CN103701779B - 一种二次访问网站的方法、装置及防火墙设备 - Google Patents

Abstract

本发明公开了一种二次访问网站的方法、装置及防火墙设备，该方法包括：A、接收携带客户端的IP地址、URL和第一生成时间信息的第一HTTP请求报文；B、判断第一HTTP请求报文是否可信，若是，执行F；否则，执行C；C、检测URL对应的网站是否为恶意网站，若是恶意网站，执行D；否则，执行F；D、将HTTP响应报文后发送给客户端；E、接收到携带ID信息、IP地址、URL和第二生成时间信息的第二HTTP请求报文后，生成可信访问链表中的表项，并指示客户端重新请求访问URL对应的网站，执行A；F、将第一HTTP请求报文发送给URL对应的网站。该方案无需专门的技术人员配置，可维护性好。

Description

一种二次访问网站的方法、装置及防火墙设备

技术领域

本发明涉及通信技术领域，尤指一种二次访问网站的方法、装置及防火墙设备。

背景技术

随着互联网（Internet）技术的不断发展，各种网络安全事件频发。从技术角度来看，Internet上的攻击越来越多是通过万维网（Web）进行的，特别在钓鱼、挂马等恶意网站日益猖獗的今天，对存在安全隐患的网站进行访问很容易造成病毒、木马泛滥，导致各种重要信息泄露，因而有必要针对网站进行检测并防御。

可以通过配置网站信誉安全策略，阻止用户对恶意网站进行访问，从而增强抵御恶意网站的能力。具体过程是，用户要访问网站时，会在浏览器上输入统一资源定位符（Uniform Resource Locator，URL），URL（也可以称为网页地址、网址）是Internet上标准的资源的地址，防火墙设备可以使用网站信誉安全策略对URL进行检测，若检测到该URL存在安全风险，直接阻止用户的访问；否则，允许用户进行访问。如果用户的访问请求被阻止，网页迟迟未能打开且没有任何提示，用户会不断刷新，这样就造成不必要的时间浪费，且降低用户体验。

为了解决上述问题，可以在阻止用户访问后重定向到另一网站，这样用户就可以在访问被阻止情况下及时得到通知，当用户希望继续访问该网站时，只能通过设置白名单等方法进行处理，但设置白名单需要专业技术人员重新配置网站信誉安全策略，配置过程非常繁琐、可维护性差。

发明内容

本发明实施例提供一种二次访问网站的方法、装置及防火墙设备，用以解决现有的二次访网站的方法中存在的配置过程繁琐、可维护性差的问题。

因此，根据本发明实施例，提供一种二次访问网站的方法，包括：

A、防火墙设备接收携带客户端的互联网协议IP地址、统一资源定位符URL和第一生成时间信息的第一超文本传输协议HTTP请求报文；

B、根据所述IP地址、所述URL、所述第一生成时间信息和可信访问链表判断所述第一HTTP请求报文是否可信，若是，执行F；否则，执行C；

C、检测所述URL对应的网站是否为恶意网站，若是恶意网站，执行D；否则，执行F；

D、将携带所述防火墙设备的标识ID信息和所述URL的HTTP响应报文后发送给所述客户端，用于提醒所述客户端所述URL对应的网站为恶意网站；

E、接收到携带所述ID信息、所述IP地址、所述URL和第二生成时间信息的第二HTTP请求报文后，根据所述IP地址、所述URL和所述第二生成时间信息生成所述可信访问链表中的表项，并指示所述客户端重新请求访问所述URL对应的网站，执行A；

F、将所述第一HTTP请求报文发送给所述URL对应的网站。

具体的，根据所述IP地址、所述URL、所述第一生成时间信息和可信访问链表判断所述第一HTTP请求报文是否可信，具体包括：

查找所述可信访问链表中是否包含所述IP地址和所述URL的表项；或者，根据所述URL和所述IP地址计算键Key，将所述第一生成时间信息作为值Value，得到Key/Value对，查找所述可信访问链表中是否包含所述Key/Value对的表项；

若查找到，则比较所述第一生成时间信息与查找到的表项中的时间信息之差是否超过设定值，若超过，则确定所述第一HTTP请求报文不可信；若未超过，则确定所述第一HTTP请求报文可信；

