CN103067347B - 侦测钓鱼网站方法以及其网络装置 - Google Patents

Abstract

本发明涉及一种侦测钓鱼网站方法以及其网络装置，所述方法包含：接收一网页存取要求，其中，网页存取要求用以存取一欲存取地址的一欲存取网页；自欲存取地址取得欲存取网页；对欲存取网页进行快照，以取得一目前网页快照；将目前网页快照与一数据库中所储存的数个预存网页快照进行比对，其中，每一预存网页快照对应一预存网址；在目前网页快照与预存网页快照的其中之一相符时，比对欲存取地址以及预存网址中对应于相符的预存网页快照者；在欲存取地址与对应的预存地址不符时，判定欲存取网页为钓鱼网站。

Description

侦测钓鱼网站方法以及其网络装置

技术领域

本发明是有关于一种侦测钓鱼网站方法以及其网络装置以及计算机可读取记录媒体，且特别是有关于一种通过快照侦测钓鱼网站方法以及其网络装置以及计算机可读取记录媒体。

背景技术

网站钓鱼攻击(Phishing)是一种企图从网络通讯过程中，通过伪装成信誉良好的网站、卖家或法人，以获得如用户名、密码和信用卡明细等个人隐私资料的犯罪诈骗过程。举例来说，一般网络钓鱼公司多半声称来自于颇富盛名的社交网站(如YouTube、Facebook、MySpace)、拍卖网站(如eBay)、网络银行、电子支付网站(PayPal)、或网络管理者(雅虎、因特网服务供货商、公司机关)，用以诱骗受害人的轻信。然后，它常常导引用户到地址或其界面外观与所声称的网站几无差异的假冒网站，供用户输入其个人数据。就算使用SSL服务器认证，仍无法轻易侦测出网站是否为仿冒的。

现存既有的常用检测方法主要也是以黑名单比对为主流(Ex：GoogleSecureBrowsing)。然而，因恶意攻击者可用大量不同的网址替代。因此，即使其中一个钓鱼网站网址被列入黑名单，恶意攻击者仍可将钓鱼网站网址替换为其它未被列入黑名单的网址。因此，先前技术通过黑名单检测钓鱼网站网址的准确率低，且无法迅速检测出不断新增的钓鱼网站的网址。

发明内容

因此，本发明的一方面是在提供一种侦测钓鱼网站方法，用以根据欲存取网页的快照以及其地址，判断欲存取网页是否为钓鱼网站。侦测钓鱼网站方法可实作为一计算机程序，并储存于一计算机可读取记录媒体。于是，计算机存取上述计算机可读取纪录媒体后，可执行侦测钓鱼网站方法。侦测钓鱼网站方法包含以下步骤：

(a)接收一网页存取要求。其中，网页存取要求用以存取一欲存取地址的一欲存取网页。

(b)自欲存取地址取得欲存取网页。

(c)对欲存取网页进行快照，以取得一目前网页快照。

(d)将目前网页快照与一数据库中所储存的数个预存网页快照进行比对。其中，每一预存网页快照对应一预存网址。

(e)在目前网页快照与预存网页快照的其中之一相符时，比对欲存取地址以及预存网址中对应于相符的预存网页快照者。

(f)在欲存取地址与对应的预存地址不符时，判定欲存取网页为钓鱼网站。

本发明的另一方面是在提供一种网络装置，用以根据欲存取网页的快照以及其地址，判断欲存取网页是否为钓鱼网站。网络装置包含一网卡、一数据库以及一处理组件。处理组件电性连接网卡以及数据库。网卡与一网络建立连结。数据库储存数个预存网页快照。每一预存网页快照对应一预存网址。处理组件包含一要求接收模块、一网页取得模块、一快照取得模块、一快照比对模块、一地址比对模块以及一警示模块。要求接收模块接收一网页存取要求。网页存取要求用以存取一欲存取地址的一欲存取网页。网页取得模块透过网络，自欲存取地址取得欲存取网页。快照取得模块对欲存取网页进行快照，以取得一目前网页快照。快照比对模块将目前网页快照与数据库中的多个预存网页快照进行比对。在目前网页快照与预存网页快照的其中之一相符时，地址比对模块比对欲存取地址以及预存网址中对应于相符的预存网页快照者。在欲存取地址与对应的预存地址不符时，警示模块判定欲存取网页为钓鱼网站，并产生一警示信号。

