CN103209177B - 网络钓鱼攻击的检测方法和装置 - Google Patents

Abstract

本发明公开了一种网络钓鱼攻击的检测方法，包括：识别客户端所发起的web访问请求；解析并记录该web访问请求对应的用户请求域名；根据web服务器所返回的应答网页的页面特征在预置的网站识别库中查找对应的应答域名；比对用户请求域名和应答域名是否一致，若是，则判定应答网页中不存在网络钓鱼攻击，若否，则判定应答网页中存在网络钓鱼攻击。本发明还公开了相应的装置。采用本发明所公开的方案，能够及时识别并检测出网络钓鱼攻击，从而提升防网络钓鱼攻击的效果。

Description

网络钓鱼攻击的检测方法和装置

技术领域

本发明涉及到互联网技术领域，特别涉及到一种网络钓鱼攻击的检测方法和装置。

背景技术

网络钓鱼攻击者通常利用欺骗性的电子邮件和伪造的Web站点来进行网络诈骗活动，而受骗者往往会泄露自己的私人资料，如信用卡号、银行卡账户、身份证号等内容。传统的防网络钓鱼是通过收集恶意网址库来实现，但是，这种方法不能够及时对新出现的钓鱼网站进行识别，并且由于恶意网址库的不完整性，也会导致对某些已有的钓鱼网站也检测不出来，从而限制了防网络钓鱼攻击的效果。

发明内容

本发明的主要目的为提供一种网络钓鱼攻击的检测方法和装置，旨在及时识别并检测出网络钓鱼攻击，从而提升防网络钓鱼攻击的效果。

本发明提供一种网络钓鱼攻击的检测方法，包括：

识别客户端所发起的web访问请求；

解析并记录该web访问请求对应的用户请求域名；根据web服务器所返回的应答网页的页面特征在预置的网站识别库中查找对应的应答域名；

比对所述用户请求域名和所述应答域名是否一致，若是，则判定所述应答网页中不存在网络钓鱼攻击，若否，则判定所述应答网页中存在网络钓鱼攻击。

优选地，所述根据web服务器所返回的应答网页的页面特征在预置的网站识别库中查找对应的应答域名包括：

接收web服务器所返回的应答网页，提取所述应答网页的页面特征；

根据所提取的所述页面特征，在所述网站识别库中查找所述应答网页对应的应答域名。

优选地，在执行所述比对用户请求域名和所述应答域名是否一致，若是，则判定所述应答网页中不存在网络钓鱼攻击，若否，则判定所述应答网页中存在网络钓鱼攻击之后，还包括：

对客户端所请求的web访问请求进行相应的处理。

优选地，所述对客户端所请求的web访问请求进行相应的处理包括：

当判定所述应答网页中存在网络钓鱼攻击时，则根据用户的配置阻断或重定向所述应答网页的连接；

当判定所述应答网页中不存在网络钓鱼攻击时，则将所述应答网页转发至客户端。

本发明还提供一种网络钓鱼攻击的检测装置，包括：

Web流量识别模块，用于识别客户端所发起的web访问请求；

Web流量解析模块，用于解析并记录该web访问请求对应的用户请求域名；根据web服务器所返回的应答网页的页面特征在预置的网站识别库中查找对应的应答域名；

域名比对模块，用于比对所述用户请求域名和所述应答域名是否一致；

检测模块，用于当所述用户请求域名和所述应答域名一致时，判定所述应答网页中不存在网络钓鱼攻击；当所述用户请求域名和所述应答域名不一致时，判定所述应答网页中存在网络钓鱼攻击。

