CN112035831A

CN112035831A - 一种数据处理方法、装置、服务器及存储介质

Info

Publication number: CN112035831A
Application number: CN202010821126.0A
Authority: CN
Inventors: 辛佳橼
Original assignee: Sangfor Technologies Co Ltd
Current assignee: Sangfor Technologies Co Ltd
Priority date: 2020-08-14
Filing date: 2020-08-14
Publication date: 2020-12-04

Abstract

本发明实施例适用于数据安全领域，提供了一种数据处理方法、装置、服务器及存储介质，其中，数据处理方法包括：在接收到的第一数据为序列化数据的情况下，对所述第一数据进行解析，得到至少一个设定字段值；所述设定字段值表征所述第一数据是否会造成服务器异常；在所述至少一个设定字段值中的任意一个设定字段值满足设定条件的情况下，确定所述第一数据会造成服务器异常。

Description

一种数据处理方法、装置、服务器及存储介质

技术领域

本发明涉及数据安全技术领域，尤其涉及一种数据处理方法、装置、服务器及存储介质。

背景技术

反序列化漏洞是一种危害计算机安全的漏洞，反序列化漏洞的原理是攻击者通过序列化函数将构造的恶意对象序列化，将恶意对象的序列化数据发送到目标服务器的反序列化接口，如果服务器没有对序列化数据进行安全验证，直接对恶意对象的序列化数据进行反序列化处理，则服务器会执行恶意对象中的代码，造成对服务器的攻击。

目前，相关技术通过判断接收的数据流的魔数是否为序列化数据的魔数进行拦截，但是由于用户的业务多样化，存在一些使用序列化数据的业务，使用上述方法会导致用户的正常业务无法使用，造成误报。

发明内容

为了解决上述问题，本发明实施例提供了一种数据处理方法、装置、服务器及存储介质，以至少解决相关技术在对反序列化漏洞进行拦截时会导致用户的正常业务无法使用的问题。

本发明的技术方案是这样实现的：

第一方面，本发明实施例提供了一种数据处理方法，应用于服务器，该方法包括：

在接收到的第一数据为序列化数据的情况下，对所述第一数据进行解析，得到至少一个设定字段值；所述设定字段值表征所述第一数据是否会造成服务器异常；

在所述至少一个设定字段值中的任意一个设定字段值满足设定条件的情况下，确定所述第一数据会造成服务器异常。

上述方案中，所述至少一个设定字段值中的任意一个设定字段值满足设定条件，包括：

在所述设定条件表征所述至少一个设定字段值中的任意一个设定字段值在设定数据库中的情况下，确定所述至少一个设定字段值中的任意一个设定字段值满足设定条件；所述设定数据库中存储有会造成所述服务器异常的第一数据对应的设定字段值。

上述方案中，所述方法还包括：

确定所述第一数据的魔数；所述魔数表征所述第一数据的数据类型；

基于所述第一数据的魔数确定所述第一数据是否为序列化数据。

上述方案中，所述对所述第一数据进行解析，得到至少一个设定字段值，包括：

基于设定格式对所述第一数据进行解析，得到至少一个设定字段值；所述设定格式表征所述至少一个设定字段值在所述第一数据中的位置。

上述方案中，所述至少一个设定字段值至少包括以下任意一项：

类名；

方法名；

传入参数。

上述方案中，所述方法还包括：

在确定所述第一数据会造成服务器异常的情况下，对所述第一数据进行处理，所述处理包括拦截或者提示。

上述方案中，所述方法还包括：

在所述设定条件表征所述至少一个设定字段值中的所有设定字段值均不在所述设定数据库中的情况下，确定所述第一数据不会造成服务器异常。

第二方面，本发明实施例提供了一种数据处理装置，该装置包括：

解析模块，用于在接收到的第一数据为序列化数据的情况下，对所述第一数据进行解析，得到至少一个设定字段值；所述设定字段值表征所述第一数据是否会造成服务器异常；

确定模块，用于在所述至少一个设定字段值中的任意一个设定字段值满足设定条件的情况下，确定所述第一数据会造成服务器异常。

第三方面，本发明实施例提供了一种服务器，包括处理器和存储器，所述处理器和存储器相互连接，其中，所述存储器用于存储计算机程序，所述计算机程序包括程序指令，所述处理器被配置用于调用所述程序指令，执行本发明实施例第一方面提供的数据处理方法的步骤。