应用本发明具有下列优点。如此一来，仅需对欲存取网页进行快照并比对对应的网址，即可快速的进行钓鱼网站的判断。即使恶意攻击者使用多个不同的网址进行钓鱼攻击，仍可通过快照以及其网址的对应关系，判断出是否为钓鱼网站。

附图说明

为让本发明的上述和其它目的、特征、优点与实施例能更明显易懂，所附附图的说明如下：

图1绘示依照本发明一实施方式的一种侦测钓鱼网站方法的流程图；

图2是欲存取网页的一实施例；

图3绘示依照本发明一实施方式的一种网络装置的功能方块图。

【主要组件符号说明】

110～200：步骤

310：欲存取网页

311、312：欲存取网页的区域

312a：信息输入界面

400：网络装置

410：网卡

420：数据库

430：处理组件

431：要求接收模块

432：网页取得模块

433：快照取得模块

434：快照比对模块

435：地址比对模块

436：警示模块

437：撷取模块

438：快照更新模块

439：散列函数计算模块

440：正规化模块

450：显示组件

460：使用者界面

500：网络

具体实施方式

以下将以附图及详细说明清楚说明本发明的精神，任何所属技术领域中具有通常知识者在了解本发明的较佳实施例后，当可由本发明所教示的技术，加以改变及修饰，其并不脱离本发明的精神与范围。

请参照图1，其绘示依照本发明一实施方式的一种侦测钓鱼网站方法的流程图。在侦测钓鱼网站方法中，根据欲存取网页的快照以及其地址，判断欲存取网页是否为钓鱼网站。侦测钓鱼网站方法可实作为一计算机程序，并储存于一计算机可读取记录媒体中，而使计算机读取此记录媒体后执行侦测钓鱼网站方法。计算机可读取记录媒体可为只读存储器、闪存、软盘、硬盘、光盘、随身碟、磁带、可由网络存取的数据库或熟悉此技艺者可轻易思及具有相同功能的计算机可读取记录媒体。

侦测钓鱼网站方法包含以下步骤：

在步骤110中，接收一网页存取要求。其中，网页存取要求用以存取一欲存取地址的一欲存取网页。在本发明的一实施例中，可透过网络，自一客户端装置接收网页存取要求(步骤110)。在本发明的另一实施例中，可透过一使用者界面(如鼠标、键盘、触控式屏幕、按键、图形化使用者界面或其它类型的使用者界面)，接收网页存取要求(步骤110)。换言之，使用者可操作使用者界面选择其欲存取网页，以使得使用者界面产生网页存取要求，供步骤110接收。

在步骤120中，自欲存取地址取得欲存取网页。

在步骤130中，对欲存取网页进行快照，以取得一目前网页快照。

在步骤140中，将目前网页快照与一数据库中所储存的数个预存网页快照进行比对。其中，每一预存网页快照对应一预存网址。

在步骤150中，在目前网页快照与预存网页快照的其中之一相符时，比对欲存取地址以及预存网址中对应于相符的预存网页快照者。在本发明的一实施例中，可预设一相似度门坎。于是，可在目前网页快照与预存网页快照的相似度超过上述相似度门坎时判定相符。

在步骤160中，在欲存取地址与对应的预存地址不符时，判定欲存取网页为钓鱼网站。在本发明的一实施例中，在判定欲存取网页为钓鱼网站(步骤160)时，可产生一警示信号提醒使用者。在本发明的另一实施例中，在判定欲存取网页为钓鱼网站(步骤160)时，可封锁欲存取网页，而不提供给使用者。在本发明的其它实施例中，在判定欲存取网页为钓鱼网站(步骤160)时，可进行其它处理，并不限于本揭露。如此一来，仅需对欲存取网页进行快照并比对对应的网址，即可快速的进行钓鱼网站的判断。即使恶意攻击者使用多个不同的网址进行钓鱼攻击，仍可通过快照以及其网址的对应关系，判断出是否为钓鱼网站。

在步骤170中，在欲存取地址以及对应地址相符时，提供欲存取网页。在本发明的一实施例中，可将欲存取网页显示于一显示组件，以提供欲存取网页(步骤170)。在本发明的另一实施例中，可将欲存取网页传送至产生网页存取要求的客户端装置，以将欲存取网页提供给客户端装置(步骤170)。

