CN111181911B - 一种口令爆破攻击的防护方法、服务器、设备及介质 - Google Patents

Abstract

本申请涉及网络安全技术领域，公开了一种口令爆破攻击的防护方法、服务器、设备及介质，该方法包括：确认进行口令爆破攻击的攻击方时，封锁被攻击的被攻击方账户和/或所述攻击方；将所述攻击方更新到本地攻击方黑名单，并将更新后的本地攻击方黑名单作为同步黑名单发送给其他服务器，所述本地攻击方黑名单包括攻击方信息和被攻击方账户信息；接收其他服务器发送的同步黑名单，根据接收的同步黑名单更新本地攻击方黑名单；并封锁更新后的本地攻击方黑名单中的各个被攻击方账户和/或攻击方。采用本申请技术方案至少能提高针对分布式口令爆破攻击的防护效率。

Description

一种口令爆破攻击的防护方法、服务器、设备及介质

技术领域

本申请涉及网络安全技术，尤其涉及一种口令爆破攻击的防护方法、服务器、设备及介质。

背景技术

随着互联网的发展，人们的生活与互联网应用越来越紧密，支撑整个互联网的背后，是数以万计的服务器设备。在提供便捷的互联网应用服务时，服务器设备的安全也是变得非常重要。

攻击方对服务器虎视眈眈，入侵渠道不胜枚举，攻击方在找到一个突破点入侵后，往往会继续尝试口令爆破来获取更高更多更全面的服务器账户权限，以进一步扩大攻击面。

现有的口令爆破防护方法，常是在单独的服务器上检测口令失败次数，确定口令失败次数达到指定次数时，封锁受攻击的账户一段时间，但是其常仅在一台服务器上封锁受攻击的账户，进行单机防护，或者仅仅是提醒用户设置安全度更高的口令，但是攻击方会在多台服务器上进行分布式口令爆破攻击，攻击方将爆破字典拆分很多小份，每小份爆破一台服务器，通过大量服务器爆破，仍能达到短时间尝试爆破大量密码字典的效果，因此急需一种针对分布式口令爆破攻击的防护方法。

发明内容

有鉴于此，本申请实施例希望提供一种口令爆破攻击的防护方法、服务器、设备及介质，以至少提高针对分布式口令爆破攻击的防护效率。

第一方面，本申请实施例提供一种口令爆破攻击的防护方法，该方法包括：

确认进行口令爆破攻击的攻击方时，封锁被攻击的被攻击方账户和/或所述攻击方；

将所述攻击方更新到本地攻击方黑名单，并将更新后的本地攻击方黑名单作为同步黑名单发送给其他服务器，所述本地攻击方黑名单包括攻击方信息和被攻击方账户信息；

接收其他服务器发送的同步黑名单，根据接收的同步黑名单更新本地攻击方黑名单；并

封锁更新后的本地攻击方黑名单中的各个被攻击方账户和/或攻击方。

第二方面，本申请实施例提供一服务器，包括：

第一封锁单元，用于确认进行口令爆破攻击的攻击方时，封锁被攻击的被攻击方账户和/或所述攻击方；

第一黑名单同步单元，用于将所述攻击方更新到本地攻击方黑名单，并将更新后的本地攻击方黑名单作为同步黑名单发送给其他服务器，所述本地攻击方黑名单包括攻击方信息和被攻击方账户信息；

第二黑名单同步单元，用于接收其他服务器发送的同步黑名单，根据接收的同步黑名单更新本地攻击方黑名单；并用于封锁更新后的本地攻击方黑名单中的各个被攻击方账户和/或攻击方。

在一种可能的实现方式，所述第二黑名单同步单元还用于：

确定自身的身份为所在区域网络的校验服务器，通过预设工单系统确定所述同步黑名单中的无效攻击；

从所述同步黑名单中删除无效攻击的攻击方信息和被攻击方账户信息，并根据删除后的同步黑名单更新本地攻击方黑名单。

在一种可能的实现方式，所述同步黑名单中包括加密信息，所述加密信息包括时间戳、签名，所述第二黑名单同步单元还用于：

确定所述同步黑名单中的时间戳与当前时间的时间差超过预设接收时间间隔，丢弃所述同步黑名单；

根据所述同步黑名单的时间戳计算所述同步黑名单的签名，确定计算出的签名与所述同步黑名单携带的签名不一致，丢弃所述同步黑名单。

第三方面，本申请实施例提供一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现本申请第一方面所述方法的步骤。

第四方面，本申请实施例提供一种计算机存储介质，所述计算机存储介质中存储有计算机可执行指令，所述计算机可执行指令用于本申请第一方面所述的方法。

本申请实施例至少带来以下有益效果：

采用本申请实施例，至少能提高针对分布式口令爆破的防护效率。

附图说明

图1为本申请实施例中的采用轻量目录访问协议LDAP的网络架构的示意图；

图2为本申请实施例提供的分布式口令爆破攻击的示意图；

图3为本申请实施例提供的一种网络系统架构示意图；

图4为本申请实施例提供的一种在同一区域网络进行口令爆破攻击的防护方法示意图；

图5为本申请实施例提供的不同区域网络间的同步攻击方黑名单时各个区域网络的指定通信服务器和中心服务器之间的交互示意图；

图6为本申请实施例提供的一种在同一区域网络进行攻击方黑名单时，各个服务器的交互示意图；

图7为本申请实施例提供的第三区域网络的架构示意图；

图8为本申请实施例提供的另一种在同一区域网络进行攻击方黑名单时，各个服务器的交互示意图；

图9为本申请实施例提供的一种不同区域网络中攻击黑名单时，各个服务器的交互示意图；

图10为本申请实施例提供的另一种不同区域网络中攻击黑名单时，各个服务器的交互示意图；

图11为本申请实施例提供的一种服务器示意图；

图12为本申请实施例提供的一种设备的示意图。

具体实施方式

为了使本申请的目的、技术方案和优点更加清楚，下面将结合附图对本申请作进一步地详细描述，显然，所描述的实施例仅仅是本申请一部份实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其它实施例，都属于本申请保护的范围。

