CN110881044B - 一种计算机防火墙动态防御安全平台 - Google Patents

一种计算机防火墙动态防御安全平台 Download PDF

Info

Publication number
CN110881044B
CN110881044B CN201911234568.9A CN201911234568A CN110881044B CN 110881044 B CN110881044 B CN 110881044B CN 201911234568 A CN201911234568 A CN 201911234568A CN 110881044 B CN110881044 B CN 110881044B
Authority
CN
China
Prior art keywords
url
request
confusion
management
verification
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201911234568.9A
Other languages
English (en)
Other versions
CN110881044A (zh
Inventor
史晓龙
朱洪刚
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Hongda Longhe Technology Co ltd
Original Assignee
Beijing Hongda Longhe Technology Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Hongda Longhe Technology Co ltd filed Critical Beijing Hongda Longhe Technology Co ltd
Priority to CN201911234568.9A priority Critical patent/CN110881044B/zh
Publication of CN110881044A publication Critical patent/CN110881044A/zh
Application granted granted Critical
Publication of CN110881044B publication Critical patent/CN110881044B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/02—Standardisation; Integration
    • H04L41/0246—Exchanging or transporting network management information using the Internet; Embedding network management web servers in network elements; Web-services-based protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/06—Management of faults, events, alarms or notifications
    • H04L41/0631—Management of faults, events, alarms or notifications using root cause analysis; using analysis of correlation between notifications, alarms or events based on decision criteria, e.g. hierarchy, tree or time analysis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0815—Network architectures or network communication protocols for network security for authentication of entities providing single-sign-on or federations
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1458—Denial of Service
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Power Engineering (AREA)
  • Computer And Data Communications (AREA)
  • Information Transfer Between Computers (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明公开了一种计算机防火墙动态防御安全平台，通过平台配置Web基础防护、标准防护、高级防护及其他多重安全防护手段，动态混淆前端页面的请求数据与真实URL地址数据，前端数据请求与服务器数据输出均通过数据混淆掩盖真实地址信息，避免外部如自动漏洞扫描入侵、撞库盗用账户、自动化攻击、高级DDOS攻击等网络攻击手段入侵；通过动态防御安全平台的安全防御手段，将被动式安全防护方式提升为主动式安全防护，利用动态封装、动态验证主动封锁系统存在的漏洞，确保服务器数据输出数据URL地址的时效性、唯一性，降低业务交易的安全风险、身份风险，降低应用系统的漏洞入侵风险、违规操作访问风险和数据泄露风险。

