CN114268468A - 网络流量处理系统、方法、装置、计算机设备和存储介质 - Google Patents

Abstract

本申请涉及一种网络流量处理系统、方法、装置、计算机设备、存储介质和计算机程序产品，系统包括：网络流量预处理模块从数据流中获取预设格式的数据信息；对数据信息进行筛选得到目标数据信息；网络流量自动化分析模块通过预先构建的影子服务提取目标数据信息的地址信息，恢复目标数据信息的地址空间信息；将地址空间信息发送至自动化漏洞利用重现模块；自动化漏洞利用重现模块根据地址空间信息生成自动化漏洞利用程序；自动化漏洞利用程序用于与目标服务进行交互；实现了对网络流量中数据信息的获取以及分析，根据分析得到的地址空间信息生成相应的自动化漏洞利用工具，以对漏洞利用过程进行重现，提高了智能电网整体的安全性。

Description

网络流量处理系统、方法、装置、计算机设备和存储介质

技术领域

本申请涉及计算机技术领域，特别是涉及一种网络流量处理系统、方法、装置、计算机设备、存储介质和计算机程序产品。

背景技术

在电网安全的研究中，针对智能电网系统漏洞的攻防是一个经久不衰的话题。在软件的开发过程中，由于开发者的疏忽或对底层技术的理解不够深刻，都可能会导致漏洞的产生，使得服务器设备对于攻击者而言成为一个具有极高价值的攻击目标。

现有技术中，可以在针对内存破坏类型的远程代码执行漏洞的TCP攻击流量的前提下，完成对同一目标同一环境利用过程的重现；在利用过程未采用暴力破解手段时，使得漏洞利用过程可以针对不同智能电网多次利用，以提高智能电网整体的安全性。

发明内容

基于此，有必要针对上述技术问题，提供一种网络流量处理系统、方法、装置、计算机设备、计算机可读存储介质和计算机程序产品。

第一方面，本申请提供了一种网络流量处理系统，所述系统包括：网络流量预处理模块、网络流量自动化分析模块和自动化漏洞利用重现模块；所述网络流量预处理模块、所述网络流量自动化分析模块和所述自动化漏洞利用重现模块之间通信连接；

所述网络流量预处理模块，用于从数据流中获取预设格式的数据信息；对所述数据信息进行筛选得到目标数据信息；将所述目标数据信息发送至所述网络流量自动化分析模块；

所述网络流量自动化分析模块，用于通过预先构建的影子服务提取所述目标数据信息的地址信息，恢复所述目标数据信息的地址空间信息；将所述地址空间信息发送至所述自动化漏洞利用重现模块；

所述自动化漏洞利用重现模块，用于根据所述地址空间信息生成自动化漏洞利用程序；所述自动化漏洞利用程序用于与目标服务进行交互。

在一个实施例中，所述网络流量预处理模块，还包括：PCAPNG格式解析单元，用于对数据流中的流量数据进行PCAPNG格式解析，得到PCAPNG格式的流量数据。

在一个实施例中，所述网络流量预处理模块，还包括：TCP流提取单元，用于将所述PCAPNG格式的流量数据，根据预设TCP协议进行排序处理，得到TCP交互数据作为所述预设格式的数据信息。

在一个实施例中，所述网络流量预处理模块，还包括：流量分析单元，用于对所述预设格式的数据信息进行筛选，获取符合预设筛选条件的预设格式的数据信息作为所述目标数据信息。

在一个实施例中，所述网络流量预处理模块，还包括：影子服务启动单元，用于获取与所述目标数据信息对应的环境配置信息；根据所述环境配置信息构建影子服务作为所述预先构建的影子服务。