为了便于本领域技术人员更好地理解本申请的技术方案，下面对本申请涉及的专有名词进行说明：

本发明实施例中术语“和/或”，描述关联对象的关联关系，表示可以存在四种关系，例如，A和/或B，可以表示：单独存在A，单独存在B，同时存在A和B，A和B存在一者即可，这四种情况。字符“/”一般表示前后关联对象是一种“或”的关系。

口令爆破攻击：攻击方攻击目标时把破译用户的口令作为攻击的开始，不断地猜测用户的正确口令，企图以猜测的口令获得机器或者网络的访问权，并能访问到用户有权限访问到的任何资源。

分布式口令爆破攻击：攻击方将爆破字典拆分很多份，每小份针对一台服务器进行口令爆破攻击，通过对大量服务器进行口令爆破攻击，以达到短时间尝试爆破口令的攻击方式。

下面对本申请的设计思想进行说明：

目前，很多攻击方企图以口令爆破的方式对服务器或用户或机器进行攻击，即攻击方在了解用户的账号后，如在了解电子邮件@前的内容，利用一些专用的应用程序强行破解用户的口令，这种方法不受网段限制，攻击方可以采用字典穷举法来破解用户的口令，攻击方可以通过一些应用程序，自动地从电脑字典中取出一个单词，作为用户的口令，再输入给服务器，申请登录用户的账户，若口令错误，就按序取出下一个单词作为口令，进行下一个口令尝试，并一直循环下去，直到找到正确的口令或字典的单词试完为止，由于这个破译过程由计算机程序来自动完成，因而几个小时就可以把上十万条记录的字典里所有单词都尝试一遍。

目前，在管理大规模服务器时，主要采用轻量目录访问协议(LightweightDirectory Access Protocol，LDAP)来解决服务器的认证、授权、计费(Authentication、Authorization、Account，3A)授权，采用单机的插入式验证模块(PluggableAuthentication Module，PAM)模块来防止登录口令爆破攻击。

如图1所示，用户登陆服务器时，服务器的nslcd会携带用户信息到LDAP服务器请求认证和授权，LDAP服务器这里主要是进行用户的权限判断。

面对攻击方发起的口令爆破攻击，现有成熟的方案是采用PAM的指定防护模块pam_tally2.so来防止单机口令爆破。

配置文件/etc/pam.d/sshd，参考配置为：

auth required pam_tally2.so deny＝3 unlock_time＝300 even_deny_rootroot_unlock_time＝300；

上述参考配置的含义为：密码错误3次时，锁定300秒的时间，root用户同样被锁定，且root用户锁定后等待解锁时间为300s。

但是上述pam_tally2模块只能针对单个服务器进行单机的口令爆破攻击的防护，其只能在单个服务器上增加攻击方的时间成本，但由于攻击方可以将爆破口令拆分成若干份，每份大小为单个pam_tally2的配置次数大小，如图2所示，攻击方对服务器1、服务器2和服务器3进行遍历的口令爆破攻击，攻击方先爆破服务器3的口令，在达到限制次数后，转向服务器2，继续爆破口令，达到封锁后再继续转向服务器3；通过分布式口令爆破攻击，从而避开了锁定时间的限制，而目前针对这种分布式口令爆破攻击，还没有比较合适的防护方法。

因此，本申请提供一种口令爆破攻击的防护方法、服务器、设备及介质，以至少提升针对分布式口令爆破攻击的防护效率；在本申请的方案中，首先在各个区域网络间进行攻击方黑名单的同步，任一个账户受到攻击方的攻击时，服务器会封锁该账户和/或者该攻击方，并根据该口令爆破攻击的攻击信息更新本地攻击方黑名单，并将更新后的本地攻击方黑名单作为同步黑名单发送给同一区域网络的其他服务器，通知该区域网络的其他服务器也对该账户和/或该攻击方进行封锁。

在本申请的方案中，各个区域网络中同步攻击方黑名单之后，还可以在不同的区域网络间进行攻击方黑名单的同步，每个区域网络和中心服务器通信，各个区域网络会将各自区域内的同步黑名单上报给中心服务器，并从中心服务器下载最新的同步黑名单，实现同步黑名单跨区域网络的同步；中心服务器会接收各个区域网络上传的同步黑名单，并将各个区域网络上传的同步黑名单进行统一并发送给各个区域网络，其中，任一区域网络可以通过指定服务器与上述中心服务器通信。

为了放过运维人员为测试其他网络安全假扮攻击方进行的口令爆破攻击，本申请的方案中，在每个区域网络中还指定有校验服务器，用于根据预设工单系统删除同步黑名单中由运维人员假扮攻击方进行口令爆破攻击等的无效攻击的信息。

下面结合附图对本申请的技术方案的实施进行详细描述：

基于相同的构思，本申请实施例提供一种网络系统架构图，如图3所示，其中301为该网络系统的中心服务器，302和303分别为第一区域网络和第二区域网络，服务器1、服务器2和服务器3为第一区域网络302中的服务器，服务器4、服务器5和服务器6为第二区域网络303中的服务器。

为了更快速地在同一区域网络同步黑名单，在同一区域网络中的各个服务器，可以通过因特网组管理协议(Internet Group Management Protocol，IGMP)组播的方式加入到该区域网络的组播中，以便在本地攻击黑名单更新后，快速地将更新后的本地攻击黑名单同步到同一区域网络的其他服务器。

为了实现在不同的区域网络间进行攻击方黑名单的同步，本实施例中的每个区域网络都可以和网络系统的中心服务器进行通信，可选地，每个区域网络和中心服务器保持心跳，向中心服务器上报各自网络区域中的攻击黑名单，从中心服务器下载同步黑名单等，以实现攻击黑名单跨网络区域同步。

