基于TypeScript的网络安全检测系统服务端实现指南

简介基于TypeScript实现的网络安全检测系统服务端源码包面向信息安全、计算机等相关专业在校生适用于课程设计、毕业设计、项目训练或初期演示有助于构建网络安全检测服务端并理解相关检测逻辑。项目代码均测试通过可直接运行或二次修改。包内共63个文件以29个TS源文件为主辅以JSON配置和JS脚本并包含少量CSS、SVG与HTML界面资源总大小仅241KB轻巧精简便于快速部署与阅读。目前已有587人浏览学习。源码采用模块化分层设计划分数据访问、业务服务、路由过滤、工具及配置等目录同时提供安全检测相关的配置与说明文档可帮助读者快速掌握TypeScript服务端架构、接口组织方式和安全检测功能的具体实现尤其适合作为课设作业、毕设蓝本或入门进阶的参考。1. 基于TypeScript实现的网络安全检测系统服务端先别急着找源码看到“基于TypeScript实现的网络安全检测系统服务端源码.zip”这个标题先把它翻译成人话这是一个课程设计交付物核心是一个用 TypeScript 写的 Node.js 服务端程序它会对指定主机做端口探测、服务识别和风险标记最后产出一份能交给老师评分的检测报告。和很多人的直觉相反这类课设项目根本不需要上 Express、NestJS 这种重量级框架甚至不需要数据库把 Node 内置的 net 模块吃透就足以撑起整条检测链路。选题的人无非三种信息安全专业正在为课程设计发愁的在校生备考软考信息安全工程师想顺手做个真实项目的从业者以及想确认 TypeScript 在安全工具链里到底能干什么的后端开发者。这篇就按我从零搭这样一个服务端源码时的真实路径来拆读完你可以直接照着重做一版。2. 把课题拆成模块检测链路自己先要能讲圆课程设计答辩时老师大概率不看你代码但一定会问“你的检测系统是怎么工作的”。所以动手前先把检测链路拆明白比先写代码重要得多。2.1 服务端源码里的四个必备模块一套能自圆其说的网络检测系统服务端至少要有四个模块输入解析模块、探测引擎、风险匹配模块、报告生成模块。输入解析模块负责把“扫哪个IP、扫哪些端口、超时多久”这类参数变成结构化的任务列表探测引擎是核心负责实际发起网络连接并采集响应风险匹配模块把探测结果和预设的指纹库做比对报告生成模块最后把结果聚合成 HTML。四个模块的依赖关系是单向的解析 - 探测 - 匹配 - 报告。这个顺序同时也是课程设计文档的目录结构每一章对应一个模块答辩时顺着讲不会乱。2.2 检测原理三次握手、服务识别和超时判定探测引擎用到的最基础原理是 TCP Connect 扫描。向目标端口发起一次完整的 TCP 三次握手连接建立成功就说明端口是开放的对方主动拒绝就是关闭长时间没回应则多半是被防火墙丢弃可以标记为 filtered。这种方式实现简单不需要 raw socket也不要求 root 权限对课程设计来说是最稳的选择。服务识别靠的是 Banner 抓取。很多网络服务在客户端连上后会主动发送一段欢迎信息例如 OpenSSH 会回“SSH-2.0-OpenSSH_x.x”Nginx 会在响应头里带“Server: nginx”。探测引擎发一个通用探针然后在一定时间内读取服务端返回的数据再用正则和关键词去匹配指纹库。指纹匹配属于典型的黑匣子问题完全依赖样本覆盖率但课程设计阶段能识别出 SSH、HTTP、Redis、FTP 这四类就够写了。2.3 为什么选 TypeScript 而不是 Python 或 Go选型理由在课程设计报告里也是一节。Python 有现成的 nmap 封装库写起来最快但那个项目绝大多数是调用别人工具代码量撑不起“核心模块设计”这一章Go 适合做并发扫描但协议字节层面的处理要写不少反射代码课设时间往往不够。TypeScript 的优势在于类型系统能把你定义的数据结构直接变成约束ScanTarget、ScanResult 这些接口一旦定下来写探测引擎时根本不可能在端口和状态之间传错类型。再往实际点说TypeScript 的编译期检查替代了大量运行期调试这在处理 Socket 事件流时尤其值钱。写探测引擎时最怕把 connect、timeout、error 三个事件的回调搞乱TS 对联合类型的收窄能力能逼你把每个事件分支写完整编译过了基本逻辑就对了大半。课程设计文档里的“关键技术”一节写 TypeScript 的严格类型检查对网络异常分支的约束作用比写“我用了零拷贝”要好自圆其说得多。3. 搭建服务端工程骨架tsconfig、依赖与最小扫描引擎这一章是能照着抄的部分。先搭工程再写一个能跑通的单端口探测后面扩展成多端口扫描就只是加循环的问题。3.1 package.json依赖宁少勿多类型声明别漏{ name: netsec-server, version: 1.0.0, type: module, engines: { node: 20.11.0 }, scripts: { build: tsc -p tsconfig.json, scan: node dist/main.js }, dependencies: { iconv-lite: ^0.6.3, ipaddr.js: ^2.2.0 }, devDependencies: { types/node: ^22.10.0, typescript: ^5.6.0 } }这是我反复调过的一组依赖。