Description

一种计算机防火墙动态防御安全平台
技术领域
本发明涉及计算机防火墙技术领域，具体为一种计算机防火墙动态防御安全平台。
背景技术
随着信息安全技术的进步与安全意识的提升，许多企业已经能够有效地对抗各类已知的安全威胁。然而，“安全”一词本身就具有相对性。传统安全机制通常采取“后发制人”的策略，然而在如今快速变化和演进的新兴攻击手段面前，特别是面对基于未知漏洞和模拟合法操作的自动化攻击时，常常会变得束手无收。
当前网络安全机制的脆弱性所带来的后果让人触点惊心。尽管最行各业在安全领域投入大量资金，仍然难以达到令人满意的效果。人们不得不问“原因何在”？
古人说“逆水行舟，不进则退”，而答案恰恰就在这里。传统的安全技术不论是基于签名还是规则，无一例外都需要对已知的恶意行为进行分析，撰写攻击特征签名以行为规则，然后才能针对性的进行阻挡。这就像医疗领域中标准的疾控流程-新的致病细菌出现>研究病理特征>研发对应的特效药>治疗患者。显而易见，这种传统模式难以避免从发现问题到解决问题期间所在“无药可医”的空窗到。当新的漏洞以攻击出现时，网络安全人员则不得不重复这个过程，周而复得，陷入处处被动、疲于奔命的死循环。防守者始终墨守成规，而攻击者的手段却呈现不断变化、持续演进的趋势。传统的安全技术在应对这些潜在的未知威胁方面，可以说是“心有余而力不足”。
为此，本发明提出一种计算机防火墙动态防御安全平台，通过平台增加被保护站点地址，通过平台配置Web基础防护、标准防护、高级防护及其他多重安全防护手段，动态混淆前端页面的请求数据与真实URL地址数据，前端数据请求与服务器数据输出均通过数据混淆掩盖真实地址信息，避免外部如自动漏洞扫描入侵、撞库盗用账户、自动化攻击、高级DDOS攻击等网络攻击手段入侵。
通过动态防御安全平台的安全防御手段，将被动式安全防护方式提升为主动式安全防护，利用动态封装、动态验证主动封锁系统存在的漏洞，确保服务器数据输出数据URL地址的时效性、唯一性，降低业务交易的安全风险、身份风险，降低应用系统的漏洞入侵风险、违规操作访问风险和数据泄露风险。
发明内容
本发明的目的在于提供一种计算机防火墙动态防御安全平台，以解决上述背景技术中提出的问题。
为实现上述目的，本发明提供如下技术方案：
一种计算机防火墙动态防御安全平台，本发明的目的在于提供一种计算机防火墙动态防御安全平台，以解决上述背景技术中提出的问题。
为实现上述目的，本发明提供如下技术方案：一种计算机防火墙动态防御安全平台，包括混淆系统、日志分析系统、验证系统、Portal管理系统、Redis缓存系统和后端业务系统；
所述混淆系统：对所有的请求报文根据需求进行混淆后，重新退回各浏览器端，接受混淆后的URL请求并完成URL的还原；且所述混淆系统包括HTML响应混淆、响应Header头混淆、混淆还原、混淆加密要求、深度混淆和混淆黑白名单；
所述日志分析系统：对混淆系统的请求日志进行分析，用于发现异常访问的IP，并将异常IP登记到Redis缓存系统中；且所述日志分析系统包括用户请求日志、疑似攻击拦截、疑似机器人攻击分析和动态token验证；
所述验证系统：接收混淆系统的重定向，对客户端的请求进行验证并将验证通过后的IP从Redis缓存系统剔除；且所述验证系统包括疑似机器人攻击验证和浏览器真实性验证；
所述Portal管理系统：动态防护管理系统的web管理，提供白名单管理功能、系统参数配置、license管理以及用户角色权限等维护性功能；且所述Portal管理系统包括告警管理、保护设置、配置管理、报表分析和系统管理；
所述Redis缓存系统：用于登记异常IP；
所述后端业务系统：真实业务处理系统。
作为本发明一种优选的技术方案，所述HTML响应混淆、响应Header头混淆、混淆还原、混淆加密要求、深度混淆和混淆黑白名单的详解如下：
(1)HTML响应混淆：是将服务器对客户端的响应报文，并且类型是Content-Type：text/html；的报文进行动态混淆，混淆的类容包括链接类型标签和表单提交类型，其中链接类型标签包括href＝”XXXXX”>、action＝”XXXX”、src＝”xxxxx”和url＝”xxxx”，表单提交类型包括<input name＝”XXX”和<textarea name＝””；不混淆的类容包括图片类、CSS类型和JS类型的标签类型、以“<img”开始的标签且标签内含有“src＝”的图片类型的链接识别、以“<link”开始的标签，且标签内含有“type＝"text/css"”或“rel＝"stylesheet"”的CSS类型的链接识别以及以“<script”开头，且标签内含有“src＝”的JS类型的链接识别；
对所述HTML响应混淆的处理流程包括以下几个步骤：
S1、混淆系统对后端业务系统发给浏览器响应报文进行拦截；
S2、检查当前URL是否属于URL白名单；
S3、如果是则放通拦截；
S4、如果不是则对报文里的链接及输入表单进行混淆；
S5、放通拦截；
(1)响应Header头混淆：是对于服务端返回各客户端的cookie进行混淆，混淆后仍需要保持键值对的格式；
例如cookie值为：name＝hdlhd；password＝hdlh！234；混淆后的应为xxxx＝yyyy；aaa＝bbbb；
(3)混淆还原：是接收客户端混淆后的URL及各种参数的请求，并将混淆还原后推送回后端业务系统；其中，客户端发起的请求包括：混淆+不混淆的请求或参数的组合请求、正常的URL请求或者历史的URL请求；
所述混淆还原处理流程包括以下几个步骤：
S1、混淆系统接收客户端的请求；
S2、混淆系统对请求的URL及参数进行识别，验证它们是否包含混淆系统的特征码；
S3、如果识别成功则进入正常解码流程；
S4、否则进入异常解码流程；
S5、完成；
(4)混淆加密要求：对于混淆的URL只在当前会话有效，以服务器返回各客户的cookie为KEY，如果当前页面没有cookie则使用当前服务器的时间戳为加密KEY；其中，对于使用服务器时间戳为KEY的混淆内容，解码时判断时间戳是否生效，默认时间戳在5分钟内有效；
(5)深度混淆：是对响应页面中的<a>标签和<input>标签在URL和变量混淆的基础上使用异或加密进行全标签加密，并将加密后的密文采用<script>_$hdlh(“密文”)</script>替换原标签的内容，同时在报文的最后加上<script>function_$dcodeHdlh(para){}</script>JS脚本，用于解密；
所述深度混淆的业务流程包括以下几个步骤：
S1、在HMTL响应混淆的基础上；
S2、获取所有的<a>标签和<input>标签；
S3、采用简单的异或加密进行加密处理；
S4、使用<script>_$hdlh(“密文”)</script>标签替换<a>标签和<input>标签；
S5、在响应报文的基础上增加JS的解密函数dcodeHdlh；
S6、完成；
(6)混淆黑白名单：系统可以通过配置的方式指定具体哪些URL不进行混淆，混淆系统对于URL的匹配支持正则匹配的方式；
具体如下：后台混淆系统启动时加载$conf/url.conf配置文件，当url.conf变化时采用openresty-s reload的方式进行重新加载；其中url.conf格式：采用每个URL为一行；
所述混淆黑白名单包括普通业务流程和名单变更流程两个部分，其中，普通业务流程包括以下几个步骤：
S1、混淆系统启动后自动加载$conf/url.conf文件；
S2、混淆系统根据每个请求的URL和url.conf文件进行比较匹配；
S3、如匹配成功则不进行混淆；
S4、如果匹配失败则进行HTML混淆；
S5、将数据报文推送给流量器渲染；
S6、完成；
名单变更流程包括以下几个步骤：
S1、后台管理系统对url.conf进行修改后并且保存；
S2、后台管理系统执行openresty–s reload进行重新加载配置；
S3、完成。
作为本发明一种优选的技术方案，所述用户请求日志、疑似攻击拦截、疑似机器人攻击分析和动态token的详解如下：
