CN116915476A

CN116915476A - 一种主机操作系统的指纹识别方法、系统、设备及介质

Info

Publication number: CN116915476A
Application number: CN202310942248.9A
Authority: CN
Inventors: 王昊天
Original assignee: Shanghai Dragon Technology Co ltd
Current assignee: Shanghai Dragon Technology Co ltd
Priority date: 2023-07-29
Filing date: 2023-07-29
Publication date: 2023-10-20

Abstract

本申请公开了一种主机操作系统的指纹识别方法、系统、设备及介质，包括：主机指纹识别模块，用于向目标主机的开放端口发送第一探测包，根据第一探测包的响应确定目标主机使用的操作系统；被动指纹识别模块，用于捕获用户网络接口的网络流量，并根据网络流量分析和确定目标主机使用的操作系统；主动指纹识别模块，用于向目标主机发送第一网络请求，并根据第一网络请求的响应确定目标主机使用的操作系统。本申请提高了目标主机或网络操作系统识别准确性和效率，且能够获得更全面的操作系统信息。

Description

一种主机操作系统的指纹识别方法、系统、设备及介质

技术领域

本申请涉及操作系统识别技术领域，尤其是涉及一种主机操作系统的指纹识别方法、系统、设备及介质。

背景技术

操作系统在主机计算机系统上运行，并使用各种协议和通信标准中的任何一个与设备进行通信。操作系统实现了允许它向连接的设备发送数据或从这些设备中接收数据的驱动程序。设备和主机之间的通信可以包括枚举，这是对到计算机系统的连接的设备的识别，以及对允许设备利用主机计算机而运转的所需的驱动程序的初始化。在某些情况下，设备可能必须知道在它所连接的主机计算机上运行的操作系统的类型。

目前使用的网络扫描工具主要依赖于单一的操作系统指纹识别技术，无法充分利用多种技术的优势。这导致在某些情况下，识别结果可能不准确或遗漏一些操作系统类型，例如基于被动识别的产品需要大量的网络流量进行分析和识别，这可能导致较长的观察时间和资源消耗。此外，对于使用加密、混淆或伪装技术的网络流量，识别结果可能不准确。一些操作系统识别产品主要基于特定的网络请求和响应进行识别。然而，不同操作系统可能在网络通信时使用不同的协议和服务，这可能导致识别的准确性受到影响。

