CN103561076B

CN103561076B - 一种基于云的网页挂马实时防护方法及系统

Info

Publication number: CN103561076B
Application number: CN201310518131.4A
Authority: CN
Inventors: 马多贺; 徐震; 宋晨; 郭川; 陈凯; 汤伟
Original assignee: Institute of Information Engineering of CAS
Current assignee: Institute of Information Engineering of CAS
Priority date: 2013-10-28
Filing date: 2013-10-28
Publication date: 2017-05-17
Anticipated expiration: 2033-10-28
Also published as: CN103561076A

Abstract

本发明公开了一种基于云的网页挂马实时防护方法及系统。本发明的系统包含云服务注册模块、挂马链接检测分析模块、实时防护模块。云服务注册模块将WEB服务器注册到云平台，通过DNS代理解析，WEB服务器的请求、响应数据流均转向云平台进行安全处理；挂马链接检测分析模块通过分析网页、链接元素等特征、行为信息，检测挂马链接；网页挂马链接交由实时防护模块进行请求拦截。本发明能够对云平台防护的WEB服务器中挂马链接进行实时封堵，并防止挂马源的扩散，且在客户端、服务器端均无需安装软件，不改变客户端浏览习惯，对WEB服务器版本及配置透明。

Description

一种基于云的网页挂马实时防护方法及系统

技术领域

本发明涉及计算机网络安全领域，具体来说，涉及到一种基于云的网页挂马实时防护方法，及系统。

背景技术

网页挂马是一种基于Web服务的、针对客户的网络攻击行为。黑客首先攻破Web服务器端，将网页木马添加到正常HTML页面中，等到有客户访问此页面，网页木马会和正常HTML页面一起传输回客户机器上，并利用客户端的系统漏洞自动下载并执行远程机器上的恶意代码从而完全控制客户的机器。客户机器上的个人账户信息有可能被黑客获取，从而导致客户个人的财产损失。而且客户机器有可能被黑客长期控制并被加入到黑客们实施其它大规模攻击（如DDoS攻击）的僵尸网络中，成为黑客实施网络犯罪活动的一员帮凶。由于攻击者添加到Web服务器端Web页面中的一段代码，目的在于使客户端下载并执行恶意程序，因此网页挂马的英文名称也成为“Drive by Download”。Google在其2008年公布的数据中显示，在使用Google进行信息检索过程中，1.3%的搜索结果中包含着至少一个挂有木马的网页。这说明有相当大一部分客户在遭受着网页挂马的侵扰。

当前对网页挂马的防护主要有三种模式：

一种是互联网公告模式，比如金山等杀毒软件厂商，通过定期公布挂马网址的形式，通告其所发现的挂马网址。但如果用户没有看此类公告，则无法知晓网站是否挂马，很有可能访问到被挂马的网页。

第二种是搜索引擎模式，比如Google、baidu等搜索引擎厂商，在用户搜索到被挂马网页时，则警告提示该链接被挂马。该类模式的前提是用户必须用特定搜索引擎，且搜索引擎只能分析被爬取的网站，对未爬取的网站或链接有可能未分析。

第三种模式是浏览器插件的模式。用户使用Chrome、IE等特定浏览器，安装厂家提供的特定插件，则在访问挂马链接时，插件检测到网页被挂马，提示用户。该方法依赖于插件的安装，并且有可能插件被其它途径禁止后功能失效；同时，加载链接或下载木马后再检测分析，既占用了计算机的资源，也存在引入木马的风险。

由分析可知，以上三种方式都不能进行网页挂马的实时防护，而云平台中的建设、托管的网站大多提供外网访问服务，影响范围大，因此，解决云平台环境中的网站服务器的网页挂马实时防护问题具有重要意义。

发明内容

有鉴于此，本发明的目的在于提供一种基于云的网页挂马实时防护方法，区分云平台保护的WEB服务器中的挂马链接和正常链接，对挂马链接严格阻断，实现实时防护；对正常链接，保证其可用性；该发明的方法，不改变客户端浏览习惯，不依赖于浏览器及其插件，不在WEB服务器中安装任何软件，实现挂马链接请求的实时拦截和挂马源的防扩散。

