CN112887274B - 命令注入攻击的检测方法、装置、计算机设备和存储介质 - Google Patents

命令注入攻击的检测方法、装置、计算机设备和存储介质 Download PDF

Info

Publication number
CN112887274B
CN112887274B CN202110035588.4A CN202110035588A CN112887274B CN 112887274 B CN112887274 B CN 112887274B CN 202110035588 A CN202110035588 A CN 202110035588A CN 112887274 B CN112887274 B CN 112887274B
Authority
CN
China
Prior art keywords
data
injection attack
command injection
rule
packet
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202110035588.4A
Other languages
English (en)
Other versions
CN112887274A (zh
Inventor
侯天齐
梁彧
田野
傅强
王杰
杨满智
蔡琳
金红
陈晓光
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Eversec Beijing Technology Co Ltd
Original Assignee
Eversec Beijing Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Eversec Beijing Technology Co Ltd filed Critical Eversec Beijing Technology Co Ltd
Priority to CN202110035588.4A priority Critical patent/CN112887274B/zh
Publication of CN112887274A publication Critical patent/CN112887274A/zh
Application granted granted Critical
Publication of CN112887274B publication Critical patent/CN112887274B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1466—Active attacks involving interception, injection, modification, spoofing of data unit addresses, e.g. hijacking, packet injection or TCP sequence number attacks

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

本发明公开了一种命令注入攻击的检测方法、装置、计算机设备和存储介质。该方法应用于命令注入攻击检测设备，包括：通过深度报文检测设备实时获取流量数据，对流量数据进行解析，获取多种协议类型的数据包，所述深度报文检测设备为在服务器旁路部署；通过数据整合工具对各所述数据包进行处理，获取与各所述数据包匹配的完整数据进行存储；通过规则匹配模块将存储的各完整数据与命令注入攻击规则进行匹配，并在确定目标完整数据与命令注入攻击规则相匹配时，阻断与目标完整数据匹配的数据包发送方的流量数据，进行命令注入攻击告警。使用本发明的技术方案，可以实现实时检测并阻断SQL注入攻击，提高了SQL注入攻击识别的准确性。