运行时的依赖只有 iconv-lite 和 ipaddr.js 两个前者用来处理老服务返回的 GBK 编码 Banner后者用来解析 IP 网段并生成扫描目标列表。核心探测逻辑完全依赖 Node.js 内置的 net、dns、child_process 模块不再引入任何框架。参数说明type: module决定项目用 ESM 规范配合 TS 5.x 的 NodeNext 模块策略使用engines.node写 20.11 以上是因为新版 TypeScript 的类型声明中对 Node 版本有要求老版本 Node 装上最新 types/node 编译时可能因为 API 签名不一致而报错。devDependencies 里的 typescript 版本不建议低于 5.6原因在 tsconfig 那一节会说。3.2 tsconfig.json别再用会被 TS 7.0 停用的两个旧选项{ compilerOptions: { target: ES2022, module: NodeNext, moduleResolution: NodeNext, outDir: dist, rootDir: src, strict: true, noUncheckedIndexedAccess: true, esModuleInterop: true, skipLibCheck: true, forceConsistentCasingInFileNames: true, sourceMap: true }, include: [src/**/*.ts] }这里的重点不是配了多少选项而是故意没配什么。很多网上拷贝来的 tsconfig 里带着baseUrl: ./和moduleResolution: node10如果你用 TypeScript 5.6 编译控制台会打印警告——选项“baseurl”已弃用并将停止在 TypeScript 7.0 中运行同时moduleResolutionnode10也会在 TS 7.0 被移除。这类弃用项在接触过 vue-tsc 或 React TypeScript 工程的开发者那里应该都见过因为老教程经常这么写。解决方式就是上表里那种配对module用NodeNextmoduleResolution也显式写NodeNext让 TS 走 Node 的 ESM 解析规则。此时源码里的相对导入必须带.js后缀否则编译后运行时找不到模块这是 ESM 的老规矩我第一次切换时也翻过车。noUncheckedIndexedAccess打开后数组和对象的索引访问会被认为是可能为undefined的类型写扫描结果聚合时能强制处理边界情况很适合做协议解析这种容易越界的场景。3.3 最小探测引擎一个端口能不能通三行事件说明白先定义数据结构再写探测函数。// src/types.ts export type PortStatus open | closed | filtered; export interface ScanTarget { host: string; port: number; timeout?: number; } export interface ScanResult extends ScanTarget { status: PortStatus; banner?: string; service?: string; riskLevel: low | medium | high; }// src/scanner.ts import net from node:net; import type { ScanResult, ScanTarget } from ./types.js; const DEFAULT_TIMEOUT 2000; export function probeTcpPort(target: ScanTarget): PromiseScanResult { return new Promise((resolve) { const socket new net.Socket(); const timer setTimeout(() { socket.destroy(); resolve({ ...target, status: filtered, riskLevel: low }); }, target.timeout ?? DEFAULT_TIMEOUT); socket.setTimeout(target.timeout ?? DEFAULT_TIMEOUT); socket.once(connect, () { clearTimeout(timer); socket.end(); resolve({ ...target, status: open, riskLevel: medium }); }); socket.once(timeout, () { clearTimeout(timer); socket.destroy(); resolve({ ...target, status: filtered, riskLevel: low }); }); socket.once(error, (err: NodeJS.ErrnoException) { clearTimeout(timer); resolve({ ...target, status: err.code ECONNREFUSED ? closed : filtered, riskLevel: low }); }); socket.connect(target.port, target.host); }); }逻辑说明probeTcpPort对单个端口做一次 TCP 探测结果通过 Promise 返回。connect 事件触达说明目标端口接受连接error 事件的ECONNREFUSED是端口关闭的标志timeout 和外部定时器分别兜底“半开”和“无响应”两种情况。函数内用 resolve 而不是 reject把所有异常路径都收敛成带状态的结果这样外层聚合代码不需要 try/catch逻辑更干净。参数说明DEFAULT_TIMEOUT设为 2000 毫秒是局域网扫描的推荐值。如果扫描目标在公网或跨运营商这个值要放宽到 3000 到 5000 毫秒不然会大量误报 filtered。socket.setTimeout和外部setTimeout同时存在是双保险前者在数据读写卡住时触发后者兜住 DNS 解析阶段的极端情况。err.code ECONNREFUSED以外的错误码统一归为 filtered常见的EHOSTUNREACH、ENETUNREACH都算这一档。4. 把三张王牌检测能力写出来并发扫描、指纹识别、报告输出单端口能跑通后剩下的就是工程化扩展。这一章写三个核心能力的完整实现每段代码都搂得住可以直接拼进你的服务端源码。4.1 TCP 端口并发扫描用信号量把并发数关进笼子逐端口串行扫描太慢1024 个端口要半小时不加限制地并发又会让进程撞上文件描述符上限。常见做法是维护一个并发池同时最多跑 N 个探测任务。// src/pool.ts export async function runWithConcurrencyT( items: T[], limit: number, worker: (item: T) Promisevoid ): Promisevoid { const queue [...items]; const executing new SetPromisevoid(); while (queue.length 0) { const item queue.shift() as T; const task worker(item).finally(() { executing.delete(task); }); executing.add(task); if (executing.size limit) { await Promise.race(executing); } } await Promise.all(executing); }逻辑说明用 Set 维护正在执行的任务集合。任务被丢进 set 后如果集合大小达到 limit就Promise.race等任意一个先完成然后继续从队列取任务。队列清空后再Promise.all确保剩余任务全部结束。这个实现的优点是内存开销小不需要额外装 p-limit 之类的依赖。参数说明limit 建议取 128这是我在本机和云主机上都验证过的稳定值。低于 64 扫描速度上不去高于 256 时 Node 进程很可能报EMFILE: too many open files尤其在 macOS 上默认文件描述符限制只有 256 的环境里翻车概率极高。worker 回调的返回值设计为Promisevoid结果由闭包变量收集这样并发池只关心“跑完没”不关心“结果是什么”职责单一。配合 main 函数把整个扫描串起来// src/main.ts import { runWithConcurrency } from ./pool.js; import { probeTcpPort } from ./scanner.js; import type { ScanResult } from ./types.js; async function scanHost(host: string, ports: number[]): PromiseScanResult[] { const results: ScanResult[] []; await runWithConcurrency(ports, 128, async (port) { const result await probeTcpPort({ host, port }); if (result.status open) { results.push(result); } }); return results; }这个函数就是同学们写的“输入解析模块 探测引擎”的粘合层。ipaddr.js解析出的网段展开成具体 IP 后对每个 IP 调用一次scanHost整个内网扫描任务就完整了。