CN103905273B - Dns劫持的监测方法和装置 - Google Patents

Abstract

本发明提出一种DNS劫持的监测方法和装置。其中该方法包括：向客户端发送监测任务，使得客户端在确定执行监测任务后，启动浏览器打开预定的URL信息指示的网页，并在打开网页的过程中获取监测信息；接收客户端发送是监测信息；根据监测信息确定客户端是否发生DNS劫持。本发明实施例的方法，从而能够及时、主动地发现DNS劫持问题，且能够及时、有效地复现对应的DNS劫持，降低人力成本，提高了效率。

Description

DNS劫持的监测方法和装置

技术领域

本发明涉及网络技术领域，尤其涉及一种DNS劫持的监测方法和装置。

背景技术

目前，用户访问互联网变得越来越普遍，例如，访问网站、论坛、贴吧、搜索引擎等。但是，用户在访问网站、论坛、贴吧、搜索引擎等时，其很可能被运营商、流氓软件等劫持，从而造成对应的网页无法访问、页面元素被篡改等问题。

为了解决上述问题，相关技术中，网站、论坛、贴吧、搜索引擎等的经营者通常依靠论坛、社区等公共平台的用户反馈信息，联系用户以复现被劫持现象，从而截图取证。相关技术存在的问题是，一是无法及时、主动地发现并复现劫持，特别是针对小流量的劫持，二是人力成本高，效率低。

发明内容

本发明旨在至少在一定程度上解决相关技术中的技术问题之一。

为此，本发明的第一个目的在于提出一种DNS劫持的监测方法。该方法能够及时、有效地复现对应的DNS劫持，降低人力成本，提高了效率。

本发明的第二个目的在于提出另一种DNS劫持的监测方法。

本发明的第三个目的在于提出一种DNS劫持的监测装置。

本发明的第四个目的在于提出另一种DNS劫持的监测装置。

本发明的第五个目的在于提出一种DNS劫持的监测系统。

为了实现上述目的，本发明第一方面实施例的DNS劫持的监测方法，包括：向客户端发送监测任务，使得所述客户端在确定执行所述监测任务后，启动浏览器打开预定的URL信息指示的网页，并在打开所述网页的过程中获取监测信息；接收所述客户端发送的所述监测信息；根据所述监测信息确定所述客户端是否发生DNS劫持。

本发明实施例的DNS劫持的监测方法，通过服务器将监测任务发送至客户端，客户端在确定执行监测任务时获取监测信息，服务器根据客户端发送的监测任务确定客户端是否发生DNS劫持，由此完全由服务器和客户端完成DNS劫持监测，无需人工参与，从而能够及时、主动地发现DNS劫持问题，且在服务器中能够根据监测信息及时、有效地复现对应的DNS劫持，降低人力成本，提高了效率。另外，对于小流量的DNS劫持也可以及时发现并复现，克服了相关技术中针对小流量的DNS劫持难以复现的问题。此外，通过客户端监测方式，获取监测信息，可以准确确定DNS劫持的发生事实、原因等，这些监测信息直接可以作为证据，减少了取证难度。

为了实现上述目的，本发明第二方面实施例的DNS劫持的监测方法，包括：获取监测任务，所述监测任务中包括预定的URL信息；在确定执行所述监测任务后，启动浏览器打开所述预定的URL信息指示的网页，并在打开所述网页的过程中获取监测信息；将所述监测信息发送至服务器，以使所述服务器根据所述监测信息确定所述监测任务是否发生DNS劫持。

本发明实施例的DNS劫持的监测方法，客户端接收监测任务，并在确定执行监测任务时获取监测信息，以及将监测信息发送至服务器，服务器根据客户端发送的监测任务确定客户端是否发生DNS劫持，由此完全由服务器和客户端完成DNS劫持监测，无需人工参与，从而能够及时、主动地发现DNS劫持问题，且在服务器中能够根据监测信息及时、有效地复现对应的DNS劫持，降低人力成本，提高了效率。另外，对于小流量的DNS劫持也可以及时发现并复现，克服了相关技术中针对小流量的DNS劫持难以复现的问题。此外，通过客户端监测方式，获取监测信息，可以准确确定DNS劫持的发生事实、原因等，这些监测信息直接可以作为证据，减少了取证难度。

为了实现上述目的，本发明第三方面实施例的DNS劫持的监测装置，包括：发送模块，用向客户端发送监测任务，使得所述客户端在确定执行所述监测任务后，启动浏览器打开预定的URL信息指示的网页，并在打开所述网页的过程中获取监测信息；接收模块，用于接收所述客户端发送的所述监测信息；确定模块，用于根据所述监测信息确定所述客户端是否发生DNS劫持。

本发明实施例的DNS劫持的监测装置，DNS劫持的监测装置将监测任务发送至客户端，客户端在确定执行监测任务时获取监测信息，DNS劫持的监测装置根据客户端发送的监测任务确定客户端是否发生DNS劫持，由此完全由DNS劫持的监测装置和客户端完成DNS劫持监测，无需人工参与，从而能够及时、主动地发现DNS劫持问题，且在DNS劫持的监测装置中能够根据监测信息及时、有效地复现对应的DNS劫持，降低人力成本，提高了效率。另外，对于小流量的DNS劫持也可以及时发现并复现，克服了相关技术中针对小流量的DNS劫持难以复现的问题。此外，通过客户端监测方式，获取监测信息，可以准确确定DNS劫持的发生事实、原因等，这些监测信息直接可以作为证据，减少了取证难度。