第四方面，本发明实施例提供了一种计算机可读存储介质，包括：所述计算机可读存储介质存储有计算机程序。所述计算机程序被处理器执行时实现如本发明实施例第一方面提供的数据处理方法的步骤。

本发明实施例服务器在接收到的第一数据为序列化数据的情况下，对第一数据进行解析，得到至少一个设定字段值；设定字段值表征第一数据是否会造成服务器异常；在至少一个设定字段值中的任意一个设定字段值满足设定条件的情况下，确定第一数据会造成服务器异常。本发明实施例只要有任意一个设定字段值满足设定条件，就确定第一数据是反序列化攻击，从而可以准确识别出服务器访问数据中的反序列化攻击，不会把用户的正常业务识别为反序列化漏洞，提高了反序列化漏洞检测的准确率，提升了服务器中数据的安全性。

附图说明

图1是本发明实施例提供的一种数据处理方法的实现流程示意图；

图2是本发明实施例提供的另一种数据处理方法的实现流程示意图；

图3是本发明实施例提供的另一种数据处理方法的实现流程示意图；

图4是本发明实施例提供的一种数据处理装置的示意图；

图5是本发明一实施例提供的服务器的示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

把对象转换为字节序列的过程称为序列化，把字节序列恢复为对象的过程称为反序列化。在编程中，对象是一种概念，是一种用于解决问题的程序设计的思想方法。要理解对象就必须要和面向对象结合起来。在面向对象中把某一类事物所共有的属性和行为抽象出来之后就形成了一个类，而类的一个实际的例子就叫做对象。因此，类是具有共同的属性名称和行为的一组对象的抽象，而对象则是一个类的真实的例子。

程序在运行的时候，会产生很多对象，而对象信息也只在程序运行的时候才在内存中保持其状态，一旦程序停止，内存释放，对象也就不存在，而序列化可以把对象的字节序列永久地保存到硬盘上，字节序列通常以文件的形式存储在硬盘上。反序列化可以根据硬盘中的字节序列重建出对象。

反序列化漏洞是一种危害计算机安全的漏洞，反序列化漏洞的原理是攻击者通过序列化函数将构造的恶意对象序列化，将恶意对象的序列化数据发送到目标服务器的反序列化接口。如果服务器没有对序列化数据进行安全验证，直接对恶意对象的序列化数据进行反序列化处理，则服务器会执行恶意对象中的代码，造成对服务器的攻击。这里，恶意对象包括病毒和木马。

由于反序列化漏洞可以直接在受害服务器上执行任意代码，危害巨大，因此对于反序列化漏洞的防御非常重要。

目前对于反序列化漏洞的防御的方式主要有两种，第一种是通过判断服务器接收的数据流的魔数是否为序列化数据的魔数，如果服务器接收到的数据是序列化数据，则对数据进行拦截。但是由于用户业务的多样化，存在一些使用序列化数据的业务，使用上述方法会导致用户的正常业务无法使用，造成误报。第二种是基于黑名单的防御，将已经发现过的反序列化漏洞添加到黑名单中，如果发现接收到的数据存在黑名单中的反序列化漏洞，则对数据进行拦截。这种方式存在的缺陷是无法防御攻击者使用新的反序列化漏洞，由于新的反序列化漏洞不在服务器的黑名单中，所以攻击者可以很轻松的突破服务器的防护，利用新的反序列化漏洞对服务器发起攻击。

针对上述相关技术的缺点，本发明实施例提供了一种数据处理方法，能够至少解决相关技术在对反序列化漏洞进行拦截时会导致用户的正常业务无法使用的问题。为了说明本发明所述的技术方案，下面通过具体实施例来进行说明。

参考图1，图1是本发明实施例提供的一种数据处理方法的实现流程示意图，所述数据处理方法执行主体为服务器，数据处理方法包括：

S101，在接收到的第一数据为序列化数据的情况下，对所述第一数据进行解析，得到至少一个设定字段值；所述设定字段值表征所述第一数据是否会造成服务器异常。

这里，第一数据可以是服务器接收到的访问数据，例如可以是用户访问服务器时发送的请求数据。应理解，用户可以指正常访问服务器的用户，也可以指攻击者。

服务器在接收到第一数据时，判断第一数据是否为序列化数据。参考图2，在一实施例中，所述数据处理方法还包括：

S201，确定所述第一数据的魔数；所述魔数表征所述第一数据的数据类型。

这里，魔数(magic number)表征第一数据的数据类型，魔数可以是数据的头部标识。在很多类型的数据中，其起始的几个字节的内容是固定的，通常是有意填充或是本就如此的，这几个字节的内容被称为魔数，根据这几个字节的内容就可以确定数据类型。

