CN115659343A

CN115659343A - 一种模仿真实攻击的容器攻击模拟方法、检测方法和终端

Info

Publication number: CN115659343A
Application number: CN202211679053.1A
Authority: CN
Inventors: 聂君; 罗成; 宫华; 孟繁强; 张游知; 张践鳌; 姚逸; 吴佳波; 陈瑜; 石天浩
Original assignee: Beijing Zhiqi'an Technology Co ltd
Current assignee: Beijing Zhiqi'an Technology Co ltd
Priority date: 2022-12-27
Filing date: 2022-12-27
Publication date: 2023-01-31
Anticipated expiration: 2042-12-27
Also published as: CN115659343B

Abstract

本申请公开了一种模仿真实攻击的容器攻击模拟方法、检测方法和终端，攻击模拟方法包括模拟容器真实攻击环境，设置攻击行为的最初父进程，释放两个未安装代理的常驻容器，设置常驻容器内的最初父进程为业务服务器，在其中一个常驻容器中植入存在有漏洞的war包和入侵者，通过入侵者加载攻击模拟任务，在两个常驻容器之间相互攻击，进行漏洞攻击模拟，将执行结果回传给主机，代理根据常驻容器特征查询日志中是否存在对应的攻击特征，判断安全设备是否具备检测攻击模拟的能力。保证攻击模拟任务在完全模拟真实的业务场景中运行，给予安全设备充裕的时间进行攻击行为检测，提高容器的安全性。

Description

一种模仿真实攻击的容器攻击模拟方法、检测方法和终端

技术领域

本申请涉及计算机技术领域，尤其是涉及一种模仿真实攻击的容器攻击模拟方法、检测方法和终端。

背景技术

Docker是一个轻量级的容器，可以方便在其中构建、运行应用。通过Docker可以快速的运行应用、迁移应用、快速集成、快速部署、也提高了系统的资源利用率，因此现在越来越多的企业把应用上云，来达到快速上线应用、方便运维的目的，基于此，容器如果被攻击，则会带来严重损失，如何快速检测当前企业环境内Docker环境是否安全、是否能发现对应的攻击也是重中之重。

由于容器安全生命周期短、容器内进程数量少，如果一旦被攻击，时间会很短，而安全设备监测攻击行为需要一定时间，且常常依托于进程链的行为进行攻击行为检测，这就给检测攻击带来困难。

如果启动临时容器做攻击模拟，攻击模拟结束容器做销毁处理，可能会导致安全设备没有充裕的时间检测到攻击行为。

如果直接在容器中安装执行攻击模拟所需的代理（agent），利用agent启动任务，这样任务的父进程就是代理（agent），也可能导致安全设备无法检测到攻击行为。

因此，如何对模拟对容器的攻击行为并检测，是目前亟待解决的问题。

发明内容

本申请提供一种模仿真实攻击的容器攻击模拟方法、检测方法和终端，设置攻击模拟的最初父进程为业务服务器，在常驻容器中植入包含有漏洞的WAR包和加载入侵者，通过入侵者加载攻击模拟任务，保证攻击模拟任务在完全模拟真实的业务场景中运行，给予安全设备充裕的时间进行攻击行为检测，提高容器的安全性。

第一方面，本发明的上述发明目的通过以下技术方案得以实现：

一种模仿真实攻击的容器攻击模拟方法，包括模拟容器真实攻击环境，设置攻击行为的最初父进程，释放两个未安装代理的常驻容器，在两个常驻容器之间相互攻击，进行漏洞攻击模拟，将执行结果回传给主机。

