CN114760078A - 一种防止恶意篡改页面请求参数的方法和系统 - Google Patents

一种防止恶意篡改页面请求参数的方法和系统 Download PDF

Info

Publication number
CN114760078A
CN114760078A CN202210671398.6A CN202210671398A CN114760078A CN 114760078 A CN114760078 A CN 114760078A CN 202210671398 A CN202210671398 A CN 202210671398A CN 114760078 A CN114760078 A CN 114760078A
Authority
CN
China
Prior art keywords
request
encryption
value
parameter
current
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN202210671398.6A
Other languages
English (en)
Other versions
CN114760078B (zh
Inventor
朱贺军
徐振超
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
BEIJING ESAFENET TECHNOLOGY DEVELOPMENT CO LTD
Original Assignee
BEIJING ESAFENET TECHNOLOGY DEVELOPMENT CO LTD
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by BEIJING ESAFENET TECHNOLOGY DEVELOPMENT CO LTD filed Critical BEIJING ESAFENET TECHNOLOGY DEVELOPMENT CO LTD
Priority to CN202210671398.6A priority Critical patent/CN114760078B/zh
Publication of CN114760078A publication Critical patent/CN114760078A/zh
Application granted granted Critical
Publication of CN114760078B publication Critical patent/CN114760078B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3236—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions
    • H04L9/3239—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions involving non-keyed hash functions, e.g. modification detection codes [MDCs], MD5, SHA or RIPEMD
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/90—Details of database functions independent of the retrieved data types
    • G06F16/95—Retrieval from the web
    • G06F16/955—Retrieval from the web using information identifiers, e.g. uniform resource locators [URL]
    • G06F16/9566—URL specific, e.g. using aliases, detecting broken or misspelled links
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/566—Dynamic detection, i.e. detection performed at run-time, e.g. emulation, suspicious activities
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/602—Providing cryptographic facilities or services
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/123—Applying verification of the received information received data contents, e.g. message integrity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • General Physics & Mathematics (AREA)
  • Databases & Information Systems (AREA)
  • Computing Systems (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Data Mining & Analysis (AREA)
  • Bioethics (AREA)
  • Computer And Data Communications (AREA)
  • Information Transfer Between Computers (AREA)

Abstract

本发明涉及计算机网络安全技术领域，公开了一种防止恶意篡改页面请求参数的方法和系统，前台设备在每一个页面请求发送之前获取到请求参数，对请求参数进行加密，并将加密值添加到页面请求中，服务器拦截到该页面请求后，对请求参数进行参数完整性校验、参数长度校验和参数正则校验，未通过任意一个校验步骤的页面请求将被反馈请求失败的信息，全部通过校验后，服务器向前台设备反馈页面文件。本发明更全面的预防参数被恶意篡改，传递请求参数时既有原始参数又有加密之后的参数，能够使研发人员定位问题时直观查看参数，通过正则表达式校验参数，大大扩展了校验的灵活性和覆盖面；参数长度校验给一些特殊情况下的URL请求提供了更好的适应性。