(1)用户请求日志：是将nginx的日志以socket的方式写入远程的日志收集系统，其中，日志格式为：页面是否已保护|攻击类型|请求时间|IP|端口|cookie|http_user_agent|http_referer|status状态|request请求|post参数；
所述用户请求日志的业务流程包括以下几个步骤：
S1、在lua中将nginx日志按格式要求拼凑一行记录；
S2、将日志记录发送到分析服务器所在IP和远程端口，其中远程端口为8012端口；
S3、以udp协议发送；
S4、完成；
(2)疑似攻击拦截：混淆系统接收分析系统的指令对异常访问的IP进行拦截处理并重新到验证系统进行二次验证；原客户请求的URL会封装在__hdlh_source_url参数中,原业务系统的POST参数也会原封不动地推回给验证系统，IP地址封装在__hdlh_client_ip参数中；
所述疑似攻击拦截的业务流程包括以下几个步骤：
S1、分析系统将疑似攻击行为的IP登记到Redis缓存系统中；
S2、混淆系统从每次请求中摘取IP地址，并到REDIS中检查当前IP否存在异常记录；
S3、如存在异常记录则将请求重定向到验证系统；
S4、如不存在异常记录则正常走业务流程；
S5、完成；
(3)疑似机器人攻击分析：是采用高频分析发现当前IP请求是否正常，如果行为异常则将IP写入Redis缓存系统中，Redis key格式：attack$ip，如疑似IP为192.168.2.171，则KEY值attack192.168.2.171,值1；有效期为10分钟，10分钟后此自动删除；
(4)动态token验证：使用lua在header_filter_by_lua_file中对请求进行拦截后加上随机token，同时在将token存入Redis缓存系统中，在access_by_lua_file环节验证token是否正常。
作为本发明一种优选的技术方案，所述疑似机器人攻击验证和浏览器真实性验证的详解如下：
(1)疑似机器人攻击验证：接收到混淆模块的客户请求重新定向后，进入验证模式，其中，验证模式的原则为：需要人共参与才能进行完成；验证完成后在Redis中将IP删除，KEY格式attack$ip，如attack192.168.2.171；
(2)浏览器真实性验证：是通过页面加载JS脚本，使用JS验证当前的请求操作是否是浏览器的真实操作，还是后台脚本的请求；
将验证结果POST回$https：//$ip/authchek项目，POST$https：//$ip/authchek？__hdlh_ip＝$ip&__hdlh_chek＝true/false&__hdlh_source_url＝$url；其中，__hdlh_ip表示当前客户端的IP地址，__hdlh_check表示验证是否通过，__hdlh_source_url表示当前所在页面的URL地址。
作为本发明一种优选的技术方案，所述告警管理、保护设置、配置管理、报表分析和系统管理的详解如下：
(1)告警管理：提供系统告警事件的查看和告警解除功能；其中，告警事件包括：高频访问和系统注入；
告警事件以列表的形式展现，列表的内容包括：告警类型、IP、时间、日志情况，提供关键字和IP和时间检索功能；
(2)保护设置：提供站点的保护配置功能，包括基础设置、Web标准设置、高级防护设置、全局设置、后台配置文件修改和其他；
其中，
A、基础设置：提供站点的保护配置功能，点击被保护的站点链接后进入此功能；
具体包括：开启防护设置(开启/停止)，开启后最少得选择“web标准防护”、站点入口、请求无响应策略(重定向站点首页，拒绝，返回空白页)；
B、Web标准设置：提供站点的保护配置功能；
具体包括：URL白名单、IP黑名单、IPCC功能；
C、高级防护设置：
具体包括：启用提交数据隐身功能、启用cookie隐身功能、启用URL隐身功能、cookie反劫持；
D、全局设置：
具体包括：替换主机名、Flash跨域访问、最大上传文件大小、源地址和更改错误页面模板；
E、后台配置文件修改：主要阐明页面上的参数和后台配置文件中的变量对应关系；
F、其他：提供站点的保护配置功能；
具体包括：HTTP头信息设置、允许访问的HTTP请求方法、检查是否打开调试工具、HTTP跳转HTTPS；
启动所述保护设置的注意事项包括：1)、存盘时需校验服务器的IP地址是否正确；2)、存盘前检测服务器是否畅通，并将检测结果提示给用户；3)、列表信息包括：站点名称、站点地址、防护状态、操作，其中防护状态包括防护中和已停止；4)、站点代码自动生成，且不允许用户修改；
(3)配置管理：包括URL白名单管理和IP黑白名单管理；
A、URL白名单管理：提供URL白名单的维护功能；
白名单用于混淆系统识别当前URL是否需要进行混淆，要求支持正则匹配要求；
系统在运行请进行加载到内存，如有修改可以采用如下命令重新加载：
Openresty–s reload
1、存储位置：$openresty/lualib/waf/wafconf/url；
2、格式：一行一条URL；
3、存储成功后执行，openresty–s reload；
B、IP黑白名单管理：提供IP黑白名单的维护功能；
黑名单：拒绝此类IP访问防护站点；
白名单：此类IP访问系统时不做任何防护处理；
列表信息包括：IP、类型；
用户点击保存按钮后,
白名单存储到文件$openresty/lualib/waf/wafconf/whiteip；
黑名单存储到文件$openresty/lualib/waf/wafconf/blackip；
按文本格式存储，一行一条记录；
存储成功后执行，openresty–s reload；
(4)报表分析：提供统计当前系统统计数据；
具体包括：系统请求次数、已保护请求数、异常请求数、已阻止攻击数、提供按时间查询功能；
(5)系统管理：
具体包括：
A、操作日志查询：对于所有后台操作日志的查询；
B、账号管理：主要是针对于登录账号的增删改查进行维护；
C、模块管理：针对于系统模块管理；
D、字典管理；
E、角色管理。
作为本发明一种优选的技术方案，所述动态防御安全平台上还设置有加密算法模块，所述加密算法模块分为URL加密算法以及POST参数加密算法；
其中，
A、URL加密算法：对URL进行混淆后，算法如下：
S1、对URL进行base64编码，定义为P1；
S2、对COOKIE值进行编码，定义为P2；
S3、产生随机数R；
S4、在P1的下标为R的位置插入P2，转成P4；
S5、在P4下标为6的位置登记P1的长度R和P2的长度，格式为：p1的长度是4位，R的长度1位，P2长度3位的数字字符串，转成P5；
S6、剔除URL中的hdlh_token＝XXX的传参；
举例：
P1的base64后的值AAAAAAAAAA；
P2的base64后的值CCCCCC；
R的值3；
P4的值应该是：AAAACCCCCCAAAAAA；
P5的值应该是AAAACCC00103006CCCAAAAAA；
B、POST参数加密算法：对提交的POST参数进行加密，算法如下：
S1、假设参数P；
S2、计算P的字符长度L；
S3、将P按L/进行对调P2,如果长度是基数，将最后一位追加到字符串后面；
S4、将P2进行逆转；
S5、将P2加上hdlh_标识头,并BSAE64编码；
作为本发明一种优选的技术方案，所述的正常解码流程和异常解码流程分别包括以下几个操作步骤：
正常解码流程：
S1、对URL和参数进行解码，并检查当前URL是否在有效时间内；
S2、如果识别成功执行后端正常业务流程；
S3、如果识别不成功则重定向到验证系统；
S4、完成；
异常解码流程：
S1、检查当前的URL是否是白名单；
S2、如果是执行后端正常业务流程；
S3、如果不是则重定向到验证系统；
S4、完成。
一种计算机防火墙动态防御安全平台的操作方法，包括以下几个步骤：
S1、打开PC浏览器，在浏览器地址框输入登录动态防御安全平台所在服务器地址，进入平台登录界面，登录动态防御安全平台需持有账号和密码，输入特定账号、密码及动态验证码即完成登陆；