Description

命令注入攻击的检测方法、装置、计算机设备和存储介质
技术领域
本发明实施例涉及信息安全和攻击检测技术，尤其涉及一种命令注入攻击的检测方法、装置、计算机设备和存储介质。
背景技术
命令注入攻击也即SQL(Structured Query Language，结构化查询语言)注入攻击属于数据库安全攻击手段之一，攻击者把SQL命令***到Web表单的输入域或页面请求的查询字符串中，欺骗服务器执行恶意的SQL命令，从而达到入侵数据库乃至操作***的目的。
现有技术中，将数据库安全防护***串联部署在Web应用服务器和外网链路中间，通过数据库安全防护***对SQL注入攻击进行检测。但是数据库安全防护***一旦出现单点故障，会影响Web应用服务器的正常业务运行。将数据库安全防护***部署于Web应用服务器前端的路由器上，由路由器将流量数据转发至数据库安全防护***，通过数据库安全防护***对SQL注入攻击进行检测。但是路由器转发流量数据中会出现数据无效或数据不完整的情况，使数据库安全防护***无法有效识别真实的数据，降低了SQL注入攻击识别的准确性。并且，数据库安全防护***只对基于HTTP(HyperText Transfer Protocol，超文本传输协议)协议的数据识别度较高，其他协议数据中存在SQL注入攻击数据时难以检测。
发明内容
本发明实施例提供一种命令注入攻击的检测方法、装置、计算机设备和存储介质，以实现在保证Web应用服务器正常业务进行的同时，实时检测并阻断SQL注入攻击，提高了SQL注入攻击识别的准确性。
第一方面，本发明实施例提供了一种命令注入攻击的检测方法，应用于命令注入攻击检测设备，所述方法包括：
通过命令注入攻击检测设备的深度报文检测设备实时获取流量数据，对流量数据进行解析，获取多种协议类型的数据包，所述深度报文检测设备为在服务器旁路部署；
通过命令注入攻击检测设备的数据整合工具对各所述数据包进行处理，获取与各所述数据包匹配的完整数据进行存储；
通过命令注入攻击检测设备的规则匹配模块将存储的各完整数据与命令注入攻击规则进行匹配，并在确定目标完整数据与命令注入攻击规则相匹配时，阻断与目标完整数据匹配的数据包发送方的流量数据，进行命令注入攻击告警。
第二方面，本发明实施例还提供了一种命令注入攻击的检测装置，部署于命令注入攻击检测设备，该装置包括：
流量数据解析模块，用于通过命令注入攻击检测设备的深度报文检测设备实时获取流量数据，对流量数据进行解析，获取多种协议类型的数据包，所述深度报文检测设备为在服务器旁路部署；
数据包处理模块，用于通过命令注入攻击检测设备的数据整合工具对各所述数据包进行处理，获取与各所述数据包匹配的完整数据进行存储；
流量数据阻断模块，用于通过命令注入攻击检测设备的规则匹配模块将存储的各完整数据与命令注入攻击规则进行匹配，并在确定目标完整数据与命令注入攻击规则相匹配时，阻断与目标完整数据匹配的数据包发送方的流量数据，进行命令注入攻击告警。
第三方面，本发明实施例还提供了一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述计算机设备中包括深度报文检测设备、数据整合工具以及规则匹配模块，所述处理器执行所述程序时实现如本发明实施例中任一所述的命令注入攻击的检测方法。
第四方面，本发明实施例还提供了一种包含计算机可执行指令的存储介质，所述计算机可执行指令在由计算机处理器执行时用于执行如本发明实施例中任一所述的命令注入攻击的检测方法。
本发明实施例通过在服务器旁路部署深度报文检测设备，通过深度报文检测设备实时采集流量数据，并对流量数据进行解析，获得基于多种协议类型的数据包，通过数据整合工具对各数据包进行补全，获得完整数据，通过规则匹配模块将完整数据与命令注入攻击规则进行匹配，当匹配成功时，阻断数据包发送方的流量数据，并进行命令注入攻击告警。解决了现有技术中通过部署于Web应用服务器前端路由器上的数据库安全防护***对命令注入攻击进行检测的方式，在数据库安全防护***出现故障时影响服务器正常业务运行的问题，数据库安全防护***对除HTTP协议数据之外的其他协议类型数据难以检测的问题，以及路由器转发的数据不完整使得SQL注入攻击检测准确性差的问题，实现了在保证Web应用服务器正常业务进行的同时，实时检测并阻断SQL注入攻击，提高了SQL注入攻击识别的准确性。
附图说明
图1是本发明实施例一中的一种命令注入攻击的检测方法的流程图；
图2a是本发明实施例二中的一种命令注入攻击的检测方法的流程图；
图2b是本发明具体适用场景一中的命令注入攻击检测的网络部署示意图；
图3是本发明实施例三中的一种命令注入攻击的检测装置的结构示意图；
图4是本发明实施例四中的一种计算机设备的结构示意图。
具体实施方式
下面结合附图和实施例对本发明作进一步的详细说明。可以理解的是，此处所描述的具体实施例仅仅用于解释本发明，而非对本发明的限定。另外还需要说明的是，为了便于描述，附图中仅示出了与本发明相关的部分而非全部结构。
实施例一
图1是本发明实施例一提供的一种命令注入攻击的检测方法的流程图，本实施例可适用于对SQL注入攻击进行实时检测的情况，该方法可以由命令注入攻击的检测装置来执行，该装置可以由软件和/或硬件来实现，并一般集成在命令注入攻击检测设备中，该命令注入攻击检测设备中部署有深度报文检测设备、数据整合工具和规则匹配模块。
如图1所示，本发明实施例的技术方案，具体包括如下步骤：
S110、通过命令注入攻击检测设备的深度报文检测设备实时获取流量数据，对流量数据进行解析，获取多种协议类型的数据包，所述深度报文检测设备为在服务器旁路部署。
