[发明专利]一种无回显命令执行漏洞的检测方法

说明书

本发明涉及漏洞检测技术领域，且公开了一种无回显命令执行漏洞的检测方法，包括HTTP反连服务器、RMI反连服务器和redis/内存，所述包括HTTP反连服务器分为两个接口，所述接口1:/new/rand，rand表示一个随机数。当漏洞扫描系统检测漏洞时，将该url放在需要执行的命令中，如“curl反连平台IP/new/rand1”。如果命令执行完成，则反连平台会收到该请求，并将rand1记录在数据库中。当漏洞扫描系统向HTTP反连服务器请求随机值，且判断云端数据库中保存有与该随机值相同的随机值时，说明访问命令中的随机数传递到了HTTP反连服务器或RMI反连服务，此时即可判定被扫描目标存在远程命令执行漏洞。通过这种方式，实现了对无回显命令执行漏洞的准确检测。

技术领域

本发明涉及漏洞检测技术领域，具体为一种无回显命令执行漏洞的检测方法。

背景技术

命令执行漏洞的原理：应用程序有时需要调用一些执行系统命令的函数，比如PHP中使用system、exec、shell_exec、passthru、popen、proc_popen等函数可以执行系统命令。当黑客能控制这些函数中的参数时，就可以将恶意的系统命令拼接到正常命令中，从而造成命令执行攻击。

命令执行漏洞又分为有回显漏洞和无回显漏洞。有回显漏洞即我们将payload通过http request发送到服务端后，服务端会将payload执行的结果通过http response返回给我们。无回显漏洞则服务端不会将payload执行的结果通过http response返回给我们，但是payload其实已经执行成功了。

显而易见，针对有回显漏洞，我们只需要将id放在payload中，如果目标服务运行在linux上，id命令执行后的回显如：uid＝0(root)gid＝0(root)groups＝0(root)，会通过http response返回给我们，则我们可以通过回显中是否有“uid＝”、“gid＝”之类的关键字检测目标是否存在漏洞。但是针对无回显漏洞，我们的漏洞扫描系统无法知道目标是否执行完成，则无法单独的使用漏洞扫描系统判断目标是否存在漏洞。目前常用的方案是采用DNS域名系统服务器，如《一种漏洞检测方法、装置及系统》专利公布号为CN109040039B中所述。但是该方案成本比较高，需要搭建一个DNS域名系统服务器，且如果用户为内网环境(无法访问互联网)时该方案将无法使用。

为了解决这些问题，我们提出一种内置HTTP服务与RMI服务的漏洞扫描系统检测方法。我们将内置HTTP服务和RMI服务的平台成为反连平台。

发明内容

(一)解决的技术问题

针对现有技术的不足，本发明提供了一种无回显命令执行漏洞的检测方法，解决了上述背景技术中提出的问题。

(二)技术方案

为实现以上目的，本发明提供如下技术方案：一种无回显命令执行漏洞的检测方法，包括HTTP反连服务器、RMI反连服务器和redis/内存，其特征在于：所述包括HTTP反连服务器分为两个接口，所述接口1:/new/rand，rand表示一个随机数。当漏洞扫描系统检测漏洞时，将该url放在需要执行的命令中，如“curl反连平台IP/new/rand1”。如果命令执行完成，则反连平台会收到该请求，并将rand1记录在数据库中。且该随机数会设置一个到期时间，如5min，5min后随机数会自动被删除。

优选的，所述接口2:/log/rand，当漏洞扫描系统访问接口“反连平台IP/log/rand1”时，反连平台会去数据库检测rand1是否存在。如果rand1存在，则返回200，并删除rand1，漏洞扫描系统会判定为漏洞存在。如果rand1不存在，则返回404，漏洞扫描系统会判定为漏洞不存在。