S202，基于所述第一数据的魔数确定所述第一数据是否为序列化数据。

根据第一数据的魔数可以确定第一数据的数据类型，确定第一数据是否为序列化数据。

进一步的，在一实施例中，所述对所述第一数据进行解析，得到至少一个设定字段值，包括：

在本发明实施例中，设定字段值是对反序列化漏洞的防御有特殊意义的字段值，根据设定字段值可以判断出第一数据是否会对服务器造成威胁。进一步的，所述至少一个设定字段值至少包括以下任意一项：

类名；

方法名；

传入参数。

也就是说，至少一个设定字段值可以包括上述任意一项，也可以为上述多项之间的组合。例如，至少一个设定字段值可以包括类名(classname)；至少一个设定字段值也可以同时包括方法名(methodname)和传入参数(value)；至少一个设定字段值还可以同时包括类名、方法名和传入参数。

序列化数据拥有严格的格式定义，序列化数据中每个字段都有各自的意义。例如，类名、方法名和传入参数可以用于分辨第一数据是否为恶意对象的序列化数据。

按照设定格式对序列化数据进行解析，可以得到至少一个设定字段值。设定格式表征至少一个设定字段值中的每个设定字段值在第一数据中的位置。例如，设定格式可以是第一数据的头文件中的头两个字节，则设定字段值是第一数据的头文件中的头两个字节。如果至少一个设定字段值包括两项或两项以上的设定字段值，则设定格式包括其中每一个设定字段值在第一数据中的位置。

S102，在所述至少一个设定字段值中的每个设定字段值均满足设定条件的情况下，确定所述第一数据会造成服务器异常。

进一步的，在所述设定条件表征所述至少一个设定字段值中的所有设定字段值均不在所述设定数据库中的情况下，确定所述第一数据不会造成服务器异常。

只要至少一个设定字段值中的任意一个设定字段值满足设定条件，就确定所述第一数据会造成服务器异常。如果至少一个设定字段值中的所有设定字段值都不满足设定条件，则确定所述第一数据不会造成服务器异常，即第一数据为用户的正常访问数据。

在一实施例中，所述至少一个设定字段值中的任意一个设定字段值满足设定条件，包括：

例如，当设定字段值包括类名时，设定数据库为危险类库，危险类库中存储有会造成服务器异常的第一数据的类名。如果类名在危险类库中，则确定第一数据会造成服务器异常。当设定字段值包括方法名时，设定数据库为危险方法库，如果方法名在危险方法库中，则确定第一数据会造成服务器异常。当设定字段值包括传入参数时，设定数据库为恶意命令库，检测传入参数中是否存在恶意命令库中的恶意命令，如果传入参数中存在恶意命令，则确定第一数据会造成服务器异常。

当至少一个设定字段值包括两项或两项以上的设定字段值时，则分别基于每一个设定字段值按照上述方法检测设定字段值是否满足设定条件，只要有一个设定字段值满足设定条件，则确定第一数据是反序列化攻击，第一数据会造成服务器异常。如果所有设定字段值都不满足设定条件，则确定第一数据是正常流量，不会造成服务器异常。

本发明实施例服务器在接收到的第一数据为序列化数据的情况下，对第一数据进行解析，得到至少一个设定字段值；设定字段值表征第一数据是否会造成服务器异常；在至少一个设定字段值中的任意一个设定字段值满足设定条件的情况下，确定第一数据会造成服务器异常。本发明实施例只要有任意一个设定字段值满足设定条件，就确定第一数据是反序列化攻击，从而可以准确识别出服务器访问数据中的反序列化攻击，提升了服务器中数据的安全性。而且不会把用户的正常业务识别为反序列化漏洞，提高了反序列化漏洞检测的准确率，避免误报。

进一步的，在一实施例中，在确定所述第一数据会造成服务器异常的情况下，对所述第一数据进行处理，所述处理包括拦截或者提示。

如果第一数据是反序列化攻击，会造成服务器异常，则服务器对第一数据进行拦截，避免第一流量进入服务器，从而可以避免服务器受到攻击。此外，在识别到第一数据是反序列化攻击时，还可以发出报警信息。如果第一数据是正常流量，则对第一数据进行放行，让第一数据进入服务器。