为了实现上述目的，本发明第四方面实施例的DNS劫持的监测装置，包括：第一获取模块，用于获取监测任务，所述监测任务中包括预定的URL信息；启动模块，用于在确定执行所述监测任务后，启动浏览器打开所述预定的URL信息指示的网页；第二获取模块，用于在打开所述网页的过程中获取监测信息；发送模块，用于将所述监测信息发送至服务器，以使所述服务器根据所述监测信息确定是否发生DNS劫持。

本发明实施例的DNS劫持的监测装置，DNS劫持的监测装置接收监测任务，并在确定执行监测任务时获取监测信息，以及将监测信息发送至服务器，服务器根据DNS劫持的监测装置发送的监测任务确定是否发生DNS劫持，由此完全由服务器和DNS劫持的监测装置完成DNS劫持监测，无需人工参与，从而能够及时、主动地发现DNS劫持问题，且在服务器中能够根据监测信息及时、有效地复现对应的DNS劫持，降低人力成本，提高了效率。另外，对于小流量的DNS劫持也可以及时发现并复现，克服了相关技术中针对小流量的DNS劫持难以复现的问题。

为了实现上述目的，本发明第五方面实施例的DNS劫持的监测系统，包括：本发明第三方面实施例的DNS劫持的监测系统和本发明第四方面实施例的DNS劫持的监测系统。

本发明附加的方面和优点将在下面的描述中部分给出，部分将从下面的描述中变得明显，或通过本发明的实践了解到。

附图说明

本发明上述的和/或附加的方面和优点从下面结合附图对实施例的描述中将变得明显和容易理解，其中，

图1是根据本发明一个实施例的DNS劫持的监测方法的流程图；

图2是根据本发明另一个实施例的DNS劫持的监测方法的流程图；

图3是根据本发明又一个实施例的DNS劫持的监测方法的流程图；

图4是根据本发明再一个实施例的DNS劫持的监测方法的流程图；

图5是根据本发明一个实施例的DNS劫持的监测装置的结构框图；

图6是根据本发明另一个实施例的DNS劫持的监测装置的结构框图；

图7是根据本发明又一个实施例的DNS劫持的监测装置的结构框图；

图8是根据本发明再一个实施例的DNS劫持的监测装置的结构框图；

图9是根据本发明一个实施例的DNS劫持的监测系统的结构框图。

具体实施方式

下面详细描述本发明的实施例，所述实施例的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施例是示例性的，仅用于解释本发明，而不能理解为对本发明的限制。相反，本发明的实施例包括落入所附加权利要求书的精神和内涵范围内的所有变化、修改和等同物。

在本发明的描述中，需要理解的是，术语“第一”、“第二”等仅用于描述目的，而不能理解为指示或暗示相对重要性。在本发明的描述中，需要说明的是，除非另有明确的规定和限定，术语“相连”、“连接”应做广义理解，例如，可以是固定连接，也可以是可拆卸连接，或一体地连接；可以是机械连接，也可以是电连接；可以是直接相连，也可以通过中间媒介间接相连。对于本领域的普通技术人员而言，可以具体情况理解上述术语在本发明中的具体含义。此外，在本发明的描述中，除非另有说明，“多个”的含义是两个或两个以上。

流程图中或在此以其他方式描述的任何过程或方法描述可以被理解为，表示包括一个或更多个用于实现特定逻辑功能或过程的步骤的可执行指令的代码的模块、片段或部分，并且本发明的优选实施方式的范围包括另外的实现，其中可以不按所示出或讨论的顺序，包括根据所涉及的功能按基本同时的方式或按相反的顺序，来执行功能，这应被本发明的实施例所属技术领域的技术人员所理解。

针对网站、论坛、贴吧、搜索引擎等出现劫持而无法及时发现并复现等问题，本发明的实施例公开了一种DNS劫持的监测方法和装置。

下面参考附图描述根据本发明实施例的DNS劫持的监测方法和装置。

图1是根据本发明一个实施例的DNS劫持的监测方法的流程图。

如图1所示，该DNS劫持的监测方法包括：

S101，向客户端发送监测任务，使得客户端在确定执行监测任务后，启动浏览器打开预定的URL信息指示的网页，并在打开网页的过程中获取监测信息。

其中，监测任务中包括客户端启动浏览器时需要打开的预定的网页，该网页包括对应的URL信息。

具体地，服务器向客户端发送监测任务。在本发明的实施例中，在服务器向客户端发送监测任务之前，服务器还执行：首先，服务器获取监测任务，更具体地，在本发明的一个实施例中，服务器提供接口，用户通过接口将网站、论坛、贴吧、搜索引擎等监测对象对应的监测任务输入至服务器中，在本发明的另一个实施例中，用户还可以通过服务器提供的WEB端将网站、论坛、贴吧、搜索引擎等监测对象对应的监测任务输入至服务器中。然后，服务器对监测任务的规范性和合法性进行检查。之后，服务器给通过规范性和合法性检查的监测任务分配唯一ID，服务器还可以将通过规范性和合法性检查的监测任务按照ID加入至监测任务队列中便于向客户端发送。

在本发明的一个实施例中，客户端可以遍布在全国各地。具体地，网站、论坛、贴吧、搜索引擎等监测对象可以对应多个监测任务，服务器在获取监测任务的同时还获取监测任务的分布信息，例如，某个网站仅针对某个省市中的客户端进行监测，搜索引擎针对全国范围内的客户端进行监测等。分布信息可以根据具体监测对象的需求进行确定，可以有用户自行设置或者服务器可以给出默认设置。服务器根据分布信息将监测任务发送至客户端。

在本发明的一个实施例中，客户端接收到服务器发送的监测任务后，启动客户端的浏览器打开预定的URL信息指示的网页，并在打开网页的过程中获取监测信息。具体地，在打开网页的过程中，客户端可以根据浏览器中的插件和抓包程序获取监测信息，将在后续实施例中详细叙述。

