[发明专利]反弹shell阻断方法及装置

说明书

本发明公开了一种反弹shell阻断方法及装置。其中，反弹shell阻断方法包括：监听Bash进程创建事件；当监听到Bash进程创建时，判断Bash进程对应的重定向文件是否为套接字文件；若是，则确定Bash进程为反弹shell进程，根据套接字文件描述符判断是否存在反弹shell网络连接；若是，则确认服务器存在反弹shell攻击，两者结合提高了反弹shell检测的准确性，获取反弹shell网络连接的IP地址及端口号；对IP地址及端口号进行屏蔽处理，以及对Bash进程进行阻断处理，通过屏蔽IP地址及端口号并杀死当前Bash进程，可以及时终止攻击者想要通过反弹shell进行权限提取及漏洞执行的行为，避免安全事件的发生。

技术领域

本发明涉及计算机技术领域，具体涉及一种反弹shell阻断方法及装置。

背景技术

现有的网络攻击一般是网站攻击者利用网站存在的漏洞，对网站服务器进行攻击，从而导致安全事件频发，这种攻击不仅对企业形象造成影响还会产生经济损失。其中，通过Webshell入侵网站是攻击者常用的攻击手段。Web攻击者拿到Web服务器的Webshell后需要提权，提权需要一个可交互的运行环境，因此攻击者需要先反弹一个可交互的shell，然后在命令行终端执行相关命令进行权限提取等操作。一旦攻击者成功通过反弹shell的交互环境获取到服务器的最高权限后，可继续利用该交互环境对服务器进行其他的攻击和漏洞利用。如果能及时发现某台服务器存在反弹shell，并采取相关措施关闭检测到的反弹shell连接，可在第一时间终止攻击者对Web服务器的攻击。

现有的Webshell检测技术，重点关注如何查杀后门脚本文件即对Webshell脚本文件的查杀。在反弹shell检测方面，现有的专利“201710540141.6一种检测和防范反弹shell的方法和系统”通过捕获执行shell程序的动作，判断shell进程是否带终端属性判断该shell程序是否为反弹shell。如果是反弹shell，则向反弹shell进程发出终止信号，杀死进程。

这种根据shell程序运行时进程是否有终端属性来判断该程序是否为反弹shell，判断方式太过单一，存在较高的误报率。

发明内容

鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分地解决上述问题的反弹shell阻断方法及装置。

根据本发明的一个方面，提供了一种反弹shell阻断方法，包括：

监听Bash进程创建事件；

当监听到Bash进程创建时，判断Bash进程对应的重定向文件是否为套接字文件；

若是，则确定Bash进程为反弹shell进程，根据套接字文件描述符判断是否存在反弹shell网络连接；

若是，则获取反弹shell网络连接的IP地址及端口号；

对IP地址及端口号进行屏蔽处理，以及对Bash进程进行阻断处理。

根据本发明的另一方面，提供了一种反弹shell阻断装置，包括：

监听模块，适于监听Bash进程创建事件；

第一判断模块，适于当监听到Bash进程创建时，判断Bash进程对应的重定向文件是否为套接字文件；

第二判断模块，适于若Bash进程对应的重定向文件为套接字文件，则确定Bash进程为反弹shell进程，根据套接字文件描述符判断是否存在反弹shell网络连接；

获取模块，适于若根据套接字文件描述符判断存在反弹shell网络连接，则获取反弹shell网络连接的IP地址及端口号；

处理模块，适于对IP地址及端口号进行屏蔽处理，以及对Bash进程进行阻断处理。