一种基于随机端口的出网反连检测方法技术

本发明专利技术涉及渗透领域，具体提供了一种基于随机端口的出网反连检测方法，在对渗透目的中的无回显漏洞进行出网反连检测中，渗透目标对反连服务器的随机端口进行访问，此时反连服务器尝试在拒绝该访问的同时，通过抓包方式获取发出访问请求时SYN三次握手的第一个握手包。若获取该握手包，则可以证明该无回显漏洞的存在。与现有技术相比，本发明专利技术所提供技术可以兼容任何传输层是TCP协议的反连，且对TCP连接是否成功没有要求。与此同时，本技术采用的随机端口相较于传统固定端口的方法更不易被干扰，传统反连检测技术中使用标记进行检测的方式也会增加反连检测被发现的可能性，兼顾了安全性和便利性。性和便利性。性和便利性。

【技术实现步骤摘要】
一种基于随机端口的出网反连检测方法

：
[0001]本专利技术涉及渗透领域，具体提供了一种基于随机端口的出网反连检测方法

技术介绍
：
[0002]在进行渗透操作的过程中，有时候在进行漏洞检测时无法通过应用返回的信息来确定一个漏洞是否存在。此时我们需要通过无回显的漏洞检测技术来确定执行的命令或特殊操作确实执行了。
[0003]一般来说，无回显漏洞检测技术可以分为两种：一是sleep/benchmark耗时操作检测；二是dnslog/http
‑
reverse/tcp/tls/rmi等服务外连检测。
[0004]而在这些传统的反连/出网技术检测中，对于耗时操作检测，当服务器为单线程时sleep命令将会造成阻塞；服务器CPU的质量也将会直接导致benchmark的消耗资源高低；如果发生在数据库中，很多生产环境中的数据库会针对SQL语句执行做各种限制；此外，若sleep如果执行在了for/while分支中，将会造成sleep的时间远大于预期值，或者直接为0。对于服务外连检测，如果我们需要自动化监测与报告漏洞，则需要把标记与发出的攻击载荷检测漏洞需要对应。