第二方面，本申请提供了一种网络流量处理方法，所述方法包括：

从数据流中获取预设格式的数据信息；对所述数据信息进行筛选得到目标数据信息；

通过预先构建的影子服务提取所述目标数据信息的地址信息，恢复所述目标数据信息的地址空间信息；

根据所述地址空间信息生成自动化漏洞利用程序；所述自动化漏洞利用程序用于与目标服务进行交互。

第三方面，本申请提供了一种网络流量处理装置，所述装置包括：

数据获取模块，用于从数据流中获取预设格式的数据信息；对所述数据信息进行筛选得到目标数据信息；

地址获取模块，用于通过预先构建的影子服务提取所述目标数据信息的地址信息，恢复所述目标数据信息的地址空间信息；

程序生成模块，用于根据所述地址空间信息生成自动化漏洞利用程序；所述自动化漏洞利用程序用于与目标服务进行交互。

第四方面，本申请还提供了一种计算机设备。所述计算机设备包括存储器和处理器，所述存储器存储有计算机程序，所述处理器执行所述计算机程序时实现以下步骤：

从数据流中获取预设格式的数据信息；对所述数据信息进行筛选得到目标数据信息；

通过预先构建的影子服务提取所述目标数据信息的地址信息，恢复所述目标数据信息的地址空间信息；

根据所述地址空间信息生成自动化漏洞利用程序；所述自动化漏洞利用程序用于与目标服务进行交互。

第五方面，本申请还提供了一种计算机可读存储介质。所述计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现以下步骤：

从数据流中获取预设格式的数据信息；对所述数据信息进行筛选得到目标数据信息；

通过预先构建的影子服务提取所述目标数据信息的地址信息，恢复所述目标数据信息的地址空间信息；

根据所述地址空间信息生成自动化漏洞利用程序；所述自动化漏洞利用程序用于与目标服务进行交互。

第六方面，本申请还提供了一种计算机程序产品。所述计算机程序产品，包括计算机程序，该计算机程序被处理器执行时实现以下步骤：

从数据流中获取预设格式的数据信息；对所述数据信息进行筛选得到目标数据信息；

通过预先构建的影子服务提取所述目标数据信息的地址信息，恢复所述目标数据信息的地址空间信息；

根据所述地址空间信息生成自动化漏洞利用程序；所述自动化漏洞利用程序用于与目标服务进行交互。

上述网络流量处理系统、方法、装置、计算机设备、存储介质和计算机程序产品，系统包括：网络流量预处理模块、网络流量自动化分析模块和自动化漏洞利用重现模块；网络流量预处理模块、网络流量自动化分析模块和自动化漏洞利用重现模块之间通信连接；网络流量预处理模块，用于从数据流中获取预设格式的数据信息；对数据信息进行筛选得到目标数据信息；将目标数据信息发送至网络流量自动化分析模块；网络流量自动化分析模块，用于通过预先构建的影子服务提取目标数据信息的地址信息，恢复目标数据信息的地址空间信息；将地址空间信息发送至自动化漏洞利用重现模块；自动化漏洞利用重现模块，用于根据地址空间信息生成自动化漏洞利用程序；自动化漏洞利用程序用于与目标服务进行交互；实现了对网络流量中数据信息的获取以及分析，根据分析得到的地址空间信息生成相应的自动化漏洞利用工具，以对漏洞利用过程进行重现，提高了智能电网整体的安全性。

附图说明

图1为一个实施例中网络流量处理系统的结构示意图；

图2为一个实施例中网络流量预处理模块的结构示意图；

图3为一个实施例中影子服务与目标服务的对比示意图；

图4为一个实施例中网络流量自动化分析模块的数据处理步骤示意图；

图5为一个实施例中流量补齐阶段的数据处理步骤示意图；

图6为一个实施例中地址提取阶段的数据处理步骤示意图；

图7为一个实施例中映射恢复阶段的数据处理步骤示意图；

图8为一个实施例中地址修正阶段的数据处理步骤示意图；

图9为一个实施例中流量分析阶段的数据处理步骤示意图；

图10为一个实施例中网络流量处理方法的流程示意图；

图11为一个实施例中网络流量处理装置的结构框图；

图12为一个实施例中计算机设备的内部结构图。

具体实施方式

为了使本申请的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本申请进行进一步详细说明。应当理解，此处描述的具体实施例仅仅用以解释本申请，并不用于限定本申请。

