WO2020015199A1 - 暗网的安全性评估方法、服务器及计算机可读存储介质 - Google Patents

暗网的安全性评估方法、服务器及计算机可读存储介质 Download PDF

Info

Publication number
WO2020015199A1
WO2020015199A1 PCT/CN2018/108669 CN2018108669W WO2020015199A1 WO 2020015199 A1 WO2020015199 A1 WO 2020015199A1 CN 2018108669 W CN2018108669 W CN 2018108669W WO 2020015199 A1 WO2020015199 A1 WO 2020015199A1
Authority
WO
WIPO (PCT)
Prior art keywords
dark web
information
similarity
web site
dark
Prior art date
Application number
PCT/CN2018/108669
Other languages
English (en)
French (fr)
Inventor
朱士贺
Original Assignee
平安科技（深圳）有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 平安科技（深圳）有限公司 filed Critical 平安科技（深圳）有限公司
Publication of WO2020015199A1 publication Critical patent/WO2020015199A1/zh

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/14—Network analysis or design

Definitions

  • the present application relates to the field of communications technologies, and in particular, to a security assessment method for a dark web, a server, and a computer-readable storage medium.
  • the dark web refers to web pages whose content cannot be obtained through static links. These pages are web pages that currently cannot be directly crawled by search engines and cannot be directly retrieved.
  • users can use anonymous networks, namely onion routers, based on the dark web domain name (The Onion Router, Tor) Enter the page of the dark web site.
  • the dark web site contains a lot of important hidden data information. At present, there is no research related to the security of the dark web site. Therefore, the security detection and evaluation of the dark web site has important research significance.
  • the embodiments of the present application provide a security evaluation method of a dark web, a server, and a computer-readable storage medium, which can implement evaluation of the security of a dark web website.
  • an embodiment of the present application provides a security evaluation method for a dark web, which includes:
  • a security evaluation report of the dark web website is generated.
  • an embodiment of the present application provides a server, and the server includes a unit for executing the method in the first aspect.
  • an embodiment of the present application provides another server, including a processor, an input device, an output device, and a memory, and the processor, the input device, the output device, and the memory are connected to each other, where the memory is used for storing A computer program that supports a server to execute the method, the computer program includes program instructions, and the processor is configured to call the program instructions to execute the method of the first aspect.
  • an embodiment of the present application provides a computer-readable storage medium.
  • the computer storage medium stores a computer program, where the computer program includes program instructions, and the program instructions cause the processing when executed by a processor.
  • the processor performs the method of the first aspect.
  • a security assessment report of the dark web site is generated by performing loophole detection on the text content information and network fingerprint information of the dark web site to implement the security assessment of the dark web site.
  • FIG. 1 is a schematic flowchart of a dark network security assessment method according to an embodiment of the present application
  • FIG. 2 is a schematic flowchart of another dark network security assessment method according to an embodiment of the present application.
  • FIG. 3 is a schematic flowchart of another dark network security evaluation method according to an embodiment of the present application.
  • FIG. 4 is a schematic block diagram of a server according to an embodiment of the present application.
  • FIG. 5 is a schematic block diagram of another server according to an embodiment of the present application.
  • the method for evaluating the security of the dark web may be executed by a server, and the server may be a smart terminal such as a mobile phone, a computer, a tablet, or a smart watch.
  • the server may be a smart terminal such as a mobile phone, a computer, a tablet, or a smart watch.
  • the following describes the security evaluation method of the dark network used for the server as an example.
  • the server may access the dark web site corresponding to the dark web domain name by acquiring the dark web domain name, and obtain data information of the dark web site, where the data information includes text content information and network fingerprint information.
  • the text content information refers to data information in a corresponding webpage of the dark web site.
  • the server may determine a first similarity between the text content information and the text content information of the dark web site in the historical record according to the obtained text content information, and may determine the dark content according to the first similarity.
  • the network fingerprint information refers to data information that cannot be obtained directly on a dark web site, for example, Secure Shell (SSH), port information, mailbox information, language used, web server Any one or more kinds of data information such as type, website development language, website HTML path information.
  • the server may determine a second similarity degree between the network fingerprint information and the network fingerprint information of the dark web site in the history according to the obtained network fingerprint information of the dark web site, and according to the second similarity
  • the vulnerability detection is performed on the network fingerprint information of the dark web site. After the server performs vulnerability detection on the text content information and / or network fingerprint information of the dark web site, the server may generate a security evaluation report of the dark web site according to the detection result obtained by the vulnerability detection, thereby achieving Security evaluation of dark web sites.
  • FIG. 1 is a schematic flowchart of a dark network security assessment method provided by an embodiment of the present application. As shown in FIG. 1, the method may be executed by a server, and the specific explanation of the server is as described above. , Will not repeat them here. Specifically, the method in the embodiment of the present application includes the following steps.
  • S101 Visit the dark web website corresponding to the dark web domain name according to the obtained dark web domain name, and obtain data information of the dark web website.
  • the server may access the dark web website corresponding to the dark web domain name according to the obtained dark web domain name, and obtain data information of the dark web website.
  • the data information includes text content information and network fingerprint information. The specific explanations of the text content information and network fingerprint information are as described above, and are not repeated here.
  • the server may build a distributed system architecture on the server and obtain the distributed system architecture. Add the dark web domain name on it, and detect whether the dark web site corresponding to the dark web domain name can be accessed, and if it is detected that the dark web site corresponding to the dark web domain name can be accessed, access based on the acquired dark web domain name The dark web site corresponding to this dark web domain name.
  • a distributed system can be set up as the basic architecture, where the distributed system is a distributed platform system built using Hadoop to achieve the acquisition of multiple In the case of a dark web domain name, data information of each dark web site can be acquired in parallel to perform security detection on each dark web site in parallel.
  • This distributed system is a distributed crawler system based on Hadoop and Nutch. Nutch is a distributed crawler that can work under the Socks protocol through proxy software.
  • Hadoop is a software framework capable of distributed processing of large amounts of data.
  • This solution can configure Tor service based on Hadoop and Nutch's distributed system, and modify Nutch's configuration to make Nutch use the firewall secure session conversion protocol (Protocol for sessions, firewall, security, and socks) to realize the interaction between Nutch and Socks.
  • the firewall secure session conversion protocol Protocol for sessions, firewall, security, and socks
  • HTTP HyperText Transfer Protocol
  • the distributed system can be used to distribute the acquired multiple dark web domain names in parallel and perform vulnerability scanning and detection on each dark web site in parallel.
  • the dark web site can be accessed through Tor and a crawler on the distributed system assigned to the dark web site can be used to obtain the dark web site.
  • the obtained data information includes text content information and network fingerprint information of the dark web site.
  • the text content information of the dark web site refers to the information on the pages of the dark web site, such as website review information, website login account information, and password information.
  • the network fingerprint information of the dark web site includes data information such as SSH (Secure Shell Protocol), port information, mailbox information, Emails, language used, Web server type, website development language, and / or website relative path information.
  • the server may obtain the domain name of one or more dark web sites (such as a website domain name with a .Onion suffix) added to the distributed system, and obtain the obtained one or more domain names.
  • the domain name of the dark web site is assigned to the task scheduling module of the distributed system, and the task scheduling module can reasonably schedule and allocate the one or more dark web domain names obtained, and assign the one or more dark webs Domain names are assigned to different task processing modules in the distributed system to achieve parallel processing of one or more dark web domain names, thereby improving the efficiency of accessing dark web sites corresponding to multiple dark web domain names.
  • the distributed system built on the server may be allocated in an orderly manner when allocating multiple dark network domain names, such as adding on the distributed system according to each dark network domain name obtained. The chronological order assigns the multiple domain names added sequentially.
  • the server may allocate the obtained multiple dark network domain names according to the domain name priority according to a preset domain name priority. This embodiment of the present application does not specifically limit the manner in which multiple dark network domain names are distributed on a distributed system.
  • the distributed system built on the server after the distributed system built on the server completes the allocation of the acquired multiple dark web domain names, it can use Tor to access the dark web website corresponding to each dark web domain name.
  • the server Before accessing the dark web website corresponding to each dark web domain name, the server may send a detection instruction to the dark web website corresponding to each dark web domain name through the distributed system. If the dark web site receives the detection instruction, the dark web site will return a confirmation instruction to the server, which confirms the receipt of the detection instruction. Therefore, if the server receives the confirmation instruction returned by a dark web site, It can be determined that the dark web site can be accessed. If the server does not receive the confirmation instruction returned by the dark web site, it may be determined that the dark web site does not exist or cannot be accessed due to reasons such as the service address being switched.
  • the server may no longer send a detection instruction to the dark web site, and directly go through the task scheduling module in the distributed system of the server.
  • a new dark web domain name is allocated in a circular manner, and it is detected whether the new dark web domain name can be accessed.
  • the efficiency of detecting whether the dark web can be accessed is improved.
  • S102 Determine a first similarity between the text content information in the data information and the text content information of the dark web site in the historical record, and perform a vulnerability detection on the text content information according to the first similarity.
  • the server may determine the first similarity between the text content information and the text content information of the dark web site in the historical record according to the obtained text content information in the data information, and according to The first similarity performs vulnerability detection on the text content information of the dark web site.
  • the history record in the server records the detection results of the vulnerability detection of each dark web site detected by the server.
  • the detection result may include: the time information of the detection start, and the end of the detection. Time information, status information such as detection status completed, stopped and unexpected interruption, text content information of detection, information of detection result, data information processed, application or software system version detected, execution status, error information, etc. Or more information.
  • the server when the server performs vulnerability detection on the text content information of the dark web site according to the first similarity, the server may detect the dark web site ’s text content information and the dark web in the historical record. Whether the first similarity of the text content information of the website is less than a preset threshold, and if it is detected that the first similarity is less than the preset threshold, the server may select the text content information from the preset vulnerability scanning rule set An associated vulnerability scanning rule performs vulnerability detection on the text content information of the dark web site.
  • the said server can directly use the vulnerability detection results related to the text content information of the dark web site recorded in the historical records without performing vulnerability detection on the text content information of the dark web site, so as to save vulnerability detection time and improve detection efficiency.
  • S103 Determine a second similarity between the network fingerprint information and the network fingerprint information of the dark web site in the historical record, and perform vulnerability detection on the network fingerprint information according to the second similarity.
  • the server may obtain the network fingerprint information of the dark web site from the obtained data information of the dark web site, and determine the network fingerprint information and the network fingerprint information of the dark web site in the historical record. A second similarity of, and performing vulnerability detection on the network fingerprint information of the dark web site according to the second similarity.
  • the network fingerprint information includes hypertext markup language (HTML) path information
  • the HTML path information includes HTML relative path information and HTML absolute path information.
  • HTML relative path refers to the path relationship with other files (or folders) caused by the path where the corresponding files in the dark web site are located