S2、登陆完成后自动切换到系统概要页面，系统概要页面内容查看系统版本号、编译号，查看当前受保护站点数量信息和集群节点信息；
S3、点击导航栏“告警管理”栏目进入告警管理界面，提供系统告警事件的查看和告警解除功能；
S4、点击导航栏“保护设置”栏目进入保护设置界面功能，提供站点的保护配置功能，包括“启动站点信息配置”，“添加被保护站点”；
S5、点击导航栏“报表分析”栏目进入报表分析界面功能，提供统计当前系统统计数据；
S6、点击导航栏“配置管理”栏目进入配置管理界面功能；
S7、点击导航栏“系统管理”栏目进入系统管理界面功能。
与现有技术相比，本发明的有益效果是：本发明一种计算机防火墙动态防御安全平台，通过平台配置Web基础防护、标准防护、高级防护及其他多重安全防护手段，动态混淆前端页面的请求数据与真实URL地址数据，前端数据请求与服务器数据输出均通过数据混淆掩盖真实地址信息，避免外部如自动漏洞扫描入侵、撞库盗用账户、自动化攻击、高级DDOS攻击等网络攻击手段入侵；通过动态防御安全平台的安全防御手段，将被动式安全防护方式提升为主动式安全防护，利用动态封装、动态验证主动封锁系统存在的漏洞，确保服务器数据输出数据URL地址的时效性、唯一性，降低业务交易的安全风险、身份风险，降低应用系统的漏洞入侵风险、违规操作访问风险和数据泄露风险。
具体实施方式
下面对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
实施例1：本发明提供一种技术方案：一种计算机防火墙动态防御安全平台，包括混淆系统、日志分析系统、验证系统、Portal管理系统、Redis缓存系统和后端业务系统；
所述混淆系统：对所有的请求报文根据需求进行混淆后，重新退回各浏览器端，接受混淆后的URL请求并完成URL的还原；且所述混淆系统包括HTML响应混淆、响应Header头混淆、混淆还原、混淆加密要求、深度混淆和混淆黑白名单；
所述日志分析系统：对混淆系统的请求日志进行分析，用于发现异常访问的IP，并将异常IP登记到Redis缓存系统中；且所述日志分析系统包括用户请求日志、疑似攻击拦截、疑似机器人攻击分析和动态token验证；
所述验证系统：接收混淆系统的重定向，对客户端的请求进行验证并将验证通过后的IP从Redis缓存系统剔除；且所述验证系统包括疑似机器人攻击验证和浏览器真实性验证；
所述Portal管理系统：动态防护管理系统的web管理，提供白名单管理功能、系统参数配置、license管理以及用户角色权限等维护性功能；且所述Portal管理系统包括告警管理、保护设置、配置管理、报表分析和系统管理；
所述Redis缓存系统：用于登记异常IP；
所述后端业务系统：真实业务处理系统。
进一步的，所述HTML响应混淆、响应Header头混淆、混淆还原、混淆加密要求、深度混淆和混淆黑白名单的详解如下：
(1)HTML响应混淆：是将服务器对客户端的响应报文，并且类型是Content-Type：text/html；的报文进行动态混淆，混淆的类容包括链接类型标签和表单提交类型，其中链接类型标签包括href＝”XXXXX”>、action＝”XXXX”、src＝”xxxxx”和url＝”xxxx”，表单提交类型包括<input name＝”XXX”和<textarea name＝””；不混淆的类容包括图片类、CSS类型和JS类型的标签类型、以“<img”开始的标签且标签内含有“src＝”的图片类型的链接识别、以“<link”开始的标签，且标签内含有“type＝"text/css"”或“rel＝"stylesheet"”的CSS类型的链接识别以及以“<script”开头，且标签内含有“src＝”的JS类型的链接识别；
对所述HTML响应混淆的处理流程包括以下几个步骤：
S1、混淆系统对后端业务系统发给浏览器响应报文进行拦截；
S2、检查当前URL是否属于URL白名单；
S3、如果是则放通拦截；
S4、如果不是则对报文里的链接及输入表单进行混淆；
S5、放通拦截；
(2)响应Header头混淆：是对于服务端返回各客户端的cookie进行混淆，混淆后仍需要保持键值对的格式；例如cookie值为：name＝hdlhd；password＝hdlh！234；混淆后的应为xxxx＝yyyy；aaa＝bbbb；
(3)混淆还原：是接收客户端混淆后的URL及各种参数的请求，并将混淆还原后推送回后端业务系统；其中，客户端发起的请求包括：混淆+不混淆的请求或参数的组合请求、正常的URL请求或者历史的URL请求；
所述混淆还原处理流程包括以下几个步骤：
S1、混淆系统接收客户端的请求；
S2、混淆系统对请求的URL及参数进行识别，验证它们是否包含混淆系统的特征码；
S3、如果识别成功则进入正常解码流程；
S4、否则进入异常解码流程；
S5、完成；
(4)混淆加密要求：对于混淆的URL只在当前会话有效，以服务器返回各客户的cookie为KEY，如果当前页面没有cookie则使用当前服务器的时间戳为加密KEY；其中，对于使用服务器时间戳为KEY的混淆内容，解码时判断时间戳是否生效，默认时间戳在5分钟内有效；
(5)深度混淆：是对响应页面中的<a>标签和<input>标签在URL和变量混淆的基础上使用异或加密进行全标签加密，并将加密后的密文采用<script>_$hdlh(“密文”)</script>替换原标签的内容，同时在报文的最后加上<script>function_$dcodeHdlh(para){}</script>JS脚本，用于解密；
所述深度混淆的业务流程包括以下几个步骤：
S1、在HMTL响应混淆的基础上；
S2、获取所有的<a>标签和<input>标签；
S3、采用简单的异或加密进行加密处理；
S4、使用<script>_$hdlh(“密文”)</script>标签替换<a>标签和<input>标签；
S5、在响应报文的基础上增加JS的解密函数dcodeHdlh；
S6、完成；
(6)混淆黑白名单：系统可以通过配置的方式指定具体哪些URL不进行混淆，混淆系统对于URL的匹配支持正则匹配的方式；
具体如下：后台混淆系统启动时加载$conf/url.conf配置文件，当url.conf变化时采用openresty-s reload的方式进行重新加载；其中url.conf格式：采用每个URL为一行；
所述混淆黑白名单包括普通业务流程和名单变更流程两个部分，其中，普通业务流程包括以下几个步骤：
S1、混淆系统启动后自动加载$conf/url.conf文件；
S2、混淆系统根据每个请求的URL和url.conf文件进行比较匹配；
S3、如匹配成功则不进行混淆；
S4、如果匹配失败则进行HTML混淆；
S5、将数据报文推送给流量器渲染；
S6、完成；
名单变更流程包括以下几个步骤：
S1、后台管理系统对url.conf进行修改后并且保存；
S2、后台管理系统执行openresty–s reload进行重新加载配置；
S3、完成。
进一步的，所述用户请求日志、疑似攻击拦截、疑似机器人攻击分析和动态token的详解如下：
(1)用户请求日志：是将nginx的日志以socket的方式写入远程的日志收集系统，其中，日志格式为：页面是否已保护|攻击类型|请求时间|IP|端口|cookie|http_user_agent|http_referer|status状态|request请求|post参数；
所述用户请求日志的业务流程包括以下几个步骤：
S1、在lua中将nginx日志按格式要求拼凑一行记录；
S2、将日志记录发送到分析服务器所在IP和远程端口，其中远程端口为8012端口；
S3、以udp协议发送；
S4、完成；
(2)疑似攻击拦截：混淆系统接收分析系统的指令对异常访问的IP进行拦截处理并重新到验证系统进行二次验证；原客户请求的URL会封装在__hdlh_source_url参数中,原业务系统的POST参数也会原封不动地推回给验证系统，IP地址封装在__hdlh_client_ip参数中；
