CN102402620A - 一种恶意网页防御方法和系统 - Google Patents

Abstract

本发明实施例提供了一种恶意网页防御方法。该方法包括：监控用户通过浏览器发送的网页请求消息，截取该网页请求消息的URL地址信息；将截取的URL地址发送到恶意网站云服务器，恶意网站云服务器判断该URL地址对应的网页是否是恶意网页，如果是，则通知跳转到预设恶意网页提醒页面；根据所述提醒页面接收的用户指示，对网页请求进行防御处理。本发明实施例还提供了一种恶意网页防御系统。本发明实施例技术方案改善了恶意网页防御的全面性，实现了实时在线防御。

Description

一种恶意网页防御方法和系统

技术领域

本发明涉及网络信息技术领域，尤其涉及一种恶意网页防御方法和系统。

背景技术

恶意网站是故意在计算机系统上执行恶意任务的病毒、蠕虫或特洛伊木马等的非法网站，该非法网站包括恶意网页。网络用户被引诱浏览色情或者其它非法网页时，或者从不安全网页提供的下载链接下载游戏或其它程序时，往往会连合恶意程序一并带入自己的电脑，而用户本人对此丝毫不知情。直到有恶意广告不断弹出或色情网站自动出现时，用户才可能发觉电脑已“中毒”。恶意网页上的恶意程序可在未明确提示用户或未经用户许可情况下强制安装，安装后难以卸载。这些恶意程序通常自动收集用户信息，盗窃计算机上的敏感资料，甚至发生其他恶性事件。恶意网页攻击已成为终端管理中极为常见的威胁，传统的检测防护方法通常基于单项策略机制，比如采用防火墙过滤潜在的破坏性代码，采用垃圾邮件过滤器、入侵检测系统、入侵防御系统等加固网络，加强对破坏性代码的防御能力。但是，恶意网页的威胁由多种类型组成，单项策略方式仅能减缓或解决某一方面的危害，一旦某方面的防线被攻破将导致全线崩溃，同样将引起较大的损失。而且，传统检测防护技术仅能在开启相应软件之当时进行恶意网页的监测，不能实时在线地实现恶意网页的防御。

发明内容

有鉴于现有技术存在的不足，本发明的目的在于提供一种恶意网页防御方法和系统，该方法和系统借助云服务进行实时在线监测，从而改善传统防御恶意网页防御的全面性和防护不及时的技术问题。

为实现上述目的，本发明实施例提供的恶意网页防御方法包括：

监控用户通过浏览器发送的网页请求消息，截取该网页请求消息的URL地址信息；

将截取的URL地址发送到恶意网站云服务器，恶意网站云服务器判断该URL地址对应的网页是否是恶意网页，如果是，则通知跳转到预设恶意网页提醒页面；

根据所述提醒页面接收的用户指示，对网页请求进行防御处理。

优选地，所述根据提醒页面接收的用户指示对网页请求进行防御处理包括：

如果用户指示为继续访问当前网站，则查询网页地址库是否存在所述URL地址的根地址，如果存在，则根据所述根地址访问相应网页，所述网页地址库保存有出现恶意网页提醒页面之前用户访问的网页地址；

如果用户指示为不继续访问网站，则关闭浏览器；

如果用户指示为访问新的网站，则关闭当前网站，等待接收用户通过浏览器法发送的新的网页请求消息。

进一步优选地，所述监控用户通过浏览器发送的网页请求消息通过BHO组件进行监控。

进一步优选地，所述用户指示不继续访问网站关闭浏览器之后，对BHO组件进行卸载。

优选地，在跳转到预设恶意网页提醒页面时，将网页请求消息的URL地址进行缓存，则：在下一次截取网页请求消息的URL地址信息后，查询所述URL地址是否已经缓存，如果否，则将截取的URL地址发送到恶意网站云服务器。