发明内容

本申请提供了一种主机操作系统的指纹识别方法、系统、设备及介质，提高了针对不同场景的操作系统识别准确性和全面性。

第一方面，本申请提供一种主机操作系统的指纹识别系统，采用如下的技术方案：

一种主机操作系统的指纹识别系统，包括：

主机指纹识别模块，用于向目标主机的开放端口发送第一探测包，并根据所述第一探测包的响应确定目标主机使用的操作系统；

被动指纹识别模块，用于捕获用户网络接口的网络流量，并根据所述网络流量分析和确定目标主机使用的操作系统；

主动指纹识别模块，用于向目标主机发送第一网络请求，并根据所述第一网络请求的响应确定目标主机使用的操作系统。

进一步地，上述主机操作系统的指纹识别系统还包括：

第三方扫描工具模块，用于通过第三方扫描工具接口调用第三方扫描工具，确定目标主机使用的操作系统。

第二方面，本申请提供一种主机操作系统的指纹识别方法，采用如下的技术方案：

一种主机操作系统的指纹识别方法，应用上述的主机操作系统的指纹识别系统，包括以下步骤：

执行主机指纹识别、被动指纹识别和主动指纹识别中的至少一项，得到主机指纹识别结果、被动指纹识别结果和/或主动指纹识别结果；

整合所述主机指纹识别结果、所述被动指纹识别结果和/或所述主动指纹识别结果，得到目标主机使用的操作系统的一致性报告。

进一步地，上述主机操作系统的指纹识别方法还包括：

执行基于第三方扫描工具的指纹识别，得到第三方扫描工具指纹识别结果；

整合所述第三方扫描工具指纹识别结果、所述主机指纹识别结果、所述被动指纹识别结果和/或所述主动指纹识别结果，得到目标主机使用的操作系统的一致性报告。

进一步地，上述主机指纹识别包括以下步骤：

扫描目标主机的端口，得到开放端口；

向所述开放端口发送第一探测包，等待目标主机的响应，所述第一探测包包括预设的第一协议请求或用于识别服务的标识符；

接收来自目标主机的第一响应，并根据所述第一响应与预设的指纹库中的数据进行匹配，得到匹配结果；

根据所述匹配结果确定目标主机使用的操作系统。

进一步地，上述被动指纹识别包括以下步骤：

捕获目标主机网络接口的网络流量，得到网络流量数据包；

根据所述网络流量数据包的数据特征与预设的指纹库中的数据进行匹配，得到匹配结果；

根据所述匹配结果确定目标主机使用的操作系统。

进一步地，上述主动指纹识别包括以下步骤：

扫描目标主机的端口，得到开放端口；

向目标主机发送第一网络请求，等待目标主机的响应，所述第一网络请求包括预设的第二协议请求或第二探测包；

接收来自目标主机的第二响应，并根据所述第二响应与预设的指纹库中的数据进行匹配，得到匹配结果；

根据所述匹配结果确定目标主机使用的操作系统。

进一步地，上述主机操作系统的指纹识别方法还包括：

执行主机指纹识别、被动指纹识别、主动指纹识别和第三方扫描工具指纹识别中的至少两项时，各个被执行的指纹识别方法并行执行。

第三方面，本申请提供一种计算机可读存储介质，采用如下的技术方案：

一种计算机可读存储介质，所述计算机可读存储介质包括计算机程序，所述计算机程序用于实现上述的方法。

第四方面，本申请提供一种计算设备，采用如下的技术方案：

一种计算设备，所述计算设备包括存储器和处理器，所述存储器用于存储计算机程序，当所述计算机程序被所述处理器执行时，实现上述的方法。

综上所述，本申请包括以下至少一种有益技术效果：

本申请提供的一种主机操作系统的指纹识别方法、系统、设备及介质，通过主机指纹识别模块、被动指纹识别模块以及主动指纹识别模块的结合，一方面可以根据用户的需求进行选择和组合。这种灵活性使用户能够根据不同的扫描对象、网络环境和需求，自由地配置扫描模块，提高了针对不同场景的操作系统识别准确性和全面性。另一方面，能够将各个模块的识别结果进行整合，并生成一致的报告。用户可以通过报告查看综合考虑多个模块的识别结果，比较不同模块的输出，从而得出更可靠和全面的操作系统识别结论。这种综合结果报告的功能使用户能够更加方便地分析和利用操作系统信息。

附图说明

图1是本申请实施方式中主机操作系统的指纹识别系统的模块结构示意图。

图2是本申请实施方式中主机指纹识别模块工作方法流程示意图。

图3是本申请实施方式中被动指纹识别模块模块工作方法流程示意图。

图4是本申请实施方式中主动指纹识别模块工作方法流程示意图。

具体实施方式

为了使本申请的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本申请进行进一步详细说明。应当理解，此处所描述的具体实施例仅用以解释本申请，并不用于限定本申请。

参照图1，本申请实施例公开一种主机操作系统的指纹识别系统，采用如下的技术方案：

一种主机操作系统的指纹识别系统，包括：

在本实施方式中，通过结合主机指纹识别、被动指纹识别、主动指纹识别和第三方工具网络扫描技术，提供了更准确、高效和全面的操作系统识别能力。基于上述系统，允许用户根据需要选择不同的检测策略，使得在操作系统识别过程中可以灵活应用不同的技术，提高检测效率和灵活性。

在本申请的其中一种实施方式中，主机操作系统的指纹识别系统还包括：

在本实施方式中，除了上述提及的主机指纹识别模块、被动指纹识别模块和主动指纹识别模块，还提供了与第三方网络扫描工具的接口，例如Nmap、Wireshark、P0f、p0f2等操作系统指纹识别工具，Nmap是一种常用的工具，用于扫描主机和网络的开放端口和提供的服务。它可以发送各种类型的网络请求，如TCP SYN扫描、UDP扫描、ICMP扫描等，以确定主机上活动的服务和端口状态。通过分析扫描结果，可以推断主机所使用的操作系统类型。Wireshark是一款流行的网络协议分析工具，用于捕获和分析网络数据包。它允许用户查看和分析网络流量，包括数据包的结构、标志和其他特征。通过观察数据包的特征和模式，可以推断主机的操作系统类型。P0f是一种被动操作系统指纹识别工具，它可以通过监视网络流量和分析来自主机的数据包特征来识别操作系统类型。p0f2是P0f的改进版本，它能够更准确地识别不同操作系统的特征。这些工具通过观察数据包的结构、标志、TCP/IP参数和其他特征来推断操作系统的类型。用户可以选择使用第三方网络扫描工具对目标主机的操作系统进行扫描，并将其扫描结果与其他扫描模块的结果整合在一起，以便用户查看和分析。当用户选择使用第三方网络扫描工具时，本申请提供的主机操作系统的指纹识别的系统将与该工具进行集成，接收并处理其扫描结果。扫描结果与其他模块的结果进行整合，并提供一致的界面和报告，使用户能够方便地查看和比较不同模块的识别结果。这种整合的方式使用户能够综合考虑多个模块的输出，得出更可靠和全面的操作系统识别结论。