S102，接收客户端发送的监测信息。

在本发明的一个实施例中，监测信息可以包括页面加载信息。具体地，客户端接收到服务器发送的监测任务后，启动客户端的浏览器访问监测任务中的预定的URL信息，并通过嵌入浏览器中的插件记录从浏览器发出URL请求开始至页面完全加载过程中的页面加载信息。

S103，根据监测信息确定客户端是否发生DNS劫持。

在本发明的一个实施例中，页面加载信息包括域名，根据监测信息确定客户端是否发生DNS劫持（S103）具体包括：在页面加载信息中出现异常域名时，确定客户端发生DNS劫持。具体地，服务器对页面加载信息进行域名扫描，如果发现页面加载信息中出现异常域名时，可以确定该客户端发生DNS劫持。

本发明实施例的DNS劫持的监测方法，通过服务器将监测任务发送至客户端，客户端在确定执行监测任务时获取监测信息，服务器根据客户端发送的监测任务确定客户端是否发生DNS劫持，由此完全由服务器和客户端完成DNS劫持监测，无需人工参与，从而能够及时、主动地发现DNS劫持问题，且在服务器中能够根据监测信息及时、有效地复现对应的DNS劫持，降低人力成本，提高了效率。另外，对于小流量的DNS劫持也可以及时发现并复现，克服了相关技术中针对小流量的DNS劫持难以复现的问题。此外，通过客户端监测方式，获取监测信息，可以准确确定DNS劫持的发生事实、原因等，这些监测信息直接可以作为证据，减少了取证难度。

图2是根据本发明另一个实施例的DNS劫持的监测方法的流程图。

如图2所示，该DNS劫持的监测方法包括：

S201，向客户端发送监测任务，使得客户端在确定执行监测任务后，启动浏览器打开预定的URL信息指示的网页，并在打开网页的过程中获取监测信息。

具体地，服务器向客户端发送监测任务。在本发明的实施例中，在服务器向客户端发送监测任务之前，服务器还执行：首先，服务器获取监测任务。然后，服务器对监测任务的规范性和合法性进行检查。之后，服务器给通过规范性和合法性检查的监测任务分配唯一ID，服务器还可以将通过规范性和合法性检查的监测任务按照ID加入至监测任务队列中便于向客户端发送。

在本发明的一个实施例中，客户端接收到服务器发送的监测任务后，启动客户端的浏览器打开预定的URL信息指示的网页，并在打开网页的过程中获取监测信息。具体地，在打开网页的过程中，客户端可以根据浏览器中的插件和抓包程序获取监测信息，将在后续实施例中详细叙述。

S202，接收客户端发送的监测信息。

在本发明的一个实施例中，监测信息可以包括页面加载信息。具体地，客户端接收到服务器发送的监测任务后，启动客户端的浏览器访问监测任务中的预定的URL信息，并通过嵌入浏览器中的插件记录从浏览器发出URL请求开始至页面完全加载过程中的页面加载信息。

S203，根据监测信息确定客户端是否发生DNS劫持。

在本发明的一个实施例中，页面加载信息包括域名，根据监测信息确定客户端是否发生DNS劫持（S203）具体包括：在页面加载信息中出现异常域名时，确定客户端发生DNS劫持。具体地，服务器对页面加载信息进行域名扫描，如果发现页面加载信息中出现异常域名时，可以确定该客户端发生DNS劫持。

S204，根据监测信息确定DNS劫持发生在网络层还是客户端。

在本发明的另一个实施例中，监测信息还可以包括网络报文数据。具体地，客户端接收到服务器发送的监测任务后，启动客户端的浏览器访问监测任务中的预定的URL信息，并通过嵌入浏览器中的插件记录从浏览器发出URL请求开始至页面完全加载过程中的页面加载信息，同时抓包程序记录从浏览器发出URL请求开始至页面完全加载过程中经过网卡的网络报文数据。

在本发明的一个实施例中，根据监测信息确定DNS劫持发生在网络层还是客户端具体包括：根据网络报文数据确定DNS劫持发生在网络层还是客户端，其中，在网络报文数据中出现异常请求时，确定DNS劫持发生在网络层，在网络报文数据中未出现异常请求时，确定DNS劫持发生在客户端。

本发明实施例的DNS劫持的监测方法，根据网络报文数据可以确定DNS劫持发生在网络层还是客户端。

在本发明的一个实施例中，在服务器向客户端发送监测任务（S101）之前还包括（图中未示出）：确定监测任务的发送方式，并根据发送方式将监测任务加入至主动推送任务池或被动拉取任务池，其中，发送方式为主动推送时将监测任务加入至主动推送任务池，发送方式为被动拉取时将监测任务加入至被动拉取任务池，被动拉取任务池中的监测任务接收客户端的拉取请求，并根据拉取请求发送至对应的客户端。

例如，客户端以socket方式与服务器建立长连接，接收服务器发送的监测任务，当服务端推送到客户端的监测任务执行完成后，客户端会向服务器发送拉取请求，以根据拉取请求获取服务器中被动拉取任务池的监测任务。

本发明的实施例的DNS劫持的监测方法，将监测任务按照发送方式分别加入至主动推送任务池或被动拉取任务池，由此在向客户端发送监测任务时，一方面可以主动将主动推送任务池中的监测任务发送至客户端，另一方面可以根据客户端的拉取请求将被动拉取任务池中的监测任务发送至客户端，从而在服务器和客户端之间可以有两种运行模式，除了服务器主动发送监测任务外，客户端还可以在冗余时主动从服务器中获取监测任务，最大化利用客户端的在线资源，保证了客户端与服务端之间的冗余互备。