其中，深度报文检测(Deep Packet Inspection，DPI)设备可以实现对网络的关键点处的流量和报文内容进行检测分析，可以根据事先定义的策略对检测流量进行过滤控制。DPI设备可以实时获取服务器的流量数据。流量数据是服务器与外部链路进行通信的数据。协议类型用于表示数据包发送方与服务器之间的通信规则，协议类型可以包括多种，示例性的，HTTPS协议、SNMP(Simple Network Management P，简单网络管理)协议、FTP(FileTransfer Protocol，文件传输协议)协议或者ICMP(Internet Control MessageProtocol，Internet控制信息协议)协议等。典型的，协议类型可以包括HTTP协议和/或SQL协议。数据包是通信传输中的数据单位，数据包中包括发送方和接收方的地址信息，并根据对应的协议类型进行通信传输。
现有技术中的数据库防护***是以串联的方式部署在服务器和网络链路中间，当数据库防护***出现单点故障时，会影响服务器和网络链路的正常通信，妨碍正常业务运行。
在本发明实施例中，在服务器的旁路部署DPI设备，由DPI设备对服务器的流量数据进行采集和解析。旁路部署DPI设备的好处在于，即使DPI设备出现单点故障，也不影响服务器和网络链路之间的正常通信，保证了服务器业务的正常运行。
S120、通过命令注入攻击检测设备的数据整合工具对各所述数据包进行处理，获取与各所述数据包匹配的完整数据进行存储。
数据整合工具也即ETL(Extract-Transform-Load，抽取-转换-加载)工具，ETL工具用于从数据源抽取数据出来，进行清洗加工转换，然后加载到数据仓库中去，目的是将分散、零乱、标准不统一的数据整合到一起，用于进行后续的数据分析。在本发明实施例中，ETL工具用于对各数据包中的无效数据以及不完整数据进行信息补全，形成完整数据。
在本发明实施例中，经ETL处理过后形成的完整数据，可以保存在数据仓库中，或者直接存储在关系型数据库中。数据仓库提供用户用于决策支持的当前和历史数据，在本发明实施例中，可以通过数据加载的方式，将完整数据存储到数据仓库中，用于后续的命令注入攻击的检测。关系型数据库是依据关系模型创建的数据库，按照结构化的方法存储数据，在本发明实施例中，可以直接将完整数据存储到关系型数据库中，便于后续进行命令注入攻击检测时的数据查询。
S130、通过命令注入攻击检测设备的规则匹配模块将存储的各完整数据与命令注入攻击规则进行匹配，并在确定目标完整数据与命令注入攻击规则相匹配时，阻断与目标完整数据匹配的数据包发送方的流量数据，进行命令注入攻击告警。
命令注入攻击规则可以是SQL注入攻击的特征字符或特征字段，SQL注入攻击的实质是通过操作输入来修改SQL语句，从而使服务器执行恶意的SQL命令，因此，SQL注入攻击语句中通常都包含某些特殊的字符或字段。因此，通过命令注入攻击规则的匹配，即可识别SQL注入攻击语句，从而确定存在SQL注入攻击行为。命令注入攻击规则还可以包括数据包发送方黑名单，每检测到一次SQL注入攻击行为时，即将数据包发送方加入黑名单，当检测到目标完整数据的数据发送方位于黑名单内，即可确定为存在SQL注入攻击行为。
现有技术中的数据库防护***在对流量数据进行SQL注入攻击检测的过程中，存在协议类型识别能力有限的问题，仅对基于HTTP协议的数据识别度较高，对其他协议类型的数据识别度较低。
在本发明实施例中，DPI设备对采集到的流量数据进行解析，可以识别出基于多种协议类型的数据包，规则匹配模块将各数据包经ETL处理过后形成的完整数据与命令注入攻击规则进行匹配，即可实现SQL注入攻击的检测。实现了对流量数据的精准的协议解析，提高了对数据包信息识别的准确性，从而提高了SQL注入攻击检测的准确性。
在本发明实施例中，在一次SQL注入攻击行为中，数据包发送方也即攻击方会向服务器发送多个数据包，服务器接收到多个数据包后将各数据包进行结合，执行对应的恶意SQL命令后才构成一次完整的SQL注入攻击行为。
当目标完整数据与命令注入攻击规则相匹配时，说明目标完整数据中存在SQL注入攻击语句，可以确定存在SQL注入攻击行为。因此，当规则匹配模块检测到存在SQL注入攻击行为时，可以向DPI设备发送数据阻断指令，DPI设备收到数据阻断指令后，即可以根据数据阻断指令识别数据包发送方，阻断数据包发送方与服务器之间的通信链接，从而阻断了SQL注入攻击流量数据来源，使数据包发送方无法再发送后续的数据包，因此无法构成一次完整的SQL注入攻击行为，阻止了SQL注入攻击。
同时，当规则匹配模块检测到存在SQL注入攻击行为时，可以进行SQL注入攻击的告警提示，以通知网络管理人员及时对SQL注入攻击行为进行处理。
本实施例的技术方案，通过在服务器旁路部署深度报文检测设备，通过深度报文检测设备实时采集流量数据，并对流量数据进行解析，获得基于多种协议类型的数据包，通过数据整合工具对各数据包进行补全，获得完整数据，通过规则匹配模块将完整数据与命令注入攻击规则进行匹配，当匹配成功时，阻断数据包发送方的流量数据，并进行命令注入攻击告警。解决了现有技术中通过部署于Web应用服务器前端路由器上的数据库安全防护***对命令注入攻击进行检测的方式，在数据库安全防护***出现故障时影响服务器正常业务运行的问题，数据库安全防护***对除HTTP协议数据之外的其他协议类型数据难以检测的问题，以及路由器转发的数据不完整使得SQL注入攻击检测准确性差的问题，实现了在保证Web应用服务器正常业务进行的同时，实时检测并阻断SQL注入攻击，提高了SQL注入攻击识别的准确性。
实施例二