本发明实施例还提供了一种恶意网页防御系统。该系统包括：截取单元、发送单元、恶意网站云服务器、跳转单元和防御处理单元，其中：

所述截取单元，用于在监控到用户通过浏览器发送的网页请求消息后，截取该网页请求消息的URL地址信息；

所述发送单元，用于将截取的URL地址发送到恶意网站云服务器；

所述恶意网站云服务器，用于判断URL地址对应网页是否是恶意网页，如果是，则通知跳转单元；

所述跳转单元，用于在接收到恶意网站云服务器的通知后跳转到预设恶意网页提醒页面；

所述防御处理单元，用于根据所述提醒页面接收的用户指示，对所述网页请求消息进行防御处理。

优选地，所述防御处理单元包括指示识别子单元、查询子单元和访问子单元，其中：

所述识别子单元，用于识别用户的指示，如果用户指示为继续访问当前网站，则触发查询子单元；

所述查询子单元，用于查询网页地址库是否存在所述URL地址的根地址，如果存在，则触发访问子单元，所述网页地址库保存有出现恶意网页提醒页面之前用户访问的网页地址；

所述访问子单元，用于根据所述根地址访问相应网页。

优选地，所述系统还包括缓存单元和查询单元，所述查询单元用于在跳转到预设恶意网页提醒页面时，将网页请求消息的URL地址进行缓存；所述查询单元，用于在下一次截取网页请求消息的URL地址信息后，查询所述URL地址是否已经缓存，如果否，则触发发送单元。

本发明实施例提供的技术方案在监控到用户通过浏览器发送的网页请求消息后截取网页请求消息的URL地址，然后将该URL地址发送到恶意网站云服务器，由云服务器进行恶意网页判断，如果是恶意网页则进行防御处理。与现有技术相比，本发明实施例利用恶意网站云服务器进行恶意网页的判别，而恶意网站云服务器是一个分部广泛、处理能力强、响应快的网络服务器，经过云服务器对恶意网页的判别，识别更加全面和及时，从而为恶意网页的防御提供了更为全方位的保护机制。而且，由于充分利用了网络资源进行恶意网站的判别，客户端无需频繁地进行更新升级特征库，减轻了终端的负荷，提高了终端的工作效率。此外，本发明实施例利用云服务，而云端服务器集群24小时内均可进行在线监测，并将最新的检测数据和系统实时连通，有效阻挡恶意网页对客户终端的威胁。

附图说明

图1为本发明的一个方法实施例的流程图；

图2为本发明的又一个方法实施例的流程图；

图3为本发明的一个系统实施例的结构图。

具体实施方式

本发明的主要思想是在监控到用户通过浏览器发送的网页请求消息后截取网页请求消息的URL地址，然后将该URL地址发送到恶意网站云服务器，由云服务器进行恶意网页判断，如果是恶意网页则进行防御处理，从而为恶意网页的防御提供了全方位的保护机制。

为了使本领域技术人员能进一步了解本发明的特征及技术内容，下面先对本发明恶意网站云服务器进行简要介绍，然后结合附图和实施例，对本发明的技术方案进行详细描述。

恶意网站云服务器是基于云服务器的在恶意网站防御方面的应用，云服务器上整合了恶意网站的判别功能。云服务器是云计算服务的重要组成部分，是面向各类互联网用户提供综合业务能力的服务平台。该平台整合了传统意义上的互联网应用三大核心要素：计算、存储、网络，面向用户提供公用化的互联网基础设施服务。云主机平台的每个集群节点被部署在互联网的某个骨干机房，可独立提供计算、存储、在线备份、托管、带宽等互联网基础设施服务。集群节点由以下硬件构成：管理服务器：采取双机热备的方式，对整个节点的所有计算服务器、共享存储、网络进行管理，同时对外提供管理整个节点的API；计算服务器群：计算服务器是高配置的DELL服务器，计算服务器无需安装操作系统，但必须具备网络引导功能，其上运行一个linux微内核、Xen软件、一个与管理服务器进行通讯的Agent；交换机：按不同功能和节点性能要求配备多个三层交换机，分别负责管理网段、公网交换网段、内部交换网段、存储网段等。云服务器技术是近年出现的新型技术，基于云服务器的各种应用随之应用而生，由于云服务器集中了各种资源，可将多主机上的各种恶意网页防御功能进行集合，提供整体服务。本发明正是利用这种技术提出恶意网页的防御方法。参见附图1，本发明提供的恶意网页防御方法包括：