在本发明的一个实施例中，本发明实施例的DNS劫持的监测方法还包括（图中未示出）：根据监测信息，确定DNS劫持发生的区域和影响范围。具体地，服务器在获取大量的监测信息后，确定DNS劫持发送的客户端，可以根据客户端的属性信息（例如分布区域等）确定DNS劫持发生的区域，还可以根据客户端的属性信息（例如运营商等）确定DNS劫持发生的影响范围。还可以获取DNS劫持发生的比例。另外，服务器还可以将DNS劫持发生的区域、影响范围、比例等以视图的形式展示给用户，由此帮助用户准确确定DNS劫持发生的区域和影响范围，通过DNS劫持发生的区域和影响范围可以精准定位DNS劫持行为。

本发明的实施例还公开了另一种DNS劫持的监测方法。其中，该方法主要在客户端中实现。

图3是根据本发明又一个实施例的DNS劫持的监测方法的流程图。

如图3所示，该DNS劫持的监测方法包括：

S301，获取监测任务，监测任务中包括预定的URL信息。

其中，监测任务中包括客户端启动浏览器时需要打开的预定的网页，该网页包括对应的URL信息。

具体地，客户端获取服务器发送的监测任务。在本发明的一个实施例中，该监测任务还经过服务器的规范性和合法性检查。

在本发明的一个实施例中，S301具体包括：接收服务器推送的监测任务；或发送拉取请求，并接收服务器根据拉取请求发送的监测任务。具体地，在服务器中，根据监测任务的发送方式将监测任务加入至主动推送任务池或被动拉取任务池，其中，发送方式为主动推送时将监测任务加入至主动推送任务池，发送方式为被动拉取时将监测任务加入至被动拉取任务池，被动拉取任务池中的监测任务接收客户端的拉取请求，并根据拉取请求发送至对应的客户端。例如，客户端以socket方式与服务器建立长连接，接收服务器发送的监测任务，当服务端推送到客户端的监测任务执行完成后，客户端会向服务器发送拉取请求，以根据拉取请求获取服务器中被动拉取任务池的监测任务。

由此，将监测任务按照发送方式分别加入至主动推送任务池或被动拉取任务池，由此在向客户端发送监测任务时，一方面可以主动将主动推送任务池中的监测任务发送至客户端，另一方面可以根据客户端的拉取请求将被动拉取任务池中的监测任务发送至客户端，从而在服务器和客户端之间可以有两种运行模式，除了服务器主动发送监测任务外，客户端还可以在冗余时主动从服务器中获取监测任务，最大化利用客户端的在线资源，保证了客户端与服务端之间的冗余互备。

S302，在确定执行监测任务后，启动浏览器打开预定的URL信息指示的网页，并在打开网页的过程中获取监测信息。

具体地，如果客户端接收到的监测任务较多时，客户端还需对监测任务进行管理，从而确定监测任务的执行顺序，以根据执行顺序确定执行监测任务，将在后续实施例中详细叙述。

在本发明的一个实施例中，监测信息包括页面加载信息和网络数据报文。

在本发明的一个实施例中，S302具体包括：记录从请求开始到页面加载完毕的全过程，并在全过程中，获取页面加载信息，以及获取网络数据报文。具体地，客户端启动浏览器访问监测任务中的预定的URL信息，并通过嵌入浏览器中的插件记录从浏览器发出URL请求开始至页面完全加载过程中的页面加载信息，同时抓包程序记录从浏览器发出URL请求开始至页面完全加载过程中经过网卡的网络报文数据。

S303，将监测信息发送至服务器，以使服务器根据监测信息确定监测任务是否发生DNS劫持。

本发明实施例的DNS劫持的监测方法，客户端接收监测任务，并在确定执行监测任务时获取监测信息，以及将监测信息发送至服务器，服务器根据客户端发送的监测任务确定客户端是否发生DNS劫持，由此完全由服务器和客户端完成DNS劫持监测，无需人工参与，从而能够及时、主动地发现DNS劫持问题，且在服务器中能够根据监测信息及时、有效地复现对应的DNS劫持，降低人力成本，提高了效率。另外，对于小流量的DNS劫持也可以及时发现并复现，克服了相关技术中针对小流量的DNS劫持难以复现的问题。此外，通过客户端监测方式，获取监测信息，可以准确确定DNS劫持的发生事实、原因等，这些监测信息直接可以作为证据，减少了取证难度。

在本发明的一个实施例中，服务器根据页面加载信息确定监测任务对应的客户端是否发生DNS劫持，具体地，服务器对页面加载信息进行域名扫描，如果发现页面加载信息中出现异常域名时，可以确定该客户端发生DNS劫持。

在本发明的另一个实施例中，服务器根据网络报文数据确定DNS劫持发生在网络层还是客户端，具体地，在网络报文数据中出现异常请求时，确定DNS劫持发生在网络层，在网络报文数据中未出现异常请求时，确定DNS劫持发生在客户端。

图4是根据本发明再一个实施例的DNS劫持的监测方法的流程图。

如图4所示，该DNS劫持的监测方法包括：

S401，获取监测任务，监测任务中包括预定的URL信息。

具体地，客户端获取服务器发送的监测任务。在本发明的一个实施例中，该监测任务还经过服务器的规范性和合法性检查。

在本发明的一个实施例中，S301具体包括：

接收服务器推送的监测任务；或发送拉取请求，并接收服务器根据拉取请求发送的监测任务。具体地，在服务器中，根据监测任务的发送方式将监测任务加入至主动推送任务池或被动拉取任务池，其中，发送方式为主动推送时将监测任务加入至主动推送任务池，发送方式为被动拉取时将监测任务加入至被动拉取任务池，被动拉取任务池中的监测任务接收客户端的拉取请求，并根据拉取请求发送至对应的客户端。例如，客户端以socket方式与服务器建立长连接，接收服务器发送的监测任务，当服务端推送到客户端的监测任务执行完成后，客户端会向服务器发送拉取请求，以根据拉取请求获取服务器中被动拉取任务池的监测任务。