优选地，所述Web流量解析模块包括：

提取单元，用于接收web服务器所返回的应答网页，提取所述应答网页的页面特征；

查找单元，用于根据所提取的所述页面特征，在所述网站识别库中查找所述应答网页对应的应答域名。

优选地，网络钓鱼攻击的检测装置还包括：

请求处理模块，用于对客户端所请求的web访问请求进行相应的处理。

优选地，所述请求处理模块用于：

当判定所述应答网页中存在网络钓鱼攻击时，则根据用户的配置阻断或重定向所述应答网页的连接；

当判定所述应答网页中不存在网络钓鱼攻击时，则将所述应答网页转发至客户端。

本发明通过在客户端发起web访问请求后，识别该web访问请求，解析并记录其所对应的用户请求域名；然后在web服务器返回应答网页后，提取应答网页的页面特征，根据页面特征在预置的网站识别库中查找对应的应答域名；比对用户请求域名和应答域名是否一致，若是，则判定应答网页中不存在网络钓鱼攻击，若否，则判定应答网页中存在网络钓鱼攻击。采用这种方法，能够及时识别并检测出网络钓鱼攻击，从而提升防网络钓鱼攻击的效果。

附图说明

图1为本发明网络钓鱼攻击的检测方法第一实施例的流程示意图；

图2为本发明网络钓鱼攻击的检测方法第一实施例中根据页面特征查找对应的应答域名的流程示意图；

图3为本发明网络钓鱼攻击的检测方法第二实施例的流程示意图；

图4为本发明网络钓鱼攻击的检测方法第二实施例中对web访问请求进行处理的流程示意图；

图5为本发明网络钓鱼攻击的检测装置第一实施例的结构示意图；

图6为本发明网络钓鱼攻击的检测装置第一实施例中Web流量解析模块的结构示意图；

图7为本发明网络钓鱼攻击的检测装置第二实施例的结构示意图。

本发明目的的实现、功能特点及优点将结合实施例，参照附图做进一步说明。

具体实施方式

应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

本发明提供一种网络钓鱼攻击的检测方法，识别客户端所发起的web访问请求；解析并记录该web访问请求对应的用户请求域名，以及web服务器所返回的应答网页的应答域名，并比对用户请求域名和应答域名是否一致，从而根据比对结果判断应答网页中是否存在网络钓鱼攻击。

参照图1，图1为本发明网络钓鱼攻击的检测方法第一实施例的流程示意图。

本实施例所提供的网络钓鱼攻击的检测方法，包括：

步骤S10，识别客户端所发起的web访问请求；

步骤S20，解析并记录web访问请求对应的用户请求域名；

步骤S21，根据web服务器所返回的应答网页的页面特征在预置的网站识别库中查找对应的应答域名；

在客户端发起web访问请求后，接收该web访问请求，并识别出该web访问请求的web流量，即识别针对该web访问请求所需要进行的处理。识别出web访问请求所需要进行的处理后，对该请求网站进行解析，解析出请求网站对应的用户请求域名。然后，将web访问请求转发至web服务器，在接收到web服务器所返回的应答网页后，同样对该应答网页进行解析，而后根据应答网页的页面特征在预置的网站识别库中查找对应的应答域名。本实施例中，预置的网站识别库中定义了应答网页的页面特征与应答域名的一一对应或者一对多的映射关系，用户可以自定义应答网页的页面特征，并定义根据该页面特征查找应答网页对应的应答域名的识别规则。

步骤S30，比对用户请求域名和应答域名是否一致，若是，则判定应答网页中不存在网络钓鱼攻击，若否，则判定应答网页中存在网络钓鱼攻击。

当根据应答网页的页面特征查找到对应的应答域名后，比对之前所记录的用户请求域名与应答域名是否一致，并根据比对的结果判断该应答网页中是否存在网络钓鱼攻击。当用户请求域名和应答域名一致时，说明web服务器所返回的应答网页即为用户所期望访问的域名对应的网页，从而进一步判定应答网页中不存在网络钓鱼攻击；而当用户请求域名和应答域名不一致时，则说明web服务器所返回的应答网页为网络钓鱼攻击者伪造的web站点，从而进一步判定应答网页中存在网络钓鱼攻击。

本发明实施例，通过在客户端发起web访问请求后，识别该web访问请求，解析并记录其所对应的用户请求域名；然后在web服务器返回应答网页后，提取应答网页的页面特征，根据页面特征在预置的网站识别库中查找对应的应答域名；比对用户请求域名和应答域名是否一致，若是，则判定应答网页中不存在网络钓鱼攻击，若否，则判定应答网页中存在网络钓鱼攻击。采用这种方法，能够及时识别并检测出网络钓鱼攻击，从而提升防网络钓鱼攻击的效果。