本申请实施例提供的网络流量处理系统，其结构如图1所示，包括网络流量预处理模块110、网络流量自动化分析模块120和自动化漏洞利用重现模块130；网络流量预处理模块110、网络流量自动化分析模块120和自动化漏洞利用重现模块130之间通信连接；

网络流量预处理模块110于从数据流中获取预设格式的数据信息；对数据信息进行筛选得到目标数据信息；将目标数据信息发送至网络流量自动化分析模块120

网络流量自动化分析模块120通过预先构建的影子服务提取目标数据信息的地址信息，恢复目标数据信息的地址空间信息；将地址空间信息发送至自动化漏洞利用重现模块130

自动化漏洞利用重现模块130根据地址空间信息生成自动化漏洞利用程序；自动化漏洞利用程序用于与目标服务进行交互。

具体地，网络流量处理系统整体可分为三个部分，包括网络流量预处理、流量分析和自动化漏洞利用。通过网络流量预处理部分对系统进行整体初始化、环境搭建和流量清洗处理，为后续的分析部分提供条件和数据输入，经过配置可以对其他远程服务重现攻击流程完成自动化漏洞利用重现。

具体地，网络流量预处理模块包括如图2所示的四个单元：PCAPNG格式解析、TCP流提取、流量分析以及启动影子服务。在其中一个实施例中，PCAPNG格式解析单元，用于对数据流中的流量数据进行PCAPNG格式解析，得到PCAPNG格式的流量数据。TCP流提取单元，用于将PCAPNG格式的流量数据，根据预设TCP协议进行排序处理，得到TCP交互数据作为预设格式的数据信息。流量分析单元，用于对预设格式的数据信息进行筛选，获取符合预设筛选条件的预设格式的数据信息作为目标数据信息。影子服务启动单元，用于获取与目标数据信息对应的环境配置信息；根据环境配置信息构建影子服务作为预先构建的影子服务。

具体地，系统启动后首先会经过网络流量预处理部分，该部分主要工作为对已抓取流量进行格式解析并清洗流量以及服务准备；在现代流量抓取软件中，常用PCAPNG作为流量抓取记录格式；PCAPNG格式定义了包结构，存储了网络流量中各个包的基础信息和包内的数据信息。流量清洗主要工作为将已解析以及按流结构进行处理后的流量进行初步按照端口号和根据部分筛选规则进行清洗，提高流量的处理效率。服务准备部分包括目标服务准备和影子服务准备，目标服务指在分析过程中，本地预备的与原攻击流量的远程环境相同的目标靶机环境，影子服务是通过配置与受攻击系统尽量相同的环境，使本地运行与受攻击环境几乎相同的环境，但是保留一定的控制权限。

上述网络流量处理系统中，实现了对网络流量中数据信息的获取以及分析，根据分析得到的地址空间信息生成相应的自动化漏洞利用工具，以对漏洞利用过程进行重现，提高了智能电网整体的安全性。

在一个实施例中，网络流量自动化分析模块的主要工作为利用影子服务对已记录流量分析从而提取流量内的地址信息，恢复已记录流量的地址空间信息，影子服务与目标服务(即靶机)的对比如图3所示。由于地址空间随机化攻击的绕过本质上是部分恢复远程服务地址空间信息，在绕过的过程中需要进行地址信息泄露攻击，获取到目标进程地址空间的信息，所以通过一定的分析，可以推断出攻击载荷中的地址信息。流量同步处理主要方法为按照已记录流量的收发情况，在影子服务上同步操作。根据已记录流量中的发送长度和接收次数同步发送和接收，发送和接收到的具体数据进一步处理，具体通过以下方式进行，如图4所示：

流量补齐阶段：如图5所示，针对发送或是接收过程中，影子服务和已记录流量中数据长度不同处理的。由于接收过程中存在小端序情况下高位地址为空字节导致长度不一致的情况，可以通过调整对地址信息进行处理使长度一致。流量补齐的模型被设置为通过补充空字节使两部分网络流量之间的差距最小，这个模型可采用动态规划的算法解决。

地址提取阶段：如图6所示，在发送或是接收过程中尝试提取数据中的地址数据。如果该数据能够确认位于影子服务的地址空间中，按照同步处理的方法，可以将该部分数据对应到原服务数据中，从而确认原服务中的地址数据位置。