由此，将监测任务按照发送方式分别加入至主动推送任务池或被动拉取任务池，由此在向客户端发送监测任务时，一方面可以主动将主动推送任务池中的监测任务发送至客户端，另一方面可以根据客户端的拉取请求将被动拉取任务池中的监测任务发送至客户端，从而在服务器和客户端之间可以有两种运行模式，除了服务器主动发送监测任务外，客户端还可以在冗余时主动从服务器中获取监测任务，最大化利用客户端的在线资源，保证了客户端与服务端之间的冗余互备。

S402，确定监测任务的属性，属性包括即时监测任务或者周期监测任务。

具体地，监测任务由服务端发送到客户端，属性由服务端控制。一般情况下有两种属性模式，一种服务端只向客户端发送一次任务，客户端接到任务后立即执行，称之为即时监测任务，另一种服务端以一个固定周期的频率向客户端发送任务，如一小时发送一次，称之为周期监测任务。

S403，根据监测任务的属性，将监测任务加入至预先设定的即时监测队列或周期监测队列，其中，即时监测队列中监测任务的优先级高于周期监测队列中监测任务的优先级。

在本发明的一个实施例中，根据拉取请求获取的监测任务的优先级高于即时监测队列中监测任务的优先级，即根据拉取请求获取的监测任务，客户端会立即执行。

S404，根据优先级从即使监测队列或周期监测队列中，读取监测任务以确定执行。

S405，在确定执行监测任务后，启动浏览器打开预定的URL信息指示的网页，并在打开网页的过程中获取监测信息。

在本发明的一个实施例中，监测信息包括页面加载信息和网络数据报文。

在本发明的一个实施例中，S405具体包括：记录从请求开始到页面加载完毕的全过程，并在全过程中，获取页面加载信息，以及获取网络数据报文。具体地，客户端启动浏览器访问监测任务中的预定的URL信息，并通过嵌入浏览器中的插件记录从浏览器发出URL请求开始至页面完全加载过程中的页面加载信息，同时抓包程序记录从浏览器发出URL请求开始至页面完全加载过程中经过网卡的网络报文数据。

S406，将监测信息发送至服务器，以使服务器根据监测信息确定监测任务是否发生DNS劫持。

本发明实施例的DNS劫持的监测方法，客户端会对监测任务进行优先级排序，并根据排序结果执行监测任务，使得监测任务的执行更加有序。

为了实现上述实施例，本发明的实施例提出一种DNS劫持的监测装置。

图5是根据本发明一个实施例的DNS劫持的监测装置的结构框图。

如图5所示，DNS劫持的监测装置100包括：发送模块110、接收模块120和确定模块130。

具体地，发送模块110用向客户端发送监测任务，使得客户端在确定执行监测任务后，启动浏览器打开预定的URL信息指示的网页，并在打开网页的过程中获取监测信息，其中，监测任务中包括客户端启动浏览器时需要打开的预定的网页，该网页包括对应的URL信息。在本发明的实施例中，在发送模块110向客户端发送监测任务之前，DNS劫持的监测装置100还执行：首先，获取监测任务，更具体地，在本发明的一个实施例中，DNS劫持的监测装置100提供接口，用户通过接口将网站、论坛、贴吧、搜索引擎等监测对象对应的监测任务输入至DNS劫持的监测装置100中，在本发明的另一个实施例中，用户还可以通过DNS劫持的监测装置100提供的WEB端将网站、论坛、贴吧、搜索引擎等监测对象对应的监测任务输入至DNS劫持的监测装置100中。然后，对监测任务的规范性和合法性进行检查。之后，给通过规范性和合法性检查的监测任务分配唯一ID，还可以将通过规范性和合法性检查的监测任务按照ID加入至监测任务队列中便于向客户端发送。

在本发明的一个实施例中，客户端可以遍布在全国各地。网站、论坛、贴吧、搜索引擎等监测对象可以对应多个监测任务，DNS劫持的监测装置100在获取监测任务的同时还获取监测任务的分布信息，例如，某个网站仅针对某个省市中的客户端进行监测，搜索引擎针对全国范围内的客户端进行监测等。分布信息可以根据具体监测对象的需求进行确定，可以有用户自行设置或者服务器可以给出默认设置。DNS劫持的监测装置100根据分布信息将监测任务发送至客户端。

在本发明的一个实施例中，客户端接收到DNS劫持的监测装置100发送的监测任务后，启动客户端的浏览器打开预定的URL信息指示的网页，并在打开网页的过程中获取监测信息。

接收模块120用于接收客户端发送的监测信息。在本发明的一个实施例中，监测信息可以包括页面加载信息。具体地，客户端接收到DNS劫持的监测装置100发送的监测任务后，启动客户端的浏览器访问监测任务中的预定的URL信息，并通过嵌入浏览器中的插件记录从浏览器发出URL请求开始至页面完全加载过程中的页面加载信息。

确定模块130用于根据监测信息确定客户端是否发生DNS劫持。在本发明的一个实施例中，页面加载信息包括域名，确定模块130具体用于在页面加载信息中出现异常域名时，确定客户端发生DNS劫持，更具体地，确定模块130对页面加载信息进行域名扫描，如果发现页面加载信息中出现异常域名时，可以确定该客户端发生DNS劫持。