参照图2，图2为本发明网络钓鱼攻击的检测方法第一实施例中根据页面特征查找对应的应答域名的流程示意图。

在上述实施例中，步骤S21包括：

步骤S211，接收web服务器所返回的应答网页，提取应答网页的页面特征；

步骤S212，根据所提取的页面特征，在网站识别库中查找应答网页对应的应答域名。

将web访问请求转发至web服务器后，接收web服务器根据web访问请求所返回的应答网页，提取出应答网页的页面特征，然后根据该页面特征，在网站识别库中进行匹配，从而确定与应答网页对应的应答域名。本实施例中，用户可以将应答网页中页面内容中的任何一项内容的标签值作为页面特征。并且，由于网页识别库由多条识别规则组成；而每一条识别规则都对应相应的应答网页的页面特征，以及与页面特征对应的应答域名。因此，当提取出应答网页的页面特征后，首先在应答网页中匹配页面特征对应的识别规则，然后根据识别规则进一步查找，便可确定应答网页对应的应答域名。

在接收到web服务器返回的应答网页，提取应答网页的页面特征；并根据所提取的页面特征，在网站识别库中查找应答网页对应的应答域名，从而为检测应答网页中是否存在网络钓鱼攻击提供了前提条件。

参照图3，图3为本发明网络钓鱼攻击的检测方法第二实施例的流程示意图。

基于上述实施例，在执行步骤S30之后，该方法还包括：

步骤S40，对客户端所请求的web访问请求进行相应的处理。

在比对用户请求域名和应答域名是否一致，并根据比对结果检测出应答网页中是否存在网络钓鱼攻击之后，根据不同的检测结果，进一步决定需要对客户端所请求的web访问请求所分别进行的相应的处理。

参照图4，图4为本发明网络钓鱼攻击的检测方法第二实施例中对web访问请求进行处理的流程示意图。

在本发明网络钓鱼攻击的检测方法第二实施例中，在执行步骤S40时，当判定应答网页中存在网络钓鱼攻击时，则执行步骤S41；当判定应答网页中不存在网络钓鱼攻击时，则执行步骤S42；

步骤S41，根据用户的配置阻断或重定向应答网页的连接；

步骤S42，将应答网页转发至客户端。

根据用户请求域名和应答域名是否一致而检测应答网页中是否存在网络钓鱼攻击后，如用户请求域名和应答域名不一致，即应答网页中存在网络钓鱼攻击时，根据用户的配置对该应答网页的连接进行阻断或重定向；而如用户请求域名和应答域名一致，即应答网页中不存在网络钓鱼攻击时，将web服务器根据客户端的web访问请求所返回的应答网页转发至客户端，供客户端访问。

在根据用户请求域名和应答域名的比对结果，进行网络钓鱼攻击的检测之后，进一步根据检测结果对客户端所请求的web访问请求进行相应的处理，即进行根据阻断或重定向应答网页的连接，或将应答网页转发至客户端的处理。从而进一步保证了能够提升防网络钓鱼攻击的效果，并为用户访问网站提供了更好的服务。

本发明还提供一种网络钓鱼攻击的检测装置。

参照图5，图5为本发明网络钓鱼攻击的检测装置第一实施例的结构示意图。

本实施例所提供的网络钓鱼攻击的检测装置，包括：

Web流量识别模块10，用于识别客户端所发起的web访问请求；

Web流量解析模块20，用于解析并记录该web访问请求对应的用户请求域名；根据web服务器所返回的应答网页的页面特征在预置的网站识别库中查找对应的应答域名；

域名比对模块30，用于比对用户请求域名和应答域名是否一致；

检测模块40，用于当用户请求域名和应答域名一致时，判定应答网页中不存在网络钓鱼攻击；当用户请求域名和应答域名不一致时，判定应答网页中存在网络钓鱼攻击。

在客户端发起web访问请求后，接收该web访问请求，并通过Web流量识别模块10识别出该web访问请求的web流量，即识别针对该web访问请求所需要进行的处理。识别出web访问请求所需要进行的处理后，通过Web流量解析模块20对该请求网站进行解析，解析出请求网站对应的用户请求域名。然后，将web访问请求转发至web服务器，在接收到web服务器所返回的应答网页后，同样对该应答网页进行解析，而后根据应答网页的页面特征在预置的网站识别库中查找对应的应答域名。本实施例中，预置的网站识别库中定义了应答网页的页面特征与应答域名的一一对应或者一对多的映射关系，用户可以自定义应答网页的页面特征，并定义根据该页面特征查找应答网页对应的应答域名的识别规则。