  • HTML absolute path refers to the corresponding files in the dark web site. Full path with domain name.
  • the server when the server performs a vulnerability detection on the network fingerprint information of the dark web site according to the second similarity, the server may determine the dark relative path information of the dark web site and the history in the dark record. Whether the second similarity of the HTML relative path information of the web site is less than a preset threshold. Or, in some embodiments, when the server performs vulnerability detection on the network fingerprint information of the dark web site according to the second similarity, the server may determine HTML absolute path information and historical records of the dark web site Whether the second similarity of the HTML absolute path information of the dark web site is less than a preset threshold.
  • the server may determine whether the second similarity between the HTML relative path information of the dark web site and the HTML relative path information of the dark web site in the historical record is less than a preset threshold, and determine whether the dark Whether the second similarity between the HTML absolute path information of the web site and the HTML absolute path information of the dark web site in the historical record is less than a preset threshold.
  • the server may not The network fingerprint information of the Internet website is used for vulnerability detection, and the vulnerability detection result about the network fingerprint information in the dark network website in the history record is directly used.
  • the network fingerprint information may include port information
  • the port information includes any one or more types of information such as port number, port application, port application version, and port status.
  • the server performs vulnerability detection on the network fingerprint information of the dark web site according to the second similarity, it can detect whether the port information of the dark web site matches the port information of the dark web site in the historical record. If it is detected that the port information is inconsistent with the port information of the dark web site in the historical record, a vulnerability scanning tool associated with the port information is invoked to perform vulnerability detection on the port information.
  • the obtained port information can be compared with the port information obtained from the last time the dark web was accessed in the historical record to determine the acquisition. Whether the obtained port information is the same as the port information of the last time the dark web site was accessed in the historical record. If the judgment result is not the same, it can be determined that the dark web site has the possibility of a vulnerability, and the port information is called.
  • An associated vulnerability scanning tool performs vulnerability detection on the port information.
  • the port number corresponding to the dark web site is 21
  • the port number corresponding to the last visit to the dark web site in the obtained historical records becomes 8080
  • invoke a vulnerability scanning tool associated with the port information to scan and detect the content information corresponding to the port with the port number 8080.
  • the network fingerprint information of the dark web site may include SSH information. Assuming that the network fingerprint information obtained by scanning is the SSH information of the dark web site, the server may obtain the SSH version according to the SSH information. If it is determined that the version number of the SSH has changed, a vulnerability scanning tool associated with the SSH version number may be called from Tor through a preset vulnerability scanning tool through Tor to perform vulnerability detection on the dark web site.
  • S104 Generate a security evaluation report of the dark web site according to a detection result obtained by performing vulnerability detection on the text content information and a detection result obtained by performing vulnerability detection on the network fingerprint information.
  • the server may generate a security evaluation report of the dark web site according to a detection result obtained by performing vulnerability detection on the text content information and a detection result obtained by performing vulnerability detection on the network fingerprint information.
  • the detection result may be a scan log
  • the server may analyze the data information in the scan log by invoking the scan log stored in a storage module deployed on the distributed system to generate a detailed and A security evaluation report associated with the dark web site.
  • the security evaluation report may include: vulnerability information obtained by performing a vulnerability detection on the dark web site, a security level of the dark web site, a solution associated with each vulnerability information, and the like Any one or more types of information are not specifically limited in the embodiments of the present application.
  • the security evaluation report can be in any format such as PDF, DOC, Execl, HTML, etc. for users to export and view.
  • the server may obtain the text content information and / or network fingerprint information of the dark web site corresponding to the dark web domain name according to the dark web domain name, and determine the text content information and the history of the dark web site in the historical record.
  • the first similarity of the text content information is used to detect the vulnerability of the text content information of the dark web site to determine the second similarity between the network fingerprint information and the network fingerprint information of the dark web site in the historical record, and based on The second similarity performs vulnerability detection on the network fingerprint information of the dark web site, and further generates a security evaluation of the dark web site based on a detection result obtained by performing vulnerability detection on the text content information and network fingerprint information. Report to enable security assessment of dark web sites.
  • FIG. 2 is a schematic flowchart of another darknet security evaluation method provided by an embodiment of the present application.
  • the method may be executed by a server, and the specific explanation of the server is as described above. I will not repeat them here.
  • the difference between the embodiment of the present application and the embodiment described in FIG. 1 lies in that the embodiment of the present application is a detailed description of a specific implementation process of detecting text content information of a dark web site.
  • the method in the embodiment of the present application includes the following steps.
  • S201 Visit the dark web website corresponding to the dark web domain name according to the obtained dark web domain name, and obtain text content information of the dark web website.
  • the server may access a dark web website corresponding to the dark web domain name according to the obtained dark web domain name, and obtain text content information included in data information of the dark web website, where the text content information
  • the explanation is as mentioned before, so I won't repeat it here.
  • S202 Detect whether the first similarity between the text content information of the dark web site and the text content information of the dark web site in the historical record is less than a preset threshold.
  • the server may determine a first similarity between the text content information and the text content information of the dark web site in the historical record, and may perform text content information of the dark web site according to the first similarity. Perform vulnerability testing.
  • the server may detect whether the first similarity between the text content information of the dark web site and the text content information of the dark web site in the historical record is less than a preset threshold. Specifically, by way of example, assuming that the preset threshold is m, if the server detects that the first similarity between the text content information of the dark web site and the text content information of the dark web site in history is n, if n ⁇ m, it can be determined that the first similarity between the text content information of the dark web site and the text content information of the dark web site in the historical record is less than a preset threshold.
  • S203 If it is detected that the first similarity is less than a preset threshold, select a vulnerability scanning rule associated with the text content information from a preset vulnerability scanning rule set, and perform a vulnerability detection on the text content information.
  • the server may The scanning rule set selects vulnerability scanning rules associated with the text content information, and performs vulnerability detection on the text content information of the dark web site.
  • the server may determine the high-risk vulnerability keywords or keyword information included in the text content information according to the obtained text content information of the dark web site, and may determine the vulnerability from a preset vulnerability.
  • the scanning rule set selects vulnerability scanning rules associated with high-risk vulnerability keywords or keyword information in the text content information, and performs vulnerability detection on the text content information of the dark web site. For example, if the server determines that the high-risk vulnerability keyword information included in the text content information is a password based on the obtained text content information of the dark web site, the server may select a preset vulnerability scanning rule set and the The vulnerability scanning rule associated with the password information in the text content information performs vulnerability detection on the text content information of the dark web site.
  • the server may separately call all the vulnerability detection tools included in the preset vulnerability scanning rule set, and sequentially sequentially obtain the obtained dark web. Website content information is scanned and detected.
  • S204 Generate a security evaluation report of the dark web site according to a detection result obtained by the vulnerability detection.
  • the server may generate a security evaluation report of the dark web site according to an inspection result obtained by performing vulnerability detection on the text content information of the dark web site.
  • the explanation of the security evaluation report of the dark web site is as described above, and is not repeated here.
  • the server may access the dark web site corresponding to the dark web domain name according to the obtained dark web domain name, and obtain the text content information of the dark web site. If the text content information of the dark web site is detected, The first similarity with the text content information of the dark web site in the historical record is less than a preset threshold, then a vulnerability scan rule associated with the text content information is selected from a preset vulnerability scan rule set, and the dark web is The text content information of the website is subjected to vulnerability detection, and a security evaluation report of the dark web website is generated according to the detection result obtained by the vulnerability detection. In this way, the efficiency of vulnerability detection on the dark web site is improved, and the security evaluation of the dark web site is achieved.
  • FIG. 3 is a schematic flowchart of another dark network security assessment method according to an embodiment of the present application.
  • the method may be executed by a server, and the specific explanation of the server is as described above. I will not repeat them here.
  • the difference between this embodiment of the present application and the embodiment described in FIG. 2 is that the embodiment of the present application is a detailed description of detecting network fingerprint information of a dark web site.
  • the method in the embodiment of the present application includes the following steps.
  • S301 Visit the darknet website corresponding to the darknet domain name according to the obtained darknet domain name, and obtain network fingerprint information of the darknet website, where the network fingerprint information includes path information of HTML.
  • the server may access a dark web site corresponding to the dark web domain name according to the obtained dark web domain name, and obtain network fingerprint information of the dark web site, where the network fingerprint information includes path information of HTML. .
  • the explanation of the path information of the HTML is as described above, and is not repeated here.
  • S302 Calculate a second similarity between the path information of the HTML and the path information of the HTML of the dark web site in the historical record according to a preset similarity algorithm.
  • the server may calculate a second similarity between the path information of the HTML of the dark web site and the path information of the HTML of the dark web site in the historical record according to a preset similarity algorithm.
  • the path information of the HTML includes relative path information of the HTML
  • the server may calculate the relative path information of the dark web site and the information of the dark web site in the historical record according to a preset similarity algorithm.
  • the preset similarity algorithm may be a commonly used similarity algorithm, and the preset similarity algorithm is not specifically limited in this embodiment of the present application.
  • the path similarity A calculated according to a preset similarity algorithm is 0.8
  • the weight ⁇ set to the path similarity is 0.5
  • the HTML relative of the dark web site is calculated.
  • the text similarity B of the text information of the path information corresponding file and the text of the HTML relative path information corresponding file obtained from the previous scan of the dark web site in the historical record is 0.6
  • the set weight ⁇ is 0.5, so it can be determined
  • the server may obtain text information of a file corresponding to the path information of the HTML.
  • S304 Invoke a vulnerability scanning tool associated with the text information of the file corresponding to the path information of the HTML, and perform vulnerability detection on the text information.
  • the server when the server determines that the second similarity is less than a preset threshold, the server may call a vulnerability scanning tool associated with the text information of the file corresponding to the path information of the HTML to perform path analysis on the HTML. Correspond to the text information of the file for vulnerability detection.
  • S305 Generate a security evaluation report of the dark web site according to a detection result obtained by the vulnerability detection.
  • the server may generate a security evaluation report of the dark web site according to an inspection result obtained by performing loophole detection on the network fingerprint information of the dark web site.
  • the explanation of the security evaluation report of the dark web site is as described above, and is not repeated here.
  • the server may calculate a second similarity between the path information of the accessed HTML web site and the path information of the HTML web site in the history according to a preset similarity algorithm.
