[发明专利]一种基于本地命令执行的web攻击行为检测方法及系统

说明书

本发明提出了一种基于本地命令执行的web攻击行为检测方法及系统，通过实时检测web应用程序运行期间的本地命令的调用行为，判断调用本地命令的执行命令为何种类型，若为第一执行命令，则进入基于第一执行命令的内容监控模式；若为第二执行命令，则拦截所述第二执行命令以暂停命令执行过程，将所述第二执行命令输入至预先建立的命令执行模型，以确定第二执行命令的合法性，且在第二执行命令合法的条件下执行本地命令的内容获取过程；若第一执行命令或第二执行命令为非法命令，则直接拦截执行命令的执行。以实现调用本地命令的执行命令的合法访问，同时提高本地命令执行的web攻击行为检测效率和准确率。

技术领域

本发明涉及网络安全技术领域，具体为一种基于本地命令执行的web攻击行为检测方法及系统。

背景技术

命令注入攻击是指提通过构造恶意参数来实现修改原本后台执行的命令结果，从而实现对数据或者网络资源的非法获取，甚至直接通过恶意命令掌控用户的电脑和的网络，达到渗透的目的。

现有的规避命令注入攻击的方式主要包括：(1)直接拒绝，比如在进行本地客户端操作时直接拒绝外部命令的进入；(2)人工审核，即当有外部命令注入时通过人工进行攻击检测。

然而上述方式一方面使得本地客户端在进行根据命令操作时受到局限性，封闭式的命令管理使得本地客户端无法更好的完成外部合法命令的工作，另外一方面，对命令注入攻击的检测通过人工审核很明显降低了检测效率，也降低了检测准确率。

发明内容

为解决上述技术问题，本发明提出了一种基于本地命令执行的web攻击行为检测方法及系统，以实现调用本地命令的执行命令的合法访问，同时提高本地命令执行的web攻击行为检测效率和准确率。

本发明的第一方面的目的是通过以下技术方案实现的：

一种基于本地命令执行的web攻击行为检测方法，所述方法包括：

实时检测web应用程序运行期间的本地命令的调用行为，判断调用本地命令的执行命令为何种类型，若为第一执行命令，则进入基于第一执行命令的内容监控模式；若为第二执行命令，则拦截所述第二执行命令以暂停命令执行过程，将所述第二执行命令输入至预先建立的命令执行模型，以确定第二执行命令的合法性，且在第二执行命令合法的条件下执行本地命令的内容获取过程；若第一执行命令或第二执行命令为非法命令，则直接拦截执行命令的执行。

进一步，所述第一执行命令为本地预存的执行命令列表匹配的命令，所述第二执行命令为本地未存储的可执行命令。

进一步，所述判断调用本地命令的执行命令为何种类型，具体包括，提取所述执行命令的格式数据，与预先建立的本地命令的执行命令列表进行匹配，若匹配出一执行命令，则该执行命令为第一执行命令，若未匹配出，则该执行命令为第二执行命令。

进一步，所述的若为第一执行命令，则进入基于第一执行命令的内容监控模式，具体包括，监控第一执行命令调取的内容属性信息，若为敏感数据内容，则返回基于该第一执行命令的权限响应消息，以允许满足内容访问权限的第一执行命令访问并调取内容，若在权限响应时间范围内未接收到权限响应消息，则拒绝内容获取。

进一步，所述的若为第一执行命令，则进入基于第一执行命令的内容监控模式，还包括，当所述第一执行命令在调取内容的同时，调取漏洞扫描进程对调取的内容所在位置进行扫描，在扫描完成且未发现攻击行为后运行内容调取过程。

进一步，预先建立的命令执行模型，具体包括：

分别建立基于统一资源定位符URL的黑名单和白名单的样本数据集，对所述数据集进行分析、泛化以及空格分割的方式得到样本对比数据集；在使用hmmlearn训练后得到命令执行检测模型，在该检测模型中设置攻击行为阈值，基于该检测模型以及阈值形成命令执行模型。