在步骤180中，在目前网页快照与数据库中的预存网页快照皆不相符时，判断欲存取地址是否与数据库中的预存地址相符。

在步骤190中，在欲存取地址与数据库中预存地址的其中之一相符时，以目前网页快照更新预存网页快照中对应于相符的预存地址者。如此一来，即使欲存取网页有所异动，仍适用于侦测钓鱼网站方法。

在步骤200中，在欲存取地址与数据库中预存地址皆不相符时，将欲存取网页视为无法判定的网页。

在步骤130的一实施例中，可仅对具有输入界面的区块进行快照。因此，对欲存取网页进行快照，以取得目前网页快照(步骤130)可包含以下步骤：自欲存取网页撷取包含一信息输入界面的一输入界面区域。实作上，可自欲存取网页的网页码中寻找文字输入区块的程序代码，以撷取出包含一信息输入界面的一输入界面区域。接下来，对输入界面区域进行快照，以作为目前网页快照。图2是欲存取网页的一实施例。在本实施例中，欲存取网页310包含多个区域311、312。其中，区域312为包含一信息输入界面312a的一输入界面区域312。于是，可仅对区域312进行快照，作为目前网页快照。然而，在其它实施例中，信息输入界面可为用以输入使用者密码、姓名、性别、居住地区或其它类型的个人信息，并不限于本揭露。如此一来，可减少欲存取网页需快照的区域大小，缩短进行快照所需的时间。此外，即使欲存取网页上输入界面以外的区域有所改变，也不会影响侦测钓鱼网站方法判断的正确率。换言之，即使欲存取网页上的部分区域包含动态信息，仍可适用于侦测钓鱼网站方法。

此外，可通过散列函数(hashfunction)辅助地址比对。因此，数据库可储存各预存网址的一预存网址散列值。在本发明的一实施例中，比对欲存取地址以及预存网址中对应于相符的预存网页快照者(步骤150)可包含：使用一散列函数，计算欲存取地址的一欲存取地址散列值。比对欲存取地址的欲存取地址散列值以及对应的预存网址的预存网址散列值。其中，在散列值不相等时，判定欲存取地址与对应的预存地址不符；在散列值相等时，判定欲存取地址与对应的预存地址相符。如此一来，可大量减少数据库中储存预存网址所需的储存空间。

此外，在本发明的另一实施例中，比对欲存取地址以及预存网址中对应于相符的预存网页快照者(步骤150)可包含：正规化欲存取地址，并比对正规化后的欲存取地址以及预存网址中对应于相符的预存网页快照者。举例来说，在欲存取地址为

「https://www.google.com/accounts/ServiceLogin？service＝blogger&passive＝1209600&continue＝http://www.blogger.com/home&followup＝http://www.blogger.com/home&ltmpl＝start」时，可通过正规化撷取出：

「https://www.google.com/accounts/ServiceLogin？」、

「service＝blogger」、

「continue＝http://www.blogger.com/home」等具有特征的字符串，以进行后续的地址比对。如此一来，可提高地址比对的正确率。然而，在其它实施例中，可通过其它方式进行地址比对，并不限于本揭露。

请参照图3，其绘示依照本发明一实施方式的一种网络装置的功能方块图。网络装置根据欲存取网页的快照以及其地址，判断欲存取网页是否为钓鱼网站。

网络装置400包含一网卡410、一数据库420以及一处理组件430。处理组件430电性连接网卡410以及数据库420。网卡410与一网络500建立连结。数据库420储存数个预存网页快照。数据库420中的每一预存网页快照对应一预存网址。

处理组件430包含一要求接收模块431、一网页取得模块432、一快照取得模块433、一快照比对模块434、一地址比对模块435以及一警示模块436。要求接收模块431接收一网页存取要求。网页存取要求用以存取一欲存取地址的一欲存取网页。在本发明的一实施例中，要求接收模块431可透过网络500，自一客户端装置接收网页存取要求在本发明的另一实施例中，要求接收模块431可透过网络装置400的一使用者界面460，接收网页存取要求。使用者界面460可为鼠标、键盘、触控式屏幕、按键、图形化使用者界面或其它类型的使用者界面。换言之，使用者可操作使用者界面460选择其欲存取网页，以使得使用者界面460产生网页存取要求。