图2a是本发明实施例二提供的一种命令注入攻击的检测方法的流程图，本发明实施例在上述实施例的基础上，对深度报文检测设备解析流量数据的过程、数据整合工具补全各数据包的过程、将完整数据与命令注入攻击规则匹配的过程，以及检测到SQL注入攻击时阻断攻击方流量数据的过程进行了进一步的具体化。
相应的，如图2a所示，本发明实施例的技术方案，具体包括如下步骤：
S210、通过深度报文检测设备实时获取引流设备获取、复制并发送的流量数据。
在本发明实施例中，在服务器和外网链路中设置引流设备。可选的，所述引流设备可以为网络分流器、防火墙或者三层流量交换机。
优选的，可以采用网络分流器作为引流设备，网络分流器可以将数据发送方发送到服务器的数据进行复制，并转发到DPI设备。相比于防火墙或者三层流量交换机，网络分流器具有更强的专一性，传输流量数据的速度也更加快速。
在本发明实施例中，引流设备实时获取流量数据，并将复制后的流量数据转发至DPI设备，由DPI设备进行流量数据的解析。
S220、通过深度报文检测设备对获取的流量数据进行协议类型解析，获取多种协议类型的数据包，并将各数据包转换为结构化格式数据。
在本发明实施例中，DPI设备可以实现对流量数据的协议识别，从而获取基于多种协议类型的数据包。DPI设备按照协议类型对流量数据进行划分之后，将各协议类型的数据转换为结构化格式数据进行输出。
其中，结构化格式可以是JSON(JavaScript Object Notation，JS对象简谱)格式，或XML(eXtensible Markup Language，可扩展标记语言)格式。XML格式使用一系列简单的标记描述数据，而JSON格式采用键名-键值对的方式存储数据，比XML格式数据更加简洁直观。
相应的，结构化格式数据是可以用统一的结构加以表示的数据。将数据转换为结构化格式数据的作用在于，便于后续对数据进行查漏和补全，本实施例对具体采用哪种结构化格式不进行限制。
S230、通过数据整合工具对各结构化格式数据进行数据抽取，并进行数据校验，根据数据校验结果进行数据清洗，获取与各结构化格式数据匹配的完整数据。
优选的，可以将各协议类型的数据转换为JSON文件格式，ETL工具对DPI设备输出的JSON文件进行数据抽取，数据抽取是指从源数据源***抽取目的数据源***需要的数据，在本发明实施例中，数据抽取是指ETL工具获取DPI设备输出的JSON文件的过程。
ETL工具获取JSON文件之后，进行数据校验，数据校验的目的是判断数据的有效性和完整性。例如，同一会话可能对应多个数据包，各数据包的源IP(Internet Protocol，互联网协议)地址和目的IP地址应该相同。如果同一会话对应的其他数据包源IP为A，目的IP为B，但某一数据包源IP为C，目的IP为B，则可以判定该数据包为无效数据，需要对其源IP进行修改。如果某一数据包源IP为A，目的IP为空，则可以判定该数据包为不完整数据，需要对其目的IP进行补全。
数据校验结果是根据数据校验获得的无效数据和/或不完整数据，数据清洗是指将无效的数据以及不完整的数据进行完整性补全的过程。在本发明实施例中，可以通过对无效数据和/或不完整数据的相邻数据包和/或相近数据包进行比较分析、关联分析等，对数据内容进行信息补全。示例性的，如果无效数据包缺失源IP，和无效数据包对应同一会话的其他数据包的源IP为A，可以推断无效数据包的源IP也为A。本实施例中，可以根据相邻数据包进行数据内容的比较分析，或者根据相近数据包进行数据内容的关联分析，还可以将数据校验结果，也即无效数据和/或不完整数据提供给用户，由用户进行人工补全，本实施例对进行完整性补全的具体技术手段不进行限制。
在本发明实施例中，ETL工具对DPI设备输出的结构化格式数据进行数据抽取、数据校验和数据清洗之后，获得与各结构化格式数据匹配的完整数据。通过ETL工具获得完整数据的目的在于，可以提高SQL注入攻击检测的准确性。
S240、将各完整数据转换为标准格式进行存储。
在本发明实施例中，不同批次的流量数据经由DPI设备，可以转换为不同类型的结构化格式数据，因此，在ETL工具对DPI设备输出的数据进行完整性补全，获取完整数据之后，再进行数据转换，将各完整数据转换为统一的标准格式，便于更好的识别和分析数据的内容信息。
进行统一的标准格式转换后的各完整数据，可以通过数据加载存储到数据仓库中，或者直接存储到关系型数据库中。
S250、通过规则匹配模块获取存储的各完整数据，并将各完整数据输入至规则匹配模型中，通过规则匹配模型对各完整数据与命令注入攻击规则进行匹配。
在本发明实施例中，可以通过规则匹配模块中预先训练得到的规则匹配模型，对ETL工具输出的各完整数据进行SQL注入攻击规则的匹配。
规则匹配模型可以根据多个包含SQL注入攻击语句的数据包以及预设的机器学习模型进行训练得到，本实施例对规则匹配模型的训练过程和具体训练方式不进行限制。
所述命令注入攻击规则包括命令注入攻击规则库中预存的各命令注入攻击规则，以及对预存的各命令注入攻击规则进行关联和/或组合后形成的命令注入攻击规则。
在本发明实施例中，可以预先设置命令注入攻击规则库，命令注入攻击规则库中包括多种SQL注入攻击规则，规则匹配模型在对数据包进行SQL注入攻击规则的匹配时，不仅可以将数据包与预存的SQL注入攻击规则进行特征匹配，还可以将数据包与各SQL注入攻击规则的关联、组合或者变种之后获得的新SQL注入攻击规则进行特征匹配。
S260、如果所述规则匹配模块确定存在目标完整数据与命令注入攻击规则相匹配，则执行S270，否则返回执行S210。
在本发明实施例中，如果目标完整数据与命令注入攻击规则相匹配，说明存在SQL注入攻击行为。
S270、向深度报文检测设备发送数据阻断指令，以使深度报文检测设备根据数据阻断指令向与目标完整数据匹配的数据包发送方发送重置连接数据包，以阻断数据包发送方的流量数据。