若未查找到，则确定所述第一HTTP请求报文不可信。

具体的，检测所述URL对应的网站是否为恶意网站，具体包括：

将所述URL与配置的网站信誉库进行比对；

若所述URL存在于所述网站信誉库中，则所述URL对应的网站是恶意网站；

若所述URL未存在于所述网站信誉库中，则所述URL对应的网站不是恶意网站。

具体的，根据所述IP地址、所述URL和所述第二生成时间信息生成所述可信访问链表中的表项，具体包括：

根据所述URL和所述IP地址计算键Key，将所述第二生成时间信息作为值Value，得到Key/Value对，将所述Key/Value对作为所述可信访问链表中的表项；或者

将所述IP地址、所述URL和所述第二生成时间信息作为所述可信访问链表中的表项。

具体的，根据所述URL和所述IP地址计算键Key，具体包括：

将所述URL以4个字符为一组换算成十进制数值后，将换算后的十进制数值相加，得到第一和值；

将所述IP地址换算成十进制数值，与所述第一和值相加，得到Key。

本发明实施例还提供一种二次访问网站的装置，其特征在于，包括：

接收单元，用于接收携带客户端的互联网协议IP地址、统一资源定位符URL和第一生成时间信息的第一超文本传输协议HTTP请求报文；

判断单元，用于根据所述IP地址、所述URL、所述第一生成时间信息和可信访问链表判断所述第一HTTP请求报文是否可信，若是，转向转发单元；否则，转向检测单元；

所述检测单元，用于检测所述URL对应的网站是否为恶意网站，若是恶意网站，转向发送单元；否则，转向所述转发单元；

所述发送单元，用于将携带自身所在的防火墙设备的标识ID信息和所述URL的HTTP响应报文后发送给所述客户端，用于提醒所述客户端所述URL对应的网站为恶意网站；

生成单元，用于接收到携带所述ID信息、所述IP地址、所述URL和第二生成时间信息的第二HTTP请求报文后，根据所述IP地址、所述URL和所述第二生成时间信息生成所述可信访问链表中的表项，并指示所述客户端重新请求访问所述URL对应的网站，转向所述接收单元；

所述转发单元，用于将所述第一HTTP请求报文发送给所述URL对应的网站。

具体的，所述判断单元，具体用于：

查找所述可信访问链表中是否包含所述IP地址和所述URL的表项；或者，根据所述URL和所述IP地址计算键Key，将所述第一生成时间信息作为值Value，得到Key/Value对，查找所述可信访问链表中是否包含所述Key/Value对的表项；

若查找到，则比较所述第一生成时间信息与查找到的表项中的时间信息之差是否超过设定值，若超过，则确定所述第一HTTP请求报文不可信；若未超过，则确定所述第一HTTP请求报文可信；

若未查找到，则确定所述第一HTTP请求报文不可信。

具体的，所述检测单元，具体用于：

将所述URL与配置的网站信誉库进行比对；

若所述URL存在于所述网站信誉库中，则所述URL对应的网站是恶意网站；

若所述URL未存在于所述网站信誉库中，则所述URL对应的网站不是恶意网站。

具体的，所述生成单元，具体用于：

根据所述URL和所述IP地址计算键Key，将所述第二生成时间信息作为值Value，得到Key/Value对，将所述Key/Value对作为所述可信访问链表中的表项；或者

将所述IP地址、所述URL和所述第二生成时间信息作为所述可信访问链表中的表项。

具体的，所述生成单元，具体用于：

将所述URL以4个字符为一组换算成十进制数值后，将换算后的十进制数值相加，得到第一和值；

将所述IP地址换算成十进制数值，与所述第一和值相加，得到Key。

本发明实施例还提供一种防火墙设备，包括上述的二次访问网站的装置。

本发明实施例提供的网站访问方法、装置及防火墙设备，可以将检测到的恶意网站通知客户端，当客户端想继续访问时，可以将该网站对应的URL、客户端的IP地址和生成时间信息添加到可信访问链表中，从而就可以实现客户端二次访问网站，该方案无需专门的技术人员配置，可维护性好。

附图说明

图1为本发明实施例中二次访问网站的方法的流程图；

图2为本发明实施例中二次访问网站的装置的结构示意图。

具体实施方式

针对现有的二次访网站的方法中存在的配置过程繁琐、可维护性差的问题，本发明实施例提供一种二次访问网站的方法，该方法的执行主体为防火墙设备，流程如图1所示，执行步骤如下：

S10：接收携带客户端的互联网协议（Internet Protocol，IP）地址、URL和第一生成时间信息的第一超文本传输协议（Hyper Text Transport Protocol，HTTP）请求报文。

当用户想要访问某个网站时，可以通过客户端发送携带客户端的IP地址、URL和第一生成时间信息的第一HTTP请求报文，第一生成时间信息是生产第一HTTP请求报文的时间。