  • a vulnerability scanning tool associated with the text information of the file corresponding to the path information of the HTML may be invoked to perform a vulnerability detection on the text information, so as to obtain the information based on the vulnerability detection. Result of the detection, generating a security evaluation report of the dark web site. In this way, the security evaluation of the dark web site is realized, and the accuracy of the security evaluation of the dark web site is improved.
  • An embodiment of the present application further provides a server, where the server is configured to execute a unit of the foregoing method.
  • FIG. 4 is a schematic block diagram of a server provided by an embodiment of the present application.
  • the server in this embodiment includes: an obtaining unit 401, a first detecting unit 402, a determining unit 403, a second detecting unit 404, and a generating unit 405.
  • the obtaining unit 401 is configured to access a dark web website corresponding to the dark web domain name according to the obtained dark web domain name, and obtain data information of the dark web website, where the data information includes text content information and network fingerprint information. ;
  • a first detection unit 402 configured to determine a first similarity between the text content information and the text content information of the dark web site in a historical record, and perform a vulnerability detection on the text content information according to the first similarity ;
  • a second detection unit 403, configured to determine a second similarity between the network fingerprint information and the network fingerprint information of the dark web site in the history record, and perform a vulnerability detection on the network fingerprint information according to the second similarity ;
  • a generating unit 404 is configured to generate a security evaluation report of the dark web site according to a detection result obtained by performing a vulnerability detection on the text content information and a detection result obtained by performing a vulnerability detection on the network fingerprint information.
  • the obtaining unit 401 accesses the dark web website corresponding to the dark web domain name according to the obtained dark web domain name, it is further configured to obtain a dark web domain name added to a distributed system architecture pre-built on the server; Detecting whether the dark web website corresponding to the dark web domain name can be accessed; if it is detected that the dark web website can be accessed, executing the access to the dark web website corresponding to the dark web domain name according to the obtained dark web domain name A step of.
  • the detecting unit 401 is specifically configured to send a detection instruction to the dark web site corresponding to the dark web domain name through the anonymous network Tor when detecting whether the dark web site corresponding to the dark web domain name can be accessed; After receiving the confirmation instruction fed back by the dark web site within a preset time range, it is determined that the dark web site can be accessed.
  • the first detection unit 402 when the first detection unit 402 performs vulnerability detection on the text content information according to the first similarity, it is specifically configured to detect whether the first similarity is less than a preset threshold; if it is detected that If the first similarity is less than a preset threshold, a vulnerability scanning rule associated with the text content information is selected from a preset vulnerability scanning rule set, and vulnerability detection is performed on the text content information of the dark web site.
  • the network fingerprint information includes path information of Hypertext Markup Language HTML, and the path information of HTML includes relative path information of HTML and / or absolute path information of HTML; the second detection unit 403 determines the network fingerprint
  • the second similarity between the information and the network fingerprint information of the dark web site in the historical record is specifically used to calculate the path information of the HTML of the dark web site and the dark in the historical record according to a preset similarity algorithm.
  • the second similarity of the HTML path information of the web site is specifically used to calculate the path information of the HTML of the dark web site and the dark in the historical record according to a preset similarity algorithm.
  • the second detection unit 404 when the second detection unit 404 performs vulnerability detection on the network fingerprint information according to the second similarity, it is specifically configured to detect whether the second similarity is less than a preset threshold; if the first If the similarity is less than a preset threshold, the text information of the file corresponding to the path information of the HTML is obtained; a vulnerability scanning tool associated with the text information of the file corresponding to the path information of the HTML is invoked to perform a vulnerability detection on the text information .
  • the network fingerprint information includes port information; when the second detection unit 403 determines a second similarity between the network fingerprint information and the network fingerprint information of the dark web site in the historical record, it is specifically used for detecting Whether the port information of the dark web site is the same as the port information of the dark web site in the historical record; if the detection result is the same, determining that the second similarity is greater than a preset threshold;
  • the second detection unit 403 When the second detection unit 403 performs vulnerability detection on the network fingerprint information of the dark web site according to the second similarity, the second detection unit 403 is specifically configured to call the network fingerprint information if the second similarity is greater than a preset threshold.
  • a vulnerability scanning tool associated with the port information performs vulnerability detection on the port information.
  • the server obtains the text content information and network fingerprint information of the dark web site corresponding to the dark web domain name according to the dark web domain name, and determines the text content information and the text content information of the dark web site in the historical record A first similarity of, performing vulnerability detection on the text content information of the dark web site, and determining a second similarity between the network fingerprint information and the network fingerprint information of the dark web site in the historical record, and according to the The second similarity performs vulnerability detection on the network fingerprint information of the dark web site, and generates the detection result based on the detection result obtained by performing the vulnerability detection on the text content information and the detection result obtained by performing the vulnerability detection on the network fingerprint information.
  • Security evaluation report of dark web sites to achieve security evaluation of dark web sites.
  • FIG. 5 is a schematic block diagram of another server provided by an embodiment of the present application.
  • the server in this embodiment as shown in the figure may include: one or more processors 501; one or more input devices 502, one or more output devices 503, and a memory 504.
  • the processor 501, the input device 402, the output device 503, and the memory 504 are connected through a bus 505.
  • the memory 504 is configured to store a computer program.
  • the computer program includes program instructions, and the processor 501 is configured to execute the program instructions stored in the memory 504.
  • the processor 501 is configured to call the program instructions to perform the following steps:
  • a security evaluation report of the dark web website is generated.
  • the processor 501 accesses the dark web website corresponding to the dark web domain name according to the obtained dark web domain name, the processor 501 is further configured to call the program instruction to perform the following steps:
  • the step of accessing the dark web site corresponding to the dark web domain name according to the acquired dark web domain name is performed.
  • the processor 501 detects whether a dark web site corresponding to the dark web domain name can be accessed, it is specifically used to call the program instruction to perform the following steps:
  • the processor 501 when the processor 501 performs vulnerability detection on the text content information according to the first similarity, the processor 501 is specifically configured to call the program instruction to perform the following steps:
  • the network fingerprint information includes hypertext markup language HTML path information, and the HTML path information includes HTML relative path information and / or HTML absolute path information; the processor 501 determines whether the network fingerprint information and When the second similarity degree of the network fingerprint information of the dark web site in the history record is specifically used to call the program instruction to perform the following steps:
  • a second similarity between the path information of the HTML of the dark web site and the path information of the HTML of the dark web site in the historical record is calculated.
  • processor 501 when the processor 501 performs vulnerability detection on the network fingerprint information according to the second similarity, it is specifically used to call the program instructions to perform the following steps:
  • a vulnerability scanning tool associated with the text information of the file corresponding to the path information of the HTML is invoked to perform vulnerability detection on the text information.
  • the network fingerprint information includes port information; when the processor 501 determines the second similarity between the network fingerprint information and the network fingerprint information of the dark web site in the history record, it is specifically used to call the program The instruction performs the following steps:
  • the processor 501 When the processor 501 performs vulnerability detection on the network fingerprint information of the dark web site according to the second similarity, it is specifically used to call the program instruction to perform the following steps:
  • a vulnerability scanning tool associated with the port information is invoked to perform vulnerability detection on the port information.
  • the server obtains the text content information and network fingerprint information of the dark web site corresponding to the dark web domain name according to the dark web domain name, and determines the text content information and the text content information of the dark web site in the historical record A first similarity of, performing vulnerability detection on the text content information of the dark web site, and determining a second similarity between the network fingerprint information and the network fingerprint information of the dark web site in the historical record, and according to the The second similarity performs vulnerability detection on the network fingerprint information of the dark web site, and generates a security evaluation report of the dark web site according to the detection result obtained by the vulnerability detection, thereby realizing the security of the dark web site Evaluation.
  • the processor 501 may be a central processing unit (CPU), and the processor may also be another general-purpose processor or a digital signal processor (DSP).
  • DSP digital signal processor
  • ASIC Application Specific Integrated Circuit
  • FPGA Field-Programmable Gate Array
  • a general-purpose processor may be a microprocessor or the processor may be any conventional processor or the like.
  • the input device 502 may include a touch panel, a fingerprint sensor (for collecting fingerprint information and orientation information of a user), a microphone, and the like, and the output device 503 may include a display (LCD, etc.), a speaker, and the like.
  • a fingerprint sensor for collecting fingerprint information and orientation information of a user
  • a microphone for collecting fingerprint information and orientation information of a user
  • the output device 503 may include a display (LCD, etc.), a speaker, and the like.
  • the memory 504 may include a read-only memory and a random access memory, and provide instructions and data to the processor 501. A part of the memory 504 may further include a non-volatile random access memory. For example, the memory 504 may also store information of a device type.
  • the processor 501, the input device 502, and the output device 503 described in the embodiment of the present application may execute the method for evaluating the security of the dark web provided in the embodiment of the present application as shown in FIG. 1, FIG. 2, or FIG. 3.
  • the implementation manner described in the method embodiment may also implement the implementation manner of the server described in FIG. 4 in the embodiment of the present application, and details are not described herein again.
  • a computer-readable storage medium is also provided in the embodiment of the present application.
  • the computer-readable storage medium stores a computer program, and the computer program is executed by a processor to implement the embodiments corresponding to FIG. 1, FIG. 2, or FIG. 3.
  • the security evaluation method of the dark web described in the above can also implement the server of the embodiment corresponding to FIG. 4 or FIG. 5 of the present application, and details are not described herein again.
  • the computer-readable storage medium may be an internal storage unit of the server according to any one of the foregoing embodiments, such as a hard disk or a memory of the server.
  • the computer-readable storage medium may also be an external storage device of the server, such as a plug-in hard disk, a Smart Media Card (SMC), and a Secure Digital (SD) card provided on the server. , Flash card (Flash card) and so on.
  • the computer-readable storage medium may further include both an internal storage unit of the server and an external storage device.
  • the computer-readable storage medium is used to store the computer program and other programs and data required by the server.
  • the computer-readable storage medium may also be used to temporarily store data that has been or will be output.
  • the integrated unit When the integrated unit is implemented in the form of a software functional unit and sold or used as an independent product, it may be stored in a computer-readable storage medium.
  • the technical solution of this application is essentially a part that contributes to the existing technology, or all or part of the technical solution may be embodied in the form of a software product, which is stored in a storage medium
  • Included are instructions for causing a computer device (which may be a personal computer, a server, or a network device, etc.) to perform all or part of the steps of the method described in the embodiments of the present application.
  • the foregoing storage media include: U disk, mobile hard disk, read-only memory (ROM, Read-Only Memory), random access memory (RAM, Random Access Memory), magnetic disks or optical disks and other media that can store program codes .