本发明实施例的DNS劫持的监测装置，DNS劫持的监测装置将监测任务发送至客户端，客户端在确定执行监测任务时获取监测信息，DNS劫持的监测装置根据客户端发送的监测任务确定客户端是否发生DNS劫持，由此完全由DNS劫持的监测装置和客户端完成DNS劫持监测，无需人工参与，从而能够及时、主动地发现DNS劫持问题，且在DNS劫持的监测装置中能够根据监测信息及时、有效地复现对应的DNS劫持，降低人力成本，提高了效率。另外，对于小流量的DNS劫持也可以及时发现并复现，克服了相关技术中针对小流量的DNS劫持难以复现的问题。此外，通过客户端监测方式，获取监测信息，可以准确确定DNS劫持的发生事实、原因等，这些监测信息直接可以作为证据，减少了取证难度。

在本发明的一个实施例中，确定模块130还用于根据监测信息确定DNS劫持发生在网络层还是客户端。

在本发明的另一个实施例中，监测信息还可以包括网络报文数据。具体地，客户端接收到发送模块120发送的监测任务后，启动客户端的浏览器访问监测任务中的预定的URL信息，并通过嵌入浏览器中的插件记录从浏览器发出URL请求开始至页面完全加载过程中的页面加载信息，同时抓包程序记录从浏览器发出URL请求开始至页面完全加载过程中经过网卡的网络报文数据。

在本发明的另一个实施例中，确定模块130根据监测信息确定DNS劫持发生在网络层还是客户端具体包括：根据网络报文数据确定DNS劫持发生在网络层还是客户端，其中，在网络报文数据中出现异常请求时，确定DNS劫持发生在网络层，在网络报文数据中未出现异常请求时，确定DNS劫持发生在客户端。

本发明实施例的DNS劫持的监测装置，根据网络报文数据可以确定DNS劫持发生在网络层还是客户端。

图6是根据本发明另一个实施例的DNS劫持的监测装置的结构框图。

如图6所示，DNS劫持的监测装置100包括：发送模块110、接收模块120、确定模块130和加入模块140。

具体地，加入模块140用于在向客户端发送监测任务之前，确定监测任务的发送方式，并根据发送方式将监测任务加入至主动推送任务池或被动拉取任务池，其中，发送方式为主动推送时将监测任务加入至主动推送任务池，发送方式为被动拉取时将监测任务加入至被动拉取任务池，被动拉取任务池中的监测任务接收客户端的拉取请求，并根据拉取请求发送至对应的客户端。

例如，客户端以socket方式与服务器建立长连接，接收服务器发送的监测任务，当服务端推送到客户端的监测任务执行完成后，客户端会向服务器发送拉取请求，以根据拉取请求获取服务器中被动拉取任务池的监测任务。

本发明的实施例的DNS劫持的监测装置，通过加入模块将监测任务按照发送方式分别加入至主动推送任务池或被动拉取任务池，由此在向客户端发送监测任务时，一方面可以主动将主动推送任务池中的监测任务发送至客户端，另一方面可以根据客户端的拉取请求将被动拉取任务池中的监测任务发送至客户端，从而在DNS劫持的监测装置和客户端之间可以有两种运行模式，除了DNS劫持的监测装置主动发送监测任务外，客户端还可以在冗余时主动从DNS劫持的监测装置中获取监测任务，最大化利用客户端的在线资源，保证了客户端与DNS劫持的监测装置之间的冗余互备。

在本发明的一个实施例中，确定模块130还用于根据监测信息，确定DNS劫持发生的区域和影响范围。具体地，DNS劫持的监测装置在获取大量的监测信息后，确定模块130确定DNS劫持发送的客户端，确定模块130可以根据客户端的属性信息（例如分布区域等）确定DNS劫持发生的区域，还可以根据客户端的属性信息（例如运营商等）确定DNS劫持发生的影响范围。还可以获取DNS劫持发生的比例。另外，DNS劫持的监测装置还可以将DNS劫持发生的区域、影响范围、比例等以视图的形式展示给用户，由此帮助用户准确确定DNS劫持发生的区域和影响范围，通过DNS劫持发生的区域和影响范围可以精准定位DNS劫持行为。

为了实现上述实施例，本发明还提出另一种DNS劫持的监测装置。

图7是根据本发明又一个实施例的DNS劫持的监测装置的结构框图。

如图7所示，DNS劫持的监测装置200包括：第一获取模块210、启动模块220、第二获取模块230和发送模块240。

具体地，第一获取模块210用于获取监测任务，监测任务中包括预定的URL信息，其中，监测任务中包括客户端启动浏览器时需要打开的预定的网页，该网页包括对应的URL信息。在本发明的一个实施例中，该监测任务还经过服务器的规范性和合法性检查。

在本发明的一个实施例中，第一获取模块210具体用于：接收服务器推送的监测任务；或发送拉取请求，并接收服务器根据拉取请求发送的监测任务。具体地，在服务器中，根据监测任务的发送方式将监测任务加入至主动推送任务池或被动拉取任务池，其中，发送方式为主动推送时将监测任务加入至主动推送任务池，发送方式为被动拉取时将监测任务加入至被动拉取任务池，被动拉取任务池中的监测任务接收DNS劫持的监测装置200的拉取请求，并根据拉取请求发送至对应的DNS劫持的监测装置200。例如，DNS劫持的监测装置200以socket方式与服务器建立长连接，接收服务器发送的监测任务，当服务端推送到DNS劫持的监测装置200的监测任务执行完成后，DNS劫持的监测装置200会向服务器发送拉取请求，以根据拉取请求获取服务器中被动拉取任务池的监测任务。