网页取得模块432透过网络500，自欲存取地址取得欲存取网页。快照取得模块433对欲存取网页进行快照，以取得一目前网页快照。快照比对模块434将目前网页快照与数据库420中的多个预存网页快照进行比对。在目前网页快照与预存网页快照的其中之一相符时，地址比对模块435比对欲存取地址以及预存网址中对应于相符的预存网页快照者。在欲存取地址与对应的预存地址不符时，警示模块436判定欲存取网页为钓鱼网站。于是，在本发明的一实施例中，判定欲存取网页为钓鱼网站时，警示模块436可产生一警示信号(如警示灯号、警示文字、警示声音或其它类型的警示信号)，以提示使用者。在本发明的另一实施例中，在判定欲存取网页为钓鱼网站时，处理组件430可封锁欲存取网页，而不提供给使用者。在本发明的其它实施例中，在判定欲存取网页为钓鱼网站时，处理组件430可进行其它处理，并不限于本揭露。如此一来，网络装置400仅需对欲存取网页进行快照并比对对应的网址，即可快速的进行钓鱼网站的判断。即使恶意攻击者使用多个不同的网址进行钓鱼攻击，网络装置400仍可通过快照以及其网址的对应关系，判断出是否为钓鱼网站。

在地址比对模块435判定欲存取地址与对应的预存地址相符时，处理组件430可驱动显示组件450显示欲存取网页。在本发明的另一实施例中，在地址比对模块435判定欲存取地址与对应的预存地址相符时，处理组件430透过网络500传送欲存取网页至客户端。

此外，若欲存取网页有异动时，将可能使目前网页快照与数据库420中的预存网页快照皆不相符。因此，处理组件430可包含一快照更新模块438。在目前网页快照与预存网页快照皆不相符时，快照更新模块438判断欲存取地址是否与数据库420中的预存地址相符。在欲存取地址与数据库420中预存地址的其中之一相符时，快照更新模块438以目前网页快照，对数据库420的预存网页快照中对应于相符的预存地址者进行更新。如此一来，即使欲存取网页有所异动，网络装置400仍可对其进行钓鱼网站的侦测。

另外，处理组件430还可包含一撷取模块437。撷取模块437自欲存取网页撷取包含一信息输入界面的一输入界面区域。于是，快照取得模块433可对输入界面区域进行快照，以作为目前网页快照。如此一来，可减少欲存取网页需快照的区域大小，缩短进行快照所需的时间。此外，即使欲存取网页上输入界面以外的区域有所改变，也不会影响网络装置400的判断正确率。换言之，即使欲存取网页上的部分区域包含动态信息，网络装置400仍可进行侦测。

此外，为了节省数据库420的储存空间，数据库可仅储存各预存网址的一预存网址散列值。于是，处理组件430可包含一散列函数计算模块439。散列函数计算模块439使用一散列函数，计算欲存取地址的一欲存取地址散列值。接下来，地址比对模块435比对欲存取地址的欲存取地址散列值以及对应的预存网址的预存网址散列值。在前述散列值不相等时，警示模块436可判定欲存取地址与对应的预存地址不符。在散列值相等时，处理组件430判定欲存取地址与对应的预存地址相符。如此一来，可大量减少数据库420中储存预存网址所需的储存空间。

处理组件430还可包含一正规化模块440，用以正规化欲存取地址。于是，地址比对模块435可比对正规化后的欲存取地址以及预存网址中对应于相符的预存网页快照者。举例来说，在欲存取地址为「https://www.google.com/accounts/ServiceLogin？service＝blogger&passive＝1209600&continue＝http://www.blogger.com/home&followup＝http://www.blogger.com/home&ltmpl＝start」时，正规化模块440可通过正规化自上述欲存取地址撷取出：

「https://www.google.com/accounts/ServiceLogin？」、

「service＝blogger」、

「continue＝http://www.blogger.com/home」等具有特征的字符串，以进行后续的地址比对。如此一来，可提高地址比对的正确率。然而，在其它实施例中，可通过其它方式撷取欲存取地址的特征，以进行地址比对，并不限于本揭露。

虽然本发明已以实施方式揭露如上，然其并非用以限定本发明，任何熟悉此技艺者，在不脱离本发明的精神和范围内，当可作各种的更动与润饰，因此本发明的保护范围当视所附的权利要求书所界定的范围为准。

Claims (11)

