[发明专利]一种反弹shell进程的检测方法、装置、设备和介质

说明书

本申请公开了一种反弹shell进程的检测方法、装置、设备和介质，涉及信息安全技术领域。具体实现方案为：监测当前主机上产生的进程创建事件；获取目标进程在启动时执行的命令行；所述目标进程是监测到的进程创建事件所对应的进程；根据所述命令行确定所述目标进程是否是反弹shell进程。本申请实施例中，只要主机上产生进程创建事件，则根据进程启动时执行的命令行来确定该进程是否是反弹shell进程，可以覆盖多种反弹shell进程的检测，而且无论命令行最终执行成功还是失败都会捕获到，由此可以实现对反弹失败的进程的检测。

技术领域

本申请涉及计算机技术领域，尤其涉及信息安全技术领域，具体涉及一种反弹shell进程的检测方法、装置、设备和介质。

背景技术

黑客利用漏洞入侵主机时，通过反弹shell进程来控制被入侵主机是一种十分常见的手段，因此反弹shell进程检测模块被看作入侵检测系统中比较重要的一个模块。Shell进程提供了用户与linux操作系统之间进行即时交互的一个接口，一般默认shell进程从键盘接收命令输入，然后将命令执行的结果输出到屏幕上。但是一些黑客利用shell进程的输入输出重定向功能，将shell进程的输入输出文件句柄重定向至套接字(socket)类型或者管道(pipe)类型的文件上，该socket类型或者pipe类型文件最终与远程入侵主机上的一个服务进行关联，这样远程入侵主机就可以通过该重定向了的反弹shell进程来控制被入侵主机，从而获取企业机密数据或者破坏主机上的文件。

目前，最常用的反弹shell进程的检测方法是基于Shell进程的标准输入输出判定法。若确定一个进程为shell进程，并且该进程的标准输入输出文件所对应的文件描述符为socket，则判定该进程为一个反弹shell进程。这种方案仍存在一定不足：应用场景有限，不能检测出基于管道的反弹shell进程、ICMP(Internet Control Message Protocol，Internet控制报文协议)反弹shell进程、DNS(Domain Name System，域名系统协议)反弹shell进程等；且该方案中需要反弹shell进程真实存在，对于反弹失败造成反弹shell进程未被成功创建的情况不能检测到，可能错过黑客早期一些尝试失败的行为。

发明内容

本申请实施例提供一种反弹shell进程的检测的方法、装置、设备和介质，以解决现有检测方法存在的应用场景少、且无法检测反弹失败的进程的问题。

第一方面，本申请实施例提供了一种反弹shell进程的检测方法，包括：

监测当前主机上产生的进程创建事件；

获取目标进程在启动时执行的命令行；所述目标进程是监测到的进程创建事件所对应的进程；

根据所述命令行确定所述目标进程是否是反弹shell进程。

上述申请中的一个实施例具有如下优点或有益效果：只要主机上产生进程创建事件，则根据进程启动时执行的命令行来确定该进程是否是反弹shell进程，可以覆盖多种反弹shell进程的检测，而且由于无论命令行最终执行成功还是失败都会被捕获到，由此基于命令行进行检测，可以实现对反弹失败的进程的检测。

可选的，根据所述命令行确定所述目标进程是否是反弹shell进程，包括：

根据所述命令行和/或所述目标进程的预设环境变量，判断所述目标进程是否是反弹进程；

根据所述命令行判断所述目标进程是否是shell进程；

在判断所述目标进程是反弹进程和shell进程时，确定所述目标进程是反弹shell进程。