探索Web检测算法：从【原创0day缝隙发现〗∪产品天然防护】的自我关环
颁布功夫 2024-08-07编者按：
当下，智能语义分析与AI机械进建算法已成为检测变形及未知攻击的壮大工具。本文从现实案例启程，探求了Web检测算法从原创0day缝隙发现到产品天然防护的关环过程，展示了智能语义分析与AI机械进建在应对复杂及未知网络攻击中的关键作用，为用户网络安全防护提供了新的思虑蹊径。
随着安全产品对缝隙的防护愈加美满，攻击者已经较难利用通常缝隙进行攻击，而是越来越偏差于利用0day缝隙、绕过和变形处置后的payload进行攻击，这些攻击通常可能躲避传统特点检测。
基于署名的传统检测技术固然能急剧响应已知威胁，但在面对新型、未知的攻击手法时显露出其短板，智能语义分析检测算法与AI机械进建算法，为变形以及未知攻击的检测提供强有力的支持。
近日，GA黄金甲金睛安全钻研团队成员在某客户现场进行日常运营中发现一例Web算法号令执行告警，可疑蹊径为/webtools/control/forgotPassword/ProgramExport，该蹊径与今年颁布的CVE-2024-36104的缝隙存在高度的类似性。CVE-2024-36104基于webtools/control/ProgramExport接口，可用于实现肆意号令执行。
GA黄金甲金睛安全钻研团队探索其利用方式，在深刻分析CVE-2024-36104的POC，是由于ControlFilter类中对蹊径限度不当导致攻击者可能绕过后盾职能点的身份验证，补丁对该部门进行了;，%2e等的过滤。但经过钻研发现，在现实的官方代码中，依照补丁的建复方式，并不能齐全建复该缝隙，仍有其他的利用方式绕过权限校验。
对此，我们针对本次新的缝隙利用方式，提交了CNVD（未公开）以及CVE（CVE-2024-38856），近期得到了收录和公开。而在未公开前，内部验证发现，GA黄金甲自主研发的Web检测算法可对此0day进行天然防御，实现从“发现缝隙”到“防御缝隙”的自我关环。
在介绍Web检测算法若何应对未知日益复杂的Web攻击之前，我们先相识缝隙的性质与利用。
? 缝隙的性质 系统、利用法式或服务的缺点、谬误或设计上的不及，使得输入的数据被处置或执行后，产生了非职能预期的了局。 ? 缝隙的触发 在与Web服务交互的过程中，传输恶意payload，导致触发sql注入，号令执行等基础缝隙。
传统的特点检测性质是对已有特点的枚举，通过结合触发点和缝隙类型利用的特点，对数据进行匹配。
缝隙触发的性质即“触发蹊径+基础缝隙”，而Web检测算法检测模型抛开了对触发蹊径的依赖，专一基础缝隙检测自身，扩大检测领域，发现未知威胁。
GA黄金甲Web检测算法可通过预处置和语义+AI的分析，判断当前数据流是否切合某种语法结构（sql语法，bash号令语法等）或特点库，通过对结构内容有害性判断，来鉴别是否是恶意攻击。
如上图所示，Web检测通用流程重要分为三部门：
? 数据处置 通过对数据的智能分析，自动鉴别出编码及体式，进行多种类多层数的自动解码，还原数据原始状态，有效预防各类编码绕过。 ? 语义分析 对强说话个性的攻击，如sql、xss、代码执行等，进行词法-语法-语义鉴别，对代码进行精准行为分析，防护绕过和未知伎俩的利用。 ? 模型训练 针对变形严沉，特点不显著的数据，如加密流量，号令注入等，通过对海量特点的网络和训练，形成特点库，应对复杂流量和未知威胁。
目前，GA黄金甲天阗超融合检测探针（CSP）、天阗威胁分析一体机（TAR）、天清Web利用安全网关（WAF）、天清入侵防御系统（IPS）等多个产品均在原有特点规定检测的基础上，积极进行技术创新，融入Web检测算法，传统特点检测急剧响应已知攻击+Web算法天然防护未知威胁左右开弓，为用户提供更全面更安心的安全防护。
京公网安备11010802024551号