由此，将监测任务按照发送方式分别加入至主动推送任务池或被动拉取任务池，由此在向客户端发送监测任务时，一方面可以主动将主动推送任务池中的监测任务发送至DNS劫持的监测装置200，另一方面可以根据DNS劫持的监测装置200的拉取请求将被动拉取任务池中的监测任务发送至客户端，从而在服务器和DNS劫持的监测装置200之间可以有两种运行模式，除了服务器主动发送监测任务外，DNS劫持的监测装置200还可以在冗余时主动从服务器中获取监测任务，最大化利用DNS劫持的监测装置200的在线资源，保证了DNS劫持的监测装置200与服务端之间的冗余互备。

启动模块220用于在确定执行监测任务后，启动浏览器打开预定的URL信息指示的网页。更具体地，如果DNS劫持的监测装置200接收到的监测任务较多时，DNS劫持的监测装置200还需对监测任务进行管理，从而确定监测任务的执行顺序，以根据执行顺序确定执行监测任务。

第二获取模块230用于在打开网页的过程中获取监测信息。

在本发明的一个实施例中，监测信息包括页面加载信息和网络数据报文。

在本发明的一个实施例中，第二获取模块230具体用于：记录从请求开始到页面加载完毕的全过程，并在全过程中，获取页面加载信息，以及获取网络数据报文。更具体地，DNS劫持的监测装置200启动浏览器访问监测任务中的预定的URL信息，并通过嵌入浏览器中的插件记录从浏览器发出URL请求开始至页面完全加载过程中的页面加载信息，同时抓包程序记录从浏览器发出URL请求开始至页面完全加载过程中经过网卡的网络报文数据。

发送模块240用于将监测信息发送至服务器，以使服务器根据监测信息确定监测任务是否发生DNS劫持。也就是说，服务器根据监测信息确定监测任务对应的DNS劫持的监测装置200是否发生DNS劫持。

本发明实施例的DNS劫持的监测装置，DNS劫持的监测装置接收监测任务，并在确定执行监测任务时获取监测信息，以及将监测信息发送至服务器，服务器根据DNS劫持的监测装置发送的监测任务确定是否发生DNS劫持，由此完全由服务器和DNS劫持的监测装置完成DNS劫持监测，无需人工参与，从而能够及时、主动地发现DNS劫持问题，且在服务器中能够根据监测信息及时、有效地复现对应的DNS劫持，降低人力成本，提高了效率。另外，对于小流量的DNS劫持也可以及时发现并复现，克服了相关技术中针对小流量的DNS劫持难以复现的问题。

图8是根据本发明再一个实施例的DNS劫持的监测装置的结构框图。

如图8所示，DNS劫持的监测装置200包括：第一获取模块210、启动模块220、第二获取模块230、发送模块240、确定模块250、加入模块260和读取模块270。

具体地，确定模块250用于在第一获取模块210获取监测任务之后，确定监测任务的属性，属性包括即时监测任务或者周期监测任务。其中，监测任务由服务端发送到DNS劫持的监测装置200，属性由服务端控制。一般情况下有两种属性模式，一种服务端只向DNS劫持的监测装置200发送一次任务，DNS劫持的监测装置200接到任务后立即执行，称之为即时监测任务，另一种服务端以一个固定周期的频率向DNS劫持的监测装置200发送任务，如一小时发送一次，称之为周期监测任务。

加入模块260用于根据监测任务的属性，将监测任务加入至预先设定的即时监测队列或周期监测队列，其中，即时监测队列中监测任务的优先级高于周期监测队列中监测任务的优先级。

在本发明的一个实施例中，根据拉取请求获取的监测任务的优先级高于即时监测队列中监测任务的优先级，即根据拉取请求获取的监测任务，启动模块220会立即执行。

读取模块270用于根据优先级从即使监测队列或周期监测队列中，读取监测任务以确定执行。

本发明实施例的DNS劫持的监测装置，对监测任务进行优先级排序，并根据排序结果执行监测任务，使得监测任务的执行更加有序。

为了实现上述实施例，本发明的实施例提出一种DNS劫持的监测系统。

图9是根据本发明一个实施例的DNS劫持的监测系统的结构框图。

如图9所示，DNS劫持的监测系统10包括：DNS劫持的监测装置100和DNS劫持的监测装置200，其中，DNS劫持的监测装置100和DNS劫持的监测装置200均为上述实施例所述，在此不在赘述。

应当理解，本发明的各部分可以用硬件、软件、固件或它们的组合来实现。在上述实施方式中，多个步骤或方法可以用存储在存储器中且由合适的指令执行系统执行的软件或固件来实现。例如，如果用硬件来实现，和在另一实施方式中一样，可用本领域公知的下列技术中的任一项或他们的组合来实现：具有用于对数据信号实现逻辑功能的逻辑门电路的离散逻辑电路，具有合适的组合逻辑门电路的专用集成电路，可编程门阵列（PGA），现场可编程门阵列（FPGA）等。

在本说明书的描述中，参考术语“一个实施例”、“一些实施例”、“示例”、“具体示例”、或“一些示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本发明的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不一定指的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任何的一个或多个实施例或示例中以合适的方式结合。

尽管已经示出和描述了本发明的实施例，本领域的普通技术人员可以理解：在不脱离本发明的原理和宗旨的情况下可以对这些实施例进行多种变化、修改、替换和变型，本发明的范围由权利要求及其等同物限定。

Claims (18)