重置连接数据包，也即RST(Reset)数据包，RST数据包用于强制关闭数据包发送方与服务器之间的链接。
规则匹配模块在确定目标完整数据与命令注入攻击规则相匹配时，通过目标完整数据中的发送方地址信息，也即源IP地址，获取目标完整数据对应的数据包发送方，并根据目标完整数据对应的数据包发送方构造数据阻断指令，将数据阻断指令发送至DPI设备，DPI设备接收到数据阻断指令后，向目标完整数据对应的数据包发送方发送RST数据包，以断开目标完整数据对应的数据包发送方与服务器之间的链接，阻断SQL注入攻击的流量数据来源。
S280、进行命令注入攻击告警。返回执行S210。
规则匹配模块在向深度报文检测设备发送数据阻断指令的同时，还会进行SQL注入攻击的告警提示。
本实施例的技术方案，通过在服务器旁路部署深度报文检测设备，通过深度报文检测设备实时采集引流设备复制并发送过来的流量数据，并对流量数据进行解析，将解析出的基于多种协议类型的数据包转换为结构化格式数据，将各结构化格式数据通过ETL工具的数据抽取、数据校验和数据清洗，转换为完整数据，通过规则匹配模块将完整数据与将各完整数据与命令注入攻击规则进行匹配，当匹配成功时，向深度报文检测设备发送数据阻断指令，深度报文检测设备根据数据阻断指令向数据包发送方发送重置连接数据包，以阻断数据包发送方的流量数据，并进行命令注入攻击告警。解决了现有技术中通过部署于Web应用服务器前端路由器上的数据库安全防护***对命令注入攻击进行检测的方式，在数据库安全防护***出现故障时影响服务器正常业务运行的问题，数据库安全防护***对除HTTP协议数据之外的其他协议类型数据难以检测的问题，以及路由器转发的数据不完整使得SQL注入攻击检测准确性差的问题，实现了在保证Web应用服务器正常业务进行的同时，实时检测并阻断SQL注入攻击，提高了SQL注入攻击识别的准确性。
具体适用场景一
图2b是本发明具体适用场景一中的命令注入攻击检测的网络部署示意图，如图2b所示，外网链路和Web应用服务器之间设置有汇聚分流设备，也即上述实施例中的引流设备。命令注入攻击检测设备在服务器旁路部署，命令注入攻击检测设备中包括DPI设备、ETL工具、规则检测模块以及关系型数据库。汇聚分流设备将外网链路发送的流量数据复制并转发至DPI设备。DPI设备对采集到的流量数据进行协议识别，获取多种协议类型的数据包，将各数据包转换为结构化格式数据。ETL工具对各结构化格式数据进行数据抽取、数据校验和数据清洗，获得与各结构化格式数据匹配的完整数据存储到关系型数据库中。规则匹配模块对关系型数据库中的各完整数据进行SQL注入攻击规则的匹配，如果能够匹配，则说明该完整数据对应的原始流量数据中存在SQL注入攻击行为。规则匹配模块识别该完整数据的发送方，也即攻击者，并构造数据阻断指令发送至DPI设备，DPI设备接收到数据阻断指令后向攻击者发送RST数据包以封堵对应的SQL注入攻击流量数据，规则匹配模块还会通过发送邮件或短信的方式进行告警提示，通知网络管理人员存在SQL注入攻击行为。如果没有匹配，规则匹配模块则实时监测并记录流量数据的相关信息。
实施例三
图3是本发明实施例三中的一种命令注入攻击的检测装置的结构示意图，该装置可以由软件和/或硬件来实现，并一般集成在命令注入攻击检测设备中，该命令注入攻击检测设备中部署有深度报文检测设备、数据整合工具和规则检测模块。该装置包括：流量数据解析模块310、数据包处理模块320以及流量数据阻断模块330。其中：
流量数据解析模块310，用于通过命令注入攻击检测设备的深度报文检测设备实时获取流量数据，对流量数据进行解析，获取多种协议类型的数据包，所述深度报文检测设备为在服务器旁路部署；
数据包处理模块320，用于通过命令注入攻击检测设备的数据整合工具对各所述数据包进行处理，获取与各所述数据包匹配的完整数据进行存储；
流量数据阻断模块330，用于通过命令注入攻击检测设备的规则匹配模块将存储的各完整数据与命令注入攻击规则进行匹配，并在确定目标完整数据与命令注入攻击规则相匹配时，阻断与目标完整数据匹配的数据包发送方的流量数据，进行命令注入攻击告警。
本实施例的技术方案，通过在服务器旁路部署深度报文检测设备，通过深度报文检测设备实时采集流量数据，并对流量数据进行解析，获得基于多种协议类型的数据包，通过数据整合工具对各数据包进行补全，获得完整数据，通过规则匹配模块将完整数据与命令注入攻击规则进行匹配，当匹配成功时，阻断数据包发送方的流量数据，并进行命令注入攻击告警。解决了现有技术中通过部署于Web应用服务器前端路由器上的数据库安全防护***对命令注入攻击进行检测的方式，在数据库安全防护***出现故障时影响服务器正常业务运行的问题，数据库安全防护***对除HTTP协议数据之外的其他协议类型数据难以检测的问题，以及路由器转发的数据不完整使得SQL注入攻击检测准确性差的问题，实现了在保证Web应用服务器正常业务进行的同时，实时检测并阻断SQL注入攻击，提高了SQL注入攻击识别的准确性。
在上述实施例的基础上，所述流量数据解析模块310，包括：
流量数据获取单元，用于通过深度报文检测设备实时获取引流设备获取、复制并发送的流量数据；
流量数据解析单元，用于通过深度报文检测设备对获取的流量数据进行协议类型解析，获取多种协议类型的数据包，并将各数据包转换为结构化格式数据；
所述协议类型包括超文本传输协议和/或结构化查询语言协议。
在上述实施例的基础上，所述引流设备为网络分流器、防火墙或者三层流量交换机。
在上述实施例的基础上，所述数据包处理模块320，包括：