本发明进一步设置为：在主机上或者特权容器中安装代理，利用代理释放两个常驻容器，在两个常驻容器中不安装代理，用于模拟真实攻击环境。

本发明进一步设置为：设置常驻容器内的攻击模拟任务的最初父进程为业务服务器，模拟真实攻击业务场景。

本发明进一步设置为：命名两个常驻容器分别为第一常驻容器和第二常驻容器，利用第一常驻容器对第二常驻容器进行web漏洞利用，并在第二常驻容器植入入侵者。

本发明进一步设置为：植入入侵者包括：代理在接收到攻击模拟任务后，通过容器的应用程序接口控制常驻容器，在第二常驻容器中部署包含有漏洞的WAR包，第二常驻容器运行时自动启动运行Web应用的Web应用服务器；代理通过容器的应用程序接口控制常驻容器，控制第一常驻容器利用漏洞攻击第二常驻容器上的Web应用服务器，并植入入侵者。

本发明进一步设置为：代理通过容器的应用程序接口，控制第一常驻容器利用第二常驻容器上的入侵者，进行后续的常驻容器安全相关的攻击模拟动作。

本发明进一步设置为：第一常驻容器根据第二常驻容器IP、部署在第二常驻容器中包含有漏洞的WAR包、第二常驻容器内的入侵者、入侵者密码，执行任意的系统命令。

本发明进一步设置为：代理在接收到攻击模拟任务时，将存储有攻击模拟任务的编程文件，通过主机上执行任务的加载器，挂载到第二常驻容器中，代理同步获取第二常驻容器IP、部署在第二常驻容器中包含有漏洞的WAR包、第二常驻容器内的入侵者、入侵者密码，在常驻容器执行攻击模拟任务。

第二方面，本发明的上述发明目的通过以下技术方案得以实现：

一种模仿真实攻击的容器攻击模拟检测方法，采用本申请所述模仿真实攻击的容器攻击模拟方法，进行常驻容器攻击模拟，在攻击模拟成功执行后，将实施攻击模拟任务的常驻容器特征返回给代理，代理根据常驻容器特征查询日志中是否存在对应的攻击特征，判断安全设备是否具备检测攻击模拟的能力。

第三方面，本发明的上述发明目的通过以下技术方案得以实现：

一种模仿真实攻击的容器攻击模拟终端，包括存储器、处理器、以及存储在所述存储器中并可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现本申请所述方法。

与现有技术相比，本申请的有益技术效果为：

1.本申请通过设置常驻容器内攻击模拟任务的最初父进程为业务服务器而不是代理，且不在常驻容器中设置代理，保证了安全设备能够检测到攻击行为；

2.进一步地，本申请通过将代理安装在主机或特权容器中，利用代理释放两个常驻容器，攻击模拟在常驻容器中进行，攻击模拟结束后常驻容器不销毁，为安全设备有充裕的时间检测攻击行为提供保证；

3.进一步地，本申请通过采用常驻容器，在常驻容器中安装web安全漏洞和植入者，通过植入者将攻击模拟任务加载到常驻容器中执行，保证了攻击行为能够被记录，为检测提供依据。

附图说明

图1是本申请一个具体实施例的攻击模拟流程示意图；

图2是本申请一个具体实施例的攻击模拟分步示意图。

具体实施方式

以下结合附图对本申请作进一步详细说明。

本申请实施例的一种模仿真实攻击的容器攻击模拟方法，如图1所示，在主机上或者特权容器中安装代理（agent），利用代理释放两个常驻容器，在两个常驻容器中不安装代理，用于模拟真实攻击环境，将所有攻击行为的最初父进程设置为业务服务器，而不是代理，保证常驻容器内产生的进程链完全模拟真实的业务场景。

在接收到控制中心的启动常驻容器任务指令后，代理把常驻容器的镜像下载到主机上，代理在主机上通过容器的应用程序接口（docker api）进行镜像的导入，导入完成后，再通过容器的应用程序接口启动两个常驻容器，并把常驻容器的启动结果回传给控制中心，常驻容器启动后，两个常驻容器得到释放，能够用于运行。

对释放后的两个常驻容器进行命名，在本申请的一个具体实施例中，第一常驻容器的名称为工人（worker），第二常驻容器的名称为目标（target），并在名称前设置前缀。