本发明的另一目的在于提供一种基于云的网页挂马实时防护系统。

本发明的基于云的网页挂马实时防护方法，其步骤包括：

1）将WEB服务器注册到云计算平台；

2）由云计算平台对所述Web服务器的网页进行挂马检测，并生成挂马链接信息库；

3）根据挂马链接信息库检测来自客户端的访问请求或第三方非信任服务器发送过来的盗链请求；

4）阻断被检测为访问挂马链接的请求。

本发明的基于云的网页挂马实时防护系统，包括：

云服务注册模块，用于将WEB服务器注册到云计算平台；

挂马链接检测分析模块，用于对所述Web服务器的网页进行挂马检测，并生成挂马链接信息库；

实时防护模块，根据所述挂马链接信息库阻断或放行对WEB服务器的访问请求。

所述的云服务注册模块，提供WEB服务注册到云平台的功能，它支持两种注册方式：直接修改WEB服务器的IP地址，和修改DNS域名解析配置。其中，修改DNS域名解析配置又包括修改DNS配置的A记录和修改DNS配置的CNAME两种方式。

优选的，直接修改WEB服务器的IP地址的方法，适用于用IP地址直接访问WEB服务的情况，其步骤包括：

1-1）、WEB服务器通过云平台注册，向云平台提供原访问IP地址为IP_o；

1-2）、云平台提供新的IP地址IP_n作为新的访问WEB服务器的IP地址；

1-3）、WEB服务器公布新的访问地址IP_n，原IP地址IP_o作为云平台代理转换后的地址。

优选地，修改DNS域名解析配置的方法适用于通过域名访问的情况，可以通过修改DNS配置的A记录的方式实现，其步骤包括：

2-1）、WEB服务器通过云平台注册，向云平台提供域名和原访问IP地址{U_o，IP_o}；

2-2）、云平台提供新的IP地址IP_n作为域名对应的解析地址；

2-3）、WEB服务器通过修改原DNS配置系统中的A记录，将原来的域名-IP对应记录{U_o，IP_o}修改为{U_o，IP_n}；

2-4）、云平台在内部解析中，将对{U_o，IP_n}的请求，代理解析到IP_o。

优选地，修改DNS域名解析配置的方法，还可以通过修改DNS配置的CNAME的方式实现，其步骤包括：

3-1）、WEB服务器通过云平台注册，向云平台提供域名和原访问IP地址{U_o，IP_o}；

3-2）、云平台提供新的主机域名U_n，作为WEB服务器的解析域名；新旧域名格式为U_o=www.webaaa.com，U_n=www_webaaa_com.clouddns.com；

3-3）、WEB服务器通过修改原DNS配置系统中的CNAME记录，将原来的域名-IP对应记录{U_o，IP_o}修改为{U_n，IP_o}；

3-4）、云平台在内部解析中，将对{U_n，IP_o}的请求，代理解析到IP_o。

所述挂马链接检测分析模块用以分析、收集被保护网站的挂马链接信息，以挂马链接库的形式，定期更新并提供给实时防护模块使用。其中，

优选地，挂马链接检测分析模块采用网络爬虫抓取被保护WEB网站上页面、链接等信息，对被保护WEB网站进行扫描，结合低交互分析（如Phoneyc）和高交互分析（如Capture-HPC虚拟机构建操作系统和浏览器等）的方式，分析挂马链接的静态特征和恶意行为，得到挂马链接信息。

优选地，挂马链接检测分析模块可以集成、导入第三方挂马链接库，挂马链接检测分析模块内从第三方挂马链接库中筛选出与本系统保护的WEB服务器相关的链接信息，集成到挂马链接检测分析模块自身的挂马链接库，供本系统使用。

所述云平台中的挂马链接检测分析模块，通过低交互分析被保护的WEB服务器的网页、链接元素等特征，检测挂马链接；也可以通过代理请求进行，进行高交互挂马行为分析，检测挂马出链接；还可以导入由第三方网页挂马分析平台发布的挂马分析结果，抽取出与该云平台防护的WEB服务相关的挂马链接。

优选地，挂马链接检测分析模块分析得到的挂马链接，包括html、css、js、cookie、图片、音频、视频的链接以及其它URL链接。

优选地，挂马链接检测分析模块采用旁路、非在线方式进行数据分析，当网站数量多、WEB链接多时，可以动态增加挂马链接检测分析模块的计算、存储资源，并可以限定访问WEB服务的时间为非高峰时段，减少对WEB服务器的访问压力。