参考图3，图3是本发明应用实施例提供的一种数据处理流程的示意图，数据处理流程包括：

S301，接收第一数据。

服务器接收第一数据，这里，第一数据可以是服务器接收到的访问数据，例如可以是用户访问服务器时发送的请求数据。应理解，用户可以指正常访问服务器的用户，也可以指攻击者。

S302，判断第一数据是否为序列化数据。

确定所述第一数据的魔数；所述魔数表征所述第一数据的数据类型。基于所述第一数据的魔数确定所述第一数据是否为序列化数据。

如果第一数据是序列化数据则执行步骤S303。

S303，提取第一数据的类名。

S304，判断所述类名是否为危险类。

如果是危险类，则执行步骤S310。

如果不是危险类，则执行步骤S305。

S305，提取第一数据的方法名。

S306，判断所述方法名是否为危险方法。

如果是危险方法，则执行步骤S310。

如果不是危险方法，则执行步骤S307。

S307，提取第一数据的传入参数。

S308，判断所述传入参数是否包括恶意命令。

如果包括恶意命令，则执行步骤S310。

如果不包括恶意命令，则执行步骤S309。

S309，确定第一数据是正常流量。

S310，确定第一数据会造成服务器异常。

S311，对第一数据进行拦截。

本发明应用实施例提取第一数据的类名、方法名和传入参数，只要其中有任意一个满足设定条件，则认为第一数据是反序列化攻击，会造成服务器异常。本发明应用实施例可以准确识别出服务器访问数据中的反序列化攻击，提升了服务器中数据的安全性。而且不会把用户的正常业务识别为反序列化漏洞，提高了反序列化漏洞检测的准确率，避免误报。

应理解，上述实施例中各步骤的序号的大小并不意味着执行顺序的先后，各过程的执行顺序应以其功能和内在逻辑确定，而不应对本发明实施例的实施过程构成任何限定。

应当理解，当在本说明书和所附权利要求书中使用时，术语“包括”和“包含”指示所描述特征、整体、步骤、操作、元素和/或组件的存在，但并不排除一个或多个其它特征、整体、步骤、操作、元素、组件和/或其集合的存在或添加。

需要说明的是，本发明实施例所记载的技术方案之间，在不冲突的情况下，可以任意组合。

另外，在本发明实施例中，“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。

参考图4，图4是本发明实施例提供的一种数据处理装置的示意图，如图4所示，该装置包括：解析模块和确定模块。

所述确定模块具体用于：

所述装置还包括：

魔数确定模块，用于确定所述第一数据的魔数；所述魔数表征所述第一数据的数据类型；

序列化数据确定模块，用于基于所述第一数据的魔数确定所述第一数据是否为序列化数据。

所述解析模块具体用于：

所述至少一个设定字段值至少包括以下任意一项：

类名；

方法名；

传入参数。

所述装置还包括：

拦截模块，用于在确定所述第一数据会造成服务器异常的情况下，对所述第一数据进行处理，所述处理包括拦截或者提示。

需要说明的是：上述实施例提供的数据处理装置在进行数据处理时，仅以上述各模块的划分进行举例说明，实际应用中，可以根据需要而将上述处理分配由不同的模块完成，即将装置的内部结构划分成不同的模块，以完成以上描述的全部或者部分处理。另外，上述实施例提供的数据处理装置与数据处理方法实施例属于同一构思，其具体实现过程详见方法实施例，这里不再赘述。

图5是本发明一实施例提供的服务器的示意图。所述服务器包括：手机、平板、服务器等。如图5所示，该实施例的服务器包括：处理器、存储器以及存储在所述存储器中并可在所述处理器上运行的计算机程序。所述处理器执行所述计算机程序时实现上述各个方法实施例中的步骤，例如图1所示的步骤101至102。或者，所述处理器执行所述计算机程序时实现上述各装置实施例中各模块的功能，例如图4所示解析模块和确定模块的功能。

示例性的，所述计算机程序可以被分割成一个或多个模块，所述一个或者多个模块被存储在所述存储器中，并由所述处理器执行，以完成本发明。所述一个或多个模块可以是能够完成特定功能的一系列计算机程序指令段，该指令段用于描述所述计算机程序在所述服务器中的执行过程。