参照图2-图4，本申请实施例还公开一种主机操作系统的指纹识别方法，采用如下的技术方案：

在本申请的其中一种实施方式中，主机操作系统的指纹识别方法还包括：

在本实施方式中，通过主机指纹识别方法、被动指纹识别方法以及主动指纹识别方法的结合，一方面可以根据用户的需求进行选择和组合。这种灵活性使用户能够根据不同的扫描对象、网络环境和需求，自由地配置扫描方法，提高了针对不同场景的操作系统识别准确性和全面性。另一方面，能够将各个方法的识别结果进行整合，并生成一致的报告。用户可以通过报告查看综合考虑多个模块的识别结果，比较不同方法的输出，从而得出更可靠和全面的操作系统识别结论。这种综合结果报告的功能使用户能够更加方便地分析和利用操作系统信息。由于还提供了与第三方网络扫描工具（例如Nmap等）的接口。用户可以选择使用第三方网络扫描工具对目标主机的操作系统进行扫描，并将其扫描结果与其他扫描模块的结果整合在一起，以便用户查看和分析。当用户选择使用第三方网络扫描工具时，本专利的系统将与该工具进行集成，接收并处理其扫描结果。扫描结果与其他方法的结果进行整合，并提供一致的界面和报告，使用户能够方便地查看和比较不同模块的识别结果。这种整合的方式使用户能够综合考虑多个模块的输出，得出更可靠和全面的操作系统识别结论。

参照图2，在本申请的其中一种实施方式中，主机指纹识别包括以下步骤：

扫描目标主机的端口，得到开放端口；

根据所述匹配结果确定目标主机使用的操作系统。

在本实施方式中，主机指纹识别是一种全面的操作系统识别方式，可以识别整个主机的特征，包括操作系统、开放端口、安全配置和其他相关信息。在本技术方案中，主机指纹识别首先对要识别的主机进行端口扫描，以确定哪些端口是开放的。开放端口是主机上运行的网络服务的入口。一旦确定了开放的端口，主机指纹识别模块会尝试对这些端口进行服务识别。它发送特定的探测包到这些端口，并分析响应来推断服务和版本信息。这些探测包包含特定的协议请求或其他用于识别服务的标识符。在发送了针对服务的探测请求后，根据请求包的响应与指纹库中的记录进行匹配，可以确定服务的基本类型和使用的操作系统。举个具体的例子，比如端口发现某个主机开放了22、80和443端口，主机指纹识别模块会针对这些端口发送探测包，一个可能的响应如下:“22/tcp open ssh OpenSSH 7.2p2Ubuntu 4ubuntu2.4 (Ubuntu Linux; protocol 2.0) 80/tcp open http Apache httpd2.4.18 ((Ubuntu)) 443/tcp open ssl/http Apache httpd 2.4.18 ((Ubuntu))”。通过比对指纹库可以知道目标主机的22端口开放并运行着OpenSSH 7.2p2版本，80端口开放并运行着Apache httpd 2.4.18版本，443端口开放并运行着Apache httpd 2.4.18版本。这些信息可以用于推断主机所使用的操作系统类型，如示例中的Ubuntu Linux。具体地，主机指纹识别模块是通过端口扫描和服务识别的组合，提供有关目标主机上开放端口的服务和版本信息。这些信息可以帮助确定主机所使用的操作系统类型，因为不同的操作系统通常会在特定端口上提供特定的服务。

参照图3，在本申请的其中一种实施方式中，被动指纹识别包括以下步骤：

捕获目标主机网络接口的网络流量，得到网络流量数据包；

根据所述匹配结果确定目标主机使用的操作系统。

在本实施方式中，除了主动发送数据包根据数据包响应确定目标操作系统类型的主机识别，还可以使用被动指纹识别模块通过监视主机的网络流量并分析来自主机的数据包特征来识别操作系统，具体地，被动指纹识别模块首先会捕获经过用户网络接口的网络流量，之后对捕获的数据包进行分析，特别关注数据包的结构、标志和其他特征。例如会分析数据包的IP标头：分析IP标头中的字段，如TTL和DF标志位；分析数据包的TCP/IP标头：检查TCP/IP标头中的字段，如窗口大小、TCP标志位（SYN、ACK、FIN等）和选项；分析数据包的ICMP消息：查看ICMP消息的类型、代码和参数；分析数据包的大小和分片情况。根据数据包的特征和已知的操作系统行为模式，推断主机所使用的操作系统类型。通过比对捕获的数据包特征与预先构建的操作系统指纹数据库进行匹配，可以确定操作系统的可能类型。举个具体的例子，比如捕获的数据包中显示TTL值为64、SYN标志位被设置、窗口大小为8192等特征，可以与指纹数据库进行匹配，并推断出可能是Linux操作系统。