完整数据获取单元，用于通过数据整合工具对各结构化格式数据进行数据抽取，并进行数据校验，根据数据校验结果进行数据清洗，获取与各结构化格式数据匹配的完整数据；
格式转换单元，用于将各完整数据转换为标准格式进行存储。
在上述实施例的基础上，所述流量数据阻断模块330，包括：
数据匹配单元，用于通过规则匹配模块获取存储的各完整数据，并将各完整数据输入至规则匹配模型中，通过规则匹配模型对各完整数据与命令注入攻击规则进行匹配。
在上述实施例的基础上，所述命令注入攻击规则包括命令注入攻击规则库中预存的各命令注入攻击规则，以及对预存的各命令注入攻击规则进行关联和/或组合后形成的命令注入攻击规则。
在上述实施例的基础上，所述流量数据阻断模块330，包括：
重置连接数据包发送单元，用于如果所述规则匹配模块确定目标完整数据与命令注入攻击规则相匹配，则向深度报文检测设备发送数据阻断指令，以使深度报文检测设备根据数据阻断指令向与目标完整数据匹配的数据包发送方发送重置连接数据包，以阻断数据包发送方的流量数据。
本发明实施例所提供的命令注入攻击的检测装置可执行本发明任意实施例所提供的命令注入攻击的检测方法，具备执行方法相应的功能模块和有益效果。
实施例四
图4为本发明实施例四提供的一种计算机设备的结构示意图，如图4所示，该计算机设备包括处理器70、存储器71、输入装置72和输出装置73；计算机设备中处理器70的数量可以是一个或多个，图4中以一个处理器70为例；计算机设备中的处理器70、存储器71、输入装置72和输出装置73可以通过总线或其他方式连接，图4中以通过总线连接为例。该计算机设备中还部署有DPI设备、ETL工具、规则检测模块和关系型数据库。
存储器71作为一种计算机可读存储介质，可用于存储软件程序、计算机可执行程序以及模块，如本发明实施例中的命令注入攻击的检测方法对应的模块(例如，命令注入攻击的检测装置中的流量数据解析模块310、数据包处理模块320以及流量数据阻断模块330)。处理器70通过运行存储在存储器71中的软件程序、指令以及模块，从而执行计算机设备的各种功能应用以及数据处理，即实现上述的命令注入攻击的检测方法。该方法包括：
通过命令注入攻击检测设备的深度报文检测设备实时获取流量数据，对流量数据进行解析，获取多种协议类型的数据包，所述深度报文检测设备为在服务器旁路部署；
通过命令注入攻击检测设备的数据整合工具对各所述数据包进行处理，获取与各所述数据包匹配的完整数据进行存储；
通过命令注入攻击检测设备的规则匹配模块将存储的各完整数据与命令注入攻击规则进行匹配，并在确定目标完整数据与命令注入攻击规则相匹配时，阻断与目标完整数据匹配的数据包发送方的流量数据，进行命令注入攻击告警。
存储器71可主要包括存储程序区和存储数据区，其中，存储程序区可存储操作***、至少一个功能所需的应用程序；存储数据区可存储根据终端的使用所创建的数据等。此外，存储器71可以包括高速随机存取存储器，还可以包括非易失性存储器，例如至少一个磁盘存储器件、闪存器件、或其他非易失性固态存储器件。在一些实例中，存储器71可进一步包括相对于处理器70远程设置的存储器，这些远程存储器可以通过网络连接至计算机设备。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。
输入装置72可用于接收输入的数字或字符信息，以及产生与计算机设备的用户设置以及功能控制有关的键信号输入。输出装置73可包括显示屏等显示设备。
实施例五
本发明实施例五还提供一种包含计算机可执行指令的存储介质，所述计算机可执行指令在由计算机处理器执行时用于执行一种命令注入攻击的检测方法，该方法包括：
通过命令注入攻击检测设备的深度报文检测设备实时获取流量数据，对流量数据进行解析，获取多种协议类型的数据包，所述深度报文检测设备为在服务器旁路部署；
通过命令注入攻击检测设备的数据整合工具对各所述数据包进行处理，获取与各所述数据包匹配的完整数据进行存储；
通过命令注入攻击检测设备的规则匹配模块将存储的各完整数据与命令注入攻击规则进行匹配，并在确定目标完整数据与命令注入攻击规则相匹配时，阻断与目标完整数据匹配的数据包发送方的流量数据，进行命令注入攻击告警。
当然，本发明实施例所提供的一种包含计算机可执行指令的存储介质，其计算机可执行指令不限于如上所述的方法操作，还可以执行本发明任意实施例所提供的命令注入攻击的检测方法中的相关操作。
通过以上关于实施方式的描述，所属领域的技术人员可以清楚地了解到，本发明可借助软件及必需的通用硬件来实现，当然也可以通过硬件实现，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在计算机可读存储介质中，如计算机的软盘、只读存储器(Read-Only Memory,ROM)、随机存取存储器(RandomAccess Memory,RAM)、闪存(FLASH)、硬盘或光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。
值得注意的是，上述命令注入攻击的检测装置的实施例中，所包括的各个单元和模块只是按照功能逻辑进行划分的，但并不局限于上述的划分，只要能够实现相应的功能即可；另外，各功能单元的具体名称也只是为了便于相互区分，并不用于限制本发明的保护范围。
注意，上述仅为本发明的较佳实施例及所运用技术原理。本领域技术人员会理解，本发明不限于这里所述的特定实施例，对本领域技术人员来说能够进行各种明显的变化、重新调整和替代而不会脱离本发明的保护范围。因此，虽然通过以上实施例对本发明进行了较为详细的说明，但是本发明不仅仅限于以上实施例，在不脱离本发明构思的情况下，还可以包括更多其他等效实施例，而本发明的范围由所附的权利要求范围决定。