如图4所示，基于相同的构思，本申请提供一种在同一区域网络进行口令爆破攻击的防护方法，对于某一区域网络而言，对属于该区域网络的任一服务器均包括以下步骤：

步骤S401，确认进行口令爆破攻击的攻击方时，封锁被攻击的被攻击方账户和/或上述攻击方；

其中，上述本地攻击方黑名单中可以但不局限于包括攻击方信息和被攻击方账户信息，上述攻击方信息可以但不局限于包括攻击方的网络地址。

在本步骤中，可以但不局限于通过以下四种封锁方式对被攻击的被攻击方账户和/或上述攻击方进行封锁：

第一种封锁方式：仅针对被攻击的被攻击方账户进行封锁，在这种封锁方式下，可以以应答输入该被攻击方所有的口令为错误的形式封锁该被攻击方账户。

在这种封锁方式下，服务器会应答输入被封锁的被攻击账户的任一口令为错误，其中，上述任一口令可能是正确的口令，也可能是错误的口令。

第二种封锁方式：仅针对攻击方进行封锁，在这种封锁方式下，可以以应答从该攻击方发出的所有口令为错误的形式封锁该攻击方。

在这种封锁方式下，服务器会应答由被封锁的攻击方发出的任一口令为错误，其中，上述任一口令可能是正确的口令，也可能是错误的口令。

第三种封锁方式：同时针对被攻击方账户和攻击方进行封锁，在这种封锁方式下，可以以应答输入该被攻击方账户的所有口令为错误，且应答所有从该攻击方发出的口令为错误的形式进行封锁。

在这种情况下，服务器会应答输入被封锁的被攻击账户的任一口令，以及从被封锁的攻击方发出的任一口令为错误。

第四种封锁方式：仅针对从该攻击方发出的该被攻击方账户的口令进行封锁，在这种封锁方式下，可以以应答由该攻击方输入该被攻击方账户的口令为错误。

步骤S402，将上述攻击方更新到本地攻击方黑名单，并将更新后的本地攻击方黑名单作为同步黑名单发送给同一区域网络的其他服务器；

在本步骤中，可以以组播的方式将上述同步黑名单发送给同一区域网络的其他服务器，以实现在同一区域网络同步攻击方黑名单，使同一区域网络的服务器能共享攻击方信息和被攻击方账户信息。

步骤S403，接收同一区域网络的其他服务器发送的同步黑名单，根据接收的同步黑名单更新本地攻击方黑名单；

在本步骤中，可以接收同一区域网络的其他服务器以组播方式发送的同步黑名单，并根据接受的同步黑名单更新本地攻击方黑名单，以使同一区域网络中的服务器保持一致的本地攻击方黑名单，实现攻击方黑名单在同一区域网络内的共享和同步。

步骤S404，根据更新后的本地攻击方黑名单，封锁更新后的本地攻击方黑名单中的各个被攻击方账户和/或攻击方；

此步骤中可以选择步骤S402中的4种封锁方式中的任意一种或多种，封锁上述各个被攻击账户和/或攻击方，此处不再做重复叙述。

应当说明的是，步骤S403和步骤S401无先后顺序，两者可以同时执行，步骤S402在步骤S401之后执行，步骤S404在步骤S403后执行。

经过上述步骤S401至步骤S404后，每个区域网络中的各个服务器的本地攻击方黑名单实现了同步。

在本申请的方案中，在各个区域网络内部的服务器间同步攻击方黑名单的同时，也可以在各个区域网络间进行跨区域网络的攻击方黑名单的同步，为了能够实现这一目的，在本实施例中预先指定有不同区域网络间攻击方黑名单同步时，与各个区域网络通信的中心服务器，且在每个区域网络中预先指定有与上述中心服务器通信的指定通信服务器，各个区域网络中的指定通信服务器可以在本区域网络中的同步黑名单发生更新时，将更新后的同步黑名单发送给上述中心服务器。

上述中心服务器可以接收任一区域网络发送的同步黑名单，并将同步黑名单转发给除该区域网络外的其他区域网络中，进一步地，中心服务器可以将同步黑名单发送给除该区域网络外的其他区域网络中的指定服务器，上述指定服务器可以是上述指定通信服务器，也可以是其他服务器。

上述中心服务器在接受任一区域网络发送的同步黑名单时，还可以仅将同步黑名单转发给本地攻击方黑名单与该同步黑名单不一致的其他区域网络中的指定服务器，其中，中心服务器可以利用哈希函数计算各个指定服务器的本地攻击方黑名单以及该同步黑名单的哈希值，将该同步黑名单发送给哈希值与该同步黑名单的哈希值不一致的指定服务器。

上述中心服务器可以但不局限于为某一区域网络中的指定通信服务器，也可以是某一区域网络中的指定通信服务器之外的服务器，还可以是上述网络系统中一个单独的不属于任何区域网络的服务器。

在具体的实施中，为加快不同区域网络同步攻击方黑名单的进程，可以在上述网络系统中指定一个中心服务器；为了预防中心服务器因网络连接或电量不足等破坏不同区域网络同步攻击方黑名单的进程的情况出现，可以在整个网络系统中设置至少2个中心服务器，以保证，不同区域网络同步攻击方黑名单的进程正常进行。

如图5所示，给出一个不同区域网络间的同步攻击方黑名单时各个区域网络的指定通信服务器和中心服务器之间的交互图，具体同步攻击黑名单的过程如下：

应当说明的是，图5中的指定通信服务器1、指定通信服务器2和指定通信服务器3分别为不同区域网络的指定通信服务器，中心服务器可以是上述不同区域网络之外的某一服务器。

步骤S501，任一区域网络的指定通信服务器确认本地攻击方黑名单发生更新，封锁更新后的本地攻击方黑名单中的各个被攻击方账户和/或攻击方，并将更新后的本地攻击方黑名单作为同步黑名单发送给中心服务器；