参照图4，在本申请的其中一种实施方式中，主动指纹识别包括以下步骤：

扫描目标主机的端口，得到开放端口；

根据所述匹配结果确定目标主机使用的操作系统。

在本实施方式中，主动指纹识别是通过向目标主机发送特定的网络请求，并分析其响应来判断操作系统的技术，主要过程是向目标主机发送特定的网络请求。这些请求可能是特定协议的请求、探测包或其他类型的网络通信。观察目标主机对发送的请求的响应。关注响应中的各种字段、标志和其他特征。不同操作系统对请求的响应可能会有所不同。根据对响应的分析和已知的操作系统特征，推断主机所使用的操作系统类型。通过与已知的操作系统指纹数据库进行匹配，确定操作系统的可能类型。举几个具体的例子：1. 比如主动操作系统指纹识别模块发送TCP探测包，可能收到如下响应：如果目标主机对发送的FIN探测包回复RST（复位）包，通常表示目标主机运行的是Windows操作系统。如果目标主机不回复或回复ICMP错误消息（如Destination Unreachable），可能表示目标主机运行的是非Windows操作系统；如果目标主机对发送的NULL探测包回复RST包，通常表示目标主机运行的是Windows操作系统。如果目标主机不回复或回复ICMP错误消息，可能表示目标主机运行的是非Windows操作系统；如果目标主机对发送的Xmas Tree探测包回复RST包，通常表示目标主机运行的是非Windows操作系统。如果目标主机不回复或回复ICMP错误消息，可能表示目标主机运行的是Windows操作系统。2. 模块发送UDP探测包，例如目标主机对发送的DNS探测包回复DNS响应，通常表示目标主机运行的是DNS服务器，进而可以推断出操作系统类型；如果目标主机对发送的SNMP探测包回复SNMP响应，可以根据响应中的标识符（如系统描述）来推断出操作系统类型。

在本申请的其中一种实施方式中，执行主机指纹识别、被动指纹识别、主动指纹识别和第三方扫描工具指纹识别中的至少两项时，各个被执行的指纹识别方法并行执行。

在本实施方式中，本申请提供的技术方案中各种扫描方法可以并行执行，互不干扰。相比于传统的串行扫描方法，这种并行执行的方式大大提高了操作系统识别的效率，缩短了扫描时间。用户可以更快地获取操作系统信息，并进行相应的处理和决策。

在本申请所提供的几个实施例中，应该理解到，所提供的方法和系统，可以通过其它的方式实现。例如，以上所描述的系统实施例仅仅是示意性的；例如，某个模块的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个模块可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。

本申请实施例还公开一种计算设备。

计算设备，包括存储器、处理器以及存储在存储器上并可在处理器上运行的计算机程序，处理器执行计算机程序时实现如上述的xx方法。

本申请实施例还公开一种计算机可读存储介质。

计算机可读存储介质，存储有能够被处理器加载并执行如上述的xx方法中任一种方法的计算机程序。

其中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用；计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于无线、电线、光缆、RF等等，或者上述的任意合适的组合。

在本申请的其中一种实施方式中，主机操作系统的指纹识别系统的工作方法可以包括以下步骤：

步骤1: 选择扫描对象和识别模块；

用户根据需求选择待扫描的目标主机或整个网络，并选择相应的识别模块。用户可以根据目标主机的特点、网络环境和自身需求，自由组合主机指纹识别模块、被动指纹识别模块、主动指纹识别模块和第三方扫描工具模块。

步骤2: 主机指纹识别模块的执行；

当用户选择了主机指纹识别模块后，系统根据配置启动该模块的执行。主机指纹识别模块对目标主机进行指纹识别，通过分析主机的特征和行为，识别出主机所使用的操作系统类型。

步骤3: 被动指纹识别模块的执行；

如果用户选择了被动指纹识别模块，系统会启动该模块的执行。被动指纹识别模块通过监视网络流量并分析数据包特征，实现对操作系统的识别。它观察数据包的结构、标志和其他特征，并根据这些信息推断出主机的操作系统类型。

步骤4: 主动指纹识别模块的执行；

当用户选择了主动操作系统指纹识别模块后，系统会进行相应的处理。主动指纹识别模块向目标主机发送特定的网络请求，并分析其响应来判断操作系统。通过观察主机对这些请求的响应，该模块能够推断出操作系统的类型。