Abstract

一种暗网的安全性评估方法、服务器及计算机可读存储介质，方法包括：根据获取到的暗网域名访问所述暗网域名对应的暗网网站，并获取所述暗网网站的数据信息，其中，所述数据信息包括文本内容信息和网络指纹信息；确定所述文本内容信息与历史记录中所述暗网网站的文本内容信息的第一相似度，并根据所述第一相似度对所述文本内容信息进行漏洞检测；确定所述网络指纹信息与历史记录中所述暗网网站的网络指纹信息的第二相似度，并根据所述第二相似度对所述网络指纹信息进行漏洞检测；根据对所述文本内容信息进行漏洞检测得到的检测结果以及对所述网络指纹信息进行漏洞检测得到的检测结果，生成安全性评估报告，实现了对暗网网站的安全性进行评估。

Description

暗网的安全性评估方法、服务器及计算机可读存储介质
本申请要求于2018年07月19日提交中国专利局、申请号为201810800402.8、申请名称为“一种暗网的安全性评估方法、服务器及计算机可读介质”的中国专利申请的优先权，其全部内容通过引用结合在本申请中。
技术领域
本申请涉及通信技术领域，尤其涉及一种暗网的安全性评估方法、服务器及计算机可读存储介质。
背景技术
暗网是指不能通过静态链接获取其内容的web页面，这些页面是目前搜索引擎无法直接抓取的网页，且不能直接进行检索的网页，目前用户可以根据暗网域名，利用匿名网络即洋葱路由器(The Onion Router，Tor)进入暗网网站的页面。
暗网网站包括了大量重要的隐藏数据信息，目前没有与暗网网站的安全相关的研究，因此对暗网网站进行安全性检测和评估具有重要的研究意义。
申请内容
本申请实施例提供一种暗网的安全性评估方法、服务器及计算机可读存储介质，可实现对暗网网站的安全性进行评估。
第一方面，本申请实施例提供了一种暗网的安全性评估方法，该方法包括：
根据获取到的暗网域名访问所述暗网域名对应的暗网网站，并获取所述暗网网站的数据信息，其中，所述数据信息包括文本内容信息和网络指纹信息；
确定所述文本内容信息与历史记录中所述暗网网站的文本内容信息的第一相似度，并根据所述第一相似度对所述文本内容信息进行漏洞检测；
确定所述网络指纹信息与历史记录中所述暗网网站的网络指纹信息的第二相似度，并根据所述第二相似度对所述网络指纹信息进行漏洞检测；
根据对所述文本内容信息进行漏洞检测得到的检测结果以及对所述网络指纹信息进行漏洞检测得到的检测结果，生成所述暗网网站的安全性评估报告。
第二方面，本申请实施例提供了一种服务器，该服务器包括用于执行上述第一方面的方法的单元。
第三方面，本申请实施例提供了另一种服务器，包括处理器、输入设备、输出设备和存储器，所述处理器、输入设备、输出设备和存储器相互连接，其中，所述存储器用于存储支持服务器执行上述方法的计算机程序，所述计算机程序包括程序指令，所述处理器被配置用于调用所述程序指令，执行上述第一方面的方法。
第四方面，本申请实施例提供了一种计算机可读存储介质，所述计算机存储介质存储有计算机程序，所述计算机程序包括程序指令，所述程序指令当被处理器执行时使所述处理器执行上述第一方面的方法。
本申请实施例中，通过对暗网网站的文本内容信息和网络指纹信息进行漏洞检测，生成了所述暗网网站的安全性评估报告，实现对暗网网站的安全性评估。
附图说明
图1是本申请实施例提供的一种暗网的安全性评估方法的示意流程图；
图2是本申请实施例提供的另一种暗网的安全性评估方法的示意流程图；
图3是本申请实施例提供的又一种暗网的安全性评估方法的示意流程图；
图4是本申请实施例提供的一种服务器的示意框图；
图5是本申请实施例提供的另一种服务器示意框图。
具体实施方式
下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。
本申请实施例提供的暗网的安全性评估方法可以由服务器执行，所述服务器可以是手机、电脑、平板、智能手表等智能终端上。下面对应用于服务器的暗网的安全性评估方法进行举例说明。
本申请实施例中，服务器可以通过获取暗网域名访问该暗网域名对应的暗网网站，并获取所述暗网网站的数据信息，其中，所述数据信息包括文本内容信息和网络指纹信息。在某些实施例中，所述文本内容信息是指所述暗网网站对应网页中的数据信息。所述服务器可以根据获取到的所述文本内容信息，确定所述文本内容信息与历史记录中该暗网网站的文本内容信息的第一相似度，并根据所述第一相似度对所述暗网网站的文本内容信息进行漏洞检测。在某些实施例中，所述网络指纹信息是指在暗网网站上不能直接获取到的数据信息，例如，安全外壳协议(Secure Shell，SSH)、端口信息、邮箱信息、使用 语言、Web服务器类型、网站开发语言、网站HTML路径信息等任意一种或多种数据信息。所述服务器可以根据获取到的所述暗网网站的网络指纹信息，确定所述网络指纹信息与历史记录中所述暗网网站的网络指纹信息的第二相似度，并根据所述第二相似度对所述暗网网站的网络指纹信息进行漏洞检测。所述服务器在对所述暗网网站的文本内容信息和/或网络指纹信息进行漏洞检测之后，可以根据所述漏洞检测得到的检测结果，生成所述暗网网站的安全性评估报告，从而实现对暗网网站的安全性评估。下面结合附图对本申请实施例进行详细说明。
参见图1，图1是本申请实施例提供的一种暗网的安全性评估方法的示意流程图，如图1所示，该方法可以由服务器执行，所述服务器的具体解释如前所述，此处不再赘述。具体地，本申请实施例的所述方法包括如下步骤。
S101：根据获取到的暗网域名访问所述暗网域名对应的暗网网站，并获取所述暗网网站的数据信息。
本申请实施例中，服务器可以根据获取到的暗网域名访问该暗网域名对应的暗网网站，并获取所述暗网网站的数据信息。在某些实施例中，所述数据信息包括：文本内容信息和网络指纹信息，所述文本内容信息和网络指纹信息的具体解释如前所述，此处不再赘述。
在一个实施例中，所述服务器在根据获取到的暗网域名访问该暗网域名对应的暗网网站之前，可以在所述服务器上搭建分布式系统架构，并获取在所述分布式系统架构上添加的暗网域名，以及检测所述暗网域名对应的暗网网站是否能够被访问，如果检测到所述暗网域名对应的暗网网站能够被访问，则根据获取到的暗网域名访问该暗网域名对应的暗网网站。
需要说明的是，在所述服务器上搭建分布式系统架构时，可以搭建一个分布式系统作为基础架构，其中，该分布式系统是利用hadoop搭建的分布式平台系统，以实现在获取到多个暗网域名时，可以并行地获取各暗网网站的数据信息，以对各个暗网网站并行地进行安全性检测。该分布式系统是基于Hadoop和Nutch搭建的分布式爬虫系统，Nutch是一种分布式爬虫，它可以通过代理软件工作在Socks协议下。Hadoop是能够对大量数据进行分布式处理的软件框架。本方案可以基于Hadoop和Nutch的分布式系统配置Tor服务，并通过修改Nutch的配置使Nutch使用防火墙安全会话转换协议(Protocol for sessions traversal across firewall securely，Socks)，以实现Nutch与Socks协议交互。在配置Nutch使用Socks协议的过程中，可以使用Privoxy代理软件将超文本传输协议(HyperText Transfer Protocol，HTTP)转化为Socks协议。本方案通过这种分布式系统可以多节点分布式的对获取到的多个暗网域名并行地进行分配、以及并行地对各暗网网站进行漏洞扫描检测。
具体实施过程中，如果服务器确定出所述暗网网站能够被访问，则可以通过Tor访问该暗网网站， 并利用该暗网网站所分配到的分布式系统上的爬虫获取该暗网网站的数据信息。获取到的该数据信息包括该暗网网站的文本内容信息和网络指纹信息。该暗网网站的文本内容信息是指暗网网站页面上的信息，比如网站评论信息、网站登录的账户信息、密码信息等。该暗网网站的网络指纹信息包括比如SSH(安全外壳协议)、端口信息、邮箱信息Emails、使用语言、Web服务器类型、网站开发语言和/或网站相对路径信息等数据信息。
具体实施过程中，所述服务器可以获取到在分布式系统上添加的一个或多个暗网网站的域名(如以.Onion为后缀的网站域名)，并将获取到的所述一个或多个暗网网站的域名分配到该分布式系统的任务调度模块上，该任务调度模块可以对获取到的所述一个或多个暗网域名进行合理调度分配，并将所述一个或多个暗网域名分别分配给该分布式系统中的不同的任务处理模块，以实现对一个或多个暗网域名的并行处理，从而提高访问多个暗网域名对应的暗网网站的效率。
在某些实施例中，所述服务器上搭建的该分布式系统在对多个暗网域名进行分配时可以是有序分配，比如按照获取到的各暗网域名在该分布式系统上添加的时间的先后顺序对添加的多个域名进行顺序分配。或者，在某些实施例中，所述服务器可以根据预先设置的域名优先级对获取到的多个暗网域名按域名优先级的高低进行分配。本申请实施例对多个暗网域名在分布式系统上的分配方式不做具体限定。
在一个实施例中，所述服务器上搭建的分布式系统在完成对获取到的多个暗网域名的分配之后，可以通过使用Tor访问各个暗网域名对应的暗网网站。在访问各暗网域名对应的暗网网站之前，所述服务器可以通过该分布式系统分别向各个暗网域名对应的暗网网站发送一个探测指令。如果暗网网站接收到该探测指令，暗网网站将返回一个确认指令给该服务器，该确认指令用于确认收到该探测指令，因此，如果该服务器接收到某暗网网站返回的确认指令，则可以确定该暗网网站能够被访问。如果所述服务器没有接收到暗网网站返回的确认指令，则可以确定该暗网网站不存在，或者因服务地址已切换等原因不能被访问。
在某些实施例中，当确定出某个暗网网站不能被访问时，所述服务器可以不用再向该暗网网站发送探测指令，直接通过所述服务器的分布式系统中的任务调度模块再循环分配一个新的暗网域名，并检测所述新的暗网域名是否能够被访问。本申请实施例，通过这种探测暗网域名对应的暗网网站是否能够被访问的方式，提高了检测暗网是否能够被访问的效率。
S102：确定所述数据信息中的文本内容信息与历史记录中所述暗网网站的文本内容信息的第一相似度，并根据所述第一相似度对所述文本内容信息进行漏洞检测。
本申请实施例中，所述服务器可以根据获取到的所述数据信息中的文本内容信息，确定所述文本内容信息与历史记录中该暗网网站的文本内容信息的第一相似度，并根据所述第一相似度对所述暗网网 站的文本内容信息进行漏洞检测。其中，所述服务器中的历史记录中记录了该服务器检测过的各暗网网站的漏洞检测的检测结果，在某些实施例中，该检测结果可以包括：检测开始的时间信息、检测结束的时间信息、检测状态已完成、已停止和意外中断等状态信息、检测的文本内容信息、检测的结果信息，处理的数据信息、检测的应用或软件系统版本、执行状态、错误信息等任意一种或多种信息。
在一个实施例中，所述服务器在根据所述第一相似度对所述暗网网站的文本内容信息进行漏洞检测时，可以检测所述暗网网站的文本内容信息与历史记录中该暗网网站的文本内容信息的第一相似度是否小于预设阈值，如果检测到所述第一相似度小于预设阈值，则所述服务器可以从预设的漏洞扫描规则集中选取与所述文本内容信息相关联的漏洞扫描规则，对所述暗网网站的文本内容信息进行漏洞检测。
在其他实施例中，如果检测到所述第一相似度大于或等于预设阈值，则可以确定所述暗网网站的文本内容信息与历史记录中的该暗网网站的文本内容信息相似，所述服务器可以不用对该暗网网站的文本内容信息进行漏洞检测，直接使用历史记录中记录的关于该暗网网站的文本内容信息的相关漏洞检测结果，以节省漏洞检测时间，提高检测效率。
S103：确定所述网络指纹信息与历史记录中所述暗网网站的网络指纹信息的第二相似度，并根据所述第二相似度对所述网络指纹信息进行漏洞检测。