在图5中，指定通信服务器1确认本地攻击方黑名单发生更新，随之将更新后的本地攻击方黑名单作为同步黑名单发送给中心服务器，其中可以根据获知的中心服务器网络地址，将同步黑名单发送给区域网络中指定的中心服务器。

步骤S502，中心服务器根据该指定通信服务器发送的同步黑名单更新本攻击方地黑名单，并将该同步黑名单发送给其他指定通信服务器；

在图5中，中心服务器根据指定通信服务器发送的同步黑名单更新本地攻击方黑名单，同时将同步黑名单发送给指定通信服务器2和指定通信服务器3。

步骤S503，其他指定通信服务器根据中心服务器转发的同步黑名单更新本地攻击方黑名单，并根据更新后的本地攻击方黑名单，封锁更新后的本地攻击方黑名单中的各个被攻击方账户和/或攻击方。

在图5中，指定通信服务器2和指定通信服务器3接收中心服务器转发的同步黑名单，并根据上述同步黑名单更新各自的本地攻击方黑名单，并封锁更新后的本地攻击方黑名单中的各个被攻击账户和/或攻击方。

其中，可以选择步骤S402中的4种封锁方式中的一种或多种，封锁上述各个被攻击账户和/或攻击方，此处不再做重复叙述。

上述步骤S501至步骤S503，实现了现同步黑名单在不同的区域网络间同步，使不同区域网络的服务器都能共享攻击方的信息。

在本申请实施例中，无论是在同一个区域网络进行攻击方黑名单的同步，还是在不同区域网络间进行攻击方黑名单的同步，为了保证各个服务器的本地攻击方黑名单的及时更新，对于任一服务器而言，其均能检测本地攻击方黑名单中各个被攻击方账户和/或攻击方被锁定的时间是否达到设定锁定时间，确定被攻击方账户和/或攻击方被封锁的时间达到上述设定封锁时间，解封被攻击方账户和/或攻击方，并在解封被攻击方账户和/或攻击方之后，对本地攻击方黑名单进行更新，删除解封的被攻击账户信息和/或攻击方信息，其中，具体可以有以下解封被攻击方账户和/或攻击方的方式：

第一种解封方式：针对上述第一种封锁方式，确定任一被攻击方账户被封锁的时间达到设定封锁时间，解封该被攻击方账户，且将该被攻击方账户从本地攻击方黑名单中删除。

在这种解封方式下，任一被攻击方账户从本地攻击方黑名单中删除后，服务器会应答输入该被攻击方账户的正确口令为正确，应答输入该攻击方账户的错误口令为错误。

第二种解封方式：针对上述第二种封锁方式，确定任一攻击方被封锁的时间达到设定封锁时间，解封该攻击方，且将该攻击方从本地攻击方黑名单中删除。

在这种解封方式下，任一攻击方从本地攻击方黑名单中删除后，服务器会应答该攻击方输入的正确口令为正确，应答该攻击方输入的错误口令为错误。

第三种解封方式：针对上述第三种封锁方式，确定被攻击方账户被封锁的时间达到设定封锁时间，且攻击该被攻击方账户的攻击方被封锁的时间也达到设定封锁时间，解封该被攻击方账户以及该攻击方，且将该被攻击方账户以及该攻击方从本地攻击方黑名单中删除。

第四种解封方式：针对上述第四种封锁方式，确定针对由该攻击方发出输入该被攻击方账户的口令封锁的时间达到设定封锁时间，将针对从该攻击方发出的该被攻击方账户的口令进行解封，并将其从本地攻击方黑名单中删除。

本申请给出了四种封锁方式以及对应的四种解封方式，以更好地对攻击方或被攻击方账户进行封锁和解封，本领域的技术人员可根据实际需求选择本申请提供的封锁方式和解封方式，或者选择其它的封锁方式和解封方式对攻击方或被攻击方进行封锁和解封，此处不对封锁方式和解封方式做过多限定。

在本实施例中，在解封被攻击方账户和/或攻击方且对本地攻击方黑名单进行更新后，可以将更新后的本地攻击方黑名单作为同步黑名单发送给同一区域网络的其他服务器，以保证该服务器所在区域网络的各个服务器的本地攻击方黑名单保持一致，进而能保证各个区域网络间的攻击方黑名单保持一致。

由于对于任一服务器而言，其均能检测本地攻击方黑名单中各个被攻击方账户和/或攻击方被锁定的时间是否达到设定锁定时间，因此，也可以在解封被攻击方账户和/或攻击方且对本地攻击方黑名单进行更新后，不将更新后的本地攻击方黑名单作为同步黑名单发送给其他服务器。

在实际管理大规模服务器进行运维测试时，会有运维人员假扮攻击方对一些服务器进行口令爆破攻击以测试上述网络系统其他方面的安全性能等，此时在同步攻击方黑名单时，需要对此类的口令攻击进行放过，为了实现这一目的，本实施例中，在每个区域网络中会指定至少一个校验服务器，在校验服务器上预设工单系统，该预设工单系统可以用于人工确认误报入攻击黑名单的攻击信息、查询攻击黑名单中的攻击信息，以及解除攻击黑名单等。

该预设工单系统可以用于人工确认误报入攻击黑名单的攻击信息时，可以对攻击信息中攻击方的身份进行校验，确认攻击方的身份是合法的运维测试人员时，对该攻击方进行放过，不将其加入本地攻击方黑名单，具体包括：

任一区域网络的任一服务器，根据接收的同步黑名单更新本地攻击方黑名单时，确定自身的身份为校验服务器，首先通过预设工单系统判断同步黑名单中是否存在无效攻击，上述无效攻击可以但不局限于为合法的运维测试人员假扮攻击方，对某一账户进行的攻击。