步骤S101：监控用户通过浏览器发送的网页请求消息，截取该网页请求消息的URL地址信息；

如前所述，恶意网站中包含恶意网页，恶意网页上镶嵌有恶意程序或恶意软件，用户一旦访问这样即可能遭受恶意网页的侵扰。用户访问网页的方式通常是通过浏览器向需要访问的网页所在的服务器发送网页请求消息，该请求消息包含有网页的URL(Uniform/Universal Resource Locator，统一资源定位符)地址，URL地址用于唯一标识用户待访问网页的地点，通过该地址即可获取到相应的页面。这里需要说明的是：本发明中的网站(站点)与网页不同，网站包含多个供网络用户访问的网页，恶意网站指包含有恶意网页的非法网站，但具有恶意网页未必该网站的其他网页也是恶意网页，也就是，用户访问恶意网站中的某些网页可能仍是安全的。监控用户的网页请求消息存在多种方式，本发明优选通过BHO组件进行监控，BHO组件(BrowserHelper Object，浏览器辅助对象)是作为浏览器对第三方程序员开放交互接口的业界标准，通过简单的代码即可进入浏览器领域的“交互接口”(Interactive Interface)。通过该接口，程序员可以编写代码获取浏览器的行为，比如“后退”、“前进”、“当前页面”等，还可以用代码控制浏览器行为，比如修改替换浏览器工具栏，添加自己的程序按钮等，还可以实现对网页请求信息进行监控。

步骤S102：将截取的URL地址发送到恶意网站云服务器，恶意网站云服务器判断该URL地址对应的网页是否是恶意网页，如果是，则执行步骤S102(a)：通知跳转到预设恶意网页提醒页面；

截取到URL地址后，将该地址发送给恶意网站云服务器，恶意网站云服务集中了各种恶意网页的判识功能，能够及时全面地对网页是否存在恶意性进行诊断。恶意网站云服务器获得URL地址后，对该地址对应的网页进行解析，并调用相应的底层服务进行恶意网页的判别，如果是，则将结果返回给浏览器，浏览器接到该返回通知后即跳转到预设的恶意网页提醒页面。恶意网页提醒页面是需要编辑好的可接收用户指示的网页。

步骤S103：根据所述提醒页面接收的用户指示，对网页请求进行防御处理。

提醒页面设置有与用户交互的按钮，用户可通过这些按钮指示下一步的行为，得到用户的指示后，对网页请求进行防御处理。

本实施例提供的技术方案在监控到用户通过浏览器发送的网页请求消息后截取网页请求消息的URL地址，然后将该URL地址发送到恶意网站云服务器，由云服务器进行恶意网页判断，如果是恶意网页则进行防御处理。与现有技术相比，本实施例利用恶意网站云服务器进行恶意网页的判别，而恶意网站云服务器是一个分部广泛、处理能力强、响应快的网络服务器，经过云服务器对恶意网页的判别，识别全面、及时，从而为恶意网页的防御提供了全方位保护机制。而且，由于充分利用了网络资源进行恶意网站的判别，客户端无需频繁地进行更新升级特征库，减轻了终端的负荷，提高了终端的工作效率。此外，本实施例利用云服务，而云端服务器集群24小时内均可进行在线监测，并将最新的检测数据和系统实时连通，有效阻挡恶意网页对客户终端的威胁。

上述实施例中通过提醒页面接收用户的指示后，将根据用户的指示对网页请求进行防御处理。防御处理的方式与用户的具体指示有关，用户可能选择继续访问当前网站，也可能选择不再访问网站，或者访问其他网站，在不同用户需求情况下的防御处理方式不同。参见附图2，该图示出了本发明在得到不同的用户指示时，如何进行具体的恶意网页防御处理，由此构成本发明的又一个方法实施例。

如果用户指示为继续访问当前网站，则查询网页地址库是否存在所述URL地址的根地址，如果存在，则根据所述根地址访问相应网页，所述网页地址库保存有出现恶意网页提醒页面之前用户访问的网页地址。前面已经提及恶意网站可能包括正常的网页，用户在网页到恶意网页后，可能并不会立即退出当前网站的访问，而选择访问其他的网页，在网页其他网页之前需要退到上级网页，因此，本发明优选在用户访问网页过程中建立一个网页地址库，该网页地址库用于保存出现恶意网页提醒页面之前用户访问的网页地址，用户在提醒页面中点击了继续访问当前网站时，则先在网页地址库中查找当前URL地址的根地址，这里的根地址可以是当前URL地址的上一级地址，也可以是上几级地址，甚至可以是当前网站的默认地址，如果在网页地址库中查找到根地址，则根据所述根地址访问相应网页，由此恢复到用户先前访问的本网站的某个页面。