Description

一种防止恶意篡改页面请求参数的方法和系统
技术领域
本发明涉及计算机网络安全技术领域，特别涉及一种防止恶意篡改页面请求参数的方法和系统。
背景技术
随着互联网技术的高速发展和黑客水平的提高，各种互联网中的安全漏洞也更容易被发掘利用，黑客一旦发现这些漏洞可以轻松的实现对一些系统的恶意攻击，造成公司数据或客户信息等重要数据资产的泄露。比如页面请求URL（Uniform Resource Locator，即统一资源定位符，是对可以从互联网上得到的资源的位置和访问方法的一种简洁的表示）中的参数，黑客可以修改成一段恶意的SQL 语句，当后台拿着参数去执行的时候就会造成SQL注入，造成不可想象的后果。
目前，针对黑客这种修改URL参数的恶意攻击，大多是在后台逐个校验参数值是否符合定义好的取值范围，或者是否具有某些特征，有的是直接在前端把参数做一下简单的加密传输，然后后端再解密校验。例如公告号为CN102938041B的中国专利提出一种页面篡改的综合检测方法，即对页面属性匹配、页面元素匹配、页面变化率和页面内容进行检测。
然而，现有技术就存在着种种弊端。首先，对于后台逐个校验参数的做法，恶意攻击者也可以模仿参数特征或者特定取值样式而攻击系统，导致系统瘫痪不可提供服务，而且逐个参数校验对于参数很多的请求时效也比较低。其次，直接在前端把参数加密的话对于研发人员定位问题的话不方便，研发人员调试接口时在前端不能直接查看请求参数的确定值，被动增加了解决问题时间和效率。
发明内容
鉴于现有技术中的上述缺陷或不足，本发明提供了一种防止恶意篡改页面请求参数的方法和系统，能够解决以下技术问题：
（1）直接在前端把请求参数加密之后，研发人员定位问题变得比较繁琐；
（3）简单加密方式可能会被黑客解密然后篡改请求参数；
（2）若对请求参数不加密，黑客直接篡改请求参数攻击系统获取敏感数据或使系统崩溃。
本发明的一个方面，提供了一种防止恶意篡改页面请求参数的方法，包括：
前台设备获取第一页面请求中的原始请求参数，对该原始请求参数进行加密，将原始请求参数加密后的第一加密值添加至第一页面请求，获得含有第一加密值和原始请求参数的第二页面请求；向服务器发送该第二页面请求；
响应于前台设备发送的第二页面请求，服务器采用与获取第一加密值相同的加密方法对接收到的当前页面请求中的当前请求参数进行加密，以获得第二加密值；比较第一加密值和第二加密值，若第一加密值和第二加密值不同，则向前台设备返回请求失败的信息。
进一步的，上述前台设备获取第一页面请求中的原始请求参数，对该原始请求参数进行加密，将原始请求参数加密后的第一加密值添加至第一页面请求的步骤，具体包括：
将获取到的原始请求参数转换为json字符串，对转换得到的json字符串进行base64加密，将base64加密后的字符串进行sha256加密，计算sha256加密后的字符串的第一哈希值；在第一页面请求中增加一个请求头，将该第一哈希值添加至该请求头中。
进一步的，上述服务器采用与获取第一加密值相同的加密方法对接收到的当前页面请求中的当前请求参数进行加密，以获得第二加密值，比较第一加密值和第二加密值，若第一加密值和第二加密值不同，则向前台设备返回请求失败的信息的步骤，具体包括：
对服务器接收到的当前页面请求中的当前请求参数进行URL解码；将URL解码后的当前请求参数转换为json字符串，对转换得到的json字符串进行base64加密，将base64加密后的字符串进行sha256加密，计算sha256加密后的字符串的第二哈希值；比较第一哈希值和第二哈希值，若第一哈希值和第二哈希值不同，则向前台设备返回请求失败的信息。