4.2 Banner 抓取与服务指纹识别探针是重点端口开放只是第一步。接下来抓 Banner判断这台设备跑的是什么服务这是检测报告里看起来最专业的部分。// src/banner.ts import net from node:net; export function readBanner(host: string, port: number, timeout 3000): Promisestring { return new Promise((resolve) { const socket new net.Socket(); let data Buffer.alloc(0); const timer setTimeout(() { socket.destroy(); resolve(data.toString(utf8).trim()); }, timeout); socket.setTimeout(timeout); socket.on(data, (chunk: Buffer) { data Buffer.concat([data, chunk]); // 拿到完整消息头或确认没有更多数据就结束读取 if (data.length 8192 || data.includes(\r\n\r\n)) { clearTimeout(timer); socket.destroy(); resolve(data.toString(utf8).trim()); } }); socket.once(connect, () { // 先发一个通用探测载荷检测 HTTP 与 Redis 两种常见协议 socket.write(Buffer.from(GET / HTTP/1.0\r\n\r\n)); }); socket.once(error, () resolve(data.toString(utf8).trim())); socket.once(timeout, () socket.destroy()); socket.connect(port, host); }); }逻辑说明连接建立后发送一个GET / HTTP/1.0探针。这个探针非常通用HTTP 服务会返回带 Server 头的响应Redis 服务会因协议错误而返回-ERR unknown command GETFTP 和 SSH 则根本没被触发会直接推来它们的欢迎 Banner。data 事件里不断累积字节直到超时或者出现空行结束符。单次读满 8192 字节就强制截断防止恶意服务无限发送数据。参数说明timeout 设为 3000 毫秒是读过一批真实服务后取的中位值——太短拿不全 Redis 的完整响应太长会让整个扫描时间线性放大。data.includes(\r\n\r\n)是针对 HTTP 头结尾的判定如果目标服务没有这个分隔符就一直等到超时自动返回不会死等。指纹匹配用一组正则就够了// src/fingerprint.ts export interface Fingerprint { service: string; pattern: RegExp; riskLevel: low | medium | high; } const FINGERPRINTS: Fingerprint[] [ { service: nginx, pattern: /Server:\s*nginx/i, riskLevel: low }, { service: openssh, pattern: /^SSH-\d\.\d-OpenSSH/i, riskLevel: low }, { service: redis, pattern: /^-ERR|^PONG/i, riskLevel: high }, { service: ftp, pattern: /^220[- ]/i, riskLevel: medium } ]; export function guessService(banner: string): Fingerprint | undefined { return FINGERPRINTS.find((item) item.pattern.test(banner)); }逻辑说明find按数组顺序返回第一个匹配的指纹。数组顺序就是优先级nginx排最前面是因为它的模式最特异Redis 的-ERR排在中间避免误吞其他服务。风险等级这里直接预设Redis 默认端口裸奔就是高危SSH 和 FTP 有暴露面算中危Nginx 这类 Web 服务在校园网场景下属于常规暴露低危处理。4.3 报告聚合与输出HTML 模板里的防转义要过关检测系统最后一步是把收集到的结果变成一份人类能读的报告。常见做法是生成一个自包含的 HTML 文件样式内联直接浏览器打开不需要任何服务端托管。