CN103780409B - 一种上网行为管理方法和设备 - Google Patents

Abstract

本发明涉及一种上网行为管理方法和设备。该方法包括：接收来自用户终端的POST请求数据；对POST请求数据进行分析并还原出上网内容；匹配检测上网内容；判断上网内容是否包含敏感关键字，若是，继续下一步的判断，若否，允许POST请求的连接；判断用户终端在预设时间内第一次发送还是第二次或第二次以上发送所匹配到的敏感关键字，若是第一次发送，阻断POST请求，组装一个第一数据包返回给用户终端以让用户输入验证码；若是第二次或第二次以上发送，阻断POST请求，组装一个第二数据包返回给用户终端以提示用户输入的验证码错误且需要重新输入。本发明可以隐蔽地实现对POST请求的封堵而不易被用户察觉。

Description

一种上网行为管理方法和设备

技术领域

本发明涉及网络信息安全技术，尤其涉及一种上网行为管理方法和设备。

背景技术

上网行为管理设备是对客户的上网进行管控，部署在网络出口，主要是对网络信息安全要求比较高的企事业单位，对一些涉及到敏感关键字的言论不允许POST上传发布，客户又要求不要明显的体现出来对涉及到某些敏感关键字的POST进行了封堵，让用户察觉不出进行了封堵，以为是网络的其它原因导致上传不了。这就要求一种隐蔽的方法对POST进行封堵。

但目前的上网行为管理设备对用户终端的提示都是很明显，如弹出下面的文字进行提示：“很抱歉，您访问的站点在许可范围之外”或“该网站未经授权无法访问，请联系网络管理员”或“您提交的信息包含不良言论，请注意”或直接显示该网页出错等等，这些都让用户知道进行了管控；导致用户有怨言，从而引起投诉等不良事件。

发明内容

本发明要解决的技术问题在于，针对现有技术的上述上网行为管理设备对POST请求的封堵过于明显而容易被用户察觉的缺陷，提供一种上网行为管理方法，可以隐蔽地实现对POST请求的封堵而不易被用户察觉。

本发明解决其技术问题所采用的技术方案是：提供一种上网行为管理方法，包括步骤：

S1、接收来自用户终端的POST请求数据；

S2、对POST请求数据进行分析并还原出上网内容；

S3、对上网内容进行匹配检测；

S4、根据上网内容的匹配检测结果判断上网内容是否包含敏感关键字，若是，进入步骤S5；若否，允许POST请求的连接；

S5、判断用户终端在预设时间内第一次发送还是第二次或第二次以上发送所匹配到的敏感关键字，若是第一次发送，阻断POST请求，组装一个第一数据包返回给用户终端以让用户输入验证码；若是第二次或第二次以上发送，阻断POST请求，组装一个第二数据包返回给用户终端以提示用户输入的验证码错误且需要重新输入；其中，第一数据包包括一张模糊的验证码图片和一句用于提示用户输入验证码的提示语；第二数据包包括一张模糊的验证码图片和一句用于提示用户输入的验证码错误且需要重新输入的提示语。

在本发明所述的上网行为管理方法中，步骤S3进一步包括将上网内容与敏感信息数据库提供的所有敏感关键字进行一一匹配。

在本发明所述的上网行为管理方法中，步骤S4进一步包括：

若匹配到至少任意一个敏感关键字，则判断为上网内容包含敏感关键字，并保存用户终端的IP地址、MAC地址和匹配检测时间；

若没有匹配到任意一个敏感关键字，则判断为上网内容不包含敏感关键字。

在本发明的上网行为管理方法中，根据用户终端的IP地址、MAC地址和匹配检测时间来判断用户终端在预设时间内第一次发送还是第二次或第二次以上发送所匹配到的敏感关键字。