若存在无效攻击，将上述无效攻击的攻击方信息和被攻击方账户信息从上述同步黑名单中删除，并根据删除后的同步黑名单更新本地攻击方黑名单。

应当说明的是，上述任一区域网络中的校验服务器和指定通信服务器可以为同一个服务器，也可以为不同的服务器；当上述网络系统的中心服务器为某一区域网络中的服务器时，该区域网络的校验服务器和该中心服务器可以为同一个服务器，且网络系统的中心服务器也可以作为校验服务器。

由于很多攻击方会尝试截获服务器发送的同步黑名单，进而对其进行篡改以利用篡改后的同步黑名单欺骗其他服务器，为了防止攻击方篡改同步黑名单的行为，在本申请的方案中，无论是在同一个区域网络间进行攻击方黑名单的同步，还是在不同的区域网络间进行攻击方黑名单的同步，在任一服务器将更新后的本地攻击方黑名单作为同步黑名单，将上述同步黑名单发送给其他服务器之前，都需要利用加密信息对上述同步黑名单进行加密。

上述同步黑名单中包括加密信息，上述加密信息包括时间戳、签名，当对同步黑名单进行加密后，即便上述同步黑名单被攻击方截获，攻击方能正确计算出上述黑名单签名的可能性也极为微小。

对应地，任一服务器在根据任一同步黑名单更新本地攻击方黑名单之前，可以根据该同步黑名单的加密信息判断该同步黑名单是否被攻击方截获篡改，确定该同步黑名单被攻击方截获篡改的可能性较大时，丢弃上述同步黑名单，具体可以但不局限于包括如下两种情况：

丢弃黑名单情况1)任一服务器在根据任一同步黑名单更新本地攻击方黑名单之前，确定上述同步黑名单中的时间戳与当前时间的时间差超过预设接收时间间隔，丢弃上述同步黑名单；

应当理解的是，网络通信中，数据传输的速度较快，若一个同步黑名单发出的时间和被接收的时间间隔多大时，即可认为该同步黑名单极有可能被第三方截获并篡改，因此认为该同步黑名单是一个异常黑名单，进而将其丢弃。

对上述预设接收时间间隔不做过多限定，本领域的技术人员可根据实际需求设置。

丢弃黑名单情况2)任一服务器在根据任一同步黑名单更新本地攻击方黑名单之前，按照预先协商的签名计算方法，根据上述同步黑名单的时间戳计算上述同步黑名单的签名，并判断计算出的签名与上述同步黑名单携带的签名是否一致，若一致，证明该同步黑名单时合法的，若不一致，则证明该同步黑名单极有可能被第三方截获并篡改，因此认为该同步黑名单是一个异常黑名单，进而将其丢弃。

为了便于对本申请方案的理解，以下给出几个示例性的例子对本申请的方案进行示例性的说明：

示例1：同一区域网络间攻击方黑名单的同步

如图3所示，302为第一区域网络，服务器1、服务器2和服务器3为第一区域网络302中的服务器；假设服务1以及账户1遭受了攻击方1攻击，服务器2为该第一区域网络中的校验服务器；

如图6所示，第一区域网络间攻击黑名单的同步如下：

步骤S601，服务器1检测到账户1遭遇攻击方1的口令爆破攻击，封锁账户1以及攻击方1；

步骤S602，服务器1将账户1的账号信息和攻击方1的网络地址更新到本地攻击方黑名单，并将该本地攻击方黑名单作为同步黑名单；

步骤S603，服务器1利用时间戳和签名对该同步黑名单进行加密，并以组播的方式发送给服务器2和服务器3；

在本实施例中，可以按照该区域网络不同服务器间约定的签名计算方法计算该同步黑名单的签名，其中，约定的签名计算方法可以为：sig＝hash("sha256","{$black_user_list}{$timestamp}{$appid}")。

上述字段“timestamp”为时间戳，上述字段“sig”为签名，上述hash代表哈希函数，上述字段“appid”为该区域网络的组播标识，该区域网络的服务器可以根据组播标识接受其他服务器以组播方式发送的数据。

上述“appid”可以由该区域网络内的服务器协商或者其他方式确定，其仅能被该区域网络内的服务器得知，攻击方无法得知，因此“appid”应用在签名计算方法时，攻击方很难在不知道“appid”的情况下计算得到正确的签名，另外，在上述签名计算方法中，使用哈希函数计算后的签名，攻击方截获同步黑名单后，很难逆向计算出正确的“appid”，进而不能根据正确的“appid”伪造或者修改上述同步黑名单，提升了同步黑名单传输过程中的安全性。

步骤S6031，服务器2通过预设工单系统查看该同步黑名单中是否存在无效攻击，确定不存在无效攻击；

在本示例中，假定该同步黑名单中不存在无效攻击，若在实际的实施过程中，确定同步黑名单中存在无效攻击，则从该同步黑名单中删除无效攻击的攻击方信息和被攻击方账户信息后，再进行如下步骤S606。

步骤S604，服务器2和服务器3查看该同步黑名单的时间戳，确定时间戳与当前时间的时间未超过预设接收时间；

在本示例中，假定时间戳与当前时间的时间未超过预设接收时间，若在实际的实施过程中，确定时间戳与当前时间的时间超过预设接收时间，则丢弃该同步黑名单，并不再执行如下步骤S606。

步骤S605，服务器2和服务器3计算该同步黑名单的签名，确定计算出的签名和该同步黑名单的签名一致，进入步骤S606；

在本示例中，假定计算出的签名和该同步黑名单的签名一致，若在实际的实施过程中，确定计算出的签名和该同步黑名单中的签名不一致，则丢弃该同步黑名单，并不再执行如下步骤S606。