进一步的，若第一加密值和第二加密值相同，则服务器进一步校验当前请求参数的长度，包括：
读取配置文件获取不需要校验参数长度的URL，若当前页面请求的URL未匹配到该不需要校验参数长度的URL，则判断当前请求参数中各元素的长度是否超过配置文件中预设的长度值，若超过则向前台设备返回请求失败的信息。
进一步的，若当前页面请求的URL匹配到了该不需要校验参数长度的URL，或者，若当前请求参数中各元素的长度未超过配置文件中预设的长度值，则进行当前请求参数的特殊字符校验步骤，包括：
若服务器接收到的当前页面请求中的当前请求参数未与配置文件中预设的正则表达式匹配，则向前台设备返回请求失败的信息，否则向前台设备返回所请求的页面文件。
本发明的另一方面，提供了一种防止恶意篡改页面请求参数的系统，包括：
前台设备，被配置为获取第一页面请求中的原始请求参数，对该原始请求参数进行加密，将原始请求参数加密后的第一加密值添加至第一页面请求，获得含有第一加密值和原始请求参数的第二页面请求；向服务器发送第二页面请求；
服务器，被配置为响应于前台设备发送的第二页面请求，采用与获取第一加密值相同的加密方法对接收到的当前页面请求中的当前请求参数进行加密，以获得第二加密值；比较第一加密值和第二加密值，若第一加密值和第二加密值不同，则向前台设备返回请求失败的信息。
进一步的，上述前台设备被进一步配置为：
将获取到的原始请求参数转换为json字符串，对转换得到的json字符串进行base64加密，将base64加密后的字符串进行sha256加密，计算sha256加密后的字符串的第一哈希值；在第一页面请求中增加一个请求头，将该第一哈希值添加至该请求头中。
进一步的，上述服务器被进一步配置为：
对接收到的当前页面请求中的当前请求参数进行URL解码；将URL解码后的当前请求参数转换为json字符串，对转换得到的json字符串进行base64加密，将base64加密后的字符串进行sha256加密，计算sha256加密后的字符串的第二哈希值；比较第一哈希值和第二哈希值，若第一哈希值和第二哈希值不同，则向前台设备返回请求失败的信息。
进一步的，上述服务器被进一步配置为：
若第一加密值和第二加密值相同，则读取配置文件获取不需要校验参数长度的URL，若当前页面请求的URL未匹配到该不需要校验参数长度的URL，则判断当前请求参数中各元素的长度是否超过配置文件中预设的长度值，若超过则向前台设备返回请求失败的信息。
进一步的，上述服务器被进一步配置为：
若当前页面请求的URL匹配到了该不需要校验参数长度的URL，或者，若当前请求参数中各元素的长度未超过配置文件中预设的长度值，则进行当前请求参数的特殊字符校验，包括：若服务器接收到的当前页面请求中的当前请求参数未与配置文件中预设的正则表达式匹配，则向前台设备返回请求失败的信息，否则向前台设备返回所请求的页面文件。
本发明提供的防止恶意篡改页面请求参数的方法和系统，具有如下有益效果：
（1）服务器（后台设备）通过对请求参数的多重校验，可以更全面的预防参数被恶意篡改；
（2）前台设备传递请求参数时，既有原始参数又有加密之后的参数，一方面能够使研发人员定位问题时可以直观查看参数，另一方面有利于服务器（后台设备）对参数整体的校验，有效防止参数篡改；
（3）作为校验参数的标识是经过多重加密的，可以有效防止黑客解密篡改参数；
（4）服务器（后台设备）的正则表达式校验参数，大大扩展了校验的灵活性和覆盖面；
（5）服务器（后台设备）进行参数长度校验时的URL也是可以配置的，给一些特殊情况下的URL请求提供了更好的适应性。