S11：根据IP地址、URL、第一生成时间信息和可信访问链表判断第一HTTP请求报文是否可信，若是，执行S15；否则，执行S12。

S12：检测URL对应的网站是否为恶意网站，若是恶意网站，执行S13；否则，S15。

若第一HTTP请求报文不可信，则检测URL对应的网站是否是恶意网站。

S13：将携带防火墙设备的标识（Identification，ID）信息和URL的HTTP响应报文后发送给客户端，用于提醒客户端URL对应的网站为恶意网站。

如果是恶意网站，并将HTTP响应报文发送给通知客户端，提示客户端请求访问的为恶意网站，假设客户端要访问的网站对应的URL为http://www.example.com/，防火墙设备的ID信息记为devicestring，则在HTTP响应报文中携带的防火墙设备的ID信息和URL可以作为超链接，记为http://www.example.com/?devicestring。

防火墙设备的ID信息是根据硬盘序列号和中央处理器（Central ProcessingUnit，CPU）序列号生成，硬盘序列号是防火墙设备出厂时为区别设备而设置的，是唯一且只读的，CPU序列号也是唯一且只读的。因此，将硬盘序列号和CPU序列号通过MD5加密算法可以生成防火墙设备的唯一标识。

S14：接收到携带ID信息、IP地址、URL和第二生成时间信息的第二HTTP请求报文后，根据IP地址、URL和第二生成时间信息生成可信访问链表中的表项，并指示客户端重新请求访问URL对应的网站，执行S10。

当客户端接收到HTTP响应报文后，这时在客户端显示的为安全告警网页，如果用户希望继续访问此网站，就可以点击HTTP响应报文中的超链接，从而发送出携带ID信息、IP地址、URL和第二生成时间信息的第二HTTP请求报文。

防火墙设备接收到第二HTTP响应报文后，知道客户端想继续访问该URL对应的网站，就可以根据IP地址、URL和第二生成时间信息生成表项，添加在可信访问链表中，并指示用户重新请求访问该URL对应的网站。

S15：第一HTTP请求报文发送给URL对应的网站。

该方案中，可以将检测到的恶意网站通知客户端，当客户端想继续访问时，可以将该网站对应的URL、客户端的IP地址和生成时间信息添加到可信访问链表中，从而就可以实现客户端二次访问网站，该方案无需专门的技术人员配置，可维护性好。

具体的，上述S10中的根据IP地址、URL、第一生成时间信息和可信访问链表判断第一HTTP请求报文是否可信，具体包括：

查找可信访问链表中是否包含；或者，根据URL和IP地址计算键Key，将第一生成时间信息作为值Value，得到Key/Value对，查找可信访问链表中是否包含Key/Value对的表项；

若查找到，则比较第一生成时间信息与查找到的表项中的时间信息之差是否超过设定值，若超过，则确定第一HTTP请求报文不可信；若未超过，则确定第一HTTP请求报文可信；

若未查找到，则确定第一HTTP请求报文不可信。

可以根据可信访问链表中的表项的生成规则来查找表项，若其表项直接保存的是IP地址、URL和时间信息，则直接查找；若其表项保存的是Key/Value对，则首先根据第一HTTP请求报文计算出Key/Value对，然后再查找。

第一HTTP请求报文是有有效期的，可以用设定值来标识有效期的大小，如果超过有效期，即使可信访问链表中包含IP地址和URL、或者Key/Value对的表项，第一HTTP请求报文仍是不可信的。设定值可以根据实际需要进行设定，例如3、4、5分钟等等。

具体的，上述S12中的检测URL对应的网站是否为恶意网站，具体包括：

将URL与配置的网站信誉库进行比对；

若URL存在于网站信誉库中，则URL对应的网站是恶意网站；

若URL未存在于网站信誉库中，则URL对应的网站不是恶意网站。

可以预先配置网站信誉库，在网站信誉库中保存恶意网站对应的URL，在检测URL对应的网站是否为恶意网站时，就可以将该URL与网站信誉库进行比对，只有存在于网站信誉库的URL对应的网站才是恶意网站，不存在于网站信誉库的URL对应的网站是安全网站。