步骤S606，服务器2和服务器3根据该同步黑名单更新本地攻击方黑名单。

应当说明的是，对于服务器2而言，步骤S6031和步骤S604以及步骤S605，并无先后顺序。

示例2：指定有中心服务器的同一区域网络间攻击方黑名单的同步

如图7所示，701为第三区域网络，服务器7、服务器8、服务器9和服务器10为第三区域网络701中的服务器，服务器10为第三区域网络的中心服务器，假设指定服务7上账户2遭受了攻击方2攻击，服务器8为该第一区域网络中的校验服务器。

应当说明的是，中心服务器10仅仅是第三区域网络的中心服务器，并不是上述不同区域网络间的中心服务器。

如图8所示，第三区域网络中攻击黑名单的同步如下：

步骤S801，服务器7检测到账户2被攻击方2进行了口令爆破攻击，封锁账户2以及攻击方2；

步骤S802，服务器7将账户2的账号信息和攻击方2的网络地址更新到本地攻击方黑名单，并将该本地攻击方黑名单作为同步黑名单；

步骤S803，服务器7根据作为中心服务器的服务器10的网络地址，将该同步黑名单发送给作为中心服务器的服务器10；

应当说明的是，此处根据网络地址将同步给名单发送给指定的中心服务器10，因此可以不对该黑名单进行加密，也可以在发送同步黑名单之前，可以根据时间戳和签名对同步黑名单进行加密，本领域的技术人员可根据实际需求选用。

步骤S804，服务器10根据服务器7发送的同步黑名单更新本地攻击方黑名单，并将该同步黑名单发送给服务器8和服务器9；

应当说明的是，若在步骤S803中服务器7对同步黑名单进行了加密，则在步骤S804之前，服务器10需要查看该同步黑名单的时间戳以及计算签名，当确定时间戳与当前时间的时间超过预设接收时间，或者计算出的签名和该同步黑名单中的签名不一致时，丢弃该同步黑名单，并且不执行步骤S804。

步骤S805，服务器8通过预设工单系统查看该黑名单中是否存在无效攻击，确定不存在无效攻击；

在本示例中，假定该同步黑名单中不存在无效攻击，若在实际的实施过程中，确定同步黑名单中存在无效攻击，则从该同步黑名单中删除无效攻击的攻击方信息和被攻击方账户信息后，再进行如下步骤S806。

步骤S806，服务器8和服务器9根据该同步黑名单更新本地攻击方黑名单。

应当说明的是，若在步骤S803中服务器7对同步黑名单进行了加密，则在步骤S806之前，服务器8和服务器9需要查看该同步黑名单的时间戳以及计算签名，当确定时间戳与当前时间的时间超过预设接收时间，或者计算出的签名和该同步黑名单中的签名不一致时，丢弃该同步黑名单，并且不执行步骤S806。

对于服务器8而言，步骤S805和步骤S806并无先后顺序。

示例3：不同区域网络间攻击方黑名单的同步

如图3所示，其中301为该服务器系统架构的中心服务器，302和303分别为第一区域网络和第二区域网络，服务器1、服务器2和服务器3为第一区域网络302中的服务器，服务器4、服务器5和服务器6为第二区域网络303中的服务器，假设服务器3和服务器5分别为第一区域网络和第二区域网络的指定通信服务器，同时作为接收中心服务器发送的同步黑名单的指定服务器，服务器3经过步骤S601至步骤S606的过程更新了本地攻击方黑名单。

如图9所示，不同区域网络中攻击黑名单的同步如下：

步骤S901，服务器3将更新后的本地攻击方黑名单作为同步黑名单发送给中心服务器；

在此步骤中，可以根据中心服务器的网络地址，将同步黑名单发送给中心服务器，此处根据网络地址将同步给名单发送给中心服务器，因此可以不对该黑名单进行加密，也可以在发送同步黑名单之前，可以根据时间戳和签名对同步黑名单进行加密，本领域的技术人员可根据实际需求选用。

步骤S902，中心服务器根据同步黑名单更新本地攻击方黑名单；

步骤S903，中心服务器各个指定服务器的本地攻击方黑名单与该同步黑名单是否一致，确定服务器5的本地攻击方黑名单与该同步黑名单不一致；

在本示例中，仅是假定服务器5的本地攻击方黑名单与该同步黑名单不一致，若在实际的实施过程中，若确定不存在本地攻击方黑名单与该同步黑名单不一致的服务器，则舍弃该同步黑名单，并且不执行下述步骤。

此处可以通过哈希函数计算各个指定服务器的本地攻击方黑名单的哈希值，根据计算出的哈希值，确定本地攻击方黑名单与该同步黑名单不一致的服务器。

步骤S904，中心服务器将该同步黑名单发送给服务器5；

步骤S905，服务器5根据该同步黑名单更新本地攻击方黑名单；

步骤S906，服务器5将更新后的本地攻击方黑名单作为同步黑名单，以组播方式发送给服务器4和服务器6；

在此步骤中，可以根据时间戳及签名对该同步黑名单进行加密。

步骤S907，服务器4和服务器6根据服务器5发送的同步黑名单更新本地攻击方黑名单；

应当说明的是，若在步骤S906中服务器5对同步黑名单进行了加密，则在步骤S907之前，服务器4和服务器6需要查看该同步黑名单的时间戳以及计算签名，当确定时间戳与当前时间的时间超过预设接收时间，或者计算出的签名和该同步黑名单中的签名不一致时，丢弃该同步黑名单，并且不执行步骤S907。

示例4：不同区域网络间攻击方黑名单的同步

当整个网络系统中的区域网络的个数不多时，也在不预先设置不同区域网络间的中心服务器的情况下，完成不同区域间攻击方黑名单的同步，参见图10，具体包括：

图10中的指定通信服务器1、指定通信服务器2、指定通信服务器3分别为不同区域网络的指定通信服务器，中心服务器可以是上述不同区域网络之外的某一服务器，指定通信服务器1经过步骤S601至步骤S606的过程更新了本地攻击方黑名单。