优选地，挂马链接检测分析模块的检测分析结果实时更新到实时防护模块，由实时防护模块对挂马链接请求进行实时拦截、过滤。

所述实时防护模块包括挂马链接请求阻断子子模块和挂马源防扩散子模块两个子模块。

所述实时防护模块接收到客户端的访问请求或第三方非信任服务器发送过来的盗链请求后，将该类请求链接与挂马链接检测分析模块提供的挂马链接信息库进行快速查询匹配，从而判断是否正在访问挂马链接。如果是访问挂马链接，则进行阻断请求，达到实时防护效果，防止客户端受到木马感染，也能防止挂马源的传播。其中，

所述实时防护模块分析、获取并代理客户端对WEB网站的请求，以及获取并代理获取http请求信息。http头信息，以鉴别客户端的浏览器、操作系统等信息及版本，以匹配挂马链接对客户端的危害风险大小，来制定防护策略：阻断、严重警告、提示或放行。

优选地，实时防护模块检测http头信息中的refer和agent字段，对于第三方WEB网站盗链或代理请求到云平台中WEB服务的挂马链接请求，采取完全阻断方式，防止跳板式的挂马扩散。

优选地，实时防护模块判断请求中的http头信息中的refer参数：如果refer为空或是与URL同源域名的http请求，则转发给挂马链接请求阻断子模块处理，在检测到访问挂马链接时，阻断请求，并将告警信息页面返回给客户端以警示；如果refer不为空，且是URL非同源域名的refer，则请求转发给挂马源防扩散子模块处理，在检测到访问挂马链接时，阻断盗链服务器的请求，并将该盗链服务器的IP设置到禁用名单，实时防护模块不再接收该盗链服务器的请求。

优选地，实时防护模块对于网络爬虫以及WGET、CURL等非浏览器方式访问挂马链接的请求，采用安全阻断方式，防止挂马源的进一步传播分发。

本发明的积极效果为：

本发明的有益之处在于能够对云平台防护的WEB服务器中挂马链接进行实时封堵，并防止挂马源的扩散，且在客户端、服务器端均无需安装软件，不改变客户端浏览习惯，对WEB服务器版本及配置透明。

本发明采用云计算技术提供防护网站的网页挂马链接实时阻断的防护的方法，在云端进行检测可以利用云端的超大计算能力，使用特征和行为结合的检测方法，提高挂马检测的准确性和效率；同时基于云的网页挂马实时防护方法及系统减少客户端计算的压力，实现了客户端零部署、零计算开销。

附图说明

图1为网页挂马实时防护系统云平台架构图。

图2为网页挂马实时防护系统云平台注册流程图。

具体实施方式

下面结合附图和实施例对本发明作进一步描述。

如图1所示，网页挂马实时防护系统云平台包括：实时防护模块、挂马链接检测分析模块、云服务注册模块。

所述实时防护模块包括挂马链接请求阻断和挂马源防扩散两个子模块。实时防护模块接收到客户端的访问请求或第三方非信任服务器发送过来的盗链请求后，将该类请求链接与挂马链接检测分析模块提供的挂马链接信息库进行快速查询匹配，从而判断是否访问了挂马链接。如果是访问挂马链接，则进行阻断请求，达到实时防护效果，防止客户端受到木马感染，也能防止挂马源的传播。其中，

优选地，实时防护模块判断请求中的http头中的refer参数：如果refer为空或是与URL同源域名的http请求，则转发给挂马链接请求阻断处理，在检测到访问挂马链接时，阻断请求，并将告警信息页面返回给客户端以警示；如果refer不为空，且是URL非同源域名的refer，则请求转发给挂马源防扩散处理，在检测到访问挂马链接时，阻断盗链服务器的请求，并将该盗链服务器的IP设置到禁用名单，实时防护模块不再接收该盗链服务器的请求。

优选地，挂马链接检测分析模块采用网络爬虫抓取被保护WEB网站上页面、链接等信息，对被保护WEB网站进行扫描，结合低交互分析和高交互分析的方式，分析挂马链接的静态特征和恶意行为，得到挂马链接信息。