在本发明的上网行为管理方法中，步骤S5进一步包括从验证码图片数据库中随机获取模糊的验证码图片以组装第一数据包或第二数据包。

本发明还提供一种上网行为管理设备，包括：

数据接收模块，用于接收来自用户终端的POST请求数据；

协议分析模块，用于从数据接收模块中接收POST请求数据，对POST请求数据进行分析并还原出上网内容；

检测模块，用于从协议分析模块中接收上网内容，并对上网内容进行匹配检测；

判断模块，用于从检测模块中接收上网内容的匹配检测结果，并根据匹配检测结果判断上网内容是否包含敏感关键字，以及用于判断用户终端在预设时间内第一次发送还是第二次或第二次以上发送所匹配到的敏感关键字；

控制模块，用于从判断模块中接收判断结果，并根据判断结果作出进一步处理，处理包括：

若上网内容不包含敏感关键字，则允许POST请求的连接；

若上网内容包含敏感关键字且用户终端在预设时间内第一次发送所匹配到的敏感关键字，则阻断POST请求，组装一个第一数据包返回给用户终端以让用户输入验证码；

若上网内容包含敏感关键字且用户终端在预设时间内第二次或第二次以上发送所匹配到的敏感关键字，则阻断POST请求，组装一个第二数据包返回给用户终端以提示用户输入的验证码错误且需要重新输入；

其中，第一数据包包括一张模糊的验证码图片和一句用于提示用户输入验证码的提示语；第二数据包包括一张模糊的验证码图片和一句用于提示用户输入的验证码错误且需要重新输入的提示语。

本发明的上网行为管理设备还包括敏感信息数据库，用于向检测模块提供敏感关键字；检测模块将上网内容与敏感信息数据库提供的所有敏感关键字进行一一匹配。

在本发明的上网行为管理设备中，其判断模块进一步用于：

若匹配到至少任意一个敏感关键字，则判断为上网内容包含敏感关键字，并保存用户终端的IP地址、MAC地址和匹配检测时间；

若没有匹配到任意一个敏感关键字，则判断为上网内容不包含敏感关键字。

在本发明的上网行为管理设备中，其判断模块根据用户终端的IP地址、MAC地址和匹配检测时间来判断用户终端在预设时间内第一次发送还是第二次或第二次以上发送所匹配到的敏感关键字。

本发明的上网行为管理设备还包括验证码图片数据库，用于向控制模块提供模糊的验证码图片；控制模块从验证码图片数据库中随机获取模糊的验证码图片以组装第一数据包或第二数据包。

实施本发明的技术方案，具有以下技术效果：当用户终端在论坛或其它网站发起POST上传连接请求时，若上网行为管理设备检测到POST请求数据里的上网内容包括预先配置的敏感关键字后，打断连接，组装一个欺骗数据包返回给用户终端，让用户输入验证码，但提供的是用户无法看清楚的相对模糊的验证码图片，导致POST上传提交失败。这样既封堵了含有敏感关键字的言论，又使得用户不知道是由于架设了上网行为管理设备而导致POST上传不了，从而隐蔽地实现对POST请求的封堵而不易被用户察觉。

附图说明

下面将结合附图及实施例对本发明作进一步说明，附图中：

图1是根据本发明一个实施例的网络控制系统的结构框图；

图2是根据本发明一个实施例的上网行为管理设备的结构框图；

图3是根据本发明一个实施例的上网行为管理方法的流程图；

图4是根据本发明一个实施例的上网行为管理设备对用户终端发送的含有敏感关键字的POST请求进行封堵的示意图。

具体实施方式

图1是本发明一个实施例的网络系统的结构框图，该网络控制系统包括用户终端100、上网行为管理设备200以及网络服务器300。其中，用户终端100通过上网行为管理设备200与网络服务器300通信连接。用户终端100可以是计算机、手机、PDA等等，其可以在论坛或其它网站发起POST上传连接请求；上网行为管理设备200可以部署在网络出口，对用户终端100的上网行为进行管控，例如，可以部署在某企事业单位的的网络系统的网络出口，对该企事业单位的网络系统中的用户终端的上网行为进行管控。用户终端100向上网行为管理设备200发送POST请求数据，如果上网行为管理设备200检测不到该POST请求数据包含敏感关键字，则允许用户终端100将该POST请求数据发送给网络服务器300；如果上网行为管理设备200检测到该POST请求数据包含敏感关键字，则阻断该POST请求，并组装一个欺骗数据包返回给用户终端100，在这种情况下，用户终端100不能将该POST请求数据发送到网络服务器300。其中，这里的敏感关键字可以定义为色情、反动、暴力等危害社会的不健康的内容。