映射恢复阶段：如图8所示，在地址提取阶段成功提取到影子服务接收到的流量中的地址位置之后，就可以进入映射恢复阶段。虽然这个阶段无法恢复全部的内存映射信息，但可以恢复出在发送中需要的所有内存映射信息。

地址修正阶段：如图8所示，在映射恢复之后，为保证发送流量的正确性，就需要修正即将发送流量中用到的地址信息，使利用过程继续进行下去。修正方法为采用与地址提取阶段相同的滑动窗口方式，可以得到适用于当前影子服务的地址完成修正步骤。

流量分析阶段中，通过如图9所示的流量同步处理的方式，接收和发送步骤分别映射恢复和地址修正，通过循环发送和接收流程，完成已记录流量中所有内存映射信息的恢复，为后续漏洞利用过程提供必要信息。

本实施例中，通过网络流量自动化分析模块中各个阶段对目标数据信息的处理，得到了适用于当前影子服务的地址空间信息，提高了地址控件信息获取的效率和准确性。

在一个实施例中，自动化漏洞利用重现模块，用于根据地址空间信息生成自动化漏洞利用程序；自动化漏洞利用程序用于与目标服务进行交互。

具体地，流量分析模块中已经记录了接收过程中恢复映射的地址位置和偏移量及发送时的地址位置；因此在自动化利用过程中，可以通过对所有记录逐条处理，根据每条发送和接收类型的不同分别完成不同的步骤，即包括但不限于生成自动化漏洞利用程序在内的步骤。

本实施例中，通过流量分析模块中已经记录了接收过程中恢复映射的地址位置和偏移量及发送时的地址位置，自动化漏洞利用重现模块可以根据地址空间信息生成自动化漏洞利用程序，以与目标服务进行交互，提高了自动化漏洞利用重现的效率。

在一个实施例中，如图10所示，提供了一种网络流量处理方法，该方法包括以下步骤：

步骤101，从数据流中获取预设格式的数据信息；对数据信息进行筛选得到目标数据信息；

步骤102，通过预先构建的影子服务提取目标数据信息的地址信息，恢复目标数据信息的地址空间信息；

步骤103，根据地址空间信息生成自动化漏洞利用程序；自动化漏洞利用程序用于与目标服务进行交互。

上述网络流量处理方法中，首先从数据流中获取预设格式的数据信息；对数据信息进行筛选得到目标数据信息；然后通过预先构建的影子服务提取目标数据信息的地址信息，恢复目标数据信息的地址空间信息；最后根据地址空间信息生成自动化漏洞利用程序；自动化漏洞利用程序用于与目标服务进行交互；实现了对网络流量中数据信息的获取以及分析，根据分析得到的地址空间信息生成相应的自动化漏洞利用工具，以对漏洞利用过程进行重现，提高了智能电网整体的安全性。

应该理解的是，虽然如上的各实施例所涉及的流程图中的各个步骤按照箭头的指示依次显示，但是这些步骤并不是必然按照箭头指示的顺序依次执行。除非本文中有明确的说明，这些步骤的执行并没有严格的顺序限制，这些步骤可以以其它的顺序执行。而且，如上的各实施例所涉及的流程图中的至少一部分步骤可以包括多个步骤或者多个阶段，这些步骤或者阶段并不必然是在同一时刻执行完成，而是可以在不同的时刻执行，这些步骤或者阶段的执行顺序也不必然是依次进行，而是可以与其它步骤或者其它步骤中的步骤或者阶段的至少一部分轮流或者交替地执行。

基于同样的发明构思，本申请实施例还提供了一种用于实现上述所涉及的网络流量处理方法的网络流量处理装置。该装置所提供的解决问题的实现方案与上述方法中所记载的实现方案相似，故下面所提供的一个或多个网络流量处理装置实施例中的具体限定可以参见上文中对于网络流量处理方法的限定，在此不再赘述。