附图说明
通过阅读参照以下附图对非限制性实施例所作的详细描述，本申请的其它特征、目的和优点将会变得更明显：
图1是本申请一个实施例提供的防止恶意篡改页面请求参数的方法的数据结构图；
图2是本申请一个实施例提供的防止恶意篡改页面请求参数的方法的流程图；
图3是本申请一个实施例提供的防止恶意篡改页面请求参数的系统的结构示意图。
具体实施方式
为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整的描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
在本发明实施例中使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本发明。在本发明实施例和所附权利要求书中所使用的单数形式的“一种”“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。
应当理解，尽管在本发明实施例中可能采用术语第一、第二、第三等来描述获取模块，但这些获取模块不应限于这些术语。这些术语仅用来将获取模块彼此区分开。
取决于语境，如在此所使用的词语“如果”可以被解释成为“在……时”或“当……时”或“响应于确定”或“响应于检测”。类似的，取决于语境，短语“如果确定”或“如果检测（陈述的条件或事件）”可以被解释成为“当确定时”或“响应于确定”或“当检测（陈述的条件或事件）时”或“响应于检测（陈述的条件或事件）”。
需要注意的是，本发明实施例所描述的“上”“下”“左”“右”等方位词是以附图所示的角度来进行描述的，不应理解为对本发明实施例的限定。此外在上下文中，还需要理解的是，当提到一个元件被形成在另一个元件“上”或“下”时，其不仅能够直接形成在另一个元件“上”或者“下”，也可以通过中间元件间接形成在另一元件“上”或者“下”。
本申请涉及网络页面请求过程中如何防止黑客或网络攻击者对请求参数进行修改。作为背景描述，现将网络页面请求的过程描述如下：
当服务器与前台设备（如主机）建立了连接之后，下面前台设备便与服务器进行通信。网页请求是一个单向请求的过程，即是一个前台设备向服务器请求数据，服务器返回相应的数据的过程。浏览器根据 URL 内容生成 HTTP 请求，请求中包含请求文件的位置、请求文件的方式等等；服务器接到请求后，根据 HTTP 请求中的内容来决定如何获取相应的HTML 文件；服务器将得到的 HTML 文件发送给浏览器；在浏览器还没有完全接收 HTML 文件时便开始渲染、显示网页；在执行 HTML 中代码时，根据需要，浏览器会继续请求图片、CSS、JavaScript等文件，其过程与请求 HTML 相同。
参见图1，本发明提供的防止恶意篡改页面请求参数的方法的逻辑是，前台设备在每一个页面请求发送之前获取到请求参数，对请求参数进行加密，并将加密值添加到页面请求中，服务器（后台设备）拦截到该页面请求后，对请求参数进行参数完整性校验、参数长度校验和参数正则校验，未通过任意一个校验步骤的页面请求将被反馈请求失败的信息，全部通过校验后，服务器向前台设备反馈页面文件。
参见图2，本发明一个实施例提供了防止恶意篡改页面请求参数的方法，包括如下步骤：
步骤S101，前台设备获取第一页面请求中的原始请求参数，对该原始请求参数进行加密，将原始请求参数加密后的第一加密值添加至第一页面请求，获得含有第一加密值和原始请求参数的第二页面请求；向服务器发送所述第二页面请求。