当根据应答网页的页面特征查找到对应的应答域名后，域名比对模块30比对之前所记录的用户请求域名与应答域名是否一致，并通过检测模块40根据比对的结果判断该应答网页中是否存在网络钓鱼攻击。当用户请求域名和应答域名一致时，说明web服务器所返回的应答网页即为用户所期望访问的域名对应的网页，从而进一步判定应答网页中不存在网络钓鱼攻击；而当用户请求域名和应答域名不一致时，则说明web服务器所返回的应答网页为网络钓鱼攻击者伪造的web站点，从而进一步判定应答网页中存在网络钓鱼攻击。

本发明实施例，通过在客户端发起web访问请求后，识别该web访问请求，解析并记录其所对应的用户请求域名；然后在web服务器返回应答网页后，提取应答网页的页面特征，根据页面特征在预置的网站识别库中查找对应的应答域名；比对用户请求域名和应答域名是否一致，若是，则判定应答网页中不存在网络钓鱼攻击，若否，则判定应答网页中存在网络钓鱼攻击。采用这种方法，能够及时识别并检测出网络钓鱼攻击，从而提升防网络钓鱼攻击的效果。

参照图6，图6为本发明网络钓鱼攻击的检测方法第一实施例中Web流量解析模块的结构示意图。

在上述实施例中，Web流量解析模块20包括：

提取单元21，用于接收web服务器所返回的应答网页，提取应答网页的页面特征；

查找单元22，用于根据所提取的页面特征，在网站识别库中查找应答网页对应的应答域名。

将web访问请求转发至web服务器后，接收web服务器根据web访问请求所返回的应答网页，通过提取单元21，提取出应答网页的页面特征，然后根据该页面特征，在网站识别库中进行匹配，从而确定与应答网页对应的应答域名。本实施例中，用户可以将应答网页中页面内容中的任何一项内容的标签值作为页面特征。并且，由于网页识别库由多条识别规则组成；而每一条识别规则都对应相应的应答网页的页面特征，以及与页面特征对应的应答域名。因此，当提取出应答网页的页面特征后，首先在应答网页中匹配页面特征对应的识别规则，然后通过查找单元22，根据识别规则进一步查找，便可确定应答网页对应的应答域名。

在接收到web服务器返回的应答网页，提取应答网页的页面特征；并根据所提取的页面特征，在网站识别库中查找应答网页对应的应答域名，从而为检测应答网页中是否存在网络钓鱼攻击提供了前提条件。

参照图7，图7为本发明网络钓鱼攻击的检测装置第二实施例的结构示意图。

基于本发明网络钓鱼攻击的检测装置第一实施例，网络钓鱼攻击的检测装置还包括：

请求处理模块50，用于对客户端所请求的web访问请求进行相应的处理。

在比对用户请求域名和应答域名是否一致，并根据比对结果检测出应答网页中是否存在网络钓鱼攻击之后，请求处理模块50根据不同的检测结果，进一步决定需要对客户端所请求的web访问请求所分别进行的相应的处理。

在本实施例中，请求处理模块50用于：

当判定应答网页中存在网络钓鱼攻击时，则根据用户的配置阻断或重定向应答网页的连接；

当判定应答网页中不存在网络钓鱼攻击时，则将应答网页转发至客户端。

根据用户请求域名和应答域名是否一致而检测应答网页中是否存在网络钓鱼攻击后，如用户请求域名和应答域名不一致，即应答网页中存在网络钓鱼攻击时，请求处理模块50根据用户的配置对该应答网页的连接进行阻断或重定向；而如用户请求域名和应答域名一致，即应答网页中不存在网络钓鱼攻击时，请求处理模块50将web服务器根据客户端的web访问请求所返回的应答网页转发至客户端，供客户端访问。