释放常驻容器后，在进行容器攻击模拟行为之前，对常驻容器的运行环境进行设置，以保证常驻容器中攻击模拟的进程链是符合真实的黑客攻击行为。

环境设置包括：第一常驻容器对第二常驻容器进行漏洞利用并植入入侵者。

如图2所示，环境设置包括以下步骤：

主机上的代理在收到攻击模拟任务后，通过容器的应用程序接口（docker api），控制常驻容器，给第二常驻容器中部署包含有漏洞的war包，第二常驻容器运行后，会自动启动业务服务器（tomcat）；主机上的代理通过容器的应用程序接口，控制第一常驻容器利用漏洞攻击第二常驻容器上的业务服务器，并植入入侵者（webshell）。

将入侵者植入第二常驻容器后，第二常驻容器的环境就符合了真实的攻击环境。

主机上的代理通过容器的应用程序接口，控制第一常驻容器利用第二常驻容器中的入侵者，将攻击模拟任务加载到第二常驻容器中，在常驻容器中执行攻击模拟动作。

包含有漏洞的war包，其中的漏洞包括任何可引起容器被攻击的漏洞。

在本申请的一个具体实施例中，war包中存在的漏洞为Struts2 s2-032，在部署完成后，代理会持续判断部署是否成功，判断的依据是，在设定时间内，能不能访问到war包，如果能够访问到war包，说明部署成功，如果访问不到war包，说明部署失败，部署失败后，关闭攻击模拟任务。

当在第二常驻容器中成功部署了一个存在Struts2 s2-032漏洞的war包后，第一常驻容器就能够使用Struts2 s2-032漏洞的攻击代码，在第二常驻容器中植入入侵者。

通过设置参数，确定由哪个常驻容器来执行攻击模拟任务。

参数包括run_on和docker_role参数。

如run_on=target，docker_role=target，则代表在第二常驻容器target中执行任务动作。

war包是一个WEB模块，部署在业务服务器tomcat上就可以启动一个WEB应用，本申请中的war包是一个存在漏洞的WEB模块，部署在常驻容器中以后，运行时就会启动一个存在漏洞的WEB应用。

业务服务器tomcat是一个能够运行WEB应用的Web应用服务器。

入侵者（webshell）是一个脚本文件，被植入在WEB网站中，即可被用于在服务器上执行系统命令。

在本申请的一个具体实施例中，入侵者的文件内容如下：

<%@ page contentType="text/html;charset=UTF-8"

language="java" %>

<%

if("023".equals(request.getParameter("pwd"))){

java.io.InputStream in =

Runtime.getRuntime().exec(request.getParameter("i")).getInputStream();

int a = -1;

byte[] b = new byte[2048];

out.print("<pre>");

while((a=in.read(b))!=-1){

out.println(new String(b,0,a));

}

out.print("</pre>");

}

%>。

第一常驻容器，通过访问植入在第二常驻容器中的webshell，根据第二常驻容器的ip、部署的war包的名称、植入的入侵者（webshell）的名称、使用入侵者需要填充的密码，执行任意的系统命令。

命令格式如下：

其中target_ip就是target容器的ip、war就是最开始部署的war包的名称、webshell.jsp就是植入的webshell的名称、023就是使用该webshell需要填充的密码、cmd就是需要执行的系统命令。

主机上的代理在收到攻击模拟任务时，把实现攻击模拟任务的代码写到编程（python）文件中，在编程文件中，将攻击模拟动作的代码紧跟在程序入口点后面，在执行编程文件时，进入程序入口点后，就会进入攻击模拟任务的代码执行，以保证攻击模拟任务一定会被访问到。

入侵者将主机上执行任务的加载器，挂载到第二常驻容器中，存放实现攻击模拟任务的编程代码文件，也从主机上挂载到第二常驻容器中，使整个攻击链条符合真实的黑客攻击行为。

在本申请中，程序入口点的编写方式为if __name__ == '__main__'。

攻击模拟动作的代码如下：

其中，exec是主机上的执行任务的加载器，start.py是存放实现攻击模拟任务的python代码文件，该代码也会从主机上挂载到target容器中。

本申请实施例的一种模仿真实攻击的容器攻击模拟检测方法，第一常驻容器访问第二常驻容器上的入侵者，触发攻击模拟任务，执行攻击模拟任务的编程代码文件，并把攻击模拟任务的执行结果返回给控制中心，判断攻击模拟任务是否符合预期。

