[发明专利]一种基于Hook技术获取Bash执行信息的方法、装置与设备

说明书

本发明实施例提供了一种基于Hook技术获取Bash执行信息的方法、装置与设备，通过对插桩函数和套接字的构建，分析Bash源码逻辑，寻找合适的函数插入位置，插入对应的插桩函数，利用插桩函数实时获取各个节点的Bash命令执行信息，并发送至套接字，等待外部程序获取。本发明实施例可以在用户无感知的情况下实时地获取到用户（可能是正常用户也可能是恶意用户）在Bash终端操作的详细信息，可以后续对Bash命令的审计等需求场景提供便利，从而更好的保障用户的安全。

技术领域

本发明实施例涉及网络安全技术领域，具体涉及一种基于Hook技术获取Bash执行信息的方法、装置与设备。

背景技术

从根本上说，Shell是一个执行命令的宏处理器。术语宏处理器是指扩展文本和符号以创建更大表达式的功能。

Unix shell既是命令解释器又是编程语言。作为命令解释器，Shell为丰富的GNU实用程序集提供了用户界面。Shell可以以交互或非交互方式使用。在交互模式下，接受从键盘输入的指令；以非交互方式执行时，Shell 执行从文件中读取的命令。Shell还提供了一小组内置命令（builtins），实现了通过单独的实用程序不可能或不方便获得的功能。

而Bash是GNU操作系统的Shell，它目前几乎可以在每个版本的Unix和一些其他操作系统上运行，包括Linux与Mac OS X v10.4起至macOS Mojave都将它作为默认Shell，是目前主流的Shell之一。

在Bash中，它会将用户执行的命令存储在～/.bash_history中，使用history命令可以对其进行查看等操作。但是，用户所执行的命令并不能实时的写入到～/.bash_history文件中，而是先保存在缓存中，只有当用户注销或者手动执行history-w命令后，缓存中的命令才会写入到～/bash_history文件中，无法对用户所执行的Bash命令进行实时的审计。

发明内容

为此，本发明实施例提供一种基于Hook技术获取Bash执行信息的方法、装置与设备，以解决现有技术无法实时获取到详细的用户Bash执行信息，以供后续Bash命令的安全审计的技术问题。

为了实现上述目的，本发明实施例提供如下技术方案：

根据本发明实施例的第一方面，本申请实施例提供了一种基于Hook技术获取Bash执行信息的方法，所述方法包括：

构建用于获取Bash执行信息的插桩函数以及用于接收Bash执行信息的套接字；

分析Bash源码逻辑，寻找合适的函数插入位置，插入对应的插桩函数；

启动Bash命令，利用各个插桩函数，分别实时获取各个节点的Bash执行信息；

将所述Bash执行信息进行组装并发送至所述套接字，等待外部程序获取。

优选地，所述方法还包括：

在当前Bash执行信息发送至所述套接字之后，判断Bash会话是否继续执行后续命令；

若Bash会话继续执行后续命令，则启动后续Bash命令，利用各个插桩函数，分别实时获取各个节点的后续Bash执行信息；并将所述后续Bash执行信息进行组装并发送至所述套接字；

若Bash会话不再继续执行后续命令，则退出Bash会话。

进一步地，构建用于获取Bash执行信息的插桩函数，包括：

定义Bash会话序列，记录Bash会话中的命令序号，每次使用时自增1，设置初始命令序号为0；

定义所需插桩函数；

所述插桩函数包括：

第一插桩函数，用于获取Bash会话启动时的初始信息；

第二插桩函数，用于获取Bash命令执行前的第一信息；

第三插桩函数，用于获取Bash命令执行内置命令或磁盘文件前的第二信息；