[发明专利]反弹shell网络连接的信息查找方法及装置

说明书

本发明公开了一种反弹shell网络连接的信息查找方法及装置。其中，反弹shell网络连接的信息查找方法包括：监听Bash进程创建事件；当监听到Bash进程创建时，判断Bash进程对应的重定向文件是否为套接字文件；若是，则确定Bash进程为反弹shell进程，根据套接字文件描述符判断是否存在反弹shell网络连接；若是，则确认服务器存在反弹shell攻击，两者结合提高了反弹shell检测的准确性，获取反弹shell网络连接的IP地址及端口号，通过准确地获取到IP地址及端口号，对IP地址及端口号进行屏蔽，可以提升安全性，可以及时终止攻击者想要通过反弹shell进行权限提取及漏洞执行的行为，避免安全事件的发生。

技术领域

本发明涉及计算机技术领域，具体涉及一种反弹shell网络连接的信息查找方法及装置。

背景技术

现有的网络攻击一般是网站攻击者利用网站存在的漏洞，对网站服务器进行攻击，从而导致安全事件频发，这种攻击不仅对企业形象造成影响还会产生经济损失。其中，通过Webshell入侵网站是攻击者常用的攻击手段。Web攻击者拿到Web服务器的Webshell后需要提权，提权需要一个可交互的运行环境，因此攻击者需要先反弹一个可交互的shell，然后在命令行终端执行相关命令进行权限提取等操作。一旦攻击者成功通过反弹shell的交互环境获取到服务器的最高权限后，可继续利用该交互环境对服务器进行其他的攻击和漏洞利用。如果能及时发现某台服务器存在反弹shell，并采取相关措施关闭检测到的反弹shell连接，可在第一时间终止攻击者对Web服务器的攻击。

现有的Webshell检测技术，重点关注如何查杀后门脚本文件即对Webshell脚本文件的查杀。在反弹shell检测方面，现有的专利“201710540141.6一种检测和防范反弹shell的方法和系统”通过捕获执行shell程序的动作，判断shell进程是否带终端属性判断该shell程序是否为反弹shell。如果是反弹shell，则向反弹shell进程发出终止信号，杀死进程，并无法准确地获取到反弹shell网络连接的IP地址及端口号。

发明内容

鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分地解决上述问题的反弹shell网络连接的信息查找方法及装置。

根据本发明的一个方面，提供了一种反弹shell网络连接的信息查找方法，包括：

监听Bash进程创建事件；

当监听到Bash进程创建时，判断Bash进程对应的重定向文件是否为套接字文件；

若是，则确定Bash进程为反弹shell进程，根据套接字文件描述符判断是否存在反弹shell网络连接；

若是，则获取反弹shell网络连接的IP地址及端口号。

根据本发明的另一方面，提供了一种反弹shell网络连接的信息查找装置，包括：

监听模块，适于监听Bash进程创建事件；

第一判断模块，适于当监听到Bash进程创建时，判断Bash进程对应的重定向文件是否为套接字文件；

第二判断模块，适于若Bash进程对应的重定向文件为套接字文件，则确定Bash进程为反弹shell进程，根据套接字文件描述符判断是否存在反弹shell网络连接；

获取模块，适于若根据套接字文件描述符判断存在反弹shell网络连接，则获取反弹shell网络连接的IP地址及端口号。

根据本发明的又一方面，提供了一种计算设备，包括：处理器、存储器、通信接口和通信总线，处理器、存储器和通信接口通过通信总线完成相互间的通信；

存储器用于存放至少一可执行指令，可执行指令使处理器执行上述反弹shell网络连接的信息查找方法对应的操作。