[发明专利]一种基于RDP磁盘映射的攻击反制方法及系统

权利要求书

1.一种基于RDP磁盘映射的攻击反制方法，其特征在于，包括以下步骤：

第一诱饵服务器构建步骤，

在第一诱饵服务器中存放第一诱饵，所述第一诱饵包括第二诱饵服务器的信息；

所述第二诱饵服务器的信息包括用于登录第二诱饵服务器的凭证；

第二诱饵服务器构建步骤，

在第二诱饵服务器上配置RDP；

在第二诱饵服务器中存放第二诱饵，所述第二诱饵包括自动运行的代码；

所述代码在有用户登录成功时自动运行，所述代码的执行用于植入第一反制指令到攻击者主机；所述第一反制指令用于反制攻击者；

配置第二诱饵服务器的系统的本地组策略，关闭第二诱饵服务器的复制粘贴功能。

2.根据权利要求1所述的基于RDP磁盘映射的攻击反制方法，其特征在于，配置所述本地组策略还包括设置用户登录脚本，用于诱导攻击者进行磁盘映射。

3.根据权利要求1所述的基于RDP磁盘映射的攻击反制方法，其特征在于，在第二诱饵服务器构建步骤之后还包括攻击及攻击反制步骤，具体包括：

攻击者成功攻击第一诱饵服务器，获取第一诱饵；

攻击者根据第一诱饵的信息，登录第二诱饵服务器；

第二诱饵服务器运行所述自动运行的代码，等待攻击者主机的磁盘映射到第二诱饵服务器；

攻击者尝试拷贝第二诱饵服务器中的第二诱饵失败；

攻击者被第二诱饵服务器的本地组策略诱导，将攻击者主机的磁盘映射到第二诱饵服务器上进行第二诱饵的拖取；

第二诱饵服务器运行的所述自动运行的代码植入所述第一反制指令到攻击者主机；

运行第一反制指令，控制攻击者主机。

4.根据权利要求1或3所述的基于RDP磁盘映射的攻击反制方法，其特征在于，所述第一反制指令被植入到攻击者主机的启动目录并同时执行。

5.根据权利要求1所述的基于RDP磁盘映射的攻击反制方法，其特征在于，第一诱饵服务器中存放的所述第二诱饵服务器的信息包括：第二诱饵服务器的IP地址、登录账号和登录密码。

6.根据权利要求1所述的基于RDP磁盘映射的攻击反制方法，其特征在于，所述第二诱饵文件名具有诱惑性，所述自动运行的代码文件名具有诱惑性，所述文件名中包括密码、password、IP、用户名、username中任一变形或任一变形的组合，或用于表示与身份验证相关的具有相同含义的信息。

7.根据权利要求1所述的基于RDP磁盘映射的攻击反制方法，其特征在于，所述第一反制指令为可执行文件，用于反制攻击者，执行如下操作：

对攻击者主机进行反攻击，控制攻击者主机；

获得攻击者的主机信息，用于攻击分析。

8.一种基于RDP磁盘映射的攻击反制系统，其特征在于，包括：

第一诱饵服务器和第二诱饵服务器；

还包括，

诱饵设置模块，用于执行如下操作：

生成第一诱饵，并将第一诱饵存放在第一诱饵服务器上；所述第一诱饵包括第二诱饵服务器的信息；

生成第二诱饵，并将第二诱饵存放在第二诱饵服务器上；所述第二诱饵包括自动运行的代码，所述代码在有用户登录时自动运行，所述代码的执行用于植入第一反制指令到攻击者主机；所述第一反制指令用于反制攻击者；

第二诱饵服务器本地组策略设置模块，用于执行如下操作：

设置第二诱饵服务器的系统的本地组策略，包括：

设置用户登录脚本，诱导攻击者进行磁盘映射；

关闭第二诱饵服务器的复制粘贴功能。

9.根据权利要求8所述的基于RDP磁盘映射的攻击反制系统，其特征在于，还包括，攻击分析模块，用于根据植入攻击者的第一反制指令获取到的攻击者主机的信息，进行攻击行为分析。

10.根据权利要求8所述的基于RDP磁盘映射的攻击反制系统，其特征在于，植入的所述第一反制指令为可执行文件，用于反制攻击者，执行如下操作：

对攻击者主机进行反攻击，控制攻击者主机；

获得攻击者的主机信息，用于攻击行为分析。