在一个实施例中，如图11所示，提供了一种网络流量处理装置，包括：数据获取模块111、地址获取模块112和程序生成模块113，其中：

数据获取模块111，用于从数据流中获取预设格式的数据信息；对数据信息进行筛选得到目标数据信息；

地址获取模块112，用于通过预先构建的影子服务提取目标数据信息的地址信息，恢复目标数据信息的地址空间信息；

程序生成模块113，用于根据地址空间信息生成自动化漏洞利用程序；自动化漏洞利用程序用于与目标服务进行交互。

上述网络流量处理装置中的各个模块可全部或部分通过软件、硬件及其组合来实现。上述各模块可以硬件形式内嵌于或独立于计算机设备中的处理器中，也可以以软件形式存储于计算机设备中的存储器中，以便于处理器调用执行以上各个模块对应的操作。

在一个实施例中，提供了一种计算机设备，该计算机设备可以是服务器，其内部结构图可以如图12所示。该计算机设备包括通过系统总线连接的处理器、存储器和网络接口。其中，该计算机设备的处理器用于提供计算和控制能力。该计算机设备的存储器包括非易失性存储介质和内存储器。该非易失性存储介质存储有操作系统、计算机程序和数据库。该内存储器为非易失性存储介质中的操作系统和计算机程序的运行提供环境。该计算机设备的数据库用于存储网络流量处理数据。该计算机设备的网络接口用于与外部的终端通过网络连接通信。该计算机程序被处理器执行时以实现一种网络流量处理方法。

本领域技术人员可以理解，图12中示出的结构，仅仅是与本申请方案相关的部分结构的框图，并不构成对本申请方案所应用于其上的计算机设备的限定，具体的计算机设备可以包括比图中所示更多或更少的部件，或者组合某些部件，或者具有不同的部件布置。

在一个实施例中，提供了一种计算机设备，包括存储器和处理器，存储器中存储有计算机程序，该处理器执行计算机程序时实现以下步骤：

从数据流中获取预设格式的数据信息；对数据信息进行筛选得到目标数据信息；

通过预先构建的影子服务提取目标数据信息的地址信息，恢复目标数据信息的地址空间信息；

根据地址空间信息生成自动化漏洞利用程序；自动化漏洞利用程序用于与目标服务进行交互。

在一个实施例中，提供了一种计算机可读存储介质，其上存储有计算机程序，计算机程序被处理器执行时实现以下步骤：

从数据流中获取预设格式的数据信息；对数据信息进行筛选得到目标数据信息；

通过预先构建的影子服务提取目标数据信息的地址信息，恢复目标数据信息的地址空间信息；

根据地址空间信息生成自动化漏洞利用程序；自动化漏洞利用程序用于与目标服务进行交互。

在一个实施例中，提供了一种计算机程序产品，包括计算机程序，该计算机程序被处理器执行时实现以下步骤：

从数据流中获取预设格式的数据信息；对数据信息进行筛选得到目标数据信息；

通过预先构建的影子服务提取目标数据信息的地址信息，恢复目标数据信息的地址空间信息；

根据地址空间信息生成自动化漏洞利用程序；自动化漏洞利用程序用于与目标服务进行交互。

需要说明的是，本申请所涉及的用户信息(包括但不限于用户设备信息、用户个人信息等)和数据(包括但不限于用于分析的数据、存储的数据、展示的数据等)，均为经用户授权或者经过各方充分授权的信息和数据。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，的计算机程序可存储于一非易失性计算机可读取存储介质中，该计算机程序在执行时，可包括如上述各方法的实施例的流程。其中，本申请所提供的各实施例中所使用的对存储器、数据库或其它介质的任何引用，均可包括非易失性和易失性存储器中的至少一种。非易失性存储器可包括只读存储器(Read-OnlyMemory，ROM)、磁带、软盘、闪存、光存储器、高密度嵌入式非易失性存储器、阻变存储器(ReRAM)、磁变存储器(Magnetoresistive Random Access Memory，MRAM)、铁电存储器(Ferroelectric Random Access Memory，FRAM)、相变存储器(Phase Change Memory，PCM)、石墨烯存储器等。易失性存储器可包括随机存取存储器(Random Access Memory，RAM)或外部高速缓冲存储器等。作为说明而非局限，RAM可以是多种形式，比如静态随机存取存储器(Static Random Access Memory，SRAM)或动态随机存取存储器(Dynamic RandomAccess Memory，DRAM)等。本申请所提供的各实施例中所涉及的数据库可包括关系型数据库和非关系型数据库中至少一种。非关系型数据库可包括基于区块链的分布式数据库等，不限于此。本申请所提供的各实施例中所涉及的处理器可为通用处理器、中央处理器、图形处理器、数字信号处理器、可编程逻辑器、基于量子计算的数据处理逻辑器等，不限于此。

