CN103561036A

CN103561036A - 白名单上网环境下的请求拦截方法及装置

Info

Publication number: CN103561036A
Application number: CN201310561949.4A
Authority: CN
Inventors: 袁义金
Original assignee: Sangfor Network Technology Shenzhen Co Ltd
Current assignee: Sangfor Network Technology Shenzhen Co Ltd
Priority date: 2013-11-12
Filing date: 2013-11-12
Publication date: 2014-02-05

Abstract

本发明涉及一种白名单上网环境下的请求拦截方法，包括：拦截数据包，提取所述数据包包含的http请求头信息；提取所述http请求头信息中的referer信息；获取上网白名单，判断所述referer信息是否与所述上网白名单中的网络地址匹配，若是，则转发所述数据包。此外，还包括一种白名单上网环境下的请求拦截装置。上述白名单上网环境下的请求拦截方法及装置能够使网页得到完整的展示。

Description

白名单上网环境下的请求拦截方法及装置

技术领域

本发明涉及网络技术领域，特别是涉及一种白名单上网环境下的请求拦截方法及装置。

背景技术

传统技术中，企业或机构内部通常假设有子网，子网与外网的网关处通常会对子网内发起的网页访问请求进行限制。通常网关设备中会预存有上网白名单，网关设备只会转发与上网白名单对应的网页访问请求。

然而，发明人经研究发现现有技术中至少存在如下问题：

虽然用户可以访问上网白名单上的信任网站，但是若该信任网站上链接有其他网站的图片、脚本或视频等资源文件时，由于该链接属于信任网站的外链，其链接地址并不属于上网白名单，从而使得信任网站的中某些资源文件无法获取，导致网页展示不完整。

发明内容

基于此，有必要提供一种能使网页完全展示的白名单上网环境下的请求拦截方法。

一种白名单上网环境下的请求拦截方法，包括：

拦截数据包，提取所述数据包包含的http请求头信息；

提取所述http请求头信息中的referer信息；

获取上网白名单，判断所述referer信息是否与所述上网白名单中的网络地址匹配，若是，则转发所述数据包。

在其中一个实施例中，所述判断所述referer信息是否与所述上网白名单中的网络地址匹配的步骤为：

提取所述referer信息中的网络地址，判断所述上网白名单中是否存在网络地址为所述referer信息中的网络地址的起始字符串，若是，则匹配；若否，则不匹配。

在其中一个实施例中，所述拦截数据包的步骤之后还包括：

获取所述数据包对应的连接。

在其中一个实施例中，所述判断所述referer信息是否与上网白名单中的网络地址匹配的步骤之后还包括：

若否，则断开所述连接。

在其中一个实施例中，所述提取所述数据包包含的http请求头信息的步骤之后还包括：

提取所述http请求头信息中的url属性值，判断所述url属性值是否属于所述上网白名单，若是，则转发所述数据包；否则，执行所述提取所述http请求头信息中的referer信息的步骤。

此外，还有必要提供一种能使网页完全展示的白名单上网环境下的请求拦截装置。

一种白名单上网环境下的请求拦截装置，包括：

数据包拦截模块，用于拦截数据包，提取所述数据包包含的http请求头信息；

Referer信息提取模块，用于提取所述http请求头信息中的referer信息；

Referer信息匹配模块，用于获取上网白名单，判断所述referer信息是否与所述上网白名单中的网络地址匹配，若是，则转发所述数据包。

在其中一个实施例中，所述Referer信息匹配模块还用于提取所述referer信息中的网络地址，判断所述上网白名单中是否存在网络地址为所述referer信息中的网络地址的起始字符串，若是，则匹配；若否，则不匹配。

在其中一个实施例中，所述数据包拦截模块还用于获取所述数据包对应的连接。

在其中一个实施例中，所述Referer信息匹配模块还用于在不匹配时断开所述连接。

在其中一个实施例中，所述数据包拦截模块还用于提取所述http请求头信息中的url属性值，判断所述url属性值是否属于所述上网白名单，若是，则转发所述数据包。

上述白名单上网环境下的请求拦截方法及装置中，对于网页访问请求的数据包，可根据该数据包中的http协议的referer信息判断该网页访问请求的网页地址是否为上网白名单中的信任网站的外链。对于信任网站中的图片、视频等外链资源，其请求对应的数据包可得到转发，从而使得信任网站中的外链资源可正常获取，实现了网页显示的完整性。

附图说明

图1为一个实施例中白名单上网环境下的请求拦截方法的流程图；

图2为一个实施例中白名单上网环境下的请求拦截装置的结构示意图。

具体实施方式

如图1所示，在一个实施例中，一种白名单上网环境下的请求拦截方法，该方法的执行依赖于计算机程序，可运行于基于冯洛伊曼体系的计算机系统上，该计算机系统可以是具有网关功能的计算机设备。

该方法包括：

步骤S102，拦截数据包，提取数据包包含的http请求头信息。

子网内的用户在通过浏览器上网时，在浏览器地址栏输入地址或点击页面上的链接后，或在浏览器加载网页时，加载网页或网页脚本中包含的网页资源的链接时，浏览器会向输入地址或链接对应的网络地址发起网页访问请求（基于http或https协议的请求），该网页访问请求的数据包在经过网关时，即被拦截。