优选地，挂马链接检测分析模块可以集成、导入第三方挂马链接库，挂马链接检测分析模块内从第三方挂马链接库中筛选出与本系统保护的WEB网站相关的链接信息，集成到挂马链接检测自身的挂马链接库，供本系统使用。

所述的云服务注册模块，提供WEB服务注册到云平台的功能，它支持两种修改方式：直接修改WEB服务器的IP地址，和修改DNS域名解析配置。

优选地，云平台中的挂马检测分析模块，通过低交互分析被保护的WEB服务器的网页、链接元素等特征，检测挂马链接；也可以通过代理请求进行，进行高交互挂马行为分析，检测挂马出链接；还可以导入由第三方网页挂马分析平台发布的挂马分析结果，抽取出与该云平台防护的WEB服务相关的挂马链接。

优选地，挂马链接检测分析模块的检测分析结果实时更新到挂马防护模块，由挂马防护模块对挂马链接请求进行实时拦截、过滤。

优选地，挂马链接检测分析模块采用主流浏览器、主流操作系统及其不同版本组合的方式，建立高交互分析多虚拟机集群，分析出的挂马链接的属性包括了对应的浏览器、操作系统及其版本等属性。

优选地，实时防护模块分析客户端请求的http头信息，以鉴别客户端的浏览器、操作系统等信息及版本，以匹配挂马链接对客户端的危害风险大小，来制定防护策略：阻断、严重警告、提示或放行。

优选地，实时防护模块检测客户端请求的http头信息中的refer和agent字段，对于第三方WEB网站盗链或代理请求到云平台中WEB服务的挂马链接请求，采取完全阻断方式，防止跳板式的挂马扩散。

如图2所示，网页挂马实时防护系统云平台注册流程步骤为：

1、直接修改WEB服务器的IP地址的方法，适用于用IP地址直接访问WEB服务的情况，其步骤包括：

2、修改DNS域名解析配置的方法适用于通过域名访问的情况，可以通过修改DNS配置的A记录的方式实现，其步骤包括：

2-2）、云平台提供新的IP地址IP_n作为域名对应的解析地址；

3、修改DNS域名解析配置的方法，还可以通过修改DNS配置的CNAME的方式实现，其步骤包括：

以上所述本发明的具体实施方式目的是为了更好地理解本发明的使用，并不构成对本发明保护范围的限定。任何在本发明的精神和原则实质之内所做的修改、变形和等同替换等，都应属于本发明的权利要求的保护范围之内。

Claims

1.一种基于云的网页挂马实时防护方法，包括以下步骤：

1)将WEB服务器注册到云计算平台；

2)由云计算平台对所述WEB服务器的网页进行挂马检测，并生成挂马链接信息库，所述云计算平台通过低交互分析被保护的WEB服务器的网页、链接元素，检测挂马链接；或通过代理请求进行高交互挂马行为分析，检测出挂马链接；或导入由第三方网页挂马分析平台发布的挂马分析结果，抽取出与该云计算平台防护的WEB服务相关的挂马链接；或从第三方挂马链接库中筛选出与被保护的WEB服务器相关的链接信息，集成到自身生成的挂马链接信息库；

3)根据挂马链接信息库检测来自客户端的访问请求或第三方非信任服务器发送过来的盗链请求；

4)通过访问请求或盗链请求中的http头信息，鉴别客户端的浏览器、操作系统信息及版本，匹配挂马链接对客户端的危害风险大小，来制定防护策略：阻断、严重警告、提示或放行；对于第三方WEB网站盗链或代理请求到云计算平台中WEB服务的挂马链接请求，采取完全阻断方式，防止跳板式的挂马扩散，对于网络爬虫以及非浏览器方式访问挂马链接的请求，采用安全阻断方式，防止挂马源的进一步传播分发。

2.根据权利要求1所述的基于云的网页挂马实时防护方法，其特征在于，步骤1)中，将WEB服务器注册到云计算平台包括两种注册方式：直接修改WEB服务器的IP地址，和修改DNS域名解析配置。