以上实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。

以上实施例仅表达了本申请的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对本申请专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本申请构思的前提下，还可以做出若干变形和改进，这些都属于本申请的保护范围。因此，本申请的保护范围应以所附权利要求为准。

Claims (10)

1.一种网络流量处理系统，其特征在于，所述系统包括：网络流量预处理模块、网络流量自动化分析模块和自动化漏洞利用重现模块；所述网络流量预处理模块、所述网络流量自动化分析模块和所述自动化漏洞利用重现模块之间通信连接；

所述网络流量预处理模块，用于从数据流中获取预设格式的数据信息；对所述数据信息进行筛选得到目标数据信息；将所述目标数据信息发送至所述网络流量自动化分析模块；

所述网络流量自动化分析模块，用于通过预先构建的影子服务提取所述目标数据信息的地址信息，恢复所述目标数据信息的地址空间信息；将所述地址空间信息发送至所述自动化漏洞利用重现模块；

所述自动化漏洞利用重现模块，用于根据所述地址空间信息生成自动化漏洞利用程序；所述自动化漏洞利用程序用于与目标服务进行交互。

2.根据权利要求1所述的系统，其特征在于，所述网络流量预处理模块，还包括：PCAPNG格式解析单元，用于对数据流中的流量数据进行PCAPNG格式解析，得到PCAPNG格式的流量数据。

3.根据权利要求2所述的系统，其特征在于，所述网络流量预处理模块，还包括：TCP流提取单元，用于将所述PCAPNG格式的流量数据，根据预设TCP协议进行排序处理，得到TCP交互数据作为所述预设格式的数据信息。

4.根据权利要求3所述的系统，其特征在于，所述网络流量预处理模块，还包括：流量分析单元，用于对所述预设格式的数据信息进行筛选，获取符合预设筛选条件的预设格式的数据信息作为所述目标数据信息。

5.根据权利要求4所述的系统，其特征在于，所述网络流量预处理模块，还包括：影子服务启动单元，用于获取与所述目标数据信息对应的环境配置信息；根据所述环境配置信息构建影子服务作为所述预先构建的影子服务。

6.一种网络流量处理方法，其特征在于，所述方法包括：

从数据流中获取预设格式的数据信息；对所述数据信息进行筛选得到目标数据信息；

通过预先构建的影子服务提取所述目标数据信息的地址信息，恢复所述目标数据信息的地址空间信息；

根据所述地址空间信息生成自动化漏洞利用程序；所述自动化漏洞利用程序用于与目标服务进行交互。

7.一种网络流量处理装置，其特征在于，所述装置包括：

数据获取模块，用于从数据流中获取预设格式的数据信息；对所述数据信息进行筛选得到目标数据信息；

地址获取模块，用于通过预先构建的影子服务提取所述目标数据信息的地址信息，恢复所述目标数据信息的地址空间信息；

程序生成模块，用于根据所述地址空间信息生成自动化漏洞利用程序；所述自动化漏洞利用程序用于与目标服务进行交互。

8.一种计算机设备，包括存储器和处理器，所述存储器存储有计算机程序，其特征在于，所述处理器执行所述计算机程序时实现权利要求6所述的网络流量处理方法的步骤。

9.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求6所述的网络流量处理方法的步骤。

10.一种计算机程序产品，包括计算机程序，其特征在于，该计算机程序被处理器执行时实现权利要求6所述的网络流量处理方法的步骤。

Images