CN102469069A - 防止入口认证攻击的方法及装置 - Google Patents

Abstract

本发明公开了防止入口认证攻击的方法及装置。方法包括：预先在BAS上配置浏览器支持而应用软件不支持的脚本格式；BAS接收发起方发来的HTTP请求报文，发现该发起方未通过认证，则构造HTTP响应报文，将入口服务器的认证主页URL以浏览器支持而应用软件不支持的脚本格式写入HTTP响应报文中，将HTTP响应报文发送给发起方，以使得：若发起方为浏览器，则接收到HTTP响应报文后，会从报文中解析出入口服务器的认证主页URL从而发起认证请求，若发起方为应用软件，则接收到HTTP响应报文后，无法解析该报文，从而不会发起认证请求。本发明减少了无用的认证请求对入口服务器的攻击。

Description

防止入口认证攻击的方法及装置

技术领域

本发明涉及认证技术领域，具体涉及防止入口认证攻击的方法及装置。

背景技术

入口(Portal)认证也称为WEB认证，Portal认证网站称为门户网站。强制WEB认证以其新业务支撑能力强大、无需安装客户软件等特点，受到越来越多运营商的欢迎。Portal业务可以为运营商提供方便的管理功能，比如希望所有的用户都到公司的门户网站去认证，门户网站可以开展广告、社区服务、个性化的业务等，使宽带运营商、设备提供商、内容服务提供商形成一个产业生态系统。

图1是一个标准的Portal认证组网图，如图1所示，用户挂接在交换机下，交换机再接入到宽带接入服务器(BAS，Broadband Access Server)上，BAS是支持Portal认证的设备。所有的BAS通过一个核心路由器(也可以是高端交换机)连接到互联网上，服务器如：Portal服务器、认证授权计费(AAA，Authentication Authorization Accounting)服务器等放在机房中，通过一台交换机连到核心路由器上。

对于一个未认证终端用户，如果在浏览器地址栏中输入了一个互联网地址，则浏览器会发出一个超文本传输协议(HTTP，Hypertext Transfer Protocol)请求，该HTTP请求在经过BAS时会被重定向到Portal服务器的认证主页上，用户在认证主页中输入认证信息后提交，Portal服务器会将用户的认证信息传递给BAS，然后BAS再与AAA服务器通信进行认证和计费，如果认证通过，BAS会打开用户与互联网间的通路，用户可以访问互联网。

在终端用户通过认证前，任何HTTP请求在经过BAS时都会被重定向到Portal的认证主页。

现有技术的缺点如下：

终端安装的大多数应用软件都提供自动更新服务，而这些服务一般都是通过定时发送HTTP请求实现的，其中，部分应用软件的重试间隔达到毫秒级。且，无论终端是否上线，终端上的应用软件都会定时发送HTTP请求以请求自动更新。当终端上线后，应用软件发出的用于自动更新的HTTP请求会直接到达更新服务器上；但是，当终端未上线时，由于终端未通过认证，这些HTTP请求经过BAS时都会被重定向到Portal服务器的认证主页。这样，当网络中未上线的终端数量较多、应用软件的数量又较多时，这些应用软件会发出大量的HTTP请求，从而会给Portal服务器造成Portal认证攻击，使得Portal服务器的性能迅速降低，进而导致其它终端的正常的认证请求难以及时响应，甚至无法上线。

发明内容

本发明提供防止Portal认证攻击的方法及装置，以减少无用的认证请求对Portal服务器的攻击。

本发明的技术方案是这样实现的：

一种防止入口认证攻击的方法，预先在宽带接入服务器BAS上配置浏览器支持而应用软件不支持的脚本格式，该方法包括：

BAS接收发起方发来的超文本传输协议HTTP请求报文，发现该发起方未通过认证，则构造HTTP响应报文，将入口服务器的认证主页统一资源标识符URL以浏览器支持而应用软件不支持的脚本格式写入HTTP响应报文中，将HTTP响应报文发送给发起方，以使得：若发起方为浏览器，则接收到HTTP响应报文后，会从报文中解析出入口服务器的认证主页URL从而发起认证请求，若发起方为应用软件，则接收到HTTP响应报文后，无法解析该报文，从而不会发起认证请求。

所述脚本为：java脚本或者vb脚本。

一种防止入口认证攻击的装置，该装置位于BAS上，该装置包括：

第一模块：接收发起方发来的HTTP请求报文，若发现该发起方未通过认证，则向第二模块转发该HTTP请求报文；

第二模块：接收HTTP请求报文，构造HTTP响应报文，将入口服务器的认证主页URL以浏览器支持而应用软件不支持的脚本格式写入HTTP响应报文中，将HTTP响应报文发送给发起方，以使得：若发起方为浏览器，则接收到HTTP响应报文后，会从报文中解析出入口服务器的认证主页URL从而发起认证请求，若发起方为应用软件，则接收到HTTP响应报文后，无法解析该报文，从而不会发起认证请求。

与现有技术相比，本发明中，当BAS接收发起方发来的HTTP请求报文后，若发现该发起方未通过认证，则将Portal服务器的认证主页URL以浏览器支持而应用软件不支持的脚本格式写入HTTP响应报文中，从而使得：若发起方为浏览器，则接收到HTTP响应报文后，会从报文中解析出入口服务器的认证主页URL从而发起认证请求，若发起方为应用软件，则接收到HTTP响应报文后，无法解析该报文，从而不会发起认证请求。本发明避免了无用的认证请求对Portal服务器的攻击，从而使得Portal服务器能够及时响应正常的认证请求。