所述疑似攻击拦截的业务流程包括以下几个步骤：
S1、分析系统将疑似攻击行为的IP登记到Redis缓存系统中；
S2、混淆系统从每次请求中摘取IP地址，并到Redis中检查当前IP否存在异常记录；
S3、如存在异常记录则将请求重定向到验证系统；
S4、如不存在异常记录则正常走业务流程；
S5、完成；
(3)疑似机器人攻击分析：是采用高频分析发现当前IP请求是否正常，如果行为异常则将IP写入Redis缓存系统中，Redis key格式：attack$ip，如疑似IP为192.168.2.171，则KEY值attack192.168.2.171,值1；有效期为10分钟，10分钟后此自动删除；
(4)动态token验证：使用lua在header_filter_by_lua_file中对请求进行拦截后加上随机token，同时在将token存入Redis缓存系统中，在access_by_lua_file环节验证token是否正常。
进一步的，所述疑似机器人攻击验证和浏览器真实性验证的详解如下：
(1)疑似机器人攻击验证：接收到混淆模块的客户请求重新定向后，进入验证模式，其中，验证模式的原则为：需要人共参与才能进行完成；验证完成后在Redis中将IP删除，KEY格式attack$ip，如attack192.168.2.171；
(2)浏览器真实性验证：是通过页面加载JS脚本，使用JS验证当前的请求操作是否是浏览器的真实操作，还是后台脚本的请求；
将验证结果POST回$https：//$ip/authchek项目，POST$https：//$ip/authchek？__hdlh_ip＝$ip&__hdlh_chek＝true/false&__hdlh_source_url＝$url；其中，__hdlh_ip表示当前客户端的IP地址，__hdlh_check表示验证是否通过，__hdlh_source_url表示当前所在页面的URL地址。
进一步的，所述告警管理、保护设置、配置管理、报表分析和系统管理的详解如下：
(1)告警管理：提供系统告警事件的查看和告警解除功能；其中，告警事件包括：高频访问和系统注入；
告警事件以列表的形式展现，列表的内容包括：告警类型、IP、时间、日志情况，提供关键字和IP和时间检索功能；
(2)保护设置：提供站点的保护配置功能，包括基础设置、Web标准设置、高级防护设置、全局设置、后台配置文件修改和其他；
其中，
A、基础设置：提供站点的保护配置功能，点击被保护的站点链接后进入此功能；
具体包括：开启防护设置(开启/停止)，开启后最少得选择“web标准防护”、站点入口、请求无响应策略(重定向站点首页，拒绝，返回空白页)；
B、Web标准设置：提供站点的保护配置功能；
具体包括：URL白名单、IP黑名单、IPCC功能；
C、高级防护设置：
具体包括：启用提交数据隐身功能、启用cookie隐身功能、启用URL隐身功能、cookie反劫持；
D、全局设置：
具体包括：替换主机名、Flash跨域访问、最大上传文件大小、源地址和更改错误页面模板；
E、后台配置文件修改：主要阐明页面上的参数和后台配置文件中的变量对应关系；
F、其他：提供站点的保护配置功能；
具体包括：HTTP头信息设置、允许访问的HTTP请求方法、检查是否打开调试工具、HTTP跳转HTTPS；
启动所述保护设置的注意事项包括：1、存盘时需校验服务器的IP地址是否正确；2存盘前检测服务器是否畅通，并将检测结果提示给用户；3、列表信息包括：站点名称、站点地址、防护状态、操作，其中防护状态包括防护中和已停止；4、站点代码自动生成，且不允许用户修改；
(3)配置管理：包括URL白名单管理和IP黑白名单管理；
A、URL白名单管理：提供URL白名单的维护功能；
白名单用于混淆系统识别当前URL是否需要进行混淆，要求支持正则匹配要求；
系统在运行请进行加载到内存，如有修改可以采用如下命令重新加载：
Openresty–s reload
1、存储位置：$openresty/lualib/waf/wafconf/url；
2、格式：一行一条URL；
3、存储成功后执行，openresty–s reload；
B、IP黑白名单管理：提供IP黑白名单的维护功能；
黑名单：拒绝此类IP访问防护站点；
白名单：此类IP访问系统时不做任何防护处理；
列表信息包括：IP、类型；
用户点击保存按钮后,
白名单存储到文件$openresty/lualib/waf/wafconf/whiteip；
黑名单存储到文件$openresty/lualib/waf/wafconf/blackip；
按文本格式存储，一行一条记录；
存储成功后执行，openresty–s reload；
(4)报表分析：提供统计当前系统统计数据；
具体包括：系统请求次数、已保护请求数、异常请求数、已阻止攻击数、提供按时间查询功能；
(5)系统管理：
具体包括：
A、操作日志查询：对于所有后台操作日志的查询；
B、账号管理：主要是针对于登录账号的增删改查进行维护；
C、模块管理：针对于系统模块管理；
D、字典管理；
E、角色管理。
进一步的，所述动态防御安全平台上还设置有加密算法模块，所述加密算法模块分为URL加密算法以及POST参数加密算法；
其中，
A、URL加密算法：对URL进行混淆后，算法如下：
S1、对URL进行base64编码，定义为P1；
S2、对COOKIE值进行编码，定义为P2；
S3、产生随机数R；
S4、在P1的下标为R的位置插入P2，转成P4；
S5、在P4下标为6的位置登记P1的长度R和P2的长度，格式为：p1的长度是4位，R的长度1位，P2长度3位的数字字符串，转成P5；
S6、剔除URL中的hdlh_token＝XXX的传参；
举例：
P1的base64后的值AAAAAAAAAA；
P2的base64后的值CCCCCC；
R的值3；
P4的值应该是：AAAACCCCCCAAAAAA；
P5的值应该是AAAACCC00103006CCCAAAAAA；
B、POST参数加密算法：对提交的POST参数进行加密，算法如下：
S1、假设参数P；
S2、计算P的字符长度L；
S3、将P按L/进行对调P2,如果长度是基数，将最后一位追加到字符串后面；
S4、将P2进行逆转；
S5、将P2加上hdlh_标识头,并BSAE64编码；
进一步的，权利要求2第(3)条所述的正常解码流程和异常解码流程分别包括以下几个操作步骤：
正常解码流程：
S1、对URL和参数进行解码，并检查当前URL是否在有效时间内；
S2、如果识别成功执行后端正常业务流程；
S3、如果识别不成功则重定向到验证系统；
S4、完成；
异常解码流程：
S1、检查当前的URL是否是白名单；
S2、如果是执行后端正常业务流程；
S3、如果不是则重定向到验证系统；
S4、完成。
一种计算机防火墙动态防御安全平台的操作方法，包括以下几个步骤：
S1、打开PC浏览器，在浏览器地址框输入登录动态防御安全平台所在服务器地址，进入平台登录界面，登录动态防御安全平台需持有账号和密码，输入特定账号、密码及动态验证码即完成登陆；
S2、登陆完成后自动切换到系统概要页面，系统概要页面内容查看系统版本号、编译号，查看当前受保护站点数量信息和集群节点信息；
S3、点击导航栏“告警管理”栏目进入告警管理界面，提供系统告警事件的查看和告警解除功能；
S4、点击导航栏“保护设置”栏目进入保护设置界面功能，提供站点的保护配置功能，包括“启动站点信息配置”，“添加被保护站点”；
S5、点击导航栏“报表分析”栏目进入报表分析界面功能，提供统计当前系统统计数据；
S6、点击导航栏“配置管理”栏目进入配置管理界面功能；
S7、点击导航栏“系统管理”栏目进入系统管理界面功能。
尽管已经示出和描述了本发明的实施例，对于本领域的普通技术人员而言，可以理解在不脱离本发明的原理和精神的情况下可以对这些实施例进行多种变化、修改、替换和变型，本发明的范围由所附权利要求及其等同物限定。