步骤S1001，指定通信服务器1将更新后的本地攻击方黑名单作为同步黑名单发送给指定通信服务器2和指定通信服务器3；

在此步骤中，可以根据指定通信服务器2和指定通信服务器3的网络地址，将同步黑名单发送给指定通信服务器2和指定通信服务器3。

在此步骤中，指定通信服务器1还可以根据哈希函数，计算各个指定通信服务器的本地攻击方黑名单，以及该同步黑名单的哈希值，仅将该同步黑名单发送给本地攻击方黑名单的哈希值与该同步黑名单不同的指定通信服务器。

且在发送同步黑名单之前，可以根据时间戳和签名对同步黑名单进行加密，或者不对该同步黑名单进行加密，本领域的技术人员可根据实际需求选用。

步骤S1002，指定通信服务器2、指定通信服务器3根据同步黑名单更新本地攻击方黑名单；

应当说明的是，在指定通信服务器2、指定通信服务器3更新本地攻击方黑名单之后，可以参照上述步骤S906，或者上述步骤S601-S606，或者步骤S801-S806将更新后的本地攻击方黑名单作为同步黑名单，在各自所属的区域网络中进行攻击方黑名单的同步，此处不再重复叙述。

本申请的方法中，任一服务器确认进行口令爆破攻击的攻击方时，不仅对被攻击的被攻击方账户和/或攻击方进行封锁，还将攻击方更新到本地攻击方黑名单，并同步给同一区域网络的服务器，使得同一区域网络的其他服务器也对该被攻击方账户和/或攻击方进行封锁，当攻击方在同一区域网络中进行分布式口令爆破攻击时，本申请的方法明显提高了对同一区域网络中分布式口令爆破攻击的防护效率。

本申请的方法中，任一区域网络的指定通信服务器在本地攻击方黑名单更新后，会将更新后的本地攻击方黑名单作为同步黑名单发送给其他区域网络的指定服务器，进而由上述指定服务器向同区域网络的其他服务器发送上述同步黑名单，使得不同区域网络中的服务器能同时封锁同步黑名单中的被攻击账户和/或攻击方，当攻击方在不同区域网络中进行分布式口令爆破攻击时，本申请的方法明显提高了对不同区域网络中分布式口令爆破攻击的防护效率。

如图11所示，基于相同的构思，本申请实施例还提供一种服务器，包括：

第一封锁单元1101，用于确认进行口令爆破攻击的攻击方时，封锁被攻击的被攻击方账户和/或上述攻击方；

第一黑名单同步单元1102，用于将上述攻击方更新到本地攻击方黑名单，并将更新后的本地攻击方黑名单作为同步黑名单发送给其他服务器，上述本地攻击方黑名单包括攻击方信息和被攻击方账户信息；

第二黑名单同步单元1103，用于接收其他服务器发送的同步黑名单，根据接收的同步黑名单更新本地攻击方黑名单；并用于封锁更新后的本地攻击方黑名单中的各个被攻击方账户和/或攻击方。

作为一种可能的实施方式，上述第一黑名单同步单元还用于：

确定被攻击方账户和/或攻击方被封锁的时间达到设定封锁时间，解封被攻击方账户和/或攻击方；

对本地攻击方黑名单进行更新，删除解封的被攻击方账户信息和/或攻击方信息。

作为一种可能的实施方式，上述第一黑名单同步单元还用于：

将更新后的本地攻击方黑名单作为同步黑名单发送给同一区域网络的其他服务器；或者

将更新后的本地攻击方黑名单作为同步黑名单，发送给同一区域网络的其他服务器和上述区域网络的中心服务器，由上述中心服务器转发到其他区域网络。

第二黑名单同步单元还用于，确定自身的身份为所在区域网络的校验服务器，通过预设工单系统确定上述同步黑名单中的无效攻击；

从上述同步黑名单中删除无效攻击的攻击方信息和被攻击方账户信息，并根据删除后的同步黑名单更新本地攻击方黑名单。

上述同步黑名单中包括加密信息，上述加密信息包括时间戳、签名，上述第二黑名单同步单元还用于：

确定上述同步黑名单中的时间戳与当前时间的时间差超过预设接收时间间隔，丢弃上述同步黑名单；

根据上述同步黑名单的时间戳计算上述同步黑名单的签名，确定计算出的签名与上述同步黑名单携带的签名不一致，丢弃上述同步黑名单。

该服务器作为硬件实体的一个实例如图12所示，该网关包括处理器1201、存储介质1202以及至少一个外部通信接口1203；上述处理器1201、存储介质1202以及外部通信接口1203均通过总线1204连接。

这里需要指出的是：涉及上述装置的描述，与本申请法描述是类似的，同方法的有益效果描述，不做赘述。对于本申请网关实施例中未披露的技术细节，请参照本申请方法实施例的描述。

本发明实施例还提供一种计算机存储介质，上述计算机存储介质中存储有计算机可执行指令，上述计算机可执行指令用于执行上述实施例中任一项的一种局域网中的网关控制方法。

另外，在本申请所提供的几个实施例中，应该理解到，所揭露的设备和方法，可以通过其它的方式实现。以上所描述的设备实施例仅仅是示意性的，例如，上述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，如：多个单元或组件可以结合，或可以集成到另一个系统，或一些特征可以忽略，或不执行。另外，所显示或讨论的各组成部分相互之间的耦合、或直接耦合、或通信连接可以是通过一些接口，设备或单元的间接耦合或通信连接，可以是电性的、机械的或其它形式的。

上述作为分离部件说明的单元可以是、或也可以不是物理上分开的，作为单元显示的部件可以是、或也可以不是物理单元，即可以位于一个地方，也可以分布到多个网络单元上；可以根据实际的需要选择其中的部分或全部单元来实现本实施例方案的目的。

另外，在本申请各实施例中的各功能单元可以全部集成在一个处理单元中，也可以是各单元分别单独作为一个单元，也可以两个或两个以上单元集成在一个单元中；上述集成的单元既可以采用硬件的形式实现，也可以采用硬件加软件功能单元的形式实现。

