[发明专利]一种基于HTTP协议的隐蔽隧道及其检测方法

权利要求书

1.一种基于HTTP协议的隐蔽隧道，包括攻击机(1)，其特征在于：所述攻击机(1)的右侧双向连接有肉机(2)，所述肉机(2)的右侧双向连接有互联网(3)，所述互联网(3)的右侧双向连接有防火墙(4)，所述防火墙(4)的右侧双向连接有目标主机(5)。

2.根据权利要求1所述的一种基于HTTP协议的隐蔽隧道，其特征在于：所述肉机(2)的内部部署有后门程序attack_AES.Php。

3.根据权利要求1所述的一种基于HTTP协议的隐蔽隧道，其特征在于：所述目标主机(5)的内部署有Web应用DeDeCMS，所述目标主机(5)的内部嵌入有object_AES.php后门程序。

4.根据权利要求1-3任一项所述的一种基于HTTP协议的隐蔽隧道的检测方法，其特征在于，包括以下步骤：

S1：获取IP数据；

S2：获取TCP数据流，继而得到HTTP数据；

S3：从HTTP数据中提取四个特征；

S4：将四个特征放入SVM分类器中进行检测，检测结果为正常流量，检测结束，检测结果为异常流量，进行告警，并将异常流量数据以及告警记录导入信息存储；

S5：再次检测时重复步骤S1-S3，将四个特征先放入信息分析中，信息分析提取信息存储内的存储内容进行对比，若信息分析从信息存储中对比出相同的异常流量，进行告警，若信息分析从信息存储中没有对比出相同的异常流量，将四个特征放入SVM分类器中进行检测，检测结果为正常流量，检测结束，检测结果为异常流量，进行告警，并将异常流量数据以及告警记录导入信息存储。

5.根据权利要求4所述的一种基于HTTP协议的隐蔽隧道的检测方法，其特征在于：所述步骤S3中，四个特征分别为：判断referer字段是否加密、HTTP请求头中合法字段个数、相同源、目的地址访问某页面时referer字段的相似度和一次HTTP请求响应中上传载荷与下载载荷的比值。

6.根据权利要求5所述的一种基于HTTP协议的隐蔽隧道的检测方法，其特征在于：所述判断referer字段是否加密是通过2次求信息熵的方法来判断的。

7.根据权利要求5所述的一种基于HTTP协议的隐蔽隧道的检测方法，其特征在于：所述计算相同源、目的地址访问某页面时referer字段的相似度是通过referer字段的相似度计算来生成高区分度的特征。