[发明专利]一种攻击检测方法、装置、设备和介质

说明书

本申请实施例公开了一种攻击检测方法、装置、设备和介质，获取满足攻击语言要求的网络流量，通过设置攻击语言要求，解决了攻击者通过编码、字符拼接等方式对网络流量进行变形的问题。基于攻击语言要求获取到符合上传攻击行为的网络流量。为了实现对上传攻击行为是否上传成功的识别，可以依赖于文件上传路径和/或访问规则设定攻击条件，在网络流量满足设定的攻击条件的情况下，判定网络流量的行为为上传攻击成功。基于攻击语言要获取网络流量，解决了网络流量变形的问题，可以筛选出初始网络流量中包含上传攻击行为的网络流量。基于设定的攻击条件可以有效的检测出攻击流量中包含的上传攻击行为是否上传成功，提高了成功上传攻击行为的检出率。

技术领域

本申请涉及网络安全技术领域，特别是涉及一种攻击检测方法、装置、设备和计算机可读存储介质。

背景技术

互联网(World Wide Web，WEB)入侵的脚本攻击工具(webshell)是以网页文件形式存在的一种代码执行环境。黑客在入侵了一个网站后，通常会将动态服务器页面(ActiveServer Pages，ASP)或超级文本预处理语言(Hypertext Preprocessor，PHP)后门文件与网站服务器WEB目录下正常的网页文件混在一起，然后就可以使用浏览器来访问ASP或者PHP后门，得到一个命令执行环境，以达到控制网站服务器的目的。由于webshell大多是以动态脚本的形式出现，也可以将webshell称之为网站的后门工具。目前webshell上传成功检测技术主要是将获取的网络流量与基于webshell攻击行为提取的特征词进行匹配。

有效攻击载荷(PAYLOAD)指攻击网路流量中对攻击行为起到决定性作用的数据片段，通常该数据片段具备破坏系统完整性，获取系统权限等功能。在实际应用中，攻击者为了绕过安全设备的检测，往往通过编码、字符拼接等方式对PAYLOAD进行处理，使PAYLOAD的表现形式更加复杂和不具规律性，导致安全设备无法寻找到匹配的特征词进而放行，使得webshell上传成功的检出率较低。

可见，如何提高上传攻击行为的检出率，是本领域技术人员需要解决的问题。

发明内容

本申请实施例的目的是提供一种攻击检测方法、装置、设备和计算机可读存储介质，可以提高上传攻击行为的检出率。

为解决上述技术问题，本申请实施例提供一种攻击检测方法，包括：

获取满足攻击语言要求的网络流量；

在所述网络流量满足设定的攻击条件的情况下，判定所述网络流量的行为为上传攻击成功；其中，所述攻击条件包括文件上传路径和/或访问规则。

可选地，所述在所述网络流量满足设定的攻击条件的情况下，判定所述网络流量的行为为上传攻击成功包括：

判断所述网络流量中是否存在文件上传路径包含静态资源目录的攻击流量；

在所述网络流量中存在文件上传路径包含静态资源目录的攻击流量的情况下，判定所述攻击流量的行为为上传攻击成功。

可选地，所述在所述网络流量满足设定的攻击条件的情况下，判定所述网络流量的行为为上传攻击成功包括：

将所述网络流量的访问行为与设定的访问规则进行匹配；

在所述网络流量的访问行为与设定的访问规则匹配的情况下，判定所述网络流量的行为为上传攻击成功。

可选地，所述在所述网络流量的访问行为与设定的访问规则匹配的情况下，判定所述网络流量的行为为上传攻击成功包括：

判断所述网络流量中是否存在访问历史被攻击设备中特定脚本文件的源地址信息；

若所述网络流量中存在访问历史被攻击设备中特定脚本文件的源地址信息，判定所述网络流量的行为为上传攻击成功。