图2是根据本发明一个实施例的上网行为管理设备的结构框图。如图2所示，本发明的上网行为管理设备200包括数据接收模块201、协议分析模块202、检测模块203、判断模块204、控制模块205、敏感信息数据库206以及验证码图片数据库207。

敏感信息数据库206存储有预先配置好的敏感关键字，用于向检测模块203提供敏感关键字以进行匹配检测。另外，可以对敏感信息数据库206进行实时更新，例如，可以增加、删除或更改敏感关键字。

验证码图片数据库207存储有模糊的验证码图片，用于向控制模块205提供模糊的验证码图片以组装欺骗数据包。

数据接收模块201接收来自用户终端100的POST请求数据，并将该POST请求数据发送到协议分析模块202。

协议分析模块202接收该POST请求数据，依据网络协议对该POST请求数据进行协议分析，还原出上网内容，并将该上网内容发送到检测模块203以供其匹配敏感关键字，该上网内容可以是用户在论坛或其它网站上输入的言论。

检测模块203从协议分析模块202接收所还原出来的上网内容以及从敏感信息数据库206接收敏感关键字，检测模块203将接收到的上网内容与敏感信息数据库206所提供的所有敏感关键字进行一一匹配，并将匹配检测结果发送到判断模块204以供其进行判断。

判断模块204从检测模块203接收匹配结果（即上网内容的匹配检测结果），根据该匹配检测结果判断上网内容是否包含敏感关键字，以及判断该用户终端在预设时间内是第一次发送所匹配到的敏感关键字还是第二次或第二次以上发送所匹配到的敏感关键字，并将判断结果发送到控制模块205。例如，若匹配到至少任意一个敏感关键字，则判断为该上网内容包含敏感关键字，并保存该用户终端的IP地址、MAC地址和匹配检测时间，若没有匹配到任意一个敏感关键字，则判断为该上网内容不包含敏感关键字；此外，根据该用户终端的IP地址、MAC地址和匹配检测时间来判断该用户终端在预设时间内是第一次发送所匹配到的敏感关键字还是第二次或第二次以上发送所匹配到的敏感关键字，例如，设该预设时间为T，用户终端A的IP地址为IP_A，MAC地址为MAC_A，若在预设时间T内，上网行为管理设备只有一次匹配检测到IP地址为IP_A，MAC地址为MAC_A的用户终端A所发送的上网内容包含敏感关键字，即对于该用户终端A，在预设时间T内只保存有一次匹配时间T1,则判断该用户终端A是第一次发送所匹配到的敏感关键字；若在预设时间T内，上网行为管理设备两次匹配检测到IP地址为IP_A，MAC地址为MAC_A的用户终端A所发送的上网内容包含相同的敏感关键字，即对于该用户终端A，在预设时间T内保存有两次匹配时间T2和T3,其中T3-T2≤T，则判断为该用户终端在预设时间T内是第二次发送所匹配到的敏感关键字；而其中，这里的预设时间T可以设置为30秒或其它数值。

控制模块205从判断模块204中接收判断结果，并根据所述判断结果作出进一步处理，具体如下：若判断出上网内容不包含敏感关键字，则允许所述POST请求的连接，即允许用户终端将该POST请求数据发送给网络服务器；若判断上网内容包含敏感关键字且该用户终端在预设时间内是第一次发送所匹配到的敏感关键字，控制模块205则阻断POST请求，从验证码图片数据库207中随机获取一张模糊的验证码图片，将该模糊的验证码图片与一句用于提示用户输入验证码的提示语组装成一个第一数据包，并将该第一数据包返回给所述用户终端以让用户输入验证码，用户继而输入验证码后再次提交POST请求数据以发送给数据接收模块201；若判断上网内容包含敏感关键字且该用户终端在预设时间内是第二次或第二次以上发送所匹配到的敏感关键字，控制模块205则阻断POST请求，从验证码图片数据库207中随机获取一张模糊的验证码图片，将该模糊的验证码图片与一句用于提示用户输入的验证码错误且需要重新输入的提示语组装成一个第二数据包，并将该第二数据包返回给该用户终端以让用户输入验证码提示用户输入的验证码错误且需要重新输入，用户继而放弃输入验证码而放弃POST请求或者用户再次输入验证码并再次提交POST请求数据以发送给数据接收模块201。