Claims (6)

1.一种计算机防火墙动态防御安全平台，其特征在于：包括混淆系统、日志分析系统、验证系统、Portal管理系统、Redis缓存系统和后端业务系统；
所述混淆系统：对所有的请求报文根据需求进行混淆后，重新退回各浏览器端，接受混淆后的URL请求并完成URL的还原；且所述混淆系统包括HTML响应混淆、响应Header头混淆、混淆还原、混淆加密要求、深度混淆和混淆黑白名单；
所述日志分析系统：对混淆系统的请求日志进行分析，用于发现异常访问的IP，并将异常IP登记到Redis缓存系统中；且所述日志分析系统包括用户请求日志、疑似攻击拦截、疑似机器人攻击分析和动态token验证；
所述验证系统：接收混淆系统的重定向，对客户端的请求进行验证并将验证通过后的IP从Redis缓存系统剔除；且所述验证系统包括疑似机器人攻击验证和浏览器真实性验证；
所述Portal管理系统：动态防护管理系统的web管理，提供白名单管理功能、系统参数配置、license管理以及用户角色权限维护性功能；且所述Portal管理系统包括告警管理、保护设置、配置管理、报表分析和系统管理；
所述Redis缓存系统：用于登记异常IP；
所述后端业务系统：真实业务处理系统；
所述HTML响应混淆、响应Header头混淆、混淆还原、混淆加密要求、深度混淆和混淆黑白名单的详解如下：
HTML响应混淆：是将服务器对客户端的响应报文，并且类型是Content-Type：text/html的报文进行动态混淆，混淆的类容包括链接类型标签和表单提交类型，其中链接类型标签包括href=”XXXXX”>、action=”XXXX”、src=”XXXXX”和url=”XXXX”，表单提交类型包括<input name=”XXX”和<textarea name=””；不混淆的类容包括图片类、CSS类型和JS类型的标签类型、以“<img”开始的标签且标签内含有“src=”的图片类型的链接识别、以“<link”开始的标签，且标签内含有“type="text/css"”或“rel="stylesheet"”的CSS类型的链接识别以及以“<script”开头，且标签内含有“src=”的JS类型的链接识别；
对所述HTML响应混淆的处理流程包括以下几个步骤：
S1、混淆系统对后端业务系统发给浏览器响应报文进行拦截；
S2、检查当前URL是否属于URL白名单；
S3、如果是则放通拦截；
S4、如果不是则对报文里的链接及输入表单进行混淆；
S5、放通拦截；
响应Header头混淆：是对于服务端返回各客户端的cookie进行混淆，混淆后仍需要保持键值对的格式；
（3）混淆还原：是接收客户端混淆后的URL及各种参数的请求，并将混淆还原后推送回后端业务系统；其中，客户端发起的请求包括：混淆+不混淆的请求或参数的组合请求、正常的URL请求或者历史的URL请求；
所述混淆还原处理流程包括以下几个步骤：
S1、混淆系统接收客户端的请求；
S2、混淆系统对请求的URL及参数进行识别，验证它们是否包含混淆系统的特征码；
S3、如果识别成功则进入正常解码流程；
S4、否则进入异常解码流程；
S5、完成；
（4）混淆加密要求：对于混淆的URL只在当前会话有效，以服务器返回各客户的cookie为KEY，如果当前页面没有cookie则使用当前服务器的时间戳为加密KEY；其中，对于使用服务器时间戳为KEY的混淆内容，解码时判断时间戳是否生效，默认时间戳在5分钟内有效；
（5）深度混淆：是对响应页面中的<a>标签和<input>标签在URL和变量混淆的基础上使用异或加密进行全标签加密，并将加密后的密文采用<script>_$hdlh(“密文”)</script>替换原标签的内容，同时在报文的最后加上<script>function _$dcodeHdlh( para ){ }</script> JS脚本，用于解密；
所述深度混淆的业务流程包括以下几个步骤：
S1、在HMTL响应混淆的基础上；
S2、获取所有的<a>标签和<input>标签；
S3、采用简单的异或加密进行加密处理；
S4、使用<script>_$hdlh(“密文”) </script>标签替换<a>标签和<input>标签；
S5、在响应报文的基础上增加JS的解密函数dcodeHdlh ；
S6、完成；
（6）混淆黑白名单：系统可以通过配置的方式指定具体哪些URL不进行混淆，混淆系统对于URL的匹配支持正则匹配的方式；
具体如下：后台混淆系统启动时加载 $conf/url.conf配置文件，当url.conf变化时采用openresty-s reload的方式进行重新加载；其中url.conf格式：采用每个URL为一行；
所述混淆黑白名单包括普通业务流程和名单变更流程两个部分，其中，普通业务流程包括以下几个步骤：
S1、混淆系统启动后自动加载$conf/url.conf文件；
S2、混淆系统根据每个请求的URL和url.conf文件进行比较匹配；
S3、如匹配成功则不进行混淆；
S4、如果匹配失败则进行HTML混淆；
S5、将数据报文推送给流量器渲染；
S6、完成；
名单变更流程包括以下几个步骤：
S1、后台管理系统对url.conf进行修改后并且保存；
S2、后台管理系统执行 openresty–s reload 进行重新加载配置；
S3、完成。
2.根据权利要求1所述的一种计算机防火墙动态防御安全平台，其特征在于：所述用户请求日志、疑似攻击拦截、疑似机器人攻击分析和动态token的详解如下：
（1）用户请求日志：是将nginx的日志以socket的方式写入远程的日志收集系统，其中，日志格式为：页面是否已保护|攻击类型|请求时间|IP|端口|cookie |http_user_agent |http_referer|status状态|request请求|post参数；
所述用户请求日志的业务流程包括以下几个步骤：
S1、在lua中将nginx日志按格式要求拼凑一行记录；
S2、将日志记录发送到分析服务器所在IP和远程端口，其中远程端口为8012端口；
S3、以udp协议发送；
S4、完成；
（2）疑似攻击拦截：混淆系统接收分析系统的指令对异常访问的IP进行拦截处理并重新到验证系统进行二次验证；原客户请求的URL会封装在__hdlh_source_url参数中,原业务系统的POST参数也会原封不动地推回给验证系统，IP地址封装在__hdlh_client_ip参数中；
所述疑似攻击拦截的业务流程包括以下几个步骤：
S1、分析系统将疑似攻击行为的IP登记到Redis缓存系统中；
S2、混淆系统从每次请求中摘取IP地址，并到Redis缓存系统中检查当前IP 否存在异常记录；
S3、如存在异常记录则将请求重定向到验证系统；