存放实现攻击模拟任务的python代码文件start.py，其代码如下：

class FuncLib:

def docker_escape(self, options):

if __name__ == '__main__':

import sys

func_lib = FuncLib()

func_name = sys.argv[1]

args = sys.argv[2]

print(args)

func = getattr(func_lib, func_name)

funcresult = func(args)

print(funcresult)

上述通过webshell来执行容器类的攻击模拟任务的时候，在worker容器上访问target容器上植入的webshell来进行触发模拟任务，访问的URL如下：

其中exec是执行任务的加载器，start.py是存放实现攻击模拟任务的编程（python）代码文件，function是攻击代码所在的函数名称，args是攻击代码所需要的参数配置，如果要执行对应的攻击模拟，function则需要填写对应的函数名称，args则需要填写对应攻击代码所需要的参数信息。

在本申请的一个具体实施例中，以前述代码为例，攻击的函数为docker_escape，模拟攻击所需要的参数为abc，则访问的统一资源定位符(Universal Resource Locator，URL)就会变成如下内容：

worker容器访问此URL即能够让target容器完成攻击模拟动作。

成功执行完攻击模拟任务以后，程序会把攻击特征返回给代理（agent），agent接收到攻击特征以后，从客户的日志系统中查询是否存在对应的攻击特征，如果日志系统中存在对应的攻击特征，则代表客户的安全能力具备此类攻击模拟的检测能力。

对于容器类的攻击，安全设备会收集容器ID、容器名称（name），因此程序会把实施攻击模拟任务的容器ID、容器名称作为攻击特征返回给agent。

本申请实施例的一种模仿真实攻击的容器攻击模拟终端设备，该实施例的终端设备包括：处理器、存储器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，例如植入入侵者程序，所述处理器执行所述计算机程序时实现本申请所述方法。

示例性的，所述计算机程序可以被分割成一个或多个模块/单元，所述一个或多个模块/单元被存储在所述存储器中，并由所述处理器执行，以完成本发明。所述一个或多个模块/单元可以是能够完成特定功能的一系列计算机程序指令段，该指令段用于描述所述计算机程序在所述模仿真实攻击的容器攻击模拟终端设备中的执行过程。例如，所述计算机程序可以被分割成多个模块，各模块具体功能如下：

1.设置环境模块，用于设置常驻容器的环境；

2.植入模块，用于植入漏洞和入侵者；

3.运行模块，用于进行攻击模拟检测的运行。

所述模仿真实攻击的容器攻击模拟终端设备可以是桌上型计算机、笔记本、掌上电脑及云端服务器等计算设备。所述模仿真实攻击的容器攻击模拟终端设备可包括，但不仅限于，处理器、存储器。本领域技术人员可以理解，所述上述示例仅仅是所述模仿真实攻击的容器攻击模拟终端设备的示例，并不构成对所述模仿真实攻击的容器攻击模拟终端设备的限定，可以包括比图示更多或更少的部件，或组合某些部件，或不同的部件，例如所述模仿真实攻击的容器攻击模拟终端设备还可以包括输入输出设备、网络接入设备、总线等。

所述处理器可以是中央处理单元(Central Processing Unit，CPU),还可以是其他通用处理器、数据信号处理器(Digital Signal Processor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现成可编程门阵列(Field-Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等，所述处理器是所述一种模仿真实攻击的容器攻击模拟终端设备的控制中心，利用各种接口和线路连接整个所述一种模仿真实攻击的容器攻击模拟终端设备的各个部分。