如果用户指示为不继续访问网站，则关闭浏览器。为了避免继续被恶意网页干扰，用户可能指示不继续访问网站，这时的防御处理措施相对简单，直接关闭掉浏览器即可。由于恶意网站被提前截流并告知用户，从而避免了本地终端遭受恶意网页的侵袭。如果在进行网页请求消息的监控时使用的是BHO组件进行监控，则在关闭浏览器之后，还需要调用相应的模块函数对BHO组件进行卸载。

如果用户指示为访问新的网站，则关闭当前网站，等待接收用户通过浏览器发送的新的网页请求消息。用户访问某网页由于被判别出为恶意网页，访问受阻，用户可以转而访问其他自己认为安全的站点，即访问新的网站，这时浏览器等待接收用户的新网页请求消息，接收到新的网页请求后可以按照本发明的前述实施例进行恶意网页的判别。

前述的实施例中用户每访问一次网页均要进行上述操作，而恶意网站云服务器毕竟位于网络侧，需要来回进行多次信息交互才能实现恶意网页的判别。为了增加整个系统的记忆能力，本发明优选对每次监控到的恶意网页地址进行缓存，当下次再次访问相同网页时，可直接在本地进行查询判别，具体包括：在跳转到预设恶意网页提醒页面时，将网页请求消息的URL地址进行缓存，则：在下一次截取网页请求消息的URL地址信息后，查询所述URL地址是否已经缓存，如果否，则将截取的URL地址发送到恶意网站云服务器。通过在本地建立缓存，再本地进行判别，节约了时间，提高了恶意网页判别的效率。

上述描述了本发明的方法实施例，相应地，本发明的还提供了一种ARP攻击流量控制系统的实施例300。参见图3，该系统实施例300包括：截取单元301、发送单元302、恶意网站云服务器303、跳转单元304和防御处理单元305，其中：

所述截取单元301，用于在监控到用户通过浏览器发送的网页请求消息后，截取该网页请求消息的URL地址信息；

所述发送单元302，用于将截取的URL地址发送到恶意网站云服务器；

所述恶意网站云服务器303，用于判断URL地址对应网页是否是恶意网页，如果是，则通知跳转单元；

所述跳转单元304，用于在接收到恶意网站云服务器的通知后跳转到预设恶意网页提醒页面；

所述防御处理单元305，用于根据所述提醒页面接收的用户指示，对所述网页请求消息进行防御处理。

本系统实施例的工作过程是：截取单元301在监控到用户通过浏览器发送的网页请求消息后，截取该网页请求消息的URL地址信息；然后由发送单元302将截取的URL地址发送到恶意网站云服务器；恶意网站云服务器303，判断URL地址对应网页是否是恶意网页，如果是，则通知跳转单元304；由跳转单元304在接收到恶意网站云服务器的通知后跳转到预设恶意网页提醒页面；防御处理单元305根据所述提醒页面接收的用户指示，对所述网页请求消息进行防御处理。

本系统实施例提供的技术方案在监控到用户通过浏览器发送的网页请求消息后截取网页请求消息的URL地址，然后将该URL地址发送到恶意网站云服务器，由云服务器进行恶意网页判断，如果是恶意网页则进行防御处理。与现有技术相比，本系统实施例利用恶意网站云服务器进行恶意网页的判别，而恶意网站云服务器是一个分部广泛、处理能力强、响应快的网络服务器，经过云服务器对恶意网页的判别，识别全面、及时，从而为恶意网页的防御提供了全方位保护机制。而且，由于充分利用了网络资源进行恶意网站的判别，客户端无需频繁地进行更新升级特征库，减轻了终端的负荷，提高了终端的工作效率。此外，本系统实施例利用云服务，而云端服务器集群24小时内均可进行在线监测，并将最新的检测数据和系统实时连通，有效阻挡恶意网页对客户终端的威胁。

上述系统实施例的防御处理单元在不同的用户指示情况下，进行的实际处理过程存在差别，在用户要求继续访问当前网站时，本发明优选防御处理单元305包括指示识别子单元3051、查询子单元3052和访问子单元3053，其中：