S4、如不存在异常记录则正常走业务流程；
S5、完成；
（3）疑似机器人攻击分析：是采用高频分析发现当前IP请求是否正常，如果行为异常则将IP写入Redis缓存系统中，Redis key格式：attack$ip，有效期为10分钟，10分钟后此IP自动删除；
（4）动态token验证：使用lua在header_filter_by_lua_file中对请求进行拦截后加上随机token，同时在将token存入Redis缓存系统中，在access_by_lua_file环节验证token是否正常。
3.根据权利要求1所述的一种计算机防火墙动态防御安全平台，其特征在于：所述疑似机器人攻击验证和浏览器真实性验证的详解如下：
疑似机器人攻击验证：接收到混淆模块的客户请求重新定向后，进入验证模式，其中，验证模式的原则为：需要人共参与才能进行完成；验证完成后在Redis缓存系统中将IP删除，KEY格式attack$ip；
（2）浏览器真实性验证：是通过页面加载JS脚本，使用JS验证当前的请求操作是否是浏览器的真实操作，还是后台脚本的请求；
将验证结果POST回$https：//$ip/authchek项目，POST $https：//$ip/authchek__hdlh_ip=$ip&__hdlh_chek=true/false&__hdlh_source_url=$url；其中，__hdlh_ip表示当前客户端的IP地址，__hdlh_check表示验证是否通过，__hdlh_source_url表示当前所在页面的URL地址。
4.根据权利要求1所述的一种计算机防火墙动态防御安全平台，其特征在于：所述告警管理、保护设置、配置管理、报表分析和系统管理的详解如下：
（1）告警管理：提供系统告警事件的查看和告警解除功能；其中，告警事件包括：高频访问和系统注入；
告警事件以列表的形式展现，列表的内容包括：告警类型、IP、时间、日志情况，提供关键字和IP和时间检索功能；
（2）保护设置：提供站点的保护配置功能，包括基础设置、Web标准设置、高级防护设置、全局设置、后台配置文件修改和其他；
其中，
A、基础设置：提供站点的保护配置功能，点击被保护的站点链接后进入此功能；
B、Web标准设置：提供站点的保护配置功能；
具体包括：URL白名单、IP黑名单、IPCC功能；
C、高级防护设置：
具体包括：启用提交数据隐身功能、启用cookie隐身功能、启用URL隐身功能、启用cookie反劫持功能；
D、全局设置：
具体包括：替换主机名，设置Flash跨域访问、最大上传文件大小和源地址参数，更改错误页面模板；
E、后台配置文件修改：主要阐明页面上的参数和后台配置文件中的变量对应关系；
F、其他：提供站点的保护配置功能；
具体包括：HTTP头信息设置、允许访问的HTTP请求方法、检查是否打开调试工具、HTTP跳转HTTPS；
启动所述保护设置的注意事项包括：1）、存盘时需校验服务器的IP地址是否正确；2）、存盘前检测服务器是否畅通，并将检测结果提示给用户；3）、列表信息包括：站点名称、站点地址、防护状态、操作，其中防护状态包括防护中和已停止；4）、站点代码自动生成，且不允许用户修改；
（3）配置管理：包括URL白名单管理和IP黑白名单管理；
A、URL白名单管理：提供URL白名单的维护功能；
白名单用于混淆系统识别当前URL是否需要进行混淆，要求支持正则匹配要求；
系统在运行请进行加载到内存，如有修改可以采用如下命令重新加载：
Openresty–s reload
1）、存储位置： $openresty/lualib/waf/wafconf /url；
2）、格式：一行一条URL；
3）、存储成功后执行，openresty–s reload；
B、IP黑白名单管理：提供IP黑白名单的维护功能；
黑名单：拒绝此类IP访问防护站点；
白名单：此类IP访问系统时不做任何防护处理；
列表信息包括：IP、类型；
用户点击保存按钮后,
白名单存储到文件$openresty/lualib/waf/wafconf/whiteip；
黑名单存储到文件$openresty/lualib/waf/wafconf/blackip；
按文本格式存储，一行一条记录；
存储成功后执行，openresty–s reload；
（4）报表分析：提供统计当前系统统计数据；
具体包括：系统请求次数、已保护请求数、异常请求数、已阻止攻击数、提供按时间查询功能；
（5）系统管理：
具体包括：
操作日志查询：对于所有后台操作日志的查询；
账号管理：主要是针对于登录账号的增删改查进行维护；
模块管理：针对于系统模块管理；
字典管理；
角色管理。
5.根据权利要求1所述的一种计算机防火墙动态防御安全平台，其特征在于：所述动态防御安全平台上还设置有加密算法模块，所述加密算法模块分为URL加密算法以及POST参数加密算法；
其中，
A、URL加密算法：对URL进行混淆后，算法如下：
S1、对URL进行base64编码，定义编码结果为P1；
S2、对COOKIE值进行编码，定义编码结果为P2；
S3、产生随机数R；
S4、在P1的下标为R的位置插入P2，转成P4；
S5、在P4下标为6的位置登记P1的长度R和P2的长度，格式为：p1的长度是4位，R的长度1位，P2长度3位的数字字符串，转成P5；
S6、剔除URL 中的hdlh_token=XXX的传参；
B、POST参数加密算法：对提交的POST参数进行加密，算法如下：
S1、假设参数P；
S2、计算P的字符长度L；
S3、将P按L/进行对调P2,如果长度是基数，将最后一位追加到字符串后面；
S4、将P2进行逆转；
S5、将P2加上hdlh_标识头, 并BSAE64编码。
6.根据权利要求1所述的一种计算机防火墙动态防御安全平台，其特征在于：所述的正常解码流程和异常解码流程分别包括以下几个操作步骤：
正常解码流程：
S1、对URL和参数进行解码，并检查当前URL是否在有效时间内；
S2、如果是执行后端正常业务流程；
S3、如果否则重定向到验证系统；
S4、完成；
异常解码流程：
S1、检查当前的URL是否在白名单；
S2、如果是执行后端正常业务流程；
S3、如果不是则重定向到验证系统；
S4、完成。
CN201911234568.9A 2019-12-05 2019-12-05 一种计算机防火墙动态防御安全平台 Active CN110881044B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201911234568.9A CN110881044B (zh) 2019-12-05 2019-12-05 一种计算机防火墙动态防御安全平台