技术实现思路
：
[0005]本文是针对上述现有技术的不足，提供了一种全新的、实用性强的基于随机端口的出网反连检测方法。
[0006]本专利技术解决其技术问题所采取的技术方案是：
[0007]一种基于随机端口的出网反连检测方法，在对待检测目标主机的待检测漏洞进行漏洞检测时，控制所述待检测目标主机对指定IP服务器的指定端口进行访问，若在所述指定IP服务器抓到特定报文包，则漏洞存在。
[0008]进一步的，所述指定IP服务器为测试人员拥有的服务器，所述测试人员可以对发往该所述IP服务器的报文进行捕获并获得其中的信息。
[0009]进一步的，所述IP服务器的指定端口为一个随机的非常用大数字端口。
[0010]进一步的，所述“控制所述待检测目标主机对指定IP服务器的指定端口进行访问”包括，根据所述指定端口生成一个攻击载荷并将其发送给待检测目标主机，若待检测目标主机对所述攻击载荷进行响应，则待检测目标会尝试与所述指定服务器的指定端口进行TCP连接。
[0011]进一步的，“待检测目标尝试与所述指定服务器的指定端口进行TCP连接时”，指定服务器监听指定端口的所有连接请求，在收到TCP第一次握手的SYN报文时进行记录，并发送拒绝连接请求报文。
[0012]进一步的，所述待检测漏洞为无回显漏洞。
[0013]本文专利技术的一种基于随机端口的出网反连检测方法和现有技术相比，具有以下有益的突出效果：
[0014]与现有技术相比，在渗透目标对指定服务器发起的TCP的连接无论是否失败，都不会影响待检测漏洞的探测结果。同时对于任何传输层是TCP协议的反连，都可以使用本技术进行漏洞检测。而本文所使用的随机端口相比于固定端口被干扰的可能性较小。此外，相比于传统反连使用标志的技术，本技术使用随机端口的方法会显著减少漏洞检测过程被发现的可能性。
附图说明：
[0015]为了更清楚地说明本专利技术实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍。显而易见地，下面描述中的附图是本专利技术的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
[0016]附图1是一种基于随机端口的出网反连检测方法的流程示意图。
具体实施方案：
[0017]为了使本
的人员更好的理解本专利技术的方案，下面结合具体的实施方式对本专利技术作进一步的详细说明。显然，所描述的实施例仅仅是本专利技术一部分实施例，而不是全部的实施例。基于本专利技术中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例都属于本专利技术保护的范围。
[0018]下面给出一个最佳实施例：
[0019]如图1所示，本实施例中的一种基于随机端口的出网反连检测方法，在对渗透目标主机的无回显漏洞进行漏洞检测时，控制渗透目标主机对指定服务器的指定端口进行访问，通过在指定服务器抓到特定报文包证明漏洞的存在。
[0020]在渗透目标对指定服务器发起的TCP的连接无论是否失败，都不会影响待检测漏洞的探测结果。同时对于任何传输层是TCP协议的反连，都可以使用本技术进行漏洞检测。而本文所使用的随机端口相比于固定端口被干扰的可能性较小。此外，相比于传统反连使用标志的技术，本技术使用随机端口的方法会显著减少漏洞检测过程被发现的可能性。
[0021]具体步骤为：
[0022]在对渗透目标主机进行无回显漏洞的漏洞检测前，首先我们需要控制一个反连服务器。该指定服务器为渗透人员控制的服务器，可以对发往该服务器的报文进行捕获并获得其中的信息。
[0023]在对目标渗透主机进行无回显的漏洞检测时，首先反连服务器准备一个端口，该端口被指定为渗透目标主机进行反连操作时的指定端口。此服务器的指定端口为一个随机的非常用大数字端口，防止在捕获该端口的报文信息时存在过多的干扰信息。
[0024]然后根据随机端口生成一个攻击载荷，该攻击载荷根据服务器的指定端口生成，目的是为了让渗透目标主机发起对渗透人员控制的服务器进行访问，因此编写的特定攻击载荷。
[0025]渗透人员通过待检测漏洞，在控制渗透目标主机对指定服务器的指定端口进行访问时，根据之前根据随机端口生成的攻击载荷，将其发送给渗透目标主机。
[0026]渗透目标主机在接受到攻击载荷之后，响应该攻击载荷，根据攻击载荷的内容，访
问指定服务器的指定端口。
[0027]此时由于该随机端口并未开放，所以访问被拒绝，而该拒绝访问信息不会对渗透目标产生任何影响。
[0028]同时反连服务器通过抓包操作抓到该渗透目标主机对反连服务器的随机端口访问，在抓包操作时需要抓取对应端口下SYN三次握手的第一个握手包。
[0029]如果抓到了该对应端口下SYN三次握手的第一个握手包，则证明待检测的漏洞存在，否则则证明该漏洞可能不存在。
[0030]上述具体的实施方式仅是本专利技术具体的个案，本专利技术的专利保护范围包括但不限于上述具体的实施方式，任何符合本专利技术的一种用户登录状态保持方法权利要求书的且任何所述
普通技术人员对其做出的适当变化或者替换，皆应落入本专利技术的专利保护范围。
[0031]尽管已经示出和描述了本专利技术的实施例，对于本领域的普通技术人员而言，可以理解在不脱离本专利技术的原理和精神的情况下可以对这些实施例进行多种变化、修改、替换和变型，本专利技术的范围由所附权利要求及其等同物限定。
本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种基于随机端口的出网反连检测方法，其特征在于，在对待检测目标主机的待检测漏洞进行漏洞检测时，控制所述待检测目标主机对指定IP服务器的指定端口进行访问，若在所述指定IP服务器抓到特定报文包，则漏洞存在。2.根据权利要求1所述的出网反连检测方法，其特征在于，所述指定IP服务器为测试人员拥有的服务器，所述测试人员可以对发往该所述IP服务器的报文进行捕获并获得其中的信息。3.根据权利要求2所述的出网反连检测方法，其特征在于，所述IP服务器的指定端口为一个随机的非常用大数字端口。4.根据权利要求1所述的出网反连检测方法，其特征在于，所述“控制所述待检测目标主...

【专利技术属性】
技术研发人员：姬锦坤，郑海权，鲍晨阳，司红星，
申请(专利权)人：四维创智北京科技发展有限公司，
类型：发明
国别省市：