓扑topology中所有节点间端口连接信息（序列化后包含辅助节点连接信息），连接信息由源节点source端口指向目标节点target端口。

本发明实施例还公开了一种计算机系统，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述计算机程序被加载至处理器时实现上述的基于动态拓扑分析的CTF题解检测节点构建方法。

Claims (10)

1.一种基于动态拓扑分析的CTF题解检测节点构建方法，其特征在于，包括如下步骤：

获取赛题场景拓扑数据，并解析为有向图；有向图中的节点为场景拓扑中的节点，包括终端节点、交换机节点和/或网络安防设备节点、以及路由器节点；有向图中每个节点信息包括节点名称、节点等级、节点的端口以及端口-邻接节点的映射信息；有向图的边的两端为场景拓扑中相连的两个节点及其端口，边的末端节点的等级大于等于边的始端节点的等级；终端节点上设计有漏洞服务，每个漏洞服务包括目标终端节点及设计端口；

基于DFS算法从带有漏洞服务的终端节点的具体端口出发，为每个漏洞服务生成有向图的生成树；

对所有的DFS生成树进行分析，形成终点-起点字典，将终点所在节点及对应的端口，作为辅助检测节点的接入坐标；

向有向图中插入辅助检测节点，并将有向图再转换为场景拓扑数据。

2.根据权利要求1所述的基于动态拓扑分析的CTF题解检测节点构建方法，其特征在于，有向图中终端节点等级低于交换机节点和网络安防设备节点；交换机节点和网络安防设备节点低于路由器节点；终端节点仅支持与交换机节点和网络安防设备节点相连接；场景拓扑中若存在连接外部网络的路由器节点，则有且仅有一个外网路由器节点，交换机节点和网络安防设备节点不可与外网路由器节点直接连接。

3.根据权利要求1所述的基于动态拓扑分析的CTF题解检测节点构建方法，其特征在于，每个节点的信息还包括允许连接对象等级区间信息，根据该信息创建有向图的边，或者遍历有向图中的节点。

4.根据权利要求1所述的基于动态拓扑分析的CTF题解检测节点构建方法，其特征在于，基于DFS算法生成有向图的生成树的方法，具体包括：

（1）从有向图中带有漏洞服务的终端节点的具体端口Vi出发，并将节点标记为已访问节点；

（2）检查当前节点的邻接节点，并根据当前节点允许连接对象等级区间过滤不可连接的邻接节点；

（3）从可选用的邻接节点中选取一个尚未访问的节点，标记为已访问节点，并回到步骤（2）从它继续进行深度优先搜索，当不存在此类邻接节点时回溯；反复操作直到从Vi出发可达的所有节点都已经访问。

5.根据权利要求1所述的基于动态拓扑分析的CTF题解检测节点构建方法，其特征在于，对所有的DFS生成树进行分析，形成终点-起点字典的方法为：将有向图的每个生成树的起点和叶子节点构成映射，并以叶子节点为键构造哈希表，形成终点-起点字典。

6.根据权利要求1所述的基于动态拓扑分析的CTF题解检测节点构建方法，其特征在于，在生成有向图的生成树时，为每个带有漏洞服务的终端节点上的端口生成一个树，所有的生成树中若存在完全相同的生成树则去除重复；在形成的终点-起点字典中去除重复的起点，为一个漏洞服务确定一个辅助检测节点的接入坐标。

7.根据权利要求1所述的基于动态拓扑分析的CTF题解检测节点构建方法，其特征在于，若终点所在节点仅有单一网段区域，则只在该节点上设置一个辅助检测节点。

8.根据权利要求1所述的基于动态拓扑分析的CTF题解检测节点构建方法，其特征在于，获取的赛题场景拓扑数据为JSON场景拓扑数据，包括所有节点信息和节点间端口连接信息，经过拓扑分析插入辅助检测节点后，再序列化为JSON场景拓扑数据。

9.一种基于动态拓扑分析的CTF题解检测节点构建系统，其特征在于，包括如下模块：

场景拓扑编辑与解析模块，用于获取赛题场景拓扑数据，并解析为有向图；有向图中的节点为场景拓扑中的节点，包括终端节点、交换机节点和/或网络安防设备节点、以及路由器节点；有向图中每个节点信息包括节点名称、节点等级、节点的端口以及端口-邻接节点的映射信息；有向图的边的两端为场景拓扑中相连的两个节点及其端口，边的末端节点的等级大于等于边的始端节点的等级；终端节点上设计有漏洞服务，每个漏洞服务包括目标终端节点及设计端口；以及用于向有向图中插入辅助检测节点，并将有向图再转换为场景拓扑数据；

以及，动态拓扑分析模块，用于基于DFS算法从带有漏洞服务的终端节点的具体端口出发，为每个漏洞服务生成有向图的生成树；以及对所有的DFS生成树进行分析，形成终点-起点字典，将终点所在节点及对应的端口，作为辅助检测节点的接入坐标。

10.一种计算机系统，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述计算机程序被加载至处理器时实现根据权利要求1-8任一项所述的基于动态拓扑分析的CTF题解检测节点构建方法。

Images