具体而言，前台设备先将获取到的页面请求中的请求参数转换为json字符串；然后对转换后的json字符串进行base64加密；再将base64加密后的字符串进行sha256加密；计算sha256加密后字符串的哈希值；在页面请求中新增一个请求头，以任意字符（取什么名字后端获取值的时候就需要写什么）作为参数的key部分，以哈希值作为参数的value部分。上述方法中的原始请求参数是没有改变的，本方法是将请求参数加密处理之后的加密值作为另一个值添加到原始请求参数中。
上述步骤中，作为校验参数的标识是经过多重加密的，可以有效防止黑客解密篡改参数。此外，前台设备传递请求参数时，既有原始参数又有加密之后的参数，既能够使研发人员定位问题时可以直观查看参数，又有利于服务器对参数整体的校验，有效防止参数篡改。
步骤S102，响应于前台设备发送的第二页面请求，服务器采用与获取第一加密值相同的加密方法对接收到的当前页面请求中的当前请求参数进行加密，以获得第二加密值；比较第一加密值和第二加密值，若第一加密值和第二加密值不同，则向前台设备返回请求失败的信息。
具体而言，服务器的请求拦截器会拦截页面请求，读取请求中的参数进行校验。首先进行参数完整性校验，遍历请求参数，获取参数的key值和value值，因为网页请求中浏览器会自动对参数进行URL编码，因此value值需要进行URL解码，将key作为键值和解码后的value作为元素值添加到新建的map（依照键存储元素的容器）集合中。再将map集合转换为json字符串，将json字符串进行base64加密，将base64加密后的字符串进行sha256加密，计算sha256加密后字符串的哈希值。比较前台设备对原始请求参数加密获得的哈希值和服务器对当前请求参数加密获得的哈希值，如果两个值不同表示当前请求参数被篡改，向前台设备返回请求失败的信息，如果两个值是相同的表示请求参数没有被篡改，表示完整性校验成功，可优选的继续进行下一步的校验。
步骤S103，若第一加密值和第二加密值相同，则服务器进一步校验当前请求参数的长度，包括：读取配置文件获取不需要校验参数长度的URL，若当前页面请求的URL未匹配到该不需要校验参数长度的URL，则判断当前请求参数中各元素的长度是否超过配置文件中预设的长度值，若超过则向前台设备返回请求失败的信息。
具体而言，步骤S102中的参数完整性校验通过的话，继续校验参数长度，参数长度可以通过服务器中的配置文件预先设置或缺省设置。首先，读取配置文件获取不需要检验参数长度的URL，如果当前请求的URL匹配到了不需要校验的URL，那么就跳过之后的参数长度校验，进入参数的正则校验，否则读取配置文件中的长度值，遍历步骤S102中的map集合，然后判断当前请求参数的各元素的长度是否超过限制，如果超过那么向页面返回请求失败的信息，如果长度校验通过的话，优选的继续进行下一步正则校验。
上述步骤中，服务器进行参数长度校验时的URL是可以配置的，给一些特殊情况下的URL请求提供了更好的适应性。
步骤S104，若当前页面请求的URL匹配到了该不需要校验参数长度的URL，或者，若当前请求参数中各元素的长度未超过配置文件中预设的长度值，则进行当前请求参数的特殊字符校验步骤，包括：若服务器接收到的当前页面请求中的当前请求参数未与配置文件中预设的正则表达式匹配，则向前台设备返回请求失败的信息，否则向前台设备返回所请求的页面文件。
具体的，若步骤S103中的当前页面请求的URL匹配到了该不需要校验参数长度的URL，或者参数长度校验通过的话，则继续对参数进行特殊字符的正则校验。特殊字符的正则校验也是可以有效预防SQL注入的。特殊字符的正则校验包括：若服务器接收到的当前页面请求中的当前请求参数未与配置文件中预设的正则表达式匹配，则向前台设备返回请求失败的信息，否则向前台设备反馈相应的页面文件。
需要指出的是，用户可根据自身的需要在配置文件中添加符合自己要求的正则表达式，该方法会读取所有的正则表达式然后遍历请求参数，去匹配参数值。使用正则表达式来校验，可以校验多种参数情况，因为正则表达式可以非常全面的匹配很多种规则，进一步提高了该参数校验方法的灵活性和覆盖面。
本发明的上述步骤S101-步骤S104包含了三种校验，原则上使用上述任意一种校验均可有效验证请求参数是否被篡改。更优选的，同时使用上述三种校验的效果最佳，通过对请求参数的多重校验，可以更全面的预防参数被恶意篡改。
参见图3，本发明的另一实施例还提供了一种防止恶意篡改页面请求参数的系统200，包括前台设备201和服务器202，该防止恶意篡改页面请求参数的系统200能够执行方法实施例中的防止恶意篡改页面请求参数的方法。
具体的，防止恶意篡改页面请求参数的系统200包括：
前台设备201，被配置为获取第一页面请求中的原始请求参数，对该原始请求参数进行加密，将原始请求参数加密后的第一加密值添加至第一页面请求，获得含有第一加密值和原始请求参数的第二页面请求；向服务器发送第二页面请求；
服务器202，被配置为响应于上述前台设备发送的第二页面请求，采用与获取第一加密值相同的加密方法对接收到的当前页面请求中的当前请求参数进行加密，以获得第二加密值；比较第一加密值和第二加密值，若第一加密值和第二加密值不同，则向前台设备返回请求失败的信息。
进一步的，前台设备201被进一步配置为：
将获取到的原始请求参数转换为json字符串，对转换得到的json字符串进行base64加密，将base64加密后的字符串进行sha256加密，计算sha256加密后的字符串的第一哈希值；在第一页面请求中增加一个请求头，将第一哈希值添加至该请求头中。
进一步的，服务器202被进一步配置为：
对接收到的当前页面请求中的当前请求参数进行URL解码；将URL解码后的当前请求参数转换为json字符串，对转换得到的json字符串进行base64加密，将base64加密后的字符串进行sha256加密，计算sha256加密后的字符串的第二哈希值；比较第一哈希值和第二哈希值，若第一哈希值和第二哈希值不同，则向前台设备返回请求失败的信息。
进一步的，服务器202被进一步配置为：
若第一加密值和第二加密值相同，则读取配置文件获取不需要校验参数长度的URL，若当前页面请求的URL未匹配到该不需要校验参数长度的URL，则判断当前请求参数中各元素的长度是否超过配置文件中预设的长度值，若超过则向前台设备返回请求失败的信息。
进一步的，服务器202被进一步配置为：
若当前页面请求的URL匹配到了该不需要校验参数长度的URL，或者，若当前请求参数中各元素的长度未超过配置文件中预设的长度值，则进行当前请求参数的特殊字符校验，包括：若服务器接收到的当前页面请求中的当前请求参数未与配置文件中预设的正则表达式匹配，则向前台设备返回请求失败的信息，否则向前台设备返回所请求的页面文件。
需要说明的是，本实施例提供的防止恶意篡改页面请求参数的系统200对应的可用于执行各方法实施例的步骤，其实现原理和技术效果与方法类似，此处不再赘述。
以上描述仅为本发明的较佳实施例。本领域技术人员应当理解，本发明中所涉及的公开范围，并不限于上述技术特征的特定组合而成的技术方案，同时也应涵盖在不脱离上述公开构思的情况下，由上述技术特征或其等同特征进行任意组合而形成的其它技术方案。例如上述特征与本发明中公开的（但不限于）具有类似功能的技术特征进行互相替换而形成的技术方案。

Claims (10)

1.一种防止恶意篡改页面请求参数的方法，其特征在于，包括：
前台设备获取第一页面请求中的原始请求参数，对所述原始请求参数进行加密，将所述原始请求参数加密后的第一加密值添加至所述第一页面请求，获得含有第一加密值和所述原始请求参数的第二页面请求；向服务器发送所述第二页面请求；
响应于所述前台设备发送的所述第二页面请求，服务器采用与获取所述第一加密值相同的加密方法对接收到的当前页面请求中的当前请求参数进行加密，以获得第二加密值；比较所述第一加密值和第二加密值，若第一加密值和第二加密值不同，则向前台设备返回请求失败的信息。
2.根据权利要求1所述的一种防止恶意篡改页面请求参数的方法，其特征在于，所述前台设备获取第一页面请求中的原始请求参数，对所述原始请求参数进行加密，将所述原始请求参数加密后的第一加密值添加至所述第一页面请求的步骤，具体包括：
将获取到的原始请求参数转换为json字符串，对转换得到的json字符串进行base64加密，将base64加密后的字符串进行sha256加密，计算sha256加密后的字符串的第一哈希值；在所述第一页面请求中增加一个请求头，将所述第一哈希值添加至该请求头中。
3.根据权利要求2所述的一种防止恶意篡改页面请求参数的方法，其特征在于，所述服务器采用与获取所述第一加密值相同的加密方法对接收到的当前页面请求中的当前请求参数进行加密，以获得第二加密值，比较所述第一加密值和第二加密值，若第一加密值和第二加密值不同，则向前台设备返回请求失败的信息的步骤，具体包括：
对服务器接收到的当前页面请求中的当前请求参数进行URL解码；将URL解码后的当前请求参数转换为json字符串，对转换得到的json字符串进行base64加密，将base64加密后的字符串进行sha256加密，计算sha256加密后的字符串的第二哈希值；比较第一哈希值和第二哈希值，若第一哈希值和第二哈希值不同，则向前台设备返回请求失败的信息。
4.根据权利要求1所述的一种防止恶意篡改页面请求参数的方法，其特征在于，若第一加密值和第二加密值相同，则服务器进一步校验当前请求参数的长度，包括：
读取配置文件获取不需要校验参数长度的URL，若当前页面请求的URL未匹配到该不需要校验参数长度的URL，则判断当前请求参数中各元素的长度是否超过配置文件中预设的长度值，若超过则向前台设备返回请求失败的信息。
5.根据权利要求4所述的一种防止恶意篡改页面请求参数的方法，其特征在于，若当前页面请求的URL匹配到了该不需要校验参数长度的URL，或者，若当前请求参数中各元素的长度未超过配置文件中预设的长度值，则进行当前请求参数的正则校验步骤，包括：
若服务器接收到的当前页面请求中的当前请求参数未与配置文件中预设的正则表达式匹配，则向前台设备返回请求失败的信息，否则向前台设备返回所请求的页面文件。
6.一种防止恶意篡改页面请求参数的系统，其特征在于，包括：
前台设备，被配置为获取第一页面请求中的原始请求参数，对所述原始请求参数进行加密，将所述原始请求参数加密后的第一加密值添加至所述第一页面请求，获得含有第一加密值和所述原始请求参数的第二页面请求；向服务器发送所述第二页面请求；
服务器，被配置为响应于所述前台设备发送的所述第二页面请求，采用与获取所述第一加密值相同的加密方法对接收到的当前页面请求中的当前请求参数进行加密，以获得第二加密值；比较所述第一加密值和第二加密值，若第一加密值和第二加密值不同，则向前台设备返回请求失败的信息。
7.根据权利要求6所述的一种防止恶意篡改页面请求参数的系统，其特征在于，所述前台设备被进一步配置为：
将获取到的原始请求参数转换为json字符串，对转换得到的json字符串进行base64加密，将base64加密后的字符串进行sha256加密，计算sha256加密后的字符串的第一哈希值；在所述第一页面请求中增加一个请求头，将所述第一哈希值添加至该请求头中。
8.根据权利要求7所述的一种防止恶意篡改页面请求参数的系统，其特征在于，所述服务器被进一步配置为：
对接收到的当前页面请求中的当前请求参数进行URL解码；将URL解码后的当前请求参数转换为json字符串，对转换得到的json字符串进行base64加密，将base64加密后的字符串进行sha256加密，计算sha256加密后的字符串的第二哈希值；比较第一哈希值和第二哈希值，若第一哈希值和第二哈希值不同，则向前台设备返回请求失败的信息。
9.根据权利要求6所述的一种防止恶意篡改页面请求参数的系统，其特征在于，所述服务器被进一步配置为：
若第一加密值和第二加密值相同，则读取配置文件获取不需要校验参数长度的URL，若当前页面请求的URL未匹配到该不需要校验参数长度的URL，则判断当前请求参数中各元素的长度是否超过配置文件中预设的长度值，若超过则向前台设备返回请求失败的信息。
10.根据权利要求9所述的一种防止恶意篡改页面请求参数的系统，其特征在于，所述服务器被进一步配置为：
若当前页面请求的URL匹配到了该不需要校验参数长度的URL，或者，若当前请求参数中各元素的长度未超过配置文件中预设的长度值，则进行当前请求参数的特殊字符校验，包括：若服务器接收到的当前页面请求中的当前请求参数未与配置文件中预设的正则表达式匹配，则向前台设备返回请求失败的信息，否则向前台设备返回所请求的页面文件。
CN202210671398.6A 2022-06-15 2022-06-15 一种防止恶意篡改页面请求参数的方法和系统 Active CN114760078B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202210671398.6A CN114760078B (zh) 2022-06-15 2022-06-15 一种防止恶意篡改页面请求参数的方法和系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202210671398.6A CN114760078B (zh) 2022-06-15 2022-06-15 一种防止恶意篡改页面请求参数的方法和系统