Claims (10)

1.一种命令注入攻击的检测方法，其特征在于，应用于命令注入攻击检测设备，所述方法包括：
通过命令注入攻击检测设备的深度报文检测设备实时获取引流设备获取、复制并转发的流量数据，对流量数据进行解析，获取多种协议类型的数据包，所述深度报文检测设备为在服务器旁路部署；
通过命令注入攻击检测设备的数据整合工具对各所述数据包进行处理，获取与各所述数据包匹配的完整数据进行存储；其中，所述数据整合工具用于对各所述数据包中的无效数据以及不完整数据进行信息补全，形成完整数据；
通过命令注入攻击检测设备的规则匹配模块将存储的各完整数据与命令注入攻击规则进行匹配，并在确定目标完整数据与命令注入攻击规则相匹配时，阻断与目标完整数据匹配的数据包发送方的流量数据，进行命令注入攻击告警。
2.根据权利要求1所述的方法，其特征在于，通过命令注入攻击检测设备的深度报文检测设备实时获取引流设备获取、复制并转发的流量数据，对流量数据进行解析，获取多种协议类型的数据包，包括：
通过深度报文检测设备对获取的流量数据进行协议类型解析，获取多种协议类型的数据包，并将各数据包转换为结构化格式数据；
所述协议类型包括超文本传输协议和/或结构化查询语言协议。
3.根据权利要求2所述的方法，其特征在于，所述引流设备为网络分流器、防火墙或者三层流量交换机。
4.根据权利要求2所述的方法，其特征在于，通过命令注入攻击检测设备的数据整合工具对各所述数据包进行处理，获取与各所述数据包匹配的完整数据进行存储，包括：
通过数据整合工具对各结构化格式数据进行数据抽取，并进行数据校验，根据数据校验结果进行数据清洗，获取与各结构化格式数据匹配的完整数据；
将各完整数据转换为标准格式进行存储。
5.根据权利要求1所述的方法，其特征在于，通过命令注入攻击检测设备的规则匹配模块将存储的各完整数据与命令注入攻击规则进行匹配，包括：
通过规则匹配模块获取存储的各完整数据，并将各完整数据输入至规则匹配模型中，通过规则匹配模型对各完整数据与命令注入攻击规则进行匹配。
6.根据权利要求5所述的方法，其特征在于，所述命令注入攻击规则包括命令注入攻击规则库中预存的各命令注入攻击规则，以及对预存的各命令注入攻击规则进行关联和/或组合后形成的命令注入攻击规则。
7.根据权利要求1所述的方法，其特征在于，在确定目标完整数据与命令注入攻击规则相匹配时，阻断与目标完整数据匹配的数据包发送方的流量数据，包括：
如果所述规则匹配模块确定目标完整数据与命令注入攻击规则相匹配，则向深度报文检测设备发送数据阻断指令，以使深度报文检测设备根据数据阻断指令向与目标完整数据匹配的数据包发送方发送重置连接数据包，以阻断数据包发送方的流量数据。
8.一种命令注入攻击的检测装置，其特征在于，部署于命令注入攻击检测设备中，包括：
流量数据解析模块，用于通过命令注入攻击检测设备的深度报文检测设备实时获取引流设备获取、复制并转发的流量数据，对流量数据进行解析，获取多种协议类型的数据包，所述深度报文检测设备为在服务器旁路部署；
数据包处理模块，用于通过命令注入攻击检测设备的数据整合工具对各所述数据包进行处理，获取与各所述数据包匹配的完整数据进行存储；其中，所述数据整合工具用于对各所述数据包中的无效数据以及不完整数据进行信息补全，形成完整数据；
流量数据阻断模块，用于通过命令注入攻击检测设备的规则匹配模块将存储的各完整数据与命令注入攻击规则进行匹配，并在确定目标完整数据与命令注入攻击规则相匹配时，阻断与目标完整数据匹配的数据包发送方的流量数据，进行命令注入攻击告警。
9.一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述计算机设备中包括深度报文检测设备、数据整合工具以及规则匹配模块，所述处理器执行所述程序时实现如权利要求1-7中任一所述的命令注入攻击的检测方法。
10.一种包含计算机可执行指令的存储介质，其特征在于，所述计算机可执行指令在由计算机处理器执行时用于执行如权利要求1-7中任一所述的命令注入攻击的检测方法。
CN202110035588.4A 2021-01-12 2021-01-12 命令注入攻击的检测方法、装置、计算机设备和存储介质 Active CN112887274B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202110035588.4A CN112887274B (zh) 2021-01-12 2021-01-12 命令注入攻击的检测方法、装置、计算机设备和存储介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202110035588.4A CN112887274B (zh) 2021-01-12 2021-01-12 命令注入攻击的检测方法、装置、计算机设备和存储介质