// src/report.ts import type { ScanResult } from ./types.js; function escapeHtml(input: string): string { return input .replace(//g, amp;) .replace(//g, lt;) .replace(//g, gt;) .replace(//g, quot;) .replace(//g, #39;); } export function generateHtml(results: ScanResult[]): string { const title Network Security Detection Report; const body results .map((r) { const service r.service ? escapeHtml(r.service) : unknown; const banner r.banner ? escapeHtml(r.banner.slice(0, 120)) : ; const cls r.riskLevel high ? risk-high : r.riskLevel medium ? risk-medium : risk-low; return tr class${cls}td${escapeHtml(r.host)}/tdtd${r.port}/tdtd${service}/tdtd${banner}/tdtd${r.riskLevel}/td/tr; }) .join(); return !DOCTYPE html html langzh-CN headmeta charsetUTF-8title${title}/title/head body h1${title}/h1 table border1 trthHost/ththPort/ththService/ththBanner/ththRisk/th/tr ${body} /table /body /html; }逻辑说明escapeHtml是这段代码里最容易被人忽略但最关键的函数。Banner 内容是网络对端传来的不可信数据如果对方返回一段scriptalert(1)/script不做转义直接拼进 HTML打开报告时就会执行脚本。这不是论文里的空谈真实扫描公网时我见过返回 XSS 载荷的蜜罐服务。所有字段在进入模板前统一转义是服务端源码必须守住的底线。参数说明banner.slice(0, 120)用来控制报告体量单个 Banner 最长不超过 120 个字符riskLevel直接当文本输出不经过转义字段因为它来自内部枚举而不是外部输入。输出文件写入磁盘后整个检测系统的闭环就完成了输入参数 - 并发探测 - 指纹识别 - 聚合报告。5. 避坑清单从 TS 7.0 弃用项到扫描误报五条血泪经验这一章的价值在于让你不要重走我调试到凌晨的路。以下五条全部按“现象 - 原因 - 解决”写每一条都是从真实运行里踩出来的。5.1 编译警告baseUrl 和 moduleResolutionnode10 被 TS 标记弃用现象node_modules/.bin/tsc编译时命令行打印两行警告——“选项“baseurl”已弃用,并将停止在 typescript 7.0 中运行。指定 compilerOptions...”另一个是moduleResolutionnode10同为弃用状态。原因TypeScript 5.0 之后把模块解析策略规范化了node10旧称 node是为早期 Node 版本保留的兼容模式新项目不该再用baseUrl在路径映射可以脱离它独立配置后也失去了存在价值官方明确在 TS 7.0 移除。旧教程和很多公司老项目里的 tsconfig 都还留着这两个配置照着抄就会中招。解决按上文 3.2 中的 tsconfig 配置module和moduleResolution统一走NodeNext删掉baseUrl。如果你在维护一个 Vite 项目注意 vue-tsc 的旧版本对 TS 5.x 兼容性有限翻车时常表现为“模板类型检查全红”升级 vue-tsc 到最新版再配合新版 TS 就能解决。这个坑在 typescript 面试里也常被拿来当题目。5.2 端口扫描跑到一半进程崩了EMFILE: too many open files现象前 200 个端口正常扫描到第 300 个左右时终端刷出一片EMFILE: too many open files之后所有新连接创建失败结果大面积漏报。原因并发池没设上限或者上限过高。每个 net.Socket 在底层占用一个文件描述符macOS 默认进程限制是 256Linux 一般是 1024。我在第一次实现时图省事用了Promise.all(ports.map(...))1024 个端口同时发起连接直接把 fd 打爆。这个现象在 Windows 上表现为资源不足错误码不同但成因一样。解决用 4.1 里的runWithConcurrency把并发数控制在 128。同时可以在启动服务前用ulimit -n查看当前限制Windows 用户需要检查系统句柄上限。我后来在池子里加了动态降级连续出现 10 次 EMFILE 就把 limit 减半但这属于锦上添花课设里固定 128 就行。5.3 内网扫着挺好的换到公网目标后大量端口变 filtered现象扫描校园网内网 IP 时开放端口抓得挺准把扫描目标换成一台云主机后原本确认开放的 80、443 端口全部变成 filtered报告一片灰。