这样，一旦上网行为管理设备检测到用户终端所发送的POST请求数据中的上网内容包含有敏感关键字，就会阻断该POST请求，用户终端是无法将该POST请求数据发送到网络服务器的。同时，利用论坛等网站固有的机制，组装一个欺骗数据包，让用户输入验证码，用户无法看清楚该模糊的验证码图片上的验证码，这样，用户一次或多次输入验证码提交后仍被提示输入的验证码错误，用户会觉得是网络出现了问题或是自己输入的验证码不对，从而放弃此次上传。实际上，这是无法通过验证的，隐蔽地实现了对POST请求的封堵而不易被用户察觉。

图3是根据本发明一个实施例的上网行为管理方法的流程图。如图3所示，本发明的上网行为管理方法开始于步骤100，在步骤100中，接收来自用户终端的POST请求数据；

在步骤200中，依据网络协议对该POST请求数据进行协议分析，还原出上网内容。

在步骤300中，将还原出来的上网内容与敏感信息数据库所提供的所有敏感关键字进行一一匹配，其中，这里的敏感信息数据库可以被实时更新，例如，可以增加、删除或更改敏感关键字。

在步骤400中，根据上网内容的匹配检测结果判断该上网内容是否包含敏感关键字，例如，若匹配到至少任意一个敏感关键字，则判断为该上网内容包含敏感关键字，保存该用户终端的IP地址、MAC地址和匹配检测时间，并进入步骤500；若没有匹配到任意一个敏感关键字，则判断为该上网内容不包含敏感关键字，并进入步骤401，允许所述POST请求的连接，即允许用户终端将该POST请求数据发送给网络服务器。

在步骤500中，判断该用户终端在预设时间内是第一次发送所匹配到的敏感关键字还是第二次或第二次以上发送所匹配到的敏感关键字，在本发明的一个实施例中，根据该用户终端的IP地址、MAC地址和匹配检测时间来判断该用户终端在预设时间内是第一次发送所匹配到的敏感关键字还是第二次或第二次以上发送所匹配到的敏感关键字，例如，设该预设时间为T，用户终端A的IP地址为IP_A，MAC地址为MAC_A，若在预设时间T内，上网行为管理设备只有一次匹配检测到IP地址为IP_A，MAC地址为MAC_A的用户终端A所发送的上网内容包含敏感关键字，即对于该用户终端A，在预设时间T内只保存有一次匹配时间T1,则判断该用户终端A是第一次发送所匹配到的敏感关键字，并进入步骤501，继而到步骤502；若在预设时间T内，上网行为管理设备两次匹配检测到IP地址为IP_A，MAC地址为MAC_A的用户终端A所发送的上网内容包含相同的敏感关键字，即对于该用户终端A，在预设时间T内保存有两次匹配时间T2和T3,其中T3-T2≤T，则判断为该用户终端在预设时间T内是第二次发送所匹配到的敏感关键字，并进入步骤503，继而到步骤504或步骤505；其中，这里的预设时间T可以设置为30秒或其它数值。

在步骤501中，阻断POST请求，从验证码图片数据库207中随机获取一张模糊的验证码图片，将该模糊的验证码图片与一句用于提示用户输入验证码的提示语组装成一个第一数据包，并将该第一数据包返回给所述用户终端以让用户输入验证码；继而在步骤502中，用户输入验证码后再次提交POST请求数据以发送给数据接收模块。

在步骤503中，阻断POST请求，从验证码图片数据库207中随机获取一张模糊的验证码图片，将该模糊的验证码图片与一句用于提示用户输入的验证码错误且需要重新输入的提示语组装成一个第二数据包，并将该第二数据包返回给该用户终端以让用户输入验证码提示用户输入的验证码错误且需要重新输入，继而在步骤504中，用户再次输入验证码并再次提交POST请求数据以发送给数据接收模块201，或者在步骤505中，用户放弃输入验证码而放弃POST请求。

这样，一旦检测到用户终端所发送的POST请求数据中的上网内容包含有敏感关键字，就会阻断该POST请求，用户终端是无法将该POST请求数据发送到网络服务器的。同时，利用论坛等网站固有的机制，组装一个欺骗数据包，让用户输入验证码，用户无法看清楚该模糊的验证码图片上的验证码，这样，用户一次或多次输入验证码提交后仍被提示输入的验证码错误，用户会觉得是网络出现了问题或是自己输入的验证码不对，从而放弃此次上传。实际上，这是无法通过验证的，隐蔽地实现了对POST请求的封堵而不易被用户察觉。

下面将结合图4来对本发明的一个实施例的上网行为管理设备封堵用户终端发送的含有敏感关键字的POST请求作出进一步的说明。如图4所示，在步骤4001中，用户终端在论坛或其它网站发起POST上传连接请求；在步骤4002中，上网行为管理设备判断出该POST请求数据中的上网内容包含敏感关键字，然后进入步骤4003；在步骤4003中，上网行为管理设备向用户终端返回一个组装后的欺骗数据包，要求输入验证码，其中，该欺骗数据包包括一张模糊的验证码图片和一句用于提示用户输入验证码的提示语；在步骤4004中，用户根据该模糊的验证码图片输入验证码后，用户终端重新发送连接请求；在步骤4005中，上网行为管理设备接收该重新发送的连接请求后，判断出该请求还是这个用户终端发送的，且还是包含上次的敏感关键字，然后进入步骤4006；在步骤4006中，上网行为管理设备再次向用户终端返回一个组装后的欺骗数据包，即返回一张模糊的验证码图片和一句提示语，提示用户输入的验证码错误，要求重新输入；在步骤4007中，用户感觉是网络速度等网络环境问题，从而放弃此次POST上传连接请求，若用户再次输入验证码以再次发送连接请求，也会再次收到输入的验证码错误且要求重新输入的提示，这样多次提交后，用户还是放弃此次POST上传连接请求。

实施本发明，既封堵了含有敏感关键字的言论，又使得用户不知道是由于架设了上网行为管理设备而导致POST上传不了，从而隐蔽地实现对POST请求的封堵而不易被用户察觉。

虽然本发明是通过具体实施例进行说明的，本领域技术人员应当明白，在不脱离本发明范围的情况下，还可以对本发明进行各种变换及等同替代。另外，针对特定情形或材料，可以对本发明做各种修改，而不脱离本发明的范围。因此，本发明不局限于所公开的具体实施例，而应当包括落入本发明权利要求范围内的全部实施方式。

Claims (10)

1.一种上网行为管理方法，其特征在于，包括步骤：

S1、接收来自用户终端的POST请求数据；

S2、对所述POST请求数据进行分析并还原出上网内容；

S3、对所述上网内容进行匹配检测；

S4、根据所述上网内容的匹配检测结果判断所述上网内容是否包含敏感关键字，若是，进入步骤S5；若否，允许所述POST请求的连接；

S5、判断所述用户终端在预设时间内第一次发送还是第二次或第二次以上发送所匹配到的敏感关键字，若是第一次发送，阻断POST请求，组装一个第一数据包返回给所述用户终端以让用户输入验证码；若是第二次或第二次以上发送，阻断POST请求，组装一个第二数据包返回给所述用户终端以提示用户输入的验证码错误且需要重新输入，返回步骤S1，若用户不再输入验证码，放弃POST请求，结束；其中，所述第一数据包包括一张模糊的验证码图片和一句用于提示用户输入验证码的提示语；所述第二数据包包括一张模糊的验证码图片和一句用于提示用户输入的验证码错误且需要重新输入的提示语。