具体的，上述13中的根据IP地址、URL和第二生成时间信息生成可信访问链表中的表项，具体包括：

根据URL和IP地址计算键Key，将第二生成时间信息作为值Value，得到Key/Value对，将Key/Value对作为可信访问链表中的表项；或者

将IP地址、URL和第二生成时间信息作为可信访问链表中的表项。

具体的，上述根据URL和IP地址计算键Key，具体包括：

将URL以4个字符为一组换算成十进制数值后，将换算后的十进制数值相加，得到第一和值；

将IP地址换算成十进制数值，与第一和值相加，得到Key。

基于同一发明构思，本发明实施例提供一种二次访问网站的装置，该装置可以设置在防火墙设备中，结构如图2所示，包括：

接收单元20，用于接收携带客户端的IP地址、URL和第一生成时间信息的第一HTTP请求报文。

判断单元21，用于根据IP地址、URL、第一生成时间信息和可信访问链表判断第一HTTP请求报文是否可信，若是，转向转发单元25；否则，转向检测单元22。

检测单元22，用于检测URL对应的网站是否为恶意网站，若是恶意网站，转向发送单元23；否则，转向转发单元25。

发送单元23，用于将携带自身所在的防火墙设备的标识ID信息和URL的HTTP响应报文后发送给客户端，用于提醒客户端URL对应的网站为恶意网站。

生成单元24，用于接收到携带ID信息、IP地址、URL和第二生成时间信息的第二HTTP请求报文后，根据IP地址、URL和第二生成时间信息生成可信访问链表中的表项，并指示客户端重新请求访问URL对应的网站，转向接收单元20。

转发单元25，用于将第一HTTP请求报文发送给URL对应的网站。

具体的，上述判断单元21，具体用于：

查找可信访问链表中是否包含IP地址和URL的表项；或者，根据URL和IP地址计算键Key，将第一生成时间信息作为值Value，得到Key/Value对，查找可信访问链表中是否包含Key/Value对的表项；

若查找到，则比较第一生成时间信息与查找到的表项中的时间信息之差是否超过设定值，若超过，则确定第一HTTP请求报文不可信；若未超过，则确定第一HTTP请求报文可信；

若未查找到，则确定第一HTTP请求报文不可信。

具体的，上述检测单元22，具体用于：

将URL与配置的网站信誉库进行比对；

若URL存在于网站信誉库中，则URL对应的网站是恶意网站；

若URL未存在于网站信誉库中，则URL对应的网站不是恶意网站。

具体的，上述生成单元24，具体用于：

根据URL和IP地址计算键Key，将第二生成时间信息作为值Value，得到Key/Value对，将Key/Value对作为可信访问链表中的表项；或者

将IP地址、URL和第二生成时间信息作为可信访问链表中的表项。

具体的，上述生成单元24，具体用于：

将URL以4个字符为一组换算成十进制数值后，将换算后的十进制数值相加，得到第一和值；

将IP地址换算成十进制数值，与第一和值相加，得到Key。

本发明是参照根据本发明实施例的方法、设备（系统）、和计算机程序产品的流程图和／或方框图来描述的。应理解可由计算机程序指令实现流程图和／或方框图中的每一流程和／或方框、以及流程图和／或方框图中的流程和／或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能的步骤。

尽管已描述了本发明的可选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例作出另外的变更和修改。所以，所附权利要求意欲解释为包括可选实施例以及落入本发明范围的所有变更和修改。

显然，本领域的技术人员可以对本发明实施例进行各种改动和变型而不脱离本发明实施例的精神和范围。这样，倘若本发明实施例的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (11)

1.一种二次访问网站的方法，其特征在于，包括：

A、防火墙设备接收携带客户端的互联网协议IP地址、统一资源定位符URL和第一生成时间信息的第一超文本传输协议HTTP请求报文；

B、根据所述IP地址、所述URL、所述第一生成时间信息和可信访问链表判断所述第一HTTP请求报文是否可信，若是，执行F；否则，执行C；

C、检测所述URL对应的网站是否为恶意网站，若是恶意网站，执行D；否则，执行F；

D、将携带所述防火墙设备的标识ID信息和所述URL的HTTP响应报文后发送给所述客户端，用于提醒所述客户端所述URL对应的网站为恶意网站；

E、接收到携带所述ID信息、所述IP地址、所述URL和第二生成时间信息的第二HTTP请求报文后，根据所述IP地址、所述URL和所述第二生成时间信息生成所述可信访问链表中的表项，并指示所述客户端重新请求访问所述URL对应的网站，执行A；

F、将所述第一HTTP请求报文发送给所述URL对应的网站。

2.如权利要求1所述的方法，其特征在于，根据所述IP地址、所述URL、所述第一生成时间信息和可信访问链表判断所述第一HTTP请求报文是否可信，具体包括：

查找所述可信访问链表中是否包含所述IP地址和所述URL的表项；或者，根据所述URL和所述IP地址计算键Key，将所述第一生成时间信息作为值Value，得到Key/Value对，查找所述可信访问链表中是否包含所述Key/Value对的表项；