步骤5: 第三方扫描工具模块的执行；

如果用户选择了第三方扫描工具模块（例如Nmap），系统将与该工具进行集成。用户可以根据需要使用第三方工具对目标主机进行扫描，并将扫描结果与其他模块的结果整合。该模块使用端口扫描工具发送特定的网络请求，并分析响应来推断主机的操作系统类型。

步骤6: 结果整合和报告生成

系统将各个模块的识别结果进行整合，并生成一致的报告。用户可以通过界面查看操作系统识别的结果，同时比较不同模块的输出。报告提供了综合考虑多个模块的识别结果，使用户能够得出更可靠和全面的操作系统识别结论。

在本实施方式中，通过以上的工作方法，能够针对用户选择的扫描对象和扫描模块，执行相应的操作来实现对网络中主机操作系统的全面识别。用户可以根据需求自由选择不同的扫描模块，并且通过整合不同模块的结果，获得更准确和全面的操作系统信息。

由上可见，本申请实施例提供的一种主机操作系统的指纹识别方法、系统、设备及介质，第一方面，主机指纹识别模块、被动指纹识别模块以及主动指纹识别模块可以根据用户的需求进行选择和组合。这种灵活性使用户能够根据不同的扫描对象、网络环境和需求，自由地配置扫描模块，提高了针对不同场景的操作系统识别准确性和全面性。第二方面，各个模块可以并行执行，互不干扰。相比于传统的串行扫描方法，这种并行执行的方式大大提高了操作系统识别的效率，缩短了扫描时间。用户可以更快地获取操作系统信息，并进行相应的处理和决策。第三方面，提供了与第三方网络扫描工具（如Nmap）的接口，用户可以选择使用这些工具来对目标主机进行扫描。通过与第三方工具的集成，能够充分利用这些工具的强大功能和广泛应用，提供更多扫描和识别选项，增加了操作系统识别的灵活性和准确性。第四方面，将各个模块的识别结果进行整合，并生成一致的报告。用户可以通过报告查看综合考虑多个模块的识别结果，比较不同模块的输出，从而得出更可靠和全面的操作系统识别结论。这种综合结果报告的功能使用户能够更加方便地分析和利用操作系统信息。综上所述，本申请的技术方案实现了更灵活、高效和全面的操作系统识别。用户可以根据自身需求选择合适的模块和工具，提高识别准确性和效率，并获得更全面的操作系统信息。

需要说明的是，在上述实施例中，对各个实施例的描述各有侧重，某个实施例中没有详述的部分，可以参见其他实施例的相关描述。

以上均为本申请的较佳实施例，并非依此限制本申请的保护范围，本说明书（包括摘要和附图）中公开的任一特征，除非特别叙述，均可被其他等效或者具有类似目的的替代特征加以替换。即，除非特别叙述，每个特征只是一系列等效或类似特征中的一个例子而已。

Claims

1.一种主机操作系统的指纹识别系统，其特征在于，包括：

2.根据权利要求1所述的主机操作系统的指纹识别系统，其特征在于，还包括：

3.一种主机操作系统的指纹识别方法，应用如权利要求1-2中任一项所述的主机操作系统的指纹识别系统，其特征在于，包括以下步骤：

4.根据权利要求3所述的主机操作系统的指纹识别方法，其特征在于，还包括：

5.根据权利要求3所述的主机操作系统的指纹识别方法，其特征在于，所述主机指纹识别包括以下步骤：

扫描目标主机的端口，得到开放端口；

根据所述匹配结果确定目标主机使用的操作系统。

6.根据权利要求3所述的主机操作系统的指纹识别方法，其特征在于，所述被动指纹识别包括以下步骤：

捕获目标主机网络接口的网络流量，得到网络流量数据包；

根据所述匹配结果确定目标主机使用的操作系统。

7.根据权利要求3所述的主机操作系统的指纹识别方法，其特征在于，所述主动指纹识别包括以下步骤：

扫描目标主机的端口，得到开放端口；

根据所述匹配结果确定目标主机使用的操作系统。

8.根据权利要求3-7中任一项所述的主机操作系统的指纹识别方法，其特征在于，还包括：

9.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质包括计算机程序，所述计算机程序用于实现如权利要求3至8中任一权利要求所述的方法。

10.一种计算设备，其特征在于，所述计算设备包括存储器和处理器，所述存储器用于存储计算机程序，当所述计算机程序被所述处理器执行时，实现如权利要求3至8中任一权利要求所述的方法。