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201911234568.9A CN110881044B (zh) 2019-12-05 2019-12-05 一种计算机防火墙动态防御安全平台

Publications (2)

Publication Number Publication Date
CN110881044A CN110881044A (zh) 2020-03-13
CN110881044B true CN110881044B (zh) 2022-08-09

Family

ID=69730043

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201911234568.9A Active CN110881044B (zh) 2019-12-05 2019-12-05 一种计算机防火墙动态防御安全平台

Country Status (1)

Country Link
CN (1) CN110881044B (zh)

Families Citing this family (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112600855A (zh) * 2020-12-25 2021-04-02 深圳深度探测科技有限公司 一种基于socket参数变换的安全应用方法
CN113364797B (zh) * 2021-06-18 2023-02-03 广东省新一代通信与网络创新研究院 一种防ddos攻击的网络系统
CN114244589A (zh) * 2021-12-07 2022-03-25 国网福建省电力有限公司 一种基于aaa认证、授权信息的智能防火墙及方法
CN114281452A (zh) * 2021-12-13 2022-04-05 瑞数信息技术（上海）有限公司 应用内嵌页面的处理方法、装置、电子设备及可读存储介质
CN114499926A (zh) * 2021-12-13 2022-05-13 广东电力通信科技有限公司 一种智能web防护系统的动态防护方法
CN114553524B (zh) * 2022-02-21 2023-10-10 北京百度网讯科技有限公司 流量数据处理方法、装置、电子设备及网关
CN114785575B (zh) * 2022-04-07 2024-03-15 哈尔滨工业大学 一种安全网关及其创建方法、用户访问内部服务的方法、电子设备及存储介质
CN114500113A (zh) * 2022-04-14 2022-05-13 远江盛邦（北京）网络安全科技股份有限公司 一种js防护方法、系统、电子设备及介质
CN115001830A (zh) * 2022-06-07 2022-09-02 浙江智贝信息科技有限公司 一种防ddos一次性跨域信息全生命周期密态安全系统及方法
CN115065537B (zh) * 2022-06-16 2023-07-07 公安部第三研究所 针对web应用自动化攻击行为的防御系统及动态防御方法
CN115314244B (zh) * 2022-06-27 2023-10-10 深圳开源互联网安全技术有限公司 一种白名单安全防护方法、装置、设备及可读存储介质
CN115102781B (zh) * 2022-07-14 2024-01-09 中国电信股份有限公司 网络攻击处理方法、装置、电子设备和介质
CN115660685B (zh) * 2022-12-15 2023-03-21 中国民航信息网络股份有限公司 一种业务处理方法、装置和系统
CN116611068B (zh) * 2023-07-21 2023-09-29 北京安天网络安全技术有限公司 基于混淆路径的文件扫描方法、电子设备及存储介质

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104243475A (zh) * 2014-09-18 2014-12-24 东软集团股份有限公司 基于web反向代理的动态混淆的方法及系统
CN105871849A (zh) * 2016-04-05 2016-08-17 山东超越数控电子有限公司 一种防火墙系统架构
CN107438079A (zh) * 2017-08-18 2017-12-05 杭州安恒信息技术有限公司 一种网站未知异常行为的检测方法
CN109617917A (zh) * 2019-01-21 2019-04-12 深圳市能信安科技股份有限公司 地址虚拟化Web应用安全防火墙方法、装置和系统
CN110149236A (zh) * 2019-05-31 2019-08-20 广州鑫梦达信息科技有限公司 Web应用防火墙管理系统

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20080222736A1 (en) * 2007-03-07 2008-09-11 Trusteer Ltd. Scrambling HTML to prevent CSRF attacks and transactional crimeware attacks

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104243475A (zh) * 2014-09-18 2014-12-24 东软集团股份有限公司 基于web反向代理的动态混淆的方法及系统
CN105871849A (zh) * 2016-04-05 2016-08-17 山东超越数控电子有限公司 一种防火墙系统架构
CN107438079A (zh) * 2017-08-18 2017-12-05 杭州安恒信息技术有限公司 一种网站未知异常行为的检测方法
CN109617917A (zh) * 2019-01-21 2019-04-12 深圳市能信安科技股份有限公司 地址虚拟化Web应用安全防火墙方法、装置和系统
CN110149236A (zh) * 2019-05-31 2019-08-20 广州鑫梦达信息科技有限公司 Web应用防火墙管理系统

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
动态变换技术防御Struts2 S2-032零日攻击研究;马蔚彦等;《信息安全研究》;20160805(第08期);全文 *

Also Published As

Publication number Publication date
CN110881044A (zh) 2020-03-13

Similar Documents

Publication Publication Date Title
CN110881044B (zh) 一种计算机防火墙动态防御安全平台
Alwan et al. Detection and prevention of SQL injection attack: a survey
Wei et al. Preventing SQL injection attacks in stored procedures
Nagpal et al. A survey on the detection of SQL injection attacks and their countermeasures
CN112182614B (zh) 一种动态Web应用防护系统
CN103166966A (zh) 识别对网站的非法访问请求的方法及装置
Amirtahmasebi et al. A survey of SQL injection defense mechanisms
CN109977673A (zh) 一种基于web网站系统安全的漏洞修复方法及系统
Dharam et al. Runtime monitors for tautology based SQL injection attacks
CN111131303A (zh) 一种请求数据的校验系统和方法
Naderi-Afooshteh et al. Joza: Hybrid taint inference for defeating web application sql injection attacks
WO2018135964A1 (ru) Способ защиты веб-приложений с использованием автоматического построения моделей приложений
Bhateja et al. A review of SQL injection attack and various detection approaches
Aliero et al. Review on SQL injection protection methods and tools
CN113496024B (zh) 一种Web页面的登录方法、装置、存储介质及电子设备
Joshi et al. Encountering sql injection in web applications
Al-Khashab et al. PSIAQOP: preventing SQL injection attacks based on query optimization process
Sharma et al. Explorative study of SQL injection attacks and mechanisms to secure web application database-A
CN108810032A (zh) 一种基于代理的Web跨站安全处理方法
Sheykhkanloo A pattern recognition neural network model for detection and classification of SQL injection attacks
Raj et al. An SQL injection defensive mechanism using reverse insertion technique
Baranov et al. Securing information resources using web application firewalls
Borade et al. Extensive Review of SQLIA‘s Detection and Prevention Techniques
Tellenbach et al. Security of data science and data science for security
George et al. A proposed architecture for query anomaly detection and prevention against SQL injection attacks

Legal Events

Date Code Title Description
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant