CN101388768A - 检测恶意http请求的方法及装置 - Google Patents

Abstract

本发明提供了一种检测恶意HTTP请求的方法和装置，该装置包括Web访问关系网络构建单元和恶意HTTP请求检测单元，其中：所述Web访问关系网络构建单元用于为待检测Web网站构造Web访问关系网络，该Web访问关系网络体现了该Web网站固有的Web页面访问顺序；所述恶意HTTP请求检测单元用于根据所述Web访问关系网络判定发往所述Web网站的HTTP请求是否符合该Web网站固有的Web页面访问顺序，如不符合则判定该HTTP请求为恶意的HTTP请求。本发明方法和装置利用Web网站所固有的Web页面访问顺序可以对恶意HTTP请求进行有效检测。

Description

检测恶意HTTP请求的方法及装置

技术领域

本发明涉及一种检测恶意HTTP请求的装置及方法，属于计算机网络安全技术领域。

背景技术

随着互联网技术和Web技术的发展，Web不再只为互联网用户提供静态内容服务，而可以根据用户需要提供各种动态Web内容服务。由于Web服务具有易部署和易用等优点，现在很多传统客户机/服务器模式的应用都开始转变成基于Web的应用，包括那些对安全要求非常高的电子银行和电子证券等应用。

Web应用在为人们的生活和工作带来便利的同时，也带来了很多安全问题，包括网页木马、网络钓鱼、跨站脚本攻击和跨站请求伪造等攻击，这些攻击的攻击原理是：黑客通过某种方式向受害者的Web浏览器发送一段恶意的HTML代码或者脚本，这段HTML代码或者脚本将被受害者Web浏览器解释执行，Web浏览器在解释执行这段代码的过程中，将在受害者毫无知觉的情况下自动提交一些恶意的HTTP请求到指定的Web服务器，而这些恶意HTTP请求由于继承了受害者的访问权限，因而能够通过Web服务器端的访问控制，使得Web服务器会对这个恶意HTTP请求进行响应，从而达到攻击的目的。一个典型的攻击例子为：某银行网站包含一个站内查询页面，它允许用户输入需要查询的关键词然后显示站内查询结果，但这个站内查询页面存在一个安全缺陷，它并没有对用户的输入数据进行严格的检查和过滤，而是直接地显示到Web浏览器，因此，如果黑客通过这个站内查询页面提交如下一个字符串“<IMG SRC＝http://www.ebank.com/transfer.asp？amount＝30000&to＝james>”，那么这个字符串将反射到受害者并被受害者的Web浏览器解释执行，解释执行的结果则是受害者的Web浏览器在受害者毫不知情的情形下向ebank Web服务器提交一个将3万美元转帐到james帐户的恶意HTTP请求，如果受害者此时恰好登录了ebank网站，那么这个恶意HTTP请求则可能通过ebank服务器的访问控制而被执行，从而达到黑客的攻击目的。

由于这些恶意HTTP请求中并没有包含明显的攻击特征，传统的入侵检测算法是很难检测到的，要检测这种恶意HTTP请求，则必须采取新的检测方法。

发明内容

本发明要解决的技术问题是提供一种检测恶意HTTP请求的方法的装置，以有效检测恶意HTTP请求。

为了解决上述问题，本发明提供了一种检测恶意HTTP请求的方法，该方法包括以下步骤：

(a)为待检测的Web网站构造Web访问关系网络，该访问关系网络体现了该Web网站固有的Web页面访问顺序；

(b)根据所述Web访问关系网络判定发往所述Web网站的HTTP请求是否符合该Web网站固有的Web页面访问顺序，如不符合则判定该HTTP请求为恶意的HTTP请求。

进一步地，所述该访问关系网络为包含网络节点和有向边的有向图，其中，网络节点代表该Web网站上的一个Web页面，有向边表示存在一条从起始网络节点到终止网络节点的直接Web页面访问路径。

进一步地，步骤(a)进一步包括如下步骤：

(a1)为该待检测网站的根网页创建一个网络节点，并其标记为“未考察”状态；

(a2)找到某个标记为“未考察”状态的网络节点，将其标记为“正考察”状态，并使用网络爬虫获取该网络节点所对应文件对象；

(a3)考察所获取的文件对象的文件格式是否为Web网页：如是则从该Web网页中提取所有的远程链接对象并跳转到步骤(a4)；否则直接将该网络节点标记为“已考察”状态并跳转到步骤(a2)；

(a4)对于从Web页面中提取的每个远程链接对象进行如下处理：首先检查Web访问关系网络中是否存在与之相对应的网络节点，如果存在则找到该网络节点，否则创建一个与该远程链接对象相对应的新的网络节点并将其状态标记为“未考察”；最后创建一条从所述“正考察”状态的网络节点到该远程链接对象所对应网络节点的有向边；

(a5)将所述“正考察”状态的网络节点的状态修正为“已考察”状态；

(a6)重复执行步骤(a2)至步骤(a5)，直至Web访问关系网络中不存在“未考察”状态的网络节点为止。

进一步地，所述步骤(a)、(b)之间还包括关键节点标识步骤：将需要监控的Web页面在所述Web访问关系网络中对应的网络节点标识为关键节点；步骤(b)中，先判断所述HTTP请求中的目的页面对应的网络节点是否为关键节点，若是则进一步判断是否符合该Web网站固有的Web页面访问顺序。

进一步地，关键节点标识步骤后，步骤(b)前还包括修正步骤：为所述Web访问关系网络中的关键网络节点创建一个或多个新的父网络节点，所创建的父网络节点代表来自所述Web网站外部的Web页面，从新创建的父网络节点到关键节点的有向边代表从该外部Web网页到该关键网络节点的直接Web页面访问路径。

进一步地，关键节点标识步骤后，步骤(b)前还包括裁剪步骤：将既不是关键节点也不是某关键节点的父网络节点的网络节点从Web访问关系网络中删除。

进一步地，步骤(b)中是这样判断HTTP请求是否符合该Web网站固有的Web页面访问顺序的：(b1)从HTTP请求头部中提取Referer和URI两个协议字段值；(b2)判断该URI所指向的Web页面是否为所述Web访问关系网络中的关键节点，如果是，则执行步骤(b3)，否则认为该该HTTP请求为一个未见异常HTTP请求，流程结束；(b3)检查Referer是否同时满足如下三个条件：Referer不为空；所述Web访问关系网络中存在一个与Referer所指向的Web页面对应的网络节点；Referer所对应的网络节点包含在URI所对应关键节点的父节点集合中，若Referer不同时满足以上三个条件，则认为检测到一次恶意HTTP请求。

为解决上述技术问题，本发明还提供了一种检测恶意HTTP请求的装置，该装置包括Web访问关系网络构建单元和恶意HTTP请求检测单元，其中：

所述Web访问关系网络构建单元用于为待检测Web网站构造Web访问关系网络，该Web访问关系网络体现了该Web网站固有的Web页面访问顺序；

所述恶意HTTP请求检测单元用于根据所述Web访问关系网络判定发往所述Web网站的HTTP请求是否符合该Web网站固有的Web页面访问顺序，如不符合则判定该HTTP请求为恶意的HTTP请求。

进一步地，所述该Web访问关系网络为包含网络节点和有向边的有向图，其中，网络节点代表该Web网站上的一个Web页面，有向边表示存在一条从起始网络节点到终止网络节点的直接Web页面访问路径，所述装置还包括关键节点标识单元，用于将需要监控的Web页面在所构造的Web访问关系网络中对应的网络节点标识为关键节点；所述恶意HTTP请求检测单元仅对发往关键节点的HTTP请求进行检测。

进一步地，所述Web访问关系网络构建单元还用于对构建的Web页面访问关系网络进行裁减，以将既不是关键节点也不是某关键节点的父网络节点的网络节点从Web访问关系网络中删除。

相较于现有技术，本发明方法和装置充分利用了Web网站所固有的Web页面访问顺序，通过检测提交到Web服务器的HTTP请求中携带的Web页面访问顺序信息来检查这个HTTP请求是否违反了该Web网站固有Web页面访问顺序来有效检测恶意HTTP请求。在判定某HTTP请求是否违反固有的Web访问顺序时，只需要对Web访问关系网络进行简单检索。

附图说明

图1为本发明检测恶意HTTP请求方法流程图。

图2为本发明检测恶意HTTP请求装置模块图。

图3为本发明方法中Web访问关系网络自动构建流程图。

图4为本发明方法中恶意HTTP请求检测流程图。

图5为本发明Web访问关系网络自动构建应用实例。

图6为对图5中所述Web访问关系网络进行关键节点标识后的示例。

图7为对图6中所述Web访问关系网络进行裁减的示例。

具体实施方式

本发明检测恶意HTTP请求的装置和方法的检测依据是：Web网站都具有固有的Web页面访问顺序，而恶意HTTP请求一般都会违反这种固有的Web页面访问顺序。通过检查各HTTP请求中URI字段和Referer字段中所携带的访问路径信息可以判定其是否违反了该Web应用系统的Web页面访问顺序。

本发明所述方法和装置用来检测针对特定Web应用系统的恶意HTTP请求。因此，首先需要为该检测方法和装置指定所需要检测的Web应用系统的根网页的具体网址，比如，如果要使用本发明所述方法和装置来检测针对sohu网站的恶意HTTP请求，则可以指定该sohu网站的根网页为http://www.sohu.com。

如图1所示，本发明所述检测恶意HTTP请求方法包括以下步骤：

步骤101、为待检测Web网站构造包含网络节点和有向边的Web访问关系网络，该访问关系网络体现了该Web网站固有的Web页面访问顺序；

为预定Web网站构建的Web访问关系网络为一个包含网络节点和有向边的有向图，其中，网络节点代表该Web网站上的一个Web页面，有向边表示存在一个从起始网络节点到终止网络节点的直接Web页面访问路径。

为指定Web网站构建Web访问关系网络的过程除了可以通过人工方式构造外，还可以采用网络爬虫技术实现，即由网络爬虫直接对指定Web网站进行遍历，并自动判定各Web网页之间的访问顺序，采用网页爬虫自动构建Web访问关系网络的过程将在后续进行说明。

步骤2、找到所有需要监控的Web页面，在所构造Web访问关系网络中标记相对应网络节点为关键节点；

需要监控的Web页面是指该Web应用系统中关键的并会改变Web应用系统状态的Web页面，比如，在一个网上银行Web应用系统中，所有涉及到帐户操作的Web页面都是需要监控的Web页面，因此，可以将这些Web页面所对应的网络节点标记为关键节点。

对于一些Web网站，由于某些原因，可能允许某些Web网站直接访问其Web应用系统中的某些Web页面，比如，某Web网银系统可能允许某个Web购物网站的结算中心Web页面直接访问其电子转帐Web页面。因此，可能需要修正为该Web网银系统构建的Web访问关系网络。具体的修正步骤为：

对于所述Web访问关系网络中的每个关键网络节点，如果允许外部网站Web页面直接访问该关键网络节点所对应的Web页面，则为该关键节点创建一个或多个新的父网络节点，所创建的每个父网络节点代表一个来自外部Web网站的Web页面，从新创建的父节点到关键节点的有向边代表从该外部Web网页到该关键网络节点的直接Web页面访问路径。

通常情况下，为一个Web应用系统构建的Web访问关系网络可能很大，要存储和检索一个庞大的Web访问关系网络开销非常大。由于在恶意HTTP请求检测过程只关心对关键网络节点所对应的Web页面的访问情况是否违规，因此，可以对所创建的Web访问关系网络进行裁剪，具体步骤为：对于Web访问关系网络中的每一个网络节点，如果其既不是关键节点也不是某关键节点的父节点，则将该网络节点以及与之关联的有向边从Web访问关系网络中删除。

步骤3、对收到的发往所述Web网站的每个HTTP请求，根据Web访问关系网络判定其是否符合该Web网站固有的Web页面访问顺序，如不符合则判定该HTTP请求为恶意的HTTP请求。

对收到的发往该预先指定Web网站的每个HTTP请求，从HTTP请求头部中提取Referer和URI两个协议字段值，首先判断该URI所指向的Web页面是否为所述Web访问关系网络中的关键节点，如果是，则检查Referer是否同时满足如下三个条件：A)Referer不为空；B)所述Web访问关系网络中存在一个与Referer所指向的Web页面对应的网络节点；C)Referer所对应的网络节点包含在URI所对应关键节点的父节点集合中，如果Referer不同时满足以上三个条件，则认为检测到一次恶意HTTP请求。

为了实现以上检测方法，本发明检测恶意HTTP请求的装置，如图2所示，包括Web访问关系网络构建单元、关键节点标识单元和恶意HTTP请求检测单元，其中，

所述Web访问关系网络构建单元用于为待检测Web网站构造一个Web访问关系网络，该访问关系网络体现了该Web网站固有的Web页面访问顺序，以及对构建的Web页面访问关系网络进行修正，以体现外部网站网页到待检测网站网页的访问路径；还用于对构建的Web页面访问关系网络进行裁减，以将既不是关键节点也不是某关键节点的父网络节点的网络节点从Web访问关系网络中删除。

如上所述，该访问关系网络为一个包含网络节点和有向边的有向图，其中，网络节点代表该Web网站上的一个Web页面，有向边表示存在一条从起始网络节点到终止网络节点的直接Web页面访问路径。

所述Web访问关系网络构建单元可以按照公知的有向图存储方法对Web访问关系网络进行存储和检索。

所述关键节点标识单元用于将该Web网站中所有需要监控的Web页面在所构造的Web访问关系网络中对应的网络节点标识为关键节点；

所述恶意HTTP请求检测单元用于根据所述Web访问关系网络判定发往所述Web网站的HTTP请求是否符合该Web网站固有的Web页面访问顺序，如不符合则判定该HTTP请求为恶意的HTTP请求。

如图3所示，所述发明装置中的Web访问关系网络构建单元可以采用网络爬虫自动构建Web访问关系网络，具体工作流程为：

步骤301，将Web访问关系网络清空，为该指定Web网站的根网页创建一个网络节点，并将其标记为“未考察”状态；

步骤302，从Web访问关系网络中找到某个标记为“未考察”状态的网络节点，将其标记为“正考察”状态，并使用网络爬虫获取该网络节点所对应文件对象；

步骤303，考察所获取的文件对象的文件格式是否为Web网页，如是执行步骤3032，否则执行步骤3031；

步骤3031：直接将该网络节点标记为“已考察”状态并跳转到步骤302；

步骤3032：从该Web网页中提取所有的远程链接对象并跳转到步骤304；

步骤304，处理从Web页面中提取的所有远程链接对象，并相应调整Web访问关系网络；

对于从Web页面中提取的每个远程链接对象进行如下处理：首先检查Web访问关系网络中是否存在与之相对应的网络节点，如果存在则找到该网络节点，否则创建一个与该远程链接对象相对应的新的网络节点并将其状态标记为“未考察”；最后创建一条从所述“正考察”状态的网络节点到该远程链接对象所对应网络节点的有向边；

步骤305，将所述“正考察”状态的网络节点的状态修正为“已考察”状态；

步骤306，重复执行步骤302至步骤305，直至Web访问关系网络中不存在“未考察”状态的网络节点为止。

如附图4所示，所述发明装置中的恶意HTTP请求检测单元的输入为一个完整的HTTP请求消息，其输出为“未见异常HTTP请求”或“恶意提交HTTP请求”，具体工作流程如下：

步骤401、从HTTP请求头部中提取Referer和URI两个协议字段值；

步骤402、基于URI值检索Web访问关系网络，如果没有找到所对应网络节点则判定该HTTP请求为一个未见异常HTTP请求并结束算法，否则继续执行步骤403；

步骤403、判断该网络节点是否为关键网络节点，如果不为关键网络节点则判定该HTTP请求为一个未见异常HTTP请求并结束算法，否则执行步骤404；

步骤404、检查Referer值是否为空，如果为空则判定该HTTP请求为恶意HTTP请求并结束算法，否则继续执行步骤405；

步骤405、基于Referer值检索Web访问关系网络，如果没有找到相应的网络节点，则判定该HTTP请求为恶意HTTP请求并结束算法，否则继续执行步骤406；

步骤406、检查Referer所对应的网络节点是否为该URI所对应关键节点的父节点，如果是则判定该HTTP请求为一个未见异常HTTP请求，否则判定其为一个恶意提交HTTP请求。

应用实例：

下面给出一个具体应用实例，以便此领域普通技术人员能够更好地理解本发明。

假设某Web网站根网页为http://www.test.com/，该根Web页面包含一个超级链接login.asp和三个图片对象1.jpg、2.jpg和3.jpg。其中超级链接login.asp是一个动态Web页面，完成对Web用户的认证。用户登录认证成功后，将显示actionl.asp和action2.asp两个超级链接，通过Web应用系统认证后的用户可以通过这两个超级链接完成指定的功能。

构建Web访问关系网络：

下面采用基于网络爬虫的Web访问关系网络来自动构建算法来构建Web访问关系网络。构建过程如下：

(A)清空Web访问关系网络，然后为根Web页面(http://www.test.com/)构建一个网络节点501；

(B)启动网路爬虫获取本根页面内容，从HTTP响应头部中的Content-Type字段值可以判定其格式为HTML文件格式，因此，从中提取所有的远程链接对象：login.asp、1.jpg、2.jpg和3.jpg，并为这四个远程链接对象分别创建新的网络节点511、512、513和514；并创建从网络节点501分别到网络节点511、512、513和514的有向边，根Web页面网络节点501已经考察完毕；

(C)下面考察login.asp所对应的网络节点511，网络爬虫首先获取该远程对象login.asp，发现其格式为HTML页面，因此，从中提取所有的远程链接对象actionl.asp和action2.asp，并为这两个远程链接对象创建新的网络节点521和522；并创建从网络节点511分别到网络节点521和522的有向边；

(D)下面分别考察1.jpg、2.jpg和3.jpg三个远程链接对象所对应的网络节点512、513和514，发现其格式不为HTML页面，因此无需继续分析其内容；

(E)下面考察actionl.asp所对应的网络节点521，获取该网络节点所对应的文件对象发现其格式为HTML格式，于是从中提取远程链接对象，没有提取到远程链接对象，考察结束；

(F)下面考察action2.asp所对应的网络节点522，获取该网络节点所对应的文件对象发现其格式为HTML格式，于是从中提取远程链接对象，没有提取到远程链接对象，考察结束。

(G)最后，整个Web访问关系网络中不再存在“未考察”状态节点，因此，算法结束。最后构建的Web访问关系网络如图5所示。

标识关键节点：

由于actionl.asp和action2.asp是两个关键的Web页面，它能够改变Web应用系统的状态，因此有必要监测对这两个Web页面的访问情况，以防止出现伪造请求访问攻击。因此，将图5中actionl.asp和action2.asp所对应网络节点521和522标识为关键节点(图中用双线框节点表示)，得到图6。

裁减Web访问关系网络：

对附图6中的Web访问关系网络进行裁减，即从Web访问关系网络中删除那些既不是关键节点也不是关键节点父节点的其它网络节点，得到图7所示的Web访问关系网络。

检测http请求示例1：

假设恶意HTTP请求检测单元接收到如下http请求：

GET/login.asp HTTP/1.1\r\n

Host:www.test.com\r\n

ser-Agent：Mozilla/5.0(xxxx)\r\n

Accept：text/html；image/jpg，*/*\r\n

Accept-Language：zh-cn，zh\r\n

Accept-Charset：gb2312，utf-8\r\n

Referer：http://www.test.com∧r\n

该HTTP请求的URI值为“/login.asp”，Referer值为“http://www.test.com/”，首先依据URI值检索图7的Web访问关系网络，发现/login.asp所对应的网络节点存在，但是它不是关键节点，因此，直接将其判定为“未见异常HTTP请求”。

检测http请求示例2：

假设黑客想攻击这个网址为www.test.com的Web应用系统，它自己设立一个网站，网址为www.abc.com，在该网站根Web网页中包含了如下一行HTML代码：“<img height＝0 width＝0 src＝｀http://www.test.com/actionl.asp｀>”。

若有一www.test.com的Web用户(受害者)通过该Web应用系统上的登录Web页面login.asp成功完成了用户认证，但它并不想执行/actionl.asp这个超级链接所对应的功能。但不幸的是，他在没有从www.test.com Web应用系统注销的情况下，打开了黑客网站www.abc.com，此时，其Web客户端将解释执行上面这段黑客恶意插入的HTML代码，结果是，受害者的Web客户端将向www.test.com这个Web应用系统发送一个如表2所示的HTTP请求，该HTTP请求的Cookies字段中自动携带了受害者登录www.test.com Web应用系统时所获得的授权信息。下面，分析一下恶意HTTP请求检测单元是如何检测该恶意HTTP请求的。

若恶意HTTP请求检测单元接收到如下所示的HTTP请求：

GET/actionl.asp HTTP/1.1\r\n

Host:www.test.com\r\n

User-Agent：Mozilla/5.0(xxxx)\r\n

Accept：text/html；image/jpg，*/*\r\n

Accept-Language：zh-cn，zh\r\n

Accept-Charset：gb2312，utf-8\r\n

Referer：http://www.abc.com∧r\n

Cookies：UID＝12334-5444-4abcde；Name＝％20james；Pin＝％35％37％39\r\n

则恶意HTTP请求检测单元首先依据URI值检索图7的Web访问关系网络，发现/actionl.asp所对应的网络节点存在，并且它为关键节点，于是进一步根据Referer值“http://www.abc.com”检索图7中的Web访问关系网络，发现Web访问关系网络中并不存在对应的网络节点，因此，直接将其判定为“恶意HTTP请求”，并产生相应的报警日志。

本发明充分利用了Web网站所固有的Web页面访问顺序，通过检测提交到Web服务器的HTTP请求中携带的Web页面访问顺序信息来检查这个HTTP请求是否违反了该Web网站固有Web页面访问顺序有效检测恶意HTTP请求。本发明所述方法采用Web访问关系网络来描述Web网站各Web页面之间的访问顺序，并可以采用网页爬虫来构建整个Web访问关系网络。在判定某HTTP请求是否违反固有的Web访问顺序时，只需要对Web访问关系网络进行简单检索，此外，我们可以在不影响检测结果的前提先对整个Web访问关系网络进行精简，从而大大提高所述方法的检测效率。

Claims (10)

1、一种检测恶意HTTP请求的方法，其特征在于，该方法包括以下步骤：

(a)为待检测的Web网站构造Web访问关系网络，该访问关系网络体现了该Web网站固有的Web页面访问顺序；

(b)根据所述Web访问关系网络判定发往所述Web网站的HTTP请求是否符合该Web网站固有的Web页面访问顺序，如不符合则判定该HTTP请求为恶意的HTTP请求。

2、如权利要求1所述的方法，其特征在于：所述该访问关系网络为包含网络节点和有向边的有向图，其中，网络节点代表该Web网站上的一个Web页面，有向边表示存在一条从起始网络节点到终止网络节点的直接Web页面访问路径。

3、如权利要求1所述的方法，其特征在于：步骤(a)进一步包括如下步骤：

(a1)为该待检测网站的根网页创建一个网络节点，并其标记为“未考察”状态；

(a2)找到某个标记为“未考察”状态的网络节点，将其标记为“正考察”状态，并使用网络爬虫获取该网络节点所对应文件对象；

(a3)考察所获取的文件对象的文件格式是否为Web网页：如是则从该Web网页中提取所有的远程链接对象并跳转到步骤(a4)；否则直接将该网络节点标记为“已考察”状态并跳转到步骤(a2)；

(a4)对于从Web页面中提取的每个远程链接对象进行如下处理：首先检查Web访问关系网络中是否存在与之相对应的网络节点，如果存在则找到该网络节点，否则创建一个与该远程链接对象相对应的新的网络节点并将其状态标记为“未考察”；最后创建一条从所述“正考察”状态的网络节点到该远程链接对象所对应网络节点的有向边；

(a5)将所述“正考察”状态的网络节点的状态修正为“已考察”状态；

(a6)重复执行步骤(a2)至步骤(a5)，直至Web访问关系网络中不存在“未考察”状态的网络节点为止。

4、如权利要求2所述的方法，其特征在于，所述步骤(a)、(b)之间还包括关键节点标识步骤：将需要监控的Web页面在所述Web访问关系网络中对应的网络节点标识为关键节点；步骤(b)中，先判断所述HTTP请求中的目的页面对应的网络节点是否为关键节点，若是则进一步判断是否符合该Web网站固有的Web页面访问顺序。

5、如权利要求4所述的方法，其特征在于：关键节点标识步骤后，步骤(b)前还包括修正步骤：为所述Web访问关系网络中的关键网络节点创建一个或多个新的父网络节点，所创建的父网络节点代表来自所述Web网站外部的Web页面，从新创建的父网络节点到关键节点的有向边代表从该外部Web网页到该关键网络节点的直接Web页面访问路径。

6、如权利要求4所述的方法，其特征在于：关键节点标识步骤后，步骤(b)前还包括裁剪步骤：将既不是关键节点也不是某关键节点的父网络节点的网络节点从Web访问关系网络中删除。

7、如权利要求1所述的方法，其特征在于：步骤(b)中是这样判断HTTP请求是否符合该Web网站固有的Web页面访问顺序的：(b1)从HTTP请求头部中提取Referer和URI两个协议字段值；(b2)判断该URI所指向的Web页面是否为所述Web访问关系网络中的关键节点，如果是，则执行步骤(b3)，否则认为该该HTTP请求为一个未见异常HTTP请求，流程结束；(b3)检查Referer是否同时满足如下三个条件：Referer不为空；所述Web访问关系网络中存在一个与Referer所指向的Web页面对应的网络节点；Referer所对应的网络节点包含在URI所对应关键节点的父节点集合中，若Referer不同时满足以上三个条件，则认为检测到一次恶意HTTP请求。

8、一种检测恶意HTTP请求的装置，其特征在于，该装置包括Web访问关系网络构建单元和恶意HTTP请求检测单元，其中：

所述Web访问关系网络构建单元用于为待检测Web网站构造Web访问关系网络，该Web访问关系网络体现了该Web网站固有的Web页面访问顺序；

所述恶意HTTP请求检测单元用于根据所述Web访问关系网络判定发往所述Web网站的HTTP请求是否符合该Web网站固有的Web页面访问顺序，如不符合则判定该HTTP请求为恶意的HTTP请求。

9、如权利要求8所述的装置，其特征在于：所述该Web访问关系网络为包含网络节点和有向边的有向图，其中，网络节点代表该Web网站上的一个Web页面，有向边表示存在一条从起始网络节点到终止网络节点的直接Web页面访问路径，所述装置还包括关键节点标识单元，用于将需要监控的Web页面在所构造的Web访问关系网络中对应的网络节点标识为关键节点；所述恶意HTTP请求检测单元仅对发往关键节点的HTTP请求进行检测。

10、如权利要求9所述的装置，其特征在于：所述Web访问关系网络构建单元还用于对构建的Web页面访问关系网络进行裁减，以将既不是关键节点也不是某关键节点的父网络节点的网络节点从Web访问关系网络中删除。

Images