所述服务器可包括，但不仅限于，处理器、存储器。本领域技术人员可以理解，图5仅仅是服务器的示例，并不构成对服务器的限定，可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件，例如所述服务器还可以包括输入输出设备、网络接入设备、总线等。

所称处理器可以是中央处理模块(Central Processing Unit，CPU)，还可以是其他通用处理器、数字信号处理器(Digital Signal Processor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现成可编程门阵列(Field-Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。

所述存储器可以是所述服务器的内部存储模块，例如服务器的硬盘或内存。所述存储器也可以是所述服务器的外部存储设备，例如所述服务器上配备的插接式硬盘，智能存储卡(SmartMedia Card,SMC)，安全数字(Secure Digital,SD)卡，闪存卡(Flash Card)等。进一步地，所述存储器还可以既包括所述服务器的内部存储模块也包括外部存储设备。所述存储器用于存储所述计算机程序以及所述服务器所需的其他程序和数据。所述存储器还可以用于暂时地存储已经输出或者将要输出的数据。

所属领域的技术人员可以清楚地了解到，为了描述的方便和简洁，仅以上述各功能模块、模块的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能模块、模块完成，即将所述装置的内部结构划分成不同的功能模块或模块，以完成以上描述的全部或者部分功能。实施例中的各功能模块、模块可以集成在一个处理模块中，也可以是各个模块单独物理存在，也可以两个或两个以上模块集成在一个模块中，上述集成的模块既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。另外，各功能模块、模块的具体名称也只是为了便于相互区分，并不用于限制本申请的保护范围。上述***中模块、模块的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述或记载的部分，可以参见其它实施例的相关描述。

本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的模块及算法步骤，能够以电子硬件、或者计算机软件和电子硬件的结合来实现。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。

在本发明所提供的实施例中，应该理解到，所揭露的装置/服务器和方法，可以通过其它的方式实现。例如，以上所描述的装置/服务器实施例仅仅是示意性的，例如，所述模块或模块的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个模块或组件可以结合或者可以集成到另一个***，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通讯连接可以是通过一些接口，装置或模块的间接耦合或通讯连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的模块可以是或者也可以不是物理上分开的，作为模块显示的部件可以是或者也可以不是物理模块，即可以位于一个地方，或者也可以分布到多个网络模块上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能模块可以集成在一个处理模块中，也可以是各个模块单独物理存在，也可以两个或两个以上模块集成在一个模块中。上述集成的模块既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。

所述集成的模块/模块如果以软件功能模块的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明实现上述实施例方法中的全部或部分流程，也可以通过计算机程序来指令相关的硬件来完成，所述的计算机程序可存储于一计算机可读存储介质中，该计算机程序在被处理器执行时，可实现上述各个方法实施例的步骤。其中，所述计算机程序包括计算机程序代码，所述计算机程序代码可以为源代码形式、对象代码形式、可执行文件或某些中间形式等。所述计算机可读介质可以包括：能够携带所述计算机程序代码的任何实体或装置、记录介质、U盘、移动硬盘、磁碟、光盘、计算机存储器、只读存储器(Read-Only Memory，ROM)、随机存取存储器(RandomAccess Memory，RAM)、电载波信号、电信信号以及软件分发介质等。需要说明的是，所述计算机可读介质包含的内容可以根据司法管辖区内立法和专利实践的要求进行适当的增减，例如在某些司法管辖区，根据立法和专利实践，计算机可读介质不包括电载波信号和电信信号。

以上所述实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围，均应包含在本发明的保护范围之内。

Claims

1.一种数据处理方法，其特征在于，所述方法包括：

2.根据权利要求1所述的方法，其特征在于，所述至少一个设定字段值中的任意一个设定字段值满足设定条件，包括：

3.根据权利要求1所述的方法，其特征在于，所述方法还包括：

4.根据权利要求1所述的方法，其特征在于，所述对所述第一数据进行解析，得到至少一个设定字段值，包括：

5.根据权利要求1所述的方法，其特征在于，所述至少一个设定字段值至少包括以下任意一项：

类名；

方法名；

传入参数。

6.根据权利要求1所述的方法，其特征在于，所述方法还包括：

7.根据权利要求2所述的方法，其特征在于，所述方法还包括：

8.一种数据处理装置，其特征在于，包括：

9.一种服务器，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现如权利要求1至7任一项所述的数据处理方法。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有计算机程序，所述计算机程序包括程序指令，所述程序指令当被处理器执行时使所述处理器执行如权利要求1至7任一项所述的数据处理方法。