网页访问请求对应的数据包为基于http协议的在传输层传输的数据包，包括包头部分和正文部分，包头部分为TCP/IP协议头，可由正文部分提取http请求头信息。

网页访问请求对应的数据包即（http协议数据包）的结构可包括三部分：

第一部分包括请求方式（即method属性，get或post）和协议的类型与版本；第二部分包括若干消息头（由W3C定义的一些有特殊含义的键值对）、消息头的样式（例如：content-type=text/html）等；第三部分包括http协议数据包的实体内容。

可在前述数据包的第二部分中提取数据包的http请求头信息。

在本实施例中，提取数据包包含的http请求头信息的步骤之后还可提取http请求头信息中的url属性值，判断url属性值是否属于上网白名单，若是，则转发数据包。

url属性值即访问的网页资源的地址，上网白名单即为预设的允许访问的网站的地址列表。若url属性值属于白名单，则表示该页面允许被访问，允许将该数据包转发至该url。

步骤S104，提取http请求头信息中的referer信息。

referer是由浏览器在发起请求时填充的一个http请求头信息，用来告诉Web服务器当前访问的资源是从哪个页面链接过来的。例如，若用户点击了浏览器中A页面上的某个链接，则浏览器在向该链接发起网页访问请求时，自动在http请求的请求头信息中的referer属性中加入该A页面的url，用于表示用户在A页面的点击操作发起的向该链接的网页访问请求。

步骤S106，获取上网白名单，判断referer信息是否与上网白名单中的网络地址匹配，若是，则转发数据包。

在本实施例中，判断referer信息是否与上网白名单中的网络地址匹配的步骤为：

提取referer信息中的网络地址，判断上网白名单中是否存在网络地址为referer信息中的网络地址的起始字符串，若是，则匹配；若否，则不匹配。

例如，若referer信息中的网络地址为http://www.abc.com/list，上网白名单中包含http://www.abc.com/，则匹配成功，可转发该数据包至其请求头中的url。若匹配失败，则可丢弃该数据包而不做转发。

在本实施例中，拦截数据包的步骤之后还可获取数据包对应的连接。

判断referer信息是否与上网白名单中的网络地址匹配的步骤之后还可在不匹配时，断开该连接。

也就是说，可在发现referer信息不匹配时，直接将连接断开。连接断开后，浏览器则停止继续发送与其url对应的数据包，从而减少了无关数据包的传输。

在一个实施例中，如图2所示，一种管理web应用中外链的装置，包括数据包拦截模块102、Referer信息提取模块104和Referer信息匹配模块106，其中：

数据包拦截模块102，用于拦截数据包，提取数据包包含的http请求头信息。

Referer信息提取模块104，用于提取http请求头信息中的referer信息。

Referer信息匹配模块106，用于获取上网白名单，判断referer信息是否与上网白名单中的网络地址匹配，若是，则转发数据包。

在本实施例中，Referer信息匹配模块106还用于提取referer信息中的网络地址，判断上网白名单中是否存在网络地址为referer信息中的网络地址的起始字符串，若是，则匹配；若否，则不匹配。

在本实施例中，数据包拦截模块102还用于获取数据包对应的连接。

在本实施例中，Referer信息匹配模块106还用于在不匹配时断开连接。

在本实施例中，数据包拦截模块102还用于提取http请求头信息中的url属性值，判断url属性值是否属于上网白名单，若是，则转发数据包。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体（Read-Only Memory，ROM）或随机存储记忆体（Random Access Memory，RAM）等。

以上所述实施例仅表达了本发明的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对本发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变形和改进，这些都属于本发明的保护范围。因此，本发明专利的保护范围应以所附权利要求为准。

Claims

1.一种白名单上网环境下的请求拦截方法，包括：

拦截数据包，提取所述数据包包含的http请求头信息；

提取所述http请求头信息中的referer信息；

2.根据权利要求1所述的白名单上网环境下的请求拦截方法，其特征在于，所述判断所述referer信息是否与所述上网白名单中的网络地址匹配的步骤为：

3.根据权利要求1所述的白名单上网环境下的请求拦截方法，其特征在于，所述拦截数据包的步骤之后还包括：

获取所述数据包对应的连接。

4.根据权利要求3所述的白名单上网环境下的请求拦截方法，其特征在于，所述判断所述referer信息是否与上网白名单中的网络地址匹配的步骤之后还包括：

若否，则断开所述连接。

5.根据权利要求1所述的白名单上网环境下的请求拦截方法，其特征在于，所述提取所述数据包包含的http请求头信息的步骤之后还包括：

6.一种白名单上网环境下的请求拦截装置，其特征在于，包括：

7.根据权利要求6所述的白名单上网环境下的请求拦截装置，其特征在于，所述Referer信息匹配模块还用于提取所述referer信息中的网络地址，判断所述上网白名单中是否存在网络地址为所述referer信息中的网络地址的起始字符串，若是，则匹配；若否，则不匹配。

8.根据权利要求6所述的白名单上网环境下的请求拦截装置，其特征在于，所述数据包拦截模块还用于获取所述数据包对应的连接。

9.根据权利要求8所述的白名单上网环境下的请求拦截装置，其特征在于，所述Referer信息匹配模块还用于在不匹配时断开所述连接。

10.根据权利要求6所述的白名单上网环境下的请求拦截装置，其特征在于，所述数据包拦截模块还用于提取所述http请求头信息中的url属性值，判断所述url属性值是否属于所述上网白名单，若是，则转发所述数据包。