3.根据权利要求2所述的基于云的网页挂马实时防护方法，其特征在于，直接修改WEB服务器的IP地址的步骤包括：

1-1)、WEB服务器通过云计算平台注册，向云计算平台提供原访问IP地址为IP_o；

1-2)、云计算平台提供新的IP地址IP_n作为新的访问WEB服务器的IP地址；

1-3)、WEB服务器公布新的访问地址IP_n，原IP地址IP_o作为云计算平台代理转换后的地址。

4.根据权利要求2所述的基于云的网页挂马实时防护方法，其特征在于，修改DNS域名解析配置包括：修改DNS配置的A记录和修改DNS配置的CNAME两种方式。

5.根据权利要求4所述的基于云的网页挂马实时防护方法，其特征在于，修改DNS配置的A记录的步骤包括：

2-1)、WEB服务器通过云计算平台注册，向云计算平台提供域名和原访问IP地址{U_o，IP_o}；

2-2)、云计算平台提供新的IP地址IP_n作为域名对应的解析地址；

2-3)、WEB服务器通过修改原DNS配置系统中的A记录，将原来的域名-IP对应记录{U_o，IP_o}修改为{U_o，IP_n}；

2-4)、云计算平台在内部解析中，将对{U_o，IP_n}的请求，代理解析到IP_o。

6.根据权利要求4所述的基于云的网页挂马实时防护方法，其特征在于，修改DNS配置的CNAME的步骤包括：

3-1)、WEB服务器通过云计算平台注册，向云计算平台提供域名和原访问IP地址{U_o，IP_o}；

3-2)、云计算平台提供新的主机域名U_n，作为WEB服务器的解析域名；新旧域名格式为

U_o＝www.webaaa.com，U_n＝www_webaaa_com.clouddns.com；

3-3)、WEB服务器通过修改原DNS配置系统中的CNAME记录，将原来的域名-IP对应记录{U_o，IP_o}修改为{U_n，IP_o}；

3-4)、云计算平台在内部解析中，将对{U_n，IP_o}的请求，代理解析到IP_o。

7.根据权利要求1所述的基于云的网页挂马实时防护方法，其特征在于，步骤2)中，所述挂马链接包括html、css、js、cookie、图片、音频、视频的链接以及URL链接。

8.一种基于云的网页挂马实时防护系统，包括：

云服务注册模块，用于将WEB服务器注册到云计算平台；

挂马链接检测分析模块，用于对所述WEB服务器的网页进行挂马检测，并生成挂马链接信息库，定期更新并提供给实时防护模块使用，所述挂马链接检测分析模块通过低交互分析被保护的WEB服务器的网页、链接元素，检测挂马链接；或通过代理请求进行高交互挂马行为分析，检测出挂马链接；或导入由第三方网页挂马分析平台发布的挂马分析结果，抽取出与该云计算平台防护的WEB服务相关的挂马链接；或从第三方挂马链接库中筛选出与被保护的WEB服务器相关的链接信息，集成到自身生成的挂马链接信息库；

实时防护模块，用于分析客户端请求的http头信息，以鉴别客户端的浏览器、操作系统信息及版本，以匹配挂马链接对客户端的危害风险大小，来制定防护策略：阻断、严重警告、提示或放行；对于第三方WEB网站盗链或代理请求到云计算平台中WEB服务的挂马链接请求，采取完全阻断方式，防止跳板式的挂马扩散，对于网络爬虫以及非浏览器方式访问挂马链接的请求，采用安全阻断方式，防止挂马源的进一步传播分发。

9.根据权利要求8所述的基于云的网页挂马实时防护系统，其特征在于，所述挂马链接检测分析模块采用旁路、非在线方式进行数据分析。

10.根据权利要求8所述的基于云的网页挂马实时防护系统，其特征在于，所述实时防护模块包括挂马链接请求阻断子模块和挂马源防扩散子模块两个子模块。

11.根据权利要求10所述的基于云的网页挂马实时防护系统，其特征在于，实时防护模块判断请求中的http头信息中的refer参数：refer为空或是与URL同源域名的http请求时，转发给挂马链接请求阻断子模块处理，在检测到访问挂马链接时，阻断请求，并将告警信息页面返回给客户端以警示；refer不为空，且是URL非同源域名的refer时，请求转发给挂马源防扩散子模块处理，在检测到访问挂马链接时，阻断盗链服务器的请求，并将该盗链服务器的IP设置到禁用名单，实时防护模块不再接收该盗链服务器的请求。