在根据用户请求域名和应答域名的比对结果，进行网络钓鱼攻击的检测之后，进一步根据检测结果对客户端所请求的web访问请求进行相应的处理，即进行根据阻断或重定向应答网页的连接，或将应答网页转发至客户端的处理。从而进一步保证了能够提升防网络钓鱼攻击的效果，并为用户访问网站提供了更好的服务。

以上所述仅为本发明的优选实施例，并非因此限制本发明的专利范围，凡是利用本发明说明书及附图内容所作的等效结构或等效流程变换，或直接或间接运用在其他相关的技术领域，均同理包括在本发明的专利保护范围。

Claims (8)

1.一种网络钓鱼攻击的检测方法，其特征在于，包括：

识别客户端所发起的web访问请求；

解析并记录该web访问请求对应的用户请求域名；根据web服务器所返回的应答网页的页面特征在预置的网站识别库中查找对应的应答域名；所述预置的网站识别库中定义了应答网页的页面特征与应答域名的一一对应或者一对多的映射关系；

比对所述用户请求域名和所述应答域名是否一致，若是，则判定所述应答网页中不存在网络钓鱼攻击，若否，则判定所述应答网页中存在网络钓鱼攻击。

2.根据权利要求1所述的网络钓鱼攻击的检测方法，其特征在于，所述根据web服务器所返回的应答网页的页面特征在预置的网站识别库中查找对应的应答域名包括：

接收web服务器所返回的应答网页，提取所述应答网页的页面特征；

根据所提取的所述页面特征，在所述网站识别库中查找所述应答网页对应的应答域名。

3.根据权利要求1或2所述的网络钓鱼攻击的检测方法，其特征在于，在执行所述比对用户请求域名和所述应答域名是否一致，若是，则判定所述应答网页中不存在网络钓鱼攻击，若否，则判定所述应答网页中存在网络钓鱼攻击之后，还包括：

对客户端所请求的web访问请求进行相应的处理。

4.根据权利要求3所述的网络钓鱼攻击的检测方法，其特征在于，所述对客户端所请求的web访问请求进行相应的处理包括：

当判定所述应答网页中存在网络钓鱼攻击时，则根据用户的配置阻断或重定向所述应答网页的连接；

当判定所述应答网页中不存在网络钓鱼攻击时，则将所述应答网页转发至客户端。

5.一种网络钓鱼攻击的检测装置，其特征在于，包括：

Web流量识别模块，用于识别客户端所发起的web访问请求；

Web流量解析模块，用于解析并记录该web访问请求对应的用户请求域名；根据web服务器所返回的应答网页的页面特征在预置的网站识别库中查找对应的应答域名；所述预置的网站识别库中定义了应答网页的页面特征与应答域名的一一对应或者一对多的映射关系；

域名比对模块，用于比对所述用户请求域名和所述应答域名是否一致；

检测模块，用于当所述用户请求域名和所述应答域名一致时，判定所述应答网页中不存在网络钓鱼攻击；当所述用户请求域名和所述应答域名不一致时，判定所述应答网页中存在网络钓鱼攻击。

6.根据权利要求5所述的网络钓鱼攻击的检测装置，其特征在于，所述Web流量解析模块包括：

提取单元，用于接收web服务器所返回的应答网页，提取所述应答网页的页面特征；

查找单元，用于根据所提取的所述页面特征，在所述网站识别库中查找所述应答网页对应的应答域名。

7.根据权利要求5或6所述的网络钓鱼攻击的检测装置，其特征在于，还包括：

请求处理模块，用于对客户端所请求的web访问请求进行相应的处理。

8.根据权利要求7所述的网络钓鱼攻击的检测装置，其特征在于，所述请求处理模块用于：

当判定所述应答网页中存在网络钓鱼攻击时，则根据用户的配置阻断或重定向所述应答网页的连接；

当判定所述应答网页中不存在网络钓鱼攻击时，则将所述应答网页转发至客户端。