原因2 秒超时在局域网环境下绰绰有余但公网跨运营商 RTT 频繁超过 100 毫秒加上对端设备可能对慢速探测做了限速2 秒远不够完成三次握手和 Banner 抓取。另外云服务商安全组对非白名单 IP 的 SYN 包可能直接丢包表现为连接超时而不是拒绝。解决根据扫描目标动态调整超时。用 ping 先估算 RTT超时时间取max(2000, RTT * 6)。实现上在probeTcpPort里把 timeout 参数透传进去目标属性里的timeout字段就是这个用途。还发现一个细节同时扫描多个公网 IP 时把同网段的请求在时间上打散避免触发目标侧的速率限制否则后半程会大规模超时。5.4 Banner 抓回来是二进制乱码匹配全部落空现象Redis 端口明明开着抓回来的 Banner 显示-ERR unknown command GET v...后面跟着一串\x00\x01\x02之类的不可见字符正则匹配直接失败服务识别成 unknown。原因部分服务在 Banner 里混入了二进制协议字节或者老设备使用 GBK 编码输出文本把响应直接toString(utf8)后乱码字符连成一片正则锚点被破坏。Redis 的-ERR后面会跟版本号版本号里可能含内部调试字节。解决两件事一起做。第一Banner 读取后先做十六进制不可见字符剥离把/[\x00-\x08\x0b\x0c\x0e-\x1f]/g替换成空格再转字符串第二对检测到的非 UTF8 字节序列用 iconv-lite 按 GBK 解码一次做兜底。指纹正则在匹配前先对 Banner 做normalize把连续空白压成单空格匹配率提升明显。5.5 生成的 HTML 报告打开白屏中文全是问号现象报告文件用浏览器打开后页面空白把 HTML 拖进编辑器看内容都正常或者标题和表格中文显示为???。原因两个坎。第一是文件写入时用了fs.writeFileSync默认的 utf8但 HTML 模板里没有声明meta charsetUTF-8浏览器按本地编码猜测失败第二是 Banner 里的非 ASCII 字节在转义时没做编码处理直接写出了非法 UTF8 序列。解决HTML 模板里显式加meta charsetUTF-8这一行写入文件时显式传utf8编码。escapeHtml函数在转义前先做两次无害化先按 5.4 的规则剥离非法字节再对 、、 等字符执行替换。打开报告前用file命令确认编码输出正确可以省很多事。6. 交付前自检三十分钟把系统调到可以演示的状态课程设计答辩的演示环节最怕现场翻车。一个稳定可复现的验证流程比新功能更重要。第一准备一个本地靶机。Docker 运行两个容器一条命令拉起 Nginx 和 Redisdocker run -d -p 8080:80 --name demo-web nginx:alpine docker run -d -p 6379:6379 --name demo-redis redis:alpine --requirepass 注意 Redis 这个启动参数是故意暴露空密码用来模拟典型的“Redis 未授权访问”高危场景扫描结果里应该看到 6379 端口识别为 redis 并标记 high 风险这是答辩时最有讲头的一个发现。Nginx 容器最好映射到 8080 而不是 80避免本地端口冲突。第二扫描结果要用系统级命令交叉验证。打开第二个终端在 Windows 上执行netstat -ano | findstr :6379在 Linux 或 macOS 上执行ss -tlnp | grep 6379对比系统输出和你的报告结果。两者一致说明探测引擎没造假不一致重点检查超时设置和并发数。我自己的习惯是先扫127.0.0.1的 22、80、443、3306、6379 五个端口验证逻辑正确后再扩大到全端口。第三演示顺序固定为“小规模 - 快速 - 可视化”。先扫单机 1024 个端口拿到一份报告再切到网段扫描展示任务进度最后打开报告文件展示风险等级和高亮行。整个过程控制在两分钟内不要现场编译预先npm run build生成 dist直接node dist/main.js启动。这一步是很多人容易忽略的——答辩时打开终端跑tsc编译结果现场报类型错误屏幕一红整个演示就只剩尴尬了。我在做自己的课设时还配了一条自检命令扫描完自动用node --input-typemodule -e import(./dist/report.js)校验生成的报告文件能正常加载防止写入半截文件。这类细节加在文档的“系统测试”一节里评价会比只写“测试通过”高不少。最后说一句私货这套检测系统的指纹识别和风险分级与软考信息安全工程师科目里的密码学、安全协议知识是同一条链路——比如你分析 Redis 未授权时用到的命令识别和 RSA 算法计算题里对密钥结构的解析都是“从响应数据里还原意图”的思维。做课设时把这一层想明白项目做完证书考试的知识点也顺带过了。我自己就是从这门课设开始养成了先定数据结构再写逻辑的习惯这些年写后端服务都受用。希望帮到你。本文还有配套的精品资源点击获取