Publications (2)

Publication Number Publication Date
CN112887274A CN112887274A (zh) 2021-06-01
CN112887274B true CN112887274B (zh) 2023-04-14

Family

ID=76044103

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202110035588.4A Active CN112887274B (zh) 2021-01-12 2021-01-12 命令注入攻击的检测方法、装置、计算机设备和存储介质

Country Status (1)

Country Link
CN (1) CN112887274B (zh)

Families Citing this family (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113297577B (zh) * 2021-06-16 2024-05-28 深信服科技股份有限公司 一种请求处理方法、装置、电子设备及可读存储介质
CN113660260B (zh) * 2021-08-13 2022-12-20 杭州安恒信息技术股份有限公司 一种报文检测方法、***、计算机设备及可读存储介质
CN113992447B (zh) * 2021-12-28 2022-03-15 北京未来智安科技有限公司 一种sql注入告警处理方法及装置
CN115118493B (zh) * 2022-06-27 2023-11-10 北京天融信网络安全技术有限公司 报文查询方法、装置、电子设备及存储介质
CN114866355B (zh) * 2022-07-06 2023-04-28 浙江国利网安科技有限公司 一种报文流转发方法、装置、计算机设备
CN115348094B (zh) * 2022-08-18 2024-07-02 香港中文大学（深圳） 恢复智能电网攻击的通用方法、计算机设备及存储介质
CN115913655B (zh) * 2022-10-28 2024-05-14 华中科技大学 一种基于流量分析和语义分析的Shell命令注入检测方法

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101388763A (zh) * 2007-09-12 2009-03-18 北京启明星辰信息技术有限公司 一种支持多种数据库类型的sql注入攻击检测***
CN101425937A (zh) * 2007-11-02 2009-05-06 北京启明星辰信息技术有限公司 一种适于高速局域网环境的sql注入攻击检测***
CN104135490A (zh) * 2014-08-14 2014-11-05 浪潮(北京)电子信息产业有限公司 入侵检测***分析方法和入侵检测***
WO2018018699A1 (zh) * 2016-07-29 2018-02-01 广州市乐商软件科技有限公司 网站脚本攻击防范方法及装置
CN107657174A (zh) * 2016-07-26 2018-02-02 北京计算机技术及应用研究所 一种基于协议指纹的数据库入侵检测方法
CN111371783A (zh) * 2020-03-02 2020-07-03 中国建设银行股份有限公司 一种sql注入攻击检测方法、装置、设备和存储介质

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101388763A (zh) * 2007-09-12 2009-03-18 北京启明星辰信息技术有限公司 一种支持多种数据库类型的sql注入攻击检测***
CN101425937A (zh) * 2007-11-02 2009-05-06 北京启明星辰信息技术有限公司 一种适于高速局域网环境的sql注入攻击检测***
CN104135490A (zh) * 2014-08-14 2014-11-05 浪潮(北京)电子信息产业有限公司 入侵检测***分析方法和入侵检测***
CN107657174A (zh) * 2016-07-26 2018-02-02 北京计算机技术及应用研究所 一种基于协议指纹的数据库入侵检测方法
WO2018018699A1 (zh) * 2016-07-29 2018-02-01 广州市乐商软件科技有限公司 网站脚本攻击防范方法及装置
CN111371783A (zh) * 2020-03-02 2020-07-03 中国建设银行股份有限公司 一种sql注入攻击检测方法、装置、设备和存储介质

Also Published As

Publication number Publication date
CN112887274A (zh) 2021-06-01

Similar Documents

Publication Publication Date Title
CN112887274B (zh) 命令注入攻击的检测方法、装置、计算机设备和存储介质
CN112769833B (zh) 命令注入攻击的检测方法、装置、计算机设备和存储介质
US10686814B2 (en) Network anomaly detection
CN103442008B (zh) 一种路由安全检测***及检测方法
CN111800412B (zh) 高级可持续威胁溯源方法、***、计算机设备及存储介质
US20030159069A1 (en) Network-based attack tracing system and method using distributed agent and manager system
CN103746885A (zh) 一种面向下一代防火墙的测试***和测试方法
US11463459B2 (en) Network security intrusion detection
CN106302450A (zh) 一种基于ddos攻击中恶意地址的检测方法及装置
CN112822223B (zh) 一种dns隐蔽隧道事件自动化检测方法、装置和电子设备
CN113518042B (zh) 一种数据处理方法、装置、设备及存储介质
CN114374569B (zh) 一种报文的检测方法、装置、电子设备和存储介质
CN108769016B (zh) 一种业务报文的处理方法及装置
CN113825129A (zh) 一种5g网络环境下工业互联网资产测绘方法
CN112491883A (zh) 一种检测web攻击的方法、装置、电子装置和存储介质
CN107864110B (zh) 僵尸网络主控端检测方法和装置
CN113347184A (zh) 网络流量安全检测引擎的测试方法、装置、设备及介质
CN103685298A (zh) 一种基于深度包检测的ssl中间人攻击发现方法
US11457021B2 (en) Selective rate limiting via a hybrid local and remote architecture
CN113709129A (zh) 一种基于流量学习的白名单生成方法、装置和***
CN114050917A (zh) 音频数据的处理方法、装置、终端、服务器及存储介质
CN109309679A (zh) 一种基于tcp流状态的网络扫描检测方法及检测***
EP2819365A1 (en) Network traffic inspection
CN111490989A (zh) 一种网络***、攻击检测方法、装置及电子设备
CN112825504B (zh) 一种数据监测方法、装置、设备及存储介质

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
CB03 Change of inventor or designer information
CB03 Change of inventor or designer information

Inventor after: Hou Tianqi

Inventor after: Liang Yu

Inventor after: Tian Ye

Inventor after: Fu Qiang

Inventor after: Wang Jie

Inventor after: Yang Manzhi

Inventor after: Cai Lin

Inventor after: Jin Hong

Inventor after: Chen Xiaoguang

Inventor before: Waiting for tianqi

Inventor before: Liang Yu

Inventor before: Tian Ye

Inventor before: Fu Qiang

Inventor before: Wang Jie

Inventor before: Yang Manzhi

Inventor before: Cai Lin

Inventor before: Jin Hong

Inventor before: Chen Xiaoguang

GR01 Patent grant
GR01 Patent grant