所述识别子单元3051，用于识别用户的指示，如果用户指示为继续访问当前网站，则触发查询子单元；

所述查询子单元3052，用于查询网页地址库是否存在所述URL地址的根地址，如果存在，则触发访问子单元，所述网页地址库保存有出现恶意网页提醒页面之前用户访问的网页地址；

所述访问子单元3053，用于根据所述根地址访问相应网页。

上述实施例中用户每访问一次网页均需要通过恶意网站云服务器进行判别，这种方式由于要通过网络进行信息沟通，存在着时间耗费，为此，本发明优选所述系统还包括缓存单元306和查询单元307，所述缓存单元306用于在跳转到预设恶意网页提醒页面时，将网页请求消息的URL地址进行缓存；所述查询单元307，用于在下一次截取网页请求消息的URL地址信息后，查询所述URL地址是否已经缓存，如果否，则触发发送单元。通过在本地建立缓存，再本地进行判别，节约了时间，提高了恶意网页判别的效率。

以上所述的本发明实施方式，并不构成对本发明保护范围的限定。任何在本发明的精神和原则之内所作的修改、等同替换和改进等，均应包含在本发明的权利要求保护范围之内。

Claims (8)

1.一种恶意网页防御方法，其特征在于，该方法包括：

监控用户通过浏览器发送的网页请求消息，截取该网页请求消息的URL地址信息；

将截取的URL地址发送到恶意网站云服务器，恶意网站云服务器判断该URL地址对应的网页是否是恶意网页，如果是，则通知跳转到预设恶意网页提醒页面；

根据所述提醒页面接收的用户指示，对网页请求进行防御处理。

2.根据权利要求1所述的方法，其特征在于，所述根据提醒页面接收的用户指示对网页请求进行防御处理包括：

如果用户指示为继续访问当前网站，则查询网页地址库是否存在所述URL地址的根地址，如果存在，则根据所述根地址访问相应网页，所述网页地址库保存有出现恶意网页提醒页面之前用户访问的网页地址；

如果用户指示为不继续访问网站，则关闭浏览器；

如果用户指示为访问新的网站，则关闭当前网站，等待接收用户通过浏览器发送新的网页请求消息。

3.根据权利要求2所述的方法，其特征在于，所述监控用户通过浏览器发送的网页请求消息通过BHO组件进行监控。

4.根据权利要求3所述的方法，其特征在于，所述用户指示不继续访问网站关闭浏览器之后，对BHO组件进行卸载。

5.根据权利要求1至4中任何一项所述的方法，其特征在于，在跳转到预设恶意网页提醒页面时，将网页请求消息的URL地址进行缓存，则：在下一次截取网页请求消息的URL地址信息后，查询所述URL地址是否已经缓存，如果否，则将截取的URL地址发送到恶意网站云服务器。

6.一种恶意网页防御系统，其特征在于，该系统包括：截取单元、发送单元、恶意网站云服务器、跳转单元和防御处理单元，其中：

所述截取单元，用于在监控到用户通过浏览器发送的网页请求消息后，截取该网页请求消息的URL地址信息；

所述发送单元，用于将截取的URL地址发送到恶意网站云服务器；

所述恶意网站云服务器，用于判断URL地址对应网页是否是恶意网页，如果是，则通知跳转单元；

所述跳转单元，用于在接收到恶意网站云服务器的通知后跳转到预设恶意网页提醒页面；

所述防御处理单元，用于根据所述提醒页面接收的用户指示，对所述网页请求消息进行防御处理。

7.根据权利要求6所述的系统，其特征在于，所述防御处理单元包括指示识别子单元、查询子单元和访问子单元，其中：

所述识别子单元，用于识别用户的指示，如果用户指示为继续访问当前网站，则触发查询子单元；

所述查询子单元，用于查询网页地址库是否存在所述URL地址的根地址，如果存在，则触发访问子单元，所述网页地址库保存有出现恶意网页提醒页面之前用户访问的网页地址；

所述访问子单元，用于根据所述根地址访问相应网页。

8.根据权利要求6或7所述的系统，其特征在于，所述系统还包括缓存单元和查询单元，所述查询单元用于在跳转到预设恶意网页提醒页面时，将网页请求消息的URL地址进行缓存；所述查询单元，用于在下一次截取网页请求消息的URL地址信息后，查询所述URL地址是否已经缓存，如果否，则触发发送单元。

Images