本申请实施例中，服务器可以从获取到的暗网网站的数据信息中获取到该暗网网站的网络指纹信息，并确定所述网络指纹信息与历史记录中所述暗网网站的网络指纹信息的第二相似度，以及根据所述第二相似度对所述暗网网站的网络指纹信息进行漏洞检测。
在一个实施例中，所述网络指纹信息包括超文本标记语言HTML的路径信息，所述HTML的路径信息包括HTML相对路径信息和HTML绝对路径信息。所述HTML相对路径是指所述暗网网站中对应各文件所在的路径引起的跟其它文件(或文件夹)的路径关系；所述HTML绝对路径是指所述暗网网站中对应各文件的带域名的完整路径。
在一个实施例中，所述服务器在根据所述第二相似度对所述暗网网站的网络指纹信息进行漏洞检测时，可以判断所述暗网网站的HTML相对路径信息与历史记录中该暗网网站的HTML相对路径信息的第二相似度是否小于预设阈值。或者，在某些实施例中，所述服务器在根据所述第二相似度对所述暗网网站的网络指纹信息进行漏洞检测时，可以判断所述暗网网站的HTML绝对路径信息与历史记录中该暗网网站的HTML绝对路径信息的第二相似度是否小于预设阈值。在其他实施例中，所述服务器可以判断所述暗网网站的HTML相对路径信息与历史记录中该暗网网站的HTML相对路径信息的第二相似度是否小于预设阈值，以及判断所述暗网网站的HTML绝对路径信息与历史记录中该暗网网站的HTML绝对路径信息的第二相似度是否小于预设阈值。
在某些实施例中，如果判断出所述网络指纹信息与历史记录中所述暗网网站的网络指纹信息的第二相似度大于或等于预设阈值，则所述服务器可以不用对所述暗网网站的网络指纹信息进行漏洞检测，直接使用历史记录中的该暗网网站中关于所述网络指纹信息的漏洞检测结果。
在一个实施例中，所述网络指纹信息可以包括端口信息，所述端口信息包括端口号、端口应用、端口应用版本、端口状态等信息等任意一种或多种信息。所述服务器在根据所述第二相似度对所述暗网网站的网络指纹信息进行漏洞检测时，可以检测所述暗网网站的端口信息与历史记录中所述暗网网站的端口信息是否匹配，如果检测到所述端口信息与历史记录中所述暗网网站的端口信息不一致，则调用与所述端口信息相关联的漏洞扫描工具对所述端口信息进行漏洞检测。
具体实施过程中，假设获取到的网络指纹信息为该暗网网站的端口信息，则可以将获取到的该端口信息与历史记录中上一次访问该暗网获取到的端口信息进行对比，判断获取到的该端口信息是否与历史记录中上一次访问该暗网网站的端口信息相同，如果判断结果为不相同，则可以确定该暗网网站具有存在漏洞的可能性，并调用与所述端口信息相关联的漏洞扫描工具对所述端口信息进行漏洞检测。例如，假设检测到该暗网网站对应的端口号为21，如果获取到的历史记录中上次访问该暗网网站对应的端口号变为8080，则可以确定该暗网网站具有存在漏洞的可能性，并调用与所述端口信息相关联的漏洞扫描工具，对获取到的该端口号为8080的端口对应的内容信息进行扫描检测。
在一个实施例中，所述暗网网站的网络指纹信息可以包括SSH信息，假设扫描获取到的网络指纹信息为该暗网网站的SSH信息，则所述服务器可以根据该SSH信息获取SSH的版本号，如果判断出所述SSH的版本号发生变化，则可以通过Tor从预设的漏洞扫描工具中调用与该SSH的版本号相关联的漏洞扫描工具对所述暗网网站进行漏洞检测。
S104：根据对所述文本内容信息进行漏洞检测得到的检测结果以及对所述网络指纹信息进行漏洞检测得到的检测结果，生成所述暗网网站的安全性评估报告。
本申请实施例中，服务器可以根据对所述文本内容信息进行漏洞检测得到的检测结果以及对所述网络指纹信息进行漏洞检测得到的检测结果，生成所述暗网网站的安全性评估报告。
在一个实施例中，所述检测结果可以是扫描日志，所述服务器可以通过调用部署在分布式系统上的存储模块中存储的扫描日志，对扫描日志中的数据信息进行解析，生成详细的与所述暗网网站相关联的安全性评估报告。在某些实施例中，所述安全性评估报告可以包括：对所述暗网网站进行漏洞检测得到的各漏洞信息、该暗网网站的安全性等级、与各漏洞信息相关联的解决方案等任意一种或多种信息，本申请实施例不做具体限定。该安全性评估报告可以为PDF、DOC、Execl、HTML等任意一种格式，以供用户导出查看。
本申请实施例中，服务器可以根据暗网域名获取所述暗网域名对应的暗网网站的文本内容信息和/或网络指纹信息，通过确定所述文本内容信息与历史记录中该暗网网站的文本内容信息的第一相似度，对所述暗网网站的文本内容信息进行漏洞检测，确定所述网络指纹信息与历史记录中所述暗网网站的网络指纹信息的第二相似度，并根据所述第二相似度对所述暗网网站的网络指纹信息进行漏洞检测，进一步根据对所述文本内容信息和网络指纹信息进行漏洞检测得到的检测结果，生成所述暗网网站的安全性评估报告，从而实现对暗网网站的安全性评估。
参见图2，图2是本申请实施例提供的另一种暗网的安全性评估方法的示意流程图，如图2所示，该方法可以由服务器执行，所述服务器的具体解释如前所述，此处不再赘述。本申请实施例与图1所述实施例的区别在于：本申请实施例是对暗网网站的文本内容信息进行检测的具体实施过程的详细说明。具体地，本申请实施例的所述方法包括如下步骤。
S201：根据获取到的暗网域名访问所述暗网域名对应的暗网网站，并获取所述暗网网站的文本内容信息。
本申请实施例中，服务器可以根据获取到的暗网域名访问该暗网域名对应的暗网网站，并获取所述暗网网站的数据信息中包括的文本内容信息，其中，所述文本内容信息的解释如前所述，此处不再赘述。
S202：检测所述暗网网站的文本内容信息与历史记录中该暗网网站的文本内容信息的第一相似度是否小于预设阈值。
本申请实施例中，服务器可以确定所述文本内容信息与历史记录中该暗网网站的文本内容信息的第一相似度，并根据所述第一相似度对所述暗网网站的文本内容信息进行漏洞检测。
在一个实施例中，所述服务器可以检测所述暗网网站的文本内容信息与历史记录中该暗网网站的文本内容信息的第一相似度是否小于预设阈值。具体可举例说明，假设所述预设阈值为m，如果服务器检测到所述暗网网站的文本内容信息与历史记录中该暗网网站的文本内容信息的第一相似度为n，如果n<m，则可以确定所述暗网网站的文本内容信息与历史记录中该暗网网站的文本内容信息的第一相似度小于预设阈值。
S203：如果检测到所述第一相似度小于预设阈值，则从预设的漏洞扫描规则集中选取与所述文本内容信息相关联的漏洞扫描规则，对所述文本内容信息进行漏洞检测。
本申请实施例中，如果检测到所述暗网网站的文本内容信息与历史记录中该暗网网站的文本内容信息的第一相似度小于预设阈值，则所述服务器可以从预设的漏洞扫描规则集中选取与所述文本内容信息相关联的漏洞扫描规则，对所述暗网网站的文本内容信息进行漏洞检测。
在一个实施例中，所述服务器可以根据获取到的所述暗网网站的文本内容信息，确定出所述文本内容信息中包括的高危漏洞关键词或关键字信息，并可以从预设的漏洞扫描规则集中选取与所述文本内容信息中的高危漏洞关键词或关键字信息相关联的漏洞扫描规则，对所述暗网网站的文本内容信息进行漏洞检测。例如，如果服务器根据获取到的所述暗网网站的文本内容信息，确定出所述文本内容信息中包括的高危漏洞关键词信息为密码，则可以从预设的漏洞扫描规则集中选取与所述文本内容信息中的密码信息相关联的漏洞扫描规则，对所述暗网网站的文本内容信息进行漏洞检测。
在某些实施例中，服务器在对获取到的暗网网站的内容信息进行扫描检测的过程中，可以分别调用预设的漏洞扫描规则集中包括的所有漏洞检测工具，依次对获取到的暗网网站的内容信息进行扫描检测。
S204：根据所述漏洞检测得到的检测结果，生成所述暗网网站的安全性评估报告。
本申请实施例中，服务器可以根据对所述暗网网站的文本内容信息进行漏洞检测得到的检查结果，生成该暗网网站的安全性评估报告。其中，所述暗网网站的安全性评估报告的解释如前所述，此处不再赘述。
本申请实施例中，服务器可以根据获取到的暗网域名访问该暗网域名对应的暗网网站，并获取所述暗网网站的文本内容信息，如果检测到所述暗网网站的文本内容信息与历史记录中该暗网网站的文本内容信息的第一相似度小于预设阈值，则从预设的漏洞扫描规则集中选取与所述文本内容信息相关联的漏洞扫描规则，对所述暗网网站的文本内容信息进行漏洞检测，并根据所述漏洞检测得到的检测结果，生成所述暗网网站的安全性评估报告。通过这种方式，提高了对暗网网站进行漏洞检测的效率，实现了对暗网网站的安全性评估。
参见图3，图3是本申请实施例提供的又一种暗网的安全性评估方法的示意流程图，如图3所示，该方法可以由服务器执行，所述服务器的具体解释如前所述，此处不再赘述。本申请实施例与图2所述实施例的区别在于，本申请实施例是对暗网网站的网络指纹信息进行检测的详细说明。具体地，本申请实施例的所述方法包括如下步骤。
S301：根据获取到的暗网域名访问该暗网域名对应的暗网网站，并获取所述暗网网站的网络指纹信息，其中，所述网络指纹信息包括HTML的路径信息。
本申请实施例中，服务器可以根据获取到的暗网域名访问该暗网域名对应的暗网网站，并获取所述暗网网站的网络指纹信息，其中，所述网络指纹信息包括HTML的路径信息。所述HTML的路径信息的解释如前所述，此处不再赘述。
S302：根据预设的相似度算法，计算所述HTML的路径信息与历史记录中所述暗网网站的HTML 的路径信息的第二相似度。
本申请实施例中，服务器可以根据预设的相似度算法，计算所述暗网网站的HTML的路径信息与历史记录中该暗网网站的该HTML的路径信息的第二相似度。
在一个实施例中，所述HTML的路径信息包括HTML相对路径信息，所述服务器可以根据预设的相似度算法，计算所述暗网网站的HTML相对路径信息与历史记录中该暗网网站的该HTML相对路径信息的第二相似度。其中，所述预设的相似度算法可以是常用的相似度算法，本申请实施例对所述预设的相似度算法不做具体限定。
在某些实施例中，所述服务器在根据预设的相似度算法，计算所述暗网网站的HTML相对路径信息与历史记录中该暗网网站的该HTML相对路径信息的第二相似度时，进一步地可以计算所述HTML相对路径信息与历史记录中该暗网网站的该HTML相对路径信息的路径相似度为A，以及计算所述HTML相对路径信息对应文件的文本信息与历史记录中该HTML相对路径信息对应文件的文本信息的文本相似度为B，所述服务器可以为所述路径相似度配置一个权重为α，为所述文本相似度配置一个权重为β，再根据计算公式：C＝A*α+B*β，计算得到所述第二相似度为C。
例如，假设根据预设的相似度算法计算得到的路径相似度A为0.8，给该路径相似度设置的权重α为0.5，如果通过预设的相似度算法，计算得到该暗网网站的HTML相对路径信息对应文件的文本信息与历史记录中上一次扫描该暗网网站得到的该HTML相对路径信息对应文件的文本信息的文本相似度B为0.6，且设置的权重β为0.5，因此可以确定所述第二相似度值C为：0.5*0.6+0.5*0.8＝0.7。
S303：如果检测到所述第二相似度小于预设阈值，则获取所述HTML的路径信息对应文件的文本信息。
本申请实施例中，如果所述服务器检测到所述第二相似度小于预设阈值，则可以获取所述HTML的路径信息对应文件的文本信息。
S304：调用与所述HTML的路径信息对应文件的文本信息相关联的漏洞扫描工具，对所述文本信息进行漏洞检测。
本申请实施例中，服务器在判断出所述第二相似度小于预设阈值时，可以调用与所述HTML的路径信息对应文件的文本信息相关联的漏洞扫描工具，对所述HTML的路径信息对应文件的文本信息进行漏洞检测。
S305：根据所述漏洞检测得到的检测结果，生成所述暗网网站的安全性评估报告。