本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：移动存储设备、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

或者，本申请上述集成的单元如果以软件功能模块的形式实现并作为独立的产品销售或使用时，也可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请实施例的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机、服务器、或者网络设备等)执行本申请各个实施例上述方法的全部或部分。而前述的存储介质包括：移动存储设备、ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应以上述权利要求的保护范围为准。

Claims (9)

1.一种口令爆破攻击的防护方法，其特征在于，该方法包括：

服务器确认进行口令爆破攻击的攻击方时，封锁被攻击的被攻击方账户和/或所述攻击方；

将所述攻击方更新到本地攻击方黑名单，并将更新后的本地攻击方黑名单作为同步黑名单发送给其他服务器，所述本地攻击方黑名单包括攻击方信息和被攻击方账户信息，所述其他服务器为同一区域网络的其他服务器，或者通过中心服务器通信的其他区域网络的服务器，其中，同一区域网络中的各个服务器通过因特网组管理协议组播的方式加入到区域网络的组播中，通过组播的方式将所述同步黑名单发送给同一区域网络的其他服务器；所述中心服务器采用哈希函数确定所述同步黑名单的第一哈希值和所述其他区域网络中各个服务器保存的攻击方黑名单分别对应的第二哈希值，向所述其他区域网络中满足所述第一哈希值不等于所述第二哈希值的服务器发送所述同步黑名单，所述中心服务器为同一区域网络的指定通信服务器；

接收其他服务器发送的同步黑名单，若确定所述同步黑名单中的时间戳与当前时间的时间差超过预设接收时间间隔，则确定所述同步黑名单被第三方截获并篡改，丢弃所述同步黑名单；

若根据所述同步黑名单的时间戳计算所述同步黑名单的签名，确定计算出的签名与所述同步黑名单携带的签名不一致，则丢弃所述同步黑名单；

根据接收的同步黑名单更新本地攻击方黑名单；并

封锁更新后的本地攻击方黑名单中的各个被攻击方账户和/或攻击方。

2.如权利要求1所述的方法，其特征在于，还包括：

确定被攻击方账户和/或攻击方被封锁的时间达到设定封锁时间，解封被攻击方账户和/或攻击方；

对本地攻击方黑名单进行更新，删除解封的被攻击方账户信息和/或攻击方信息。

3.如权利要求1所述的方法，其特征在于，将更新后的本地攻击方黑名单作为同步黑名单发送给其他服务器，包括：

将更新后的本地攻击方黑名单作为同步黑名单发送给同一区域网络的其他服务器；或者

将更新后的本地攻击方黑名单作为同步黑名单，发送给同一区域网络的其他服务器和所述区域网络的中心服务器，由所述中心服务器转发到其他区域网络。

4.如权利要求1所述的方法，其特征在于，接收其他服务器发送的同步黑名单，根据接收的同步黑名单更新本地攻击方黑名单，还包括：

确定自身的身份为所在区域网络的校验服务器，通过预设工单系统确定所述同步黑名单中的无效攻击；

从所述同步黑名单中删除无效攻击的攻击方信息和被攻击方账户信息，并根据删除后的同步黑名单更新本地攻击方黑名单。

5.一种服务器，其特征在于，包括：

第一封锁单元，用于确认进行口令爆破攻击的攻击方时，封锁被攻击的被攻击方账户和/或所述攻击方；

第一黑名单同步单元，用于将所述攻击方更新到本地攻击方黑名单，并将更新后的本地攻击方黑名单作为同步黑名单发送给其他服务器，所述本地攻击方黑名单包括攻击方信息和被攻击方账户信息，所述其他服务器为同一区域网络的其他服务器，或者通过中心服务器通信的其他区域网络的服务器，其中，同一区域网络中的各个服务器通过因特网组管理协议组播的方式加入到区域网络的组播中，通过组播的方式将所述同步黑名单发送给同一区域网络的其他服务器；所述中心服务器采用哈希函数确定所述同步黑名单的第一哈希值和所述其他区域网络中各个服务器保存的攻击方黑名单分别对应的第二哈希值，向所述其他区域网络中满足所述第一哈希值不等于所述第二哈希值的服务器发送所述同步黑名单，所述中心服务器为同一区域网络的指定通信服务器；

第二黑名单同步单元，用于接收其他服务器发送的同步黑名单；若确定所述同步黑名单中的时间戳与当前时间的时间差超过预设接收时间间隔，则确定所述同步黑名单被第三方截获并篡改，丢弃所述同步黑名单；若根据所述同步黑名单的时间戳计算所述同步黑名单的签名，确定计算出的签名与所述同步黑名单携带的签名不一致，则丢弃所述同步黑名单；根据接收的同步黑名单更新本地攻击方黑名单；并用于封锁更新后的本地攻击方黑名单中的各个被攻击方账户和/或攻击方。

6.如权利要求5所述的服务器，其特征在于，所述第一黑名单同步单元还用于：

确定被攻击方账户和/或攻击方被封锁的时间达到设定封锁时间，解封被攻击方账户和/或攻击方；

对本地攻击方黑名单进行更新，删除解封的被攻击方账户信息和/或攻击方信息。

7.如权利要求5所述的服务器，其特征在于，所述第一黑名单同步单元还用于：

将更新后的本地攻击方黑名单作为同步黑名单发送给同一区域网络的其他服务器；或者

将更新后的本地攻击方黑名单作为同步黑名单，发送给同一区域网络的其他服务器和所述区域网络的中心服务器，由所述中心服务器转发到其他区域网络。

8.一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现权利要求1-4中任一权利要求所述方法的步骤。

9.一种计算机存储介质，其特征在于，所述计算机存储介质中存储有计算机可执行指令，所述计算机可执行指令用于执行权利要求1至4任一项所述的方法。

Images