所述存储器可用于存储所述计算机程序和/或模块，所述处理器通过运行或执行存储在所述存储器内的计算机程序和/或模块，以及调用存储在存储器内的数据，实现所述一种模仿真实攻击的容器攻击模拟终端设备的各种功能。所述存储器可主要包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需的应用程序(比如声音播放功能、图像播放功能等)等；存储数据区可存储根据手机的使用所创建的数据(比如音频数据、电话本等)等。此外，存储器可以包括高速随机存取存储器，还可以包括非易失性存储器，例如硬盘、内存、插接式硬盘，智能存储卡(Smart Media Card ,SMC)，安全数字(SecureDigital,SD)卡，闪存卡(Flash Card)、至少一个磁盘存储器件、闪存器件、或其他易失性固态存储器件。

以上均为本申请的较佳实施例，并非依此限制本申请的保护范围，故：凡依本申请的结构、形状、原理所做的等效变化，均应涵盖于本申请的保护范围之内。

Claims

1.一种模仿真实攻击的容器攻击模拟方法，其特征在于：包括模拟容器真实攻击环境，设置攻击行为的最初父进程，释放两个未安装代理的常驻容器，在两个常驻容器之间相互攻击，进行漏洞攻击模拟，将执行结果回传给主机。

2.根据权利要求1所述模仿真实攻击的容器攻击模拟方法，其特征在于：在主机上或者特权容器中安装代理，利用代理释放两个常驻容器，在两个常驻容器中不安装代理，用于模拟真实攻击环境。

3.根据权利要求1所述模仿真实攻击的容器攻击模拟方法，其特征在于：设置常驻容器内的攻击模拟任务的最初父进程为业务服务器，模拟真实攻击业务场景。

4.根据权利要求1所述模仿真实攻击的容器攻击模拟方法，其特征在于：命名两个常驻容器分别为第一常驻容器和第二常驻容器，利用第一常驻容器对第二常驻容器进行web漏洞利用，并在第二常驻容器植入入侵者。

5.根据权利要求4所述模仿真实攻击的容器攻击模拟方法，其特征在于：植入入侵者包括：代理在接收到攻击模拟任务后，通过容器的应用程序接口控制常驻容器，在第二常驻容器中部署包含有漏洞的WAR包，第二常驻容器运行时自动启动运行Web应用的Web应用服务器；代理通过容器的应用程序接口控制常驻容器，控制第一常驻容器利用漏洞攻击第二常驻容器上的Web应用服务器，并植入入侵者。

6.根据权利要求5所述模仿真实攻击的容器攻击模拟方法，其特征在于：代理通过容器的应用程序接口，控制第一常驻容器利用第二常驻容器上的入侵者，进行后续的常驻容器安全相关的攻击模拟动作。

7.根据权利要求6所述模仿真实攻击的容器攻击模拟方法，其特征在于：第一常驻容器根据第二常驻容器IP、部署在第二常驻容器中包含有漏洞的WAR包、第二常驻容器内的入侵者、入侵者密码，执行任意的系统命令。

8.根据权利要求7所述模仿真实攻击的容器攻击模拟方法，其特征在于：代理在接收到攻击模拟任务时，将存储有攻击模拟任务的编程文件，通过主机上执行任务的加载器，挂载到第二常驻容器中，代理同步获取第二常驻容器IP、部署在第二常驻容器中包含有漏洞的WAR包、第二常驻容器内的入侵者、入侵者密码，在常驻容器执行攻击模拟任务。

9.一种模仿真实攻击的容器攻击模拟检测方法，其特征在于：采用如权利要求1-8任一所述方法，进行常驻容器攻击模拟，在攻击模拟成功执行后，将实施攻击模拟任务的常驻容器特征返回给代理，代理根据常驻容器特征查询日志中是否存在对应的攻击特征，判断安全设备是否具备检测攻击模拟的能力。

10.一种模仿真实攻击的容器攻击模拟终端，包括存储器、处理器、以及存储在所述存储器中并可在所述处理器上运行的计算机程序，其特征在于：所述处理器执行所述计算机程序时实现如权利要求1-9任一所述方法。