本申请实施例中，服务器可以根据对所述暗网网站的网络指纹信息进行漏洞检测得到的检查结果，生成该暗网网站的安全性评估报告。其中，所述暗网网站的安全性评估报告的解释如前所述，此处不再 赘述。
本申请实施例中，服务器可以根据预设的相似度算法，计算访问到的暗网网站的HTML的路径信息与历史记录中该暗网网站的该HTML的路径信息的第二相似度，如果检测到所述第二相似度小于预设阈值，则可以调用与所述HTML的路径信息对应文件的文本信息相关联的漏洞扫描工具，对所述文本信息进行漏洞检测，从而根据所述漏洞检测得到的检测结果，生成所述暗网网站的安全性评估报告。通过这种方式，实现了对暗网网站的安全性评估，提高了对暗网网站进行安全性评估的准确性。
本申请实施例还提供了一种服务器，该服务器用于执行前述任一项所述的方法的单元。具体地，请参见图4，图4是本申请实施例提供的一种服务器的示意框图。本实施例的服务器包括：获取单元401、第一检测单元402、判断单元403、第二检测单元404、生成单元405。
获取单元401，用于根据获取到的暗网域名访问所述暗网域名对应的暗网网站，并获取所述暗网网站的数据信息，其中，所述数据信息包括文本内容信息和网络指纹信息；
第一检测单元402，用于确定所述文本内容信息与历史记录中所述暗网网站的文本内容信息的第一相似度，并根据所述第一相似度对所述文本内容信息进行漏洞检测；
第二检测单元403，用于确定所述网络指纹信息与历史记录中所述暗网网站的网络指纹信息的第二相似度，并根据所述第二相似度对所述网络指纹信息进行漏洞检测；
生成单元404，用于根据对所述文本内容信息进行漏洞检测得到的检测结果以及对所述网络指纹信息进行漏洞检测得到的检测结果，生成所述暗网网站的安全性评估报告。
进一步地，所述获取单元401在根据获取到的暗网域名访问所述暗网域名对应的暗网网站之前，还用于获取在服务器上预先搭建的分布式系统架构中添加的暗网域名；检测所述暗网域名对应的暗网网站是否能够被访问；如果检测到所述暗网网站能够被访问，则执行所述根据获取到的暗网域名访问所述暗网域名对应的暗网网站的步骤。
进一步地，所述获取单元401在检测所述暗网域名对应的暗网网站是否能够被访问时，具体用于通过匿名网络Tor向所述暗网域名对应的暗网网站发送探测指令；如果在预设时间范围内接收到所述暗网网站反馈的确认指令，则确定所述暗网网站能够被访问。
进一步地，所述第一检测单元402在根据所述第一相似度对所述文本内容信息进行漏洞检测时，具体用于检测所述第一相似度是否小于预设阈值；如果检测到所述第一相似度小于预设阈值，则从预设的漏洞扫描规则集中选取与所述文本内容信息相关联的漏洞扫描规则，对所述暗网网站的文本内容信息进行漏洞检测。
进一步地，所述网络指纹信息包括超文本标记语言HTML的路径信息，所述HTML的路径信息包 括HTML相对路径信息和/或HTML绝对路径信息；所述第二检测单元403在确定所述网络指纹信息与历史记录中所述暗网网站的网络指纹信息的第二相似度时，具体用于根据预设的相似度算法，计算所述暗网网站的HTML的路径信息与历史记录中所述暗网网站的该HTML的路径信息的第二相似度。
进一步地，所述第二检测单元404根据所述第二相似度对所述网络指纹信息进行漏洞检测时，具体用于检测所述第二相似度是否小于预设阈值；如果检测到所述第二相似度小于预设阈值，则获取所述HTML的路径信息对应文件的文本信息；调用与所述HTML的路径信息对应文件的文本信息相关联的漏洞扫描工具，对所述文本信息进行漏洞检测。
进一步地，所述网络指纹信息包括端口信息；所述第二检测单元403在确定所述网络指纹信息与历史记录中所述暗网网站的网络指纹信息的第二相似度时，具体用于检测所述暗网网站的端口信息是否与历史记录中所述暗网网站的端口信息相同；如果检测结果为相同，则确定所述第二相似度大于预设阈值；
所述第二检测单元403在根据所述第二相似度对所述暗网网站的网络指纹信息进行漏洞检测时，具体用于如果所述第二相似度大于预设阈值，则调用与所述端口信息相关联的漏洞扫描工具对所述端口信息进行漏洞检测。
本申请实施例中，服务器根据暗网域名获取所述暗网域名对应的暗网网站的文本内容信息和网络指纹信息，通过确定所述文本内容信息与历史记录中该暗网网站的文本内容信息的第一相似度，对所述暗网网站的文本内容信息进行漏洞检测，以及确定所述网络指纹信息与历史记录中所述暗网网站的网络指纹信息的第二相似度，并根据所述第二相似度对所述暗网网站的网络指纹信息进行漏洞检测，根据对所述文本内容信息进行漏洞检测得到的检测结果以及对所述网络指纹信息进行漏洞检测得到的检测结果，生成所述暗网网站的安全性评估报告，以实现对暗网网站的安全性评估。
参见图5，图5是本申请实施例提供的另一种服务器示意框图。如图所示的本实施例中的服务器可以包括：一个或多个处理器501；一个或多个输入设备502，一个或多个输出设备503和存储器504。上述处理器501、输入设备402、输出设备503和存储器504通过总线505连接。存储器504用于存储计算机程序，所述计算机程序包括程序指令，处理器501用于执行存储器504存储的程序指令。其中，处理器501用于调用所述程序指令执行以下步骤：
根据获取到的暗网域名访问所述暗网域名对应的暗网网站，并获取所述暗网网站的数据信息，其中，所述数据信息包括文本内容信息和网络指纹信息；
确定所述文本内容信息与历史记录中所述暗网网站的文本内容信息的第一相似度，并根据所述第一相似度对所述文本内容信息进行漏洞检测；
确定所述网络指纹信息与历史记录中所述暗网网站的网络指纹信息的第二相似度，并根据所述第二 相似度对所述网络指纹信息进行漏洞检测；
根据对所述文本内容信息进行漏洞检测得到的检测结果以及对所述网络指纹信息进行漏洞检测得到的检测结果，生成所述暗网网站的安全性评估报告。
进一步地，所述处理器501根据获取到的暗网域名访问所述暗网域名对应的暗网网站之前，还用于调用所述程序指令执行以下步骤：
获取在服务器上预先搭建的分布式系统架构中添加的暗网域名；
检测所述暗网域名对应的暗网网站是否能够被访问；
如果检测到所述暗网网站能够被访问，则执行所述根据获取到的暗网域名访问所述暗网域名对应的暗网网站的步骤。
进一步地，所述处理器501检测所述暗网域名对应的暗网网站是否能够被访问时，具体用于调用所述程序指令执行以下步骤：
通过匿名网络Tor向所述暗网域名对应的暗网网站发送探测指令；
如果在预设时间范围内接收到所述暗网网站反馈的确认指令，则确定所述暗网网站能够被访问。
进一步地，所述处理器501根据所述第一相似度对所述文本内容信息进行漏洞检测时，具体用于调用所述程序指令执行以下步骤：
检测所述第一相似度是否小于预设阈值；
如果检测到所述第一相似度小于预设阈值，则从预设的漏洞扫描规则集中选取与所述文本内容信息相关联的漏洞扫描规则，对所述暗网网站的文本内容信息进行漏洞检测。
进一步地，所述网络指纹信息包括超文本标记语言HTML的路径信息，所述HTML的路径信息包括HTML相对路径信息和/或HTML绝对路径信息；所述处理器501在确定所述网络指纹信息与历史记录中所述暗网网站的网络指纹信息的第二相似度时，具体用于调用所述程序指令执行以下步骤：
根据预设的相似度算法，计算所述暗网网站的HTML的路径信息与历史记录中所述暗网网站的该HTML的路径信息的第二相似度。
进一步地，处理器501根据所述第二相似度对所述网络指纹信息进行漏洞检测时，具体用于调用所述程序指令执行以下步骤：
检测所述第二相似度是否小于预设阈值；
如果检测到所述第二相似度小于预设阈值，则获取所述HTML的路径信息对应文件的文本信息；
调用与所述HTML的路径信息对应文件的文本信息相关联的漏洞扫描工具，对所述文本信息进行漏洞检测。
进一步地，所述网络指纹信息包括端口信息；所述处理器501确定所述网络指纹信息与历史记录中所述暗网网站的网络指纹信息的第二相似度时，具体用于调用所述程序指令执行以下步骤：
检测所述暗网网站的端口信息是否与历史记录中所述暗网网站的端口信息相同；
如果检测结果为相同，则确定所述第二相似度大于预设阈值；
所述处理器501根据所述第二相似度对所述暗网网站的网络指纹信息进行漏洞检测时，具体用于调用所述程序指令执行以下步骤：
如果所述第二相似度大于预设阈值，则调用与所述端口信息相关联的漏洞扫描工具对所述端口信息进行漏洞检测。
本申请实施例中，服务器根据暗网域名获取所述暗网域名对应的暗网网站的文本内容信息和网络指纹信息，通过确定所述文本内容信息与历史记录中该暗网网站的文本内容信息的第一相似度，对所述暗网网站的文本内容信息进行漏洞检测，以及确定所述网络指纹信息与历史记录中所述暗网网站的网络指纹信息的第二相似度，并根据所述第二相似度对所述暗网网站的网络指纹信息进行漏洞检测，并根据所述漏洞检测得到的检测结果，生成所述暗网网站的安全性评估报告，从而实现对暗网网站的安全性评估。
应当理解，在本申请实施例中，所称处理器501可以是中央处理单元(Central Processing Unit，CPU)，该处理器还可以是其他通用处理器、数字信号处理器(Digital Signal Processor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现成可编程门阵列(Field-Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。
输入设备502可以包括触控板、指纹采传感器(用于采集用户的指纹信息和指纹的方向信息)、麦克风等，输出设备503可以包括显示器(LCD等)、扬声器等。
该存储器504可以包括只读存储器和随机存取存储器，并向处理器501提供指令和数据。存储器504的一部分还可以包括非易失性随机存取存储器。例如，存储器504还可以存储设备类型的信息。
具体实现中，本申请实施例中所描述的处理器501、输入设备502、输出设备503可执行本申请实施例提供的暗网的安全性评估方法的图1、图2或图3所述的方法实施例中所描述的实现方式，也可执行本申请实施例图4所描述的服务器的实现方式，在此不再赘述。
本申请实施例中还提供了一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，所述计算机程序被处理器执行时实现图1、图2或图3所对应实施例中描述的暗网的安全性评估方法，也可实现本申请图4或图5所对应实施例的服务器，在此不再赘述。
所述计算机可读存储介质可以是前述任一实施例所述的服务器的内部存储单元，例如服务器的硬盘或内存。所述计算机可读存储介质也可以是所述服务器的外部存储设备，例如所述服务器上配备的插接式硬盘，智能存储卡(Smart Media Card,SMC)，安全数字(Secure Digital,SD)卡，闪存卡(Flash Card)等。进一步地，所述计算机可读存储介质还可以既包括所述服务器的内部存储单元也包括外部存储设备。所述计算机可读存储介质用于存储所述计算机程序以及所述服务器所需的其他程序和数据。所述计算机可读存储介质还可以用于暂时地存储已经输出或者将要输出的数据。
本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。
所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分，或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。
以上所述，仅为本申请的部分实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到各种等效的修改或替换，这些修改或替换都应涵盖在本申请的保护范围之内。

Claims (20)

  1. 一种暗网的安全性评估方法，其特征在于，包括：
    根据获取到的暗网域名访问所述暗网域名对应的暗网网站，并获取所述暗网网站的数据信息，其中，所述数据信息包括文本内容信息和网络指纹信息；
    确定所述文本内容信息与历史记录中所述暗网网站的文本内容信息的第一相似度，并根据所述第一相似度对所述文本内容信息进行漏洞检测；
    确定所述网络指纹信息与历史记录中所述暗网网站的网络指纹信息的第二相似度，并根据所述第二相似度对所述网络指纹信息进行漏洞检测；
    根据对所述文本内容信息进行漏洞检测得到的检测结果以及对所述网络指纹信息进行漏洞检测得到的检测结果，生成所述暗网网站的安全性评估报告。
  2. 根据权利要求1所述的方法，其特征在于，所述根据获取到的暗网域名访问所述暗网域名对应的暗网网站之前，还包括：
    获取在服务器上预先搭建的分布式系统架构中添加的暗网域名；
    检测所述暗网域名对应的暗网网站是否能够被访问；
    如果检测到所述暗网网站能够被访问，则执行所述根据获取到的暗网域名访问所述暗网域名对应的暗网网站的步骤。
  3. 根据权利要求2所述的方法，其特征在于，所述检测所述暗网域名对应的暗网网站是否能够被访问，包括：
    通过匿名网络Tor向所述暗网域名对应的暗网网站发送探测指令；
    如果在预设时间范围内接收到所述暗网网站反馈的确认指令，则确定所述暗网网站能够被访问。
  4. 根据权利要求1所述的方法，其特征在于，所述根据所述第一相似度对所述文本内容信息进行漏洞检测，包括：
    检测所述第一相似度是否小于预设阈值；
    如果检测到所述第一相似度小于预设阈值，则从预设的漏洞扫描规则集中选取与所述文本内容信息相关联的漏洞扫描规则，对所述文本内容信息进行漏洞检测。
  5. 根据权利要求1所述的方法，其特征在于，所述网络指纹信息包括超文本标记语言HTML的路径信息，所述HTML的路径信息包括HTML相对路径信息和/或HTML绝对路径信息；
    所述确定所述网络指纹信息与历史记录中所述暗网网站的网络指纹信息的第二相似度，包括：
    根据预设的相似度算法，计算所述暗网网站的HTML的路径信息与历史记录中所述暗网网站的该HTML的路径信息的第二相似度。
  6. 根据权利要求5所述的方法，其特征在于，所述根据所述第二相似度对所述网络指纹信息进行漏洞检测，包括：
    检测所述第二相似度是否小于预设阈值；
    如果检测到所述第二相似度小于预设阈值，则获取所述HTML的路径信息对应文件的文本信息；
    调用与所述HTML的路径信息对应文件的文本信息相关联的漏洞扫描工具，对所述文本信息进行漏洞检测。
  7. 根据权利要求1所述的方法，其特征在于，所述网络指纹信息包括端口信息；所述确定所述网络指纹信息与历史记录中所述暗网网站的网络指纹信息的第二相似度，包括：
    检测所述暗网网站的端口信息是否与历史记录中所述暗网网站的端口信息相同；
    如果检测结果为相同，则确定所述第二相似度大于预设阈值；
    所述根据所述第二相似度对所述网络指纹信息进行漏洞检测，包括：
    当确定所述第二相似度大于预设阈值时，调用与所述端口信息相关联的漏洞扫描工具对所述端口信息进行漏洞检测。
  8. 一种服务器，其特征在于，包括：
    获取单元，用于根据获取到的暗网域名访问所述暗网域名对应的暗网网站，并获取所述暗网网站的数据信息，其中，所述数据信息包括文本内容信息和网络指纹信息；
    第一检测单元，用于确定所述文本内容信息与历史记录中所述暗网网站的文本内容信息的第一相似度，并根据所述第一相似度对所述文本内容信息进行漏洞检测；
    第二检测单元，用于确定所述网络指纹信息与历史记录中所述暗网网站的网络指纹信息的第二相似度，并根据所述第二相似度对所述网络指纹信息进行漏洞检测；
    生成单元，用于根据对所述文本内容信息进行漏洞检测得到的检测结果以及对所述网络指纹信息进行漏洞检测得到的检测结果，生成所述暗网网站的安全性评估报告。
  9. 根据权利要求8所述的服务器，其特征在于，所述获取单元根据获取到的暗网域名访问所述暗网域名对应的暗网网站之前，还用于：
    获取在服务器上预先搭建的分布式系统架构中添加的暗网域名；
    检测所述暗网域名对应的暗网网站是否能够被访问；
    如果检测到所述暗网网站能够被访问，则执行所述根据获取到的暗网域名访问所述暗网域名对应的 暗网网站的步骤。
  10. 根据权利要求9所述的服务器，其特征在于，所述获取单元检测所述暗网域名对应的暗网网站是否能够被访问时，具体用于：
    通过匿名网络Tor向所述暗网域名对应的暗网网站发送探测指令；
    如果在预设时间范围内接收到所述暗网网站反馈的确认指令，则确定所述暗网网站能够被访问。
  11. 根据权利要求8所述的服务器，其特征在于，所述第一检测单元根据所述第一相似度对所述文本内容信息进行漏洞检测时，具体用于：
    检测所述第一相似度是否小于预设阈值；
    如果检测到所述第一相似度小于预设阈值，则从预设的漏洞扫描规则集中选取与所述文本内容信息相关联的漏洞扫描规则，对所述文本内容信息进行漏洞检测。
  12. 根据权利要求8所述的服务器，其特征在于，所述网络指纹信息包括超文本标记语言HTML的路径信息，所述HTML的路径信息包括HTML相对路径信息和/或HTML绝对路径信息；
    所述第二检测单元确定所述网络指纹信息与历史记录中所述暗网网站的网络指纹信息的第二相似度时，具体语言：
    根据预设的相似度算法，计算所述暗网网站的HTML的路径信息与历史记录中所述暗网网站的该HTML的路径信息的第二相似度。
  13. 根据权利要求12所述的服务器，其特征在于，所述第二检测单元根据所述第二相似度对所述网络指纹信息进行漏洞检测时，具体用于：
    检测所述第二相似度是否小于预设阈值；
    如果检测到所述第二相似度小于预设阈值，则获取所述HTML的路径信息对应文件的文本信息；
    调用与所述HTML的路径信息对应文件的文本信息相关联的漏洞扫描工具，对所述文本信息进行漏洞检测。
  14. 根据权利要求8所述的服务器，其特征在于，所述网络指纹信息包括端口信息；所述第二检测单元确定所述网络指纹信息与历史记录中所述暗网网站的网络指纹信息的第二相似度时，具体用于：
    检测所述暗网网站的端口信息是否与历史记录中所述暗网网站的端口信息相同；
    如果检测结果为相同，则确定所述第二相似度大于预设阈值；
    所述根据所述第二相似度对所述网络指纹信息进行漏洞检测，包括：
    当确定所述第二相似度大于预设阈值时，调用与所述端口信息相关联的漏洞扫描工具对所述端口信息进行漏洞检测。
  15. 一种服务器，其特征在于，包括处理器、输入设备、输出设备和存储器，所述处理器、输入设备、输出设备和存储器相互连接，其中，所述存储器用于存储计算机程序，所述计算机程序包括程序指令，所述处理器被配置用于调用所述程序指令，用于执行：
    根据获取到的暗网域名访问所述暗网域名对应的暗网网站，并获取所述暗网网站的数据信息，其中，所述数据信息包括文本内容信息和网络指纹信息；
    确定所述文本内容信息与历史记录中所述暗网网站的文本内容信息的第一相似度，并根据所述第一相似度对所述文本内容信息进行漏洞检测；
    确定所述网络指纹信息与历史记录中所述暗网网站的网络指纹信息的第二相似度，并根据所述第二相似度对所述网络指纹信息进行漏洞检测；
    根据对所述文本内容信息进行漏洞检测得到的检测结果以及对所述网络指纹信息进行漏洞检测得到的检测结果，生成所述暗网网站的安全性评估报告。
  16. 根据权利要求15所述的服务器，其特征在于，所述处理器根据获取到的暗网域名访问所述暗网域名对应的暗网网站之前，还用于调用所述程序指令执行以下步骤：
    获取在服务器上预先搭建的分布式系统架构中添加的暗网域名；
    检测所述暗网域名对应的暗网网站是否能够被访问；
    如果检测到所述暗网网站能够被访问，则执行所述根据获取到的暗网域名访问所述暗网域名对应的暗网网站的步骤。
  17. 根据权利要求16所述的服务器，其特征在于，所述处理器检测所述暗网域名对应的暗网网站是否能够被访问时，具体用于调用所述程序指令执行以下步骤：
    通过匿名网络Tor向所述暗网域名对应的暗网网站发送探测指令；
    如果在预设时间范围内接收到所述暗网网站反馈的确认指令，则确定所述暗网网站能够被访问。
  18. 根据权利要求15所述的服务器，其特征在于，所述处理器根据所述第一相似度对所述文本内容信息进行漏洞检测时，具体用于调用所述程序指令执行以下步骤：
    检测所述第一相似度是否小于预设阈值；
    如果检测到所述第一相似度小于预设阈值，则从预设的漏洞扫描规则集中选取与所述文本内容信息相关联的漏洞扫描规则，对所述暗网网站的文本内容信息进行漏洞检测。
  19. 根据权利要求15所述的服务器，其特征在于，所述处理器用于执行权利要求5-7任一项所述的方法。
  20. 一种计算机可读存储介质，其特征在于，所述计算机存储介质存储有计算机程序，所述计算机程 序包括程序指令，所述程序指令当被处理器执行时使所述处理器执行如权利要求1-7任一项所述的方法。
PCT/CN2018/108669 2018-07-19 2018-09-29 暗网的安全性评估方法、服务器及计算机可读存储介质 WO2020015199A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201810800402.8A CN108810025A (zh) 2018-07-19 2018-07-19 一种暗网的安全性评估方法、服务器及计算机可读介质
CN201810800402.8 2018-07-19