Publications (2)

Publication Number Publication Date
CN114760078A true CN114760078A (zh) 2022-07-15
CN114760078B CN114760078B (zh) 2022-09-06

Family

ID=82336982

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202210671398.6A Active CN114760078B (zh) 2022-06-15 2022-06-15 一种防止恶意篡改页面请求参数的方法和系统

Country Status (1)

Country Link
CN (1) CN114760078B (zh)

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101599118A (zh) * 2009-06-26 2009-12-09 华中师范大学 Html网页篡改检测与定位方法
US20150012974A1 (en) * 2013-07-06 2015-01-08 Newvoicemedia, Ltd. System and methods for tamper proof interaction recording and timestamping
WO2016019790A1 (zh) * 2014-08-04 2016-02-11 优视科技有限公司 一种安装包的校验方法、客户端、服务器及系统
CN106411830A (zh) * 2016-01-25 2017-02-15 平安科技（深圳）有限公司 防止访问数据被篡改的方法及移动终端
US20180367513A1 (en) * 2016-03-08 2018-12-20 Alibaba Group Holding Limited Published information processing method and device, and information publishing system
US20200396065A1 (en) * 2019-06-13 2020-12-17 Luis Eduardo Gutierrez-Sheris System and method using a fitness-gradient blockchain consensus and providing advanced distributed ledger capabilities via specialized data records

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101599118A (zh) * 2009-06-26 2009-12-09 华中师范大学 Html网页篡改检测与定位方法
US20150012974A1 (en) * 2013-07-06 2015-01-08 Newvoicemedia, Ltd. System and methods for tamper proof interaction recording and timestamping
WO2016019790A1 (zh) * 2014-08-04 2016-02-11 优视科技有限公司 一种安装包的校验方法、客户端、服务器及系统
CN106411830A (zh) * 2016-01-25 2017-02-15 平安科技（深圳）有限公司 防止访问数据被篡改的方法及移动终端
US20180367513A1 (en) * 2016-03-08 2018-12-20 Alibaba Group Holding Limited Published information processing method and device, and information publishing system
US20200396065A1 (en) * 2019-06-13 2020-12-17 Luis Eduardo Gutierrez-Sheris System and method using a fitness-gradient blockchain consensus and providing advanced distributed ledger capabilities via specialized data records

Also Published As

Publication number Publication date
CN114760078B (zh) 2022-09-06

Similar Documents

Publication Publication Date Title
CN105610810B (zh) 一种数据处理方法、客户端和服务器
US9241004B1 (en) Alteration of web documents for protection against web-injection attacks
EP1999609B1 (en) Client side attack resistant phishing detection
US9740869B1 (en) Enforcement of document element immutability
KR101086451B1 (ko) 클라이언트 화면 변조 방어 장치 및 방법
CN107046544B (zh) 一种识别对网站的非法访问请求的方法和装置
US20060288220A1 (en) In-line website securing system with HTML processor and link verification
CN105721411A (zh) 一种防止盗链的方法、防止盗链的服务器及客户端
CN107016074B (zh) 一种网页加载方法及装置
CN107733853B (zh) 页面访问方法、装置、计算机和介质
CA2762706A1 (en) Method and system for securing communication sessions
US7974956B2 (en) Authenticating a site while protecting against security holes by handling common web server configurations
CN109818906B (zh) 一种设备指纹信息处理方法、装置及服务器
KR100434653B1 (ko) 웹 페이지 열람 제한 방법과 서버 시스템
WO2019134276A1 (zh) 一种保护网页代码的方法、存储介质、电子设备和系统
KR101452299B1 (ko) 무결성이 보장되는 프로그램 코드를 이용한 보안 방법 및 서버
CN112149068A (zh) 基于访问的授权校验方法、信息的生成方法及装置、服务器
Hajiali et al. Preventing phishing attacks using text and image watermarking
CN114760078B (zh) 一种防止恶意篡改页面请求参数的方法和系统
CN109218009B (zh) 一种提高设备id安全性的方法、客户端和服务器
CN106878233A (zh) 安全数据的读取方法、安全服务器、终端及系统
JP2010250791A (ja) ウェブサーバとクライアントとの間の通信を監視するウェブ保安管理装置及び方法
CN113609425A (zh) 网页数据处理方法及系统
CN110995658A (zh) 网关保护方法、装置、计算机设备及存储介质
CN111193708A (zh) 一种基于企业浏览器实现的扫码登录方法和装置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant