[发明专利]反弹shell进程的检测方法、装置、计算机设备及存储介质

说明书

本申请公开了一种反弹shell进程的检测方法、装置、计算机设备及存储介质，该方法通过获取目标shell进程的索引节点和进程标识符；若当前的网络连接表中存在与索引节点以及进程标识符匹配的连接数据，则获取目标shell进程对应的IP地址以及端口；若当前的连接进程表中存在与IP地址以及端口匹配的进程数据，则确定目标shell进程为反弹shell进程。该方法通过在当前的网络连接表中存在与shell进程对应的连接数据的情况下，从连接进程表查找是否存在相应的进程数据，并且当前的网络连接表中仅包括当前时间段内所有请求建立网络连接的进程分别对应的连接数据，因此相比直接从连接进程表查找shell进程的进程数据，能够降低计算机资源的消耗，实现对反弹shell进程的轻量级探测效果。

技术领域

本申请涉及网络安全技术领域，更具体地，涉及一种反弹shell进程的检测方法、装置、计算机设备及存储介质。

背景技术

随着互联网应用的普及，网络安全越来越被重视。在Linux系统中，黑客利用漏洞入侵主机，通过反弹shell进程来控制被入侵主机是一种十分常见的手段，因此反弹shell进程的检测是网络安全中的一个比较重要的部分。通常情况下，根据shell进程的标准输入文件和标准输出文件是否被重定向至一个相同的socket文件，判断其是否属于反弹shell进程，该方法具有一定的准确性，但检索数据量较大，资源消耗较多。

发明内容

鉴于上述问题，本申请提出了一种反弹shell进程的检测方法、装置、计算机设备及存储介质，以实现提升反弹shell进程的检测效率，降低检测过程中的性能损耗。

第一方面，本申请实施例提供了一种反弹shell进程的检测方法，所述方法包括：获取目标shell进程的索引节点和进程标识符；若当前的网络连接表中存在与所述索引节点以及所述进程标识符匹配的连接数据，则从所述连接数据中获取所述目标shell进程对应的互联网协议IP地址以及端口，所述网络连接表中包括当前时间段内所有请求建立网络连接的进程分别对应的连接数据；若当前的连接进程表中存在与所述IP地址以及端口匹配的进程数据，则确定所述目标shell进程为反弹shell进程，所述连接进程表中包括当前所有与外部设备建立有网络连接的进程中每个进程对应的进程数据。

第二方面，本申请实施例提供了一种反弹shell进程的检测装置，所述装置包括：进程获取模块、第一匹配模块以及第二匹配模块，其中，所述进程获取模块用于获取目标shell进程的索引节点和进程标识符；所述第一匹配模块用于若当前的网络连接表中存在与所述索引节点以及所述进程标识符匹配的连接数据，则从所述连接数据中获取所述目标shell进程对应的互联网协议IP地址以及端口，所述网络连接表中包括当前时间段内所有请求建立网络连接的进程分别对应的连接数据；所述第二匹配模块用于若当前的连接进程表中存在与所述IP地址以及端口匹配的进程数据，则确定所述目标shell进程为反弹shell进程，所述连接进程表中包括当前所有与外部设备建立有网络连接的进程中每个进程对应的进程数据。

第三方面，本申请实施例提供了一种计算机设备，包括：一个或多个处理器；存储器；一个或多个应用程序，其中所述一个或多个应用程序被存储在所述存储器中并被配置为由所述一个或多个处理器执行，所述一个或多个程序配置用于执行上述第一方面提供的反弹shell进程的检测方法。

第四方面，本申请实施例提供了一种计算机可读存储介质，所述计算机可读存储介质中存储有程序代码，所述程序代码可被处理器调用执行上述第一方面提供的反弹shell进程的检测方法。