若查找到，则比较所述第一生成时间信息与查找到的表项中的时间信息之差是否超过设定值，若超过，则确定所述第一HTTP请求报文不可信；若未超过，则确定所述第一HTTP请求报文可信；

若未查找到，则确定所述第一HTTP请求报文不可信。

3.如权利要求1所述的方法，其特征在于，检测所述URL对应的网站是否为恶意网站，具体包括：

将所述URL与配置的网站信誉库进行比对；

若所述URL存在于所述网站信誉库中，则所述URL对应的网站是恶意网站；

若所述URL未存在于所述网站信誉库中，则所述URL对应的网站不是恶意网站。

4.如权利要求1所述的方法，其特征在于，根据所述IP地址、所述URL和所述第二生成时间信息生成所述可信访问链表中的表项，具体包括：

根据所述URL和所述IP地址计算键Key，将所述第二生成时间信息作为值Value，得到Key/Value对，将所述Key/Value对作为所述可信访问链表中的表项；或者

将所述IP地址、所述URL和所述第二生成时间信息作为所述可信访问链表中的表项。

5.如权利要求4所述的方法，其特征在于，根据所述URL和所述IP地址计算键Key，具体包括：

将所述URL以4个字符为一组换算成十进制数值后，将换算后的十进制数值相加，得到第一和值；

将所述IP地址换算成十进制数值，与所述第一和值相加，得到Key。

6.一种二次访问网站的装置，其特征在于，包括：

接收单元，用于接收携带客户端的互联网协议IP地址、统一资源定位符URL和第一生成时间信息的第一超文本传输协议HTTP请求报文；

判断单元，用于根据所述IP地址、所述URL、所述第一生成时间信息和可信访问链表判断所述第一HTTP请求报文是否可信，若是，转向转发单元；否则，转向检测单元；

所述检测单元，用于检测所述URL对应的网站是否为恶意网站，若是恶意网站，转向发送单元；否则，转向所述转发单元；

所述发送单元，用于将携带自身所在的防火墙设备的标识ID信息和所述URL的HTTP响应报文后发送给所述客户端，用于提醒所述客户端所述URL对应的网站为恶意网站；

生成单元，用于接收到携带所述ID信息、所述IP地址、所述URL和第二生成时间信息的第二HTTP请求报文后，根据所述IP地址、所述URL和所述第二生成时间信息生成所述可信访问链表中的表项，并指示所述客户端重新请求访问所述URL对应的网站，转向所述接收单元；

所述转发单元，用于将所述第一HTTP请求报文发送给所述URL对应的网站。

7.如权利要求6所述的装置，其特征在于，所述判断单元，具体用于：

查找所述可信访问链表中是否包含所述IP地址和所述URL的表项；或者，根据所述URL和所述IP地址计算键Key，将所述第一生成时间信息作为值Value，得到Key/Value对，查找所述可信访问链表中是否包含所述Key/Value对的表项；

若查找到，则比较所述第一生成时间信息与查找到的表项中的时间信息之差是否超过设定值，若超过，则确定所述第一HTTP请求报文不可信；若未超过，则确定所述第一HTTP请求报文可信；

若未查找到，则确定所述第一HTTP请求报文不可信。

8.如权利要求6所述的装置，其特征在于，所述检测单元，具体用于：

将所述URL与配置的网站信誉库进行比对；

若所述URL存在于所述网站信誉库中，则所述URL对应的网站是恶意网站；

若所述URL未存在于所述网站信誉库中，则所述URL对应的网站不是恶意网站。

9.如权利要求6所述的装置，其特征在于，所述生成单元，具体用于：

根据所述URL和所述IP地址计算键Key，将所述第二生成时间信息作为值Value，得到Key/Value对，将所述Key/Value对作为所述可信访问链表中的表项；或者

将所述IP地址、所述URL和所述第二生成时间信息作为所述可信访问链表中的表项。

10.如权利要求9所述的装置，其特征在于，所述生成单元，具体用于：

将所述URL以4个字符为一组换算成十进制数值后，将换算后的十进制数值相加，得到第一和值；

将所述IP地址换算成十进制数值，与所述第一和值相加，得到Key。

11.一种防火墙设备，其特征在于，包括如权利要求6-10任一所述的二次访问网站的装置。