附图说明

图1为一个标准的Portal认证组网图；

图2为本发明实施例一提供的防止Portal认证攻击的方法流程图；

图3为本发明实施例二提供的防止Portal认证攻击的方法流程图；

图4为本发明实施例提供的防止Portal认证攻击的装置组成图。

具体实施方式

下面结合附图及具体实施例对本发明再作进一步详细的说明。

图2为本发明实施例一提供的防止Portal认证攻击的方法流程图，如图2所示，其具体步骤如下：

步骤201：预先在BAS上配置浏览器支持而应用软件不支持的脚本格式。

步骤202：BAS接收发起方发来的HTTP请求报文，发现该发起方未通过认证，则构造HTTP响应报文，将Portal服务器的认证主页URL以浏览器支持而应用软件不支持的脚本格式写入HTTP响应报文中，将HTTP响应报文发送给发起方。

步骤203：当发起方为浏览器时，则接收到HTTP响应报文后，会从报文中解析出Portal服务器的认证主页URL从而发起认证请求；当发起方为应用软件时，则接收到HTTP响应报文后，无法解析该报文，从而不会发起认证请求。

图3为本发明实施例二提供的防止Portal认证攻击的方法流程图，如图3所示，其具体步骤如下：

步骤301：预先在BAS上配置浏览器支持而应用软件不支持的脚本格式。

脚本格式通常如下：

″<script language＝″xxx″>location.href＝′URL′</script>″

其中，xxx代表具体的脚本语言类型，比如javascript、vbscript等，URL为Portal服务器的认证主页统一资源标识符(URL，Universal ResourceLocator)，比如http://192.168.1.1/portal/index.jsp。

步骤302：BAS接收发起方发来的HTTP请求报文，从该报文中得到发起方的IP地址。

步骤303：BAS根据发起方的IP地址，判断该发起方是否已通过认证，若是，执行步骤304；否则，执行步骤305。

BAS会维护一个上线用户表，该表中包含上线用户的IP地址等。本步骤中，若发起方的IP地址存在于上线用户表中，则说明该发起方已通过认证；否则，说明该发起方未通过认证。

步骤304：BAS将该HTTP请求报文转发出去，本流程结束。

步骤305：BAS构造HTTP响应报文，将Portal服务器的认证主页URL以浏览器支持而应用软件不支持的脚本格式写入HTTP响应报文中。

步骤306：发起方接收HTTP响应报文，解析该报文。

步骤307：发起方判断是否解析成功，若是，执行步骤308；否则，执行步骤309。

步骤308：发起方按照解析出的Portal服务器的认证主页URL，向Portal服务器发起认证请求，本流程结束。

对于浏览器来说，由于其支持脚本格式，因此，其可以从HTTP响应报文中解析出Portal服务器的认证主页URL，这样，其就可以向Portal服务器发起认证请求，从而可以正常上线。

步骤309：发起方丢弃该HTTP响应报文。

对于应用软件来说，由于其不支持脚本格式，因此，其是无法从HTTP响应报文中解析出Portal服务器的认证主页URL的，这样，其就不会向Portal服务器发起认证请求了。

图4为本发明实施例提供的防止入口认证攻击的装置组成图，该装置位于BAS上，如图4所示，该装置包括：第一模块41和第二模块42，其中：

第一模块41：接收发起方发来的HTTP请求报文，若发现该发起方未通过认证，则向第二模块42转发该HTTP请求报文。

第二模块42：接收第一模块41发来的HTTP请求报文，构造HTTP响应报文，将Portal服务器的认证主页URL以浏览器支持而应用软件不支持的脚本格式写入HTTP响应报文中，将HTTP响应报文发送给发起方，以使得：若发起方为浏览器，则接收到HTTP响应报文后，会从报文中解析出Portal服务器的认证主页URL从而发起认证请求，若发起方为应用软件，则接收到HTTP响应报文后，无法解析该报文，从而不会发起认证请求。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims (3)

1.一种防止入口认证攻击的方法，其特征在于，预先在宽带接入服务器BAS上配置浏览器支持而应用软件不支持的脚本格式，该方法包括：

BAS接收发起方发来的超文本传输协议HTTP请求报文，发现该发起方未通过认证，则构造HTTP响应报文，将入口服务器的认证主页统一资源标识符URL以浏览器支持而应用软件不支持的脚本格式写入HTTP响应报文中，将HTTP响应报文发送给发起方，以使得：若发起方为浏览器，则接收到HTTP响应报文后，会从报文中解析出入口服务器的认证主页URL从而发起认证请求，若发起方为应用软件，则接收到HTTP响应报文后，无法解析该报文，从而不会发起认证请求。

2.根据权利要求1所述的方法，其特征在于，所述脚本为：java脚本或者vb脚本。

3.一种防止入口认证攻击的装置，该装置位于BAS上，其特征在于，该装置利用了如权利要求1所述的方法，该装置包括：

第一模块：接收发起方发来的HTTP请求报文，若发现该发起方未通过认证，则向第二模块转发该HTTP请求报文；

第二模块：接收HTTP请求报文，构造HTTP响应报文，将入口服务器的认证主页URL以浏览器支持而应用软件不支持的脚本格式写入HTTP响应报文中，将HTTP响应报文发送给发起方，以使得：若发起方为浏览器，则接收到HTTP响应报文后，会从报文中解析出入口服务器的认证主页URL从而发起认证请求，若发起方为应用软件，则接收到HTTP响应报文后，无法解析该报文，从而不会发起认证请求。

Images