Publications (1)

Publication Number Publication Date
WO2020015199A1 true WO2020015199A1 (zh) 2020-01-23

Family

ID=64077681

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2018/108669 WO2020015199A1 (zh) 2018-07-19 2018-09-29 暗网的安全性评估方法、服务器及计算机可读存储介质

Country Status (2)

Country Link
CN (1) CN108810025A (zh)
WO (1) WO2020015199A1 (zh)

Families Citing this family (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110866170A (zh) * 2019-10-18 2020-03-06 中国科学院信息工程研究所 基于站点质量的Tor暗网服务的重要性评估方法、搜索方法及系统
CN112819336B (zh) * 2021-02-03 2023-12-15 国家电网有限公司 一种基于电力监控系统网络威胁的量化方法及系统
CN114692593B (zh) * 2022-03-21 2023-04-07 中国刑事警察学院 一种网络信息安全监测预警方法
CN115296888B (zh) * 2022-08-02 2023-11-17 中国电子科技集团公司信息科学研究院 数据雷达监测系统
CN115296892B (zh) * 2022-08-02 2023-11-24 中国电子科技集团公司信息科学研究院 数据信息服务系统
CN117093800B (zh) * 2023-08-23 2024-04-19 上海螣龙科技有限公司 网络资产数据报告pdf批量输出方法、装置及电子设备

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101201823A (zh) * 2006-12-15 2008-06-18 鸿富锦精密工业（深圳）有限公司 网站变化检测系统及方法
CN103281177A (zh) * 2013-04-10 2013-09-04 广东电网公司信息中心 对Internet信息系统恶意攻击的检测方法及系统
CN103279475A (zh) * 2013-04-11 2013-09-04 广东电网公司信息中心 一种web应用系统内容变更的检测方法及系统
CN106790085A (zh) * 2016-12-22 2017-05-31 国网新疆电力公司信息通信公司 漏洞扫描方法、装置及系统
CN107634931A (zh) * 2016-07-18 2018-01-26 深圳市深信服电子科技有限公司 异常数据的处理方法、云端服务器、网关及终端

Family Cites Families (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102457500B (zh) * 2010-10-22 2015-01-07 北京神州绿盟信息安全科技股份有限公司 一种网站扫描设备和方法
JP5820320B2 (ja) * 2012-03-27 2015-11-24 株式会社東芝 情報処理端末及び方法、並びに、情報管理装置及び方法
CN103279710B (zh) * 2013-04-12 2016-04-13 深圳市易聆科信息技术有限公司 Internet信息系统恶意代码的检测方法和系统
CN104462152B (zh) * 2013-09-23 2019-04-09 深圳市腾讯计算机系统有限公司 一种网页的识别方法及装置
CN106209487B (zh) * 2015-05-07 2019-12-03 阿里巴巴集团控股有限公司 用于检测网站中网页的安全漏洞的方法及装置
CN106548075B (zh) * 2015-09-22 2020-03-27 阿里巴巴集团控股有限公司 漏洞检测方法和装置
EP3398088A4 (en) * 2015-12-28 2019-08-21 Sixgill Ltd. SYSTEM AND METHOD FOR MONITORING, ANALYZING AND MONITORING DARK WEB
CN106055574B (zh) * 2016-05-19 2019-12-24 微梦创科网络科技（中国）有限公司 一种识别非法统一资源标识符url的方法与装置
CN107666471A (zh) * 2016-07-29 2018-02-06 百度在线网络技术（北京）有限公司 用于防护网站的方法和装置
CN107180194B (zh) * 2017-05-11 2020-05-05 北京安赛创想科技有限公司 基于视觉分析系统进行漏洞检测的方法及装置
CN107808000B (zh) * 2017-11-13 2020-05-22 哈尔滨工业大学（威海） 一种暗网数据采集与抽取系统及方法
CN108063759B (zh) * 2017-12-05 2022-08-16 西安交大捷普网络科技有限公司 Web漏洞扫描方法
CN108183895B (zh) * 2017-12-26 2021-03-12 广东电网有限责任公司信息中心 一种网络资产信息采集系统
CN108062413B (zh) * 2017-12-30 2019-05-28 平安科技（深圳）有限公司 网页数据处理方法、装置、计算机设备及存储介质
CN108282489B (zh) * 2018-02-07 2020-01-31 网宿科技股份有限公司 一种漏洞扫描方法、服务端及系统

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101201823A (zh) * 2006-12-15 2008-06-18 鸿富锦精密工业（深圳）有限公司 网站变化检测系统及方法
CN103281177A (zh) * 2013-04-10 2013-09-04 广东电网公司信息中心 对Internet信息系统恶意攻击的检测方法及系统
CN103279475A (zh) * 2013-04-11 2013-09-04 广东电网公司信息中心 一种web应用系统内容变更的检测方法及系统
CN107634931A (zh) * 2016-07-18 2018-01-26 深圳市深信服电子科技有限公司 异常数据的处理方法、云端服务器、网关及终端
CN106790085A (zh) * 2016-12-22 2017-05-31 国网新疆电力公司信息通信公司 漏洞扫描方法、装置及系统

Also Published As

Publication number Publication date
CN108810025A (zh) 2018-11-13

Similar Documents

Publication Publication Date Title
WO2020015199A1 (zh) 暗网的安全性评估方法、服务器及计算机可读存储介质
US10320623B2 (en) Techniques for tracking resource usage statistics per transaction across multiple layers of protocols
US9992166B2 (en) Hierarchical rule development and binding for web application server firewall
US20130019314A1 (en) Interactive virtual patching using a web application server firewall
US20110307938A1 (en) Integrating Account Selectors with Passive Authentication Protocols
US20120317238A1 (en) Secure cross-domain communication
US20180165258A1 (en) Methods for improved auditing of web sites and devices thereof
WO2017000439A1 (zh) 一种恶意行为的检测方法、系统、设备及计算机存储介质
WO2013143403A1 (zh) 一种访问网站的方法和系统
WO2020019510A1 (zh) 一种信息处理方法、终端及计算机可读存储介质
US8407766B1 (en) Method and apparatus for monitoring sensitive data on a computer network
CN105607986A (zh) 用户行为日志数据采集方法及装置
US8484360B2 (en) Method and system for separating HTTP session
CN106126693A (zh) 一种网页的相关数据的发送方法及装置
KR20100035689A (ko) 분산 운영 시스템에서의 외부 하드웨어 기기의 관리
US20150222649A1 (en) Method and apparatus for processing a webpage
CN109067794B (zh) 一种网络行为的检测方法和装置
WO2013167169A1 (en) Method and apparatus
US11632378B2 (en) Detecting safe internet resources
US8756290B2 (en) System, method and computer program product for reconstructing data received by a computer in a manner that is independent of the computer
WO2017167051A1 (zh) 一种调用文件方法及装置
US9646149B2 (en) Accelerated application authentication and content delivery
US10409707B2 (en) Methods and systems for analyzing annotated programming code
CN110572417A (zh) 用于提供登录票据的方法、装置、服务器以及存储介质
JP2017517162A (ja) コンテンツのキャプチャによるアセット収集サービス

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18926668

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 18926668

Country of ref document: EP

Kind code of ref document: A1