1.一种侦测钓鱼网站方法，其特征在于，包含：

(a)接收一网页存取要求，用以存取一欲存取地址的一欲存取网页；

(b)自该欲存取地址取得该欲存取网页；

(c)对该欲存取网页进行快照，以取得一目前网页快照；

(d)将该目前网页快照与一数据库中所储存的数个预存网页快照进行比对，其中每一该些预存网页快照对应一预存网址，其中该些预存网页快照非来自于钓鱼网站的网页快照；

(e)在该目前网页快照与该些预存网页快照的其中之一相符时，比对该欲存取地址以及该些预存网址中对应于相符的该预存网页快照者；

(f)在该欲存取地址与对应的该预存地址不符时，判定该欲存取网页为钓鱼网站；

(g)在该目前网页快照与该些预存网页快照皆不相符时，判断该欲存取地址是否与该些预存地址相符；以及

(h)在该欲存取地址与该些预存地址的其中之一相符时，以该目前网页快照更新该些预存网页快照中对应于相符的该预存地址者。

2.根据权利要求1所述的侦测钓鱼网站方法，其特征在于，还包含：

在该欲存取地址以及该对应地址相符时，提供该欲存取网页。

3.根据权利要求1所述的侦测钓鱼网站方法，其特征在于，步骤(c)包含：

自该欲存取网页撷取包含一信息输入界面的一输入界面区域；以及

对该输入界面区域进行快照，以作为该目前网页快照。

4.根据权利要求1所述的侦测钓鱼网站方法，其特征在于，该数据库储存每一该些预存网址的一预存网址散列值，步骤(e)包含：

使用一散列函数，计算该欲存取地址的一欲存取地址散列值；以及

比对该欲存取地址的该欲存取地址散列值以及对应的该预存网址的该预存网址散列值，其中在不相等时，判定该欲存取地址与对应的该预存地址不符。

5.根据权利要求1所述的侦测钓鱼网站方法，其特征在于，步骤(e)包含：

正规化该欲存取地址；以及

比对正规化后的该欲存取地址以及该些预存网址中对应于相符的该预存网页快照者。

6.一种网络装置，其特征在于，包含：

一网卡，与一网络建立连接；

一数据库，储存多个预存网页快照，其中每一该些预存网页快照对应一预存网址；以及

一处理组件，电性连接该网卡以及该数据库，其中该处理组件包含：

一要求接收模块，接收一网页存取要求，用以存取一欲存取地址的一欲存取网页；

一网页取得模块，透过该网络，自该欲存取地址取得该欲存取网页；

一快照取得模块，对该欲存取网页进行快照，以取得一目前网页快照；

一快照比对模块，将该目前网页快照与该数据库中该些预存网页快照进行比对，其中该些预存网页快照非来自于钓鱼网站的网页快照；

一地址比对模块，在该目前网页快照与该些预存网页快照的其中之一相符时，比对该欲存取地址以及该些预存网址中对应于相符的该预存网页快照者；

一警示模块，在该欲存取地址与对应的该预存地址不符时，判定该欲存取网页为钓鱼网站，并产生一警示信号；以及

一快照更新模块，在该目前网页快照与该些预存网页快照皆不相符时，判断该欲存取地址是否与该些预存地址相符，并在该欲存取地址与该些预存地址的其中之一相符时，以该目前网页快照更新该些预存网页快照中对应于相符的该预存地址者。

7.根据权利要求6所述的网络装置，其特征在于，还包含：

一显示组件，电性连接该处理组件，在该欲存取地址以及该对应地址相符时，该处理组件驱动该显示组件显示该欲存取网页。

8.根据权利要求6所述的网络装置，其特征在于，该网页存取要求是透过该网络自一客户端所接收，在该欲存取地址以及该对应地址相符时，该处理组件透过该网络传送该欲存取网页至该客户端。

9.根据权利要求6所述的网络装置，其特征在于，该处理组件还包含：

一撷取模块，自该欲存取网页撷取包含一信息输入界面的一输入界面区域，其中该快照取得模块对该输入界面区域进行快照，以作为该目前网页快照。

10.根据权利要求6所述的网络装置，其特征在于，该数据库储存每一该些预存网址的一预存网址散列值，该处理组件还包含：

一散列函数计算模块，使用一散列函数，计算该欲存取地址的一欲存取地址散列值，

其中该地址比对模块比对该欲存取地址的该欲存取地址散列值以及对应的该预存网址的该预存网址散列值，其中在不相等时，该警示模块判定该欲存取地址与对应的该预存地址不符。

11.根据权利要求6所述的网络装置，其特征在于，该处理组件还包含：

一正规化模块，正规化该欲存取地址，

其中该地址比对模块比对正规化后的该欲存取地址以及该些预存网址中对应于相符的该预存网页快照者。