2.根据权利要求1所述的上网行为管理方法，其特征在于，所述步骤S3进一步包括将所述上网内容与敏感信息数据库提供的所有敏感关键字进行一一匹配。

3.根据权利要求2所述的上网行为管理方法，其特征在于，所述步骤S4进一步包括：

若匹配到至少任意一个敏感关键字，则判断为所述上网内容包含敏感关键字，并保存所述用户终端的IP地址、MAC地址和匹配检测时间；

若没有匹配到任意一个敏感关键字，则判断为所述上网内容不包含敏感关键字。

4.根据权利要求3所述的上网行为管理方法，其特征在于，根据所述用户终端的所述IP地址、所述MAC地址和所述匹配检测时间来判断所述用户终端在预设时间内第一次发送还是第二次或第二次以上发送所匹配到的敏感关键字。

5.根据权利要求1或4所述的上网行为管理方法，其特征在于，所述步骤S5进一步包括从验证码图片数据库中随机获取模糊的验证码图片以组装所述第一数据包或所述第二数据包。

6.一种上网行为管理设备，其特征在于，包括：

数据接收模块，用于接收来自用户终端的POST请求数据；

协议分析模块，用于从所述数据接收模块中接收所述POST请求数据，对所述POST请求数据进行分析并还原出上网内容；

检测模块，用于从所述协议分析模块中接收所述上网内容，并对所述上网内容进行匹配检测；

判断模块，用于从所述检测模块中接收所述上网内容的匹配检测结果，并根据所述匹配检测结果判断所述上网内容是否包含敏感关键字，以及用于判断所述用户终端在预设时间内第一次发送还是第二次或第二次以上发送所匹配到的敏感关键字；

控制模块，用于从所述判断模块中接收判断结果，并根据所述判断结果作出进一步处理，所述处理包括：

若所述上网内容不包含敏感关键字，则允许所述POST请求的连接；

若所述上网内容包含敏感关键字且所述用户终端在预设时间内第一次发送所匹配到的敏感关键字，则阻断POST请求，组装一个第一数据包返回给所述用户终端以让用户输入验证码；

若所述上网内容包含敏感关键字且所述用户终端在预设时间内第二次或第二次以上发送所匹配到的敏感关键字，则阻断POST请求，组装一个第二数据包返回给所述用户终端以提示用户输入的验证码错误且需要重新输入；

其中，所述第一数据包包括一张模糊的验证码图片和一句用于提示用户输入验证码的提示语；所述第二数据包包括一张模糊的验证码图片和一句用于提示用户输入的验证码错误且需要重新输入的提示语。

7.根据权利要求6所述的上网行为管理设备，其特征在于，所述上网行为管理设备还包括敏感信息数据库，用于向所述检测模块提供敏感关键字；所述检测模块将所述上网内容与所述敏感信息数据库提供的所有敏感关键字进行一一匹配。

8.根据权利要求7所述的上网行为管理设备，其特征在于，所述判断模块进一步用于：

若匹配到至少任意一个敏感关键字，则判断为所述上网内容包含敏感关键字，并保存所述用户终端的IP地址、MAC地址和匹配检测时间；

若没有匹配到任意一个敏感关键字，则判断为所述上网内容不包含敏感关键字。

9.根据权利要求8所述的上网行为管理设备，其特征在于，所述判断模块根据所述用户终端的所述IP地址、所述MAC地址和所述匹配检测时间来判断所述用户终端在预设时间内第一次发送还是第二次或第二次以上发送所匹配到的敏感关键字。

10.根据权利要求6或9所述的上网行为管理设备，其特征在于，所述上网行为管理设备还包括验证码图片数据库，用于向所述控制模块提供模糊的验证码图片；所述控制模块从验证码图片数据库中随机获取模糊的验证码图片以组装所述第一数据包或所述第二数据包。