1.一种DNS劫持的监测方法，其特征在于，包括：

向客户端发送监测任务，使得所述客户端在确定执行所述监测任务后，启动浏览器打开预定的URL信息指示的网页，并在打开所述网页的过程中获取监测信息；

接收所述客户端发送的所述监测信息；

根据所述监测信息确定所述客户端是否发生DNS劫持；

其中，所述监测信息包括网络报文数据，所述方法还包括：

根据所述网络报文数据确定DNS劫持发生在网络层还是客户端。

2.根据权利要求1所述的方法，其特征在于，所述根据所述网络报文数据确定DNS劫持发生在网络层还是客户端，包括：

根据所述网络报文数据确定所述DNS劫持发生在网络层还是客户端，其中，在所述网络报文数据中出现异常请求时，确定所述DNS劫持发生在网络层，在所述网络报文数据中未出现异常请求时，确定所述DNS劫持发生在客户端。

3.根据权利要求1所述的方法，其特征在于，还包括：

根据所述监测信息，确定所述DNS劫持发生的区域和影响范围。

4.根据权利要求1-3任一项所述的方法，其特征在于，所述向客户端发送监测任务之前，所述方法还包括：

确定所述监测任务的发送方式，并根据所述发送方式将所述监测任务加入至主动推送任务池或被动拉取任务池，

其中，所述发送方式为主动推送时将所述监测任务加入至所述主动推送任务池，所述发送方式为被动拉取时将所述监测任务加入至所述被动拉取任务池，所述被动拉取任务池中的监测任务接收所述客户端的拉取请求，并根据所述拉取请求发送至对应的所述客户端。

5.根据权利要求1-3任一项所述的方法，其特征在于，所述监测信息包括页面加载信息，所述页面加载信息包括域名，所述根据所述监测信息确定所述客户端是否发生DNS劫持，包括：

在所述页面加载信息中出现异常域名时，确定所述客户端发生DNS劫持。

6.一种DNS劫持的监测方法，其特征在于，包括：

获取监测任务，所述监测任务中包括预定的URL信息；

在确定执行所述监测任务后，启动浏览器打开所述预定的URL信息指示的网页，并在打开所述网页的过程中获取监测信息；

将所述监测信息发送至服务器，以使所述服务器根据所述监测信息确定所述监测任务是否发生DNS劫持；

其中，所述监测信息包括网络报文数据，用于所述服务器根据所述网络报文数据确定DNS劫持发生在网络层还是客户端。

7.根据权利要求6所述的方法，其特征在于，所述在打开所述网页的过程中，获取监测信息，包括：

记录从所述浏览器发出URL请求开始到页面加载完毕的全过程，并在所述全过程中，获取页面加载信息，以及获取网络数据报文。

8.根据权利要求6所述的方法，其特征在于，所述获取监测任务之后，所述方法还包括：

确定所述监测任务的属性，所述属性包括即时监测任务或者周期监测任务；

根据所述监测任务的属性，将所述监测任务加入至预先设定的即时监测队列或周期监测队列，其中，所述即时监测队列中监测任务的优先级高于所述周期监测队列中监测任务的优先级；

根据优先级从所述即时监测队列或周期监测队列中，读取监测任务以确定执行。

9.根据权利要求6所述的方法，其特征在于，所述获取监测任务，包括：

接收服务器推送的所述监测任务；或

发送拉取请求，并接收所述服务器根据所述拉取请求发送的所述监测任务。

10.一种DNS劫持的监测装置，其特征在于，包括：

发送模块，用于向客户端发送监测任务，使得所述客户端在确定执行所述监测任务后，启动浏览器打开预定的URL信息指示的网页，并在打开所述网页的过程中获取监测信息；

接收模块，用于接收所述客户端发送的所述监测信息；

确定模块，用于根据所述监测信息确定所述客户端是否发生DNS劫持；

其中，所述监测信息包括网络报文数据，所述确定模块还用于：

根据所述网络报文数据确定DNS劫持发生在网络层还是客户端。

11.根据权利要求10所述的装置，其特征在于，所述确定模块具体用于：根据所述网络报文数据确定所述DNS劫持发生在网络层还是客户端，其中，在所述网络报文数据中出现异常请求时，确定所述DNS劫持发生在网络层，在所述网络报文数据中未出现异常请求时，确定所述DNS劫持发生在客户端。

12.根据权利要求10所述的装置，其特征在于，所述确定模块还用于根据所述监测信息，确定所述DNS劫持发生的区域和影响范围。

13.根据权利要求10-12任一项所述的装置，其特征在于，还包括：

加入模块，用于在向客户端发送监测任务之前，确定所述监测任务的发送方式，并根据所述发送方式将所述监测任务加入至主动推送任务池或被动拉取任务池，

其中，所述发送方式为主动推送时将所述监测任务加入至所述主动推送任务池，所述发送方式为被动拉取时将所述监测任务加入至所述被动拉取任务池，所述被动拉取任务池中的监测任务接收所述客户端的拉取请求，并根据所述拉取请求发送至对应的所述客户端。

14.根据权利要求10-12任一项所述的装置，其特征在于，所述监测信息包括页面加载信息，所述页面加载信息包括域名，所述确定模块具体用于在所述页面加载信息中出现异常域名时，确定所述客户端发生DNS劫持。

15.一种DNS劫持的监测装置，其特征在于，包括：

第一获取模块，用于获取监测任务，所述监测任务中包括预定的URL信息；

启动模块，用于在确定执行所述监测任务后，启动浏览器打开所述预定的URL信息指示的网页；

第二获取模块，用于在打开所述网页的过程中获取监测信息；

发送模块，用于将所述监测信息发送至服务器，以使所述服务器根据所述监测信息确定是否发生DNS劫持；

其中，所述监测信息包括网络报文数据，用于所述服务器根据所述网络报文数据确定DNS劫持发生在网络层还是客户端。

16.根据权利要求15所述的装置，其特征在于，所述第二获取模块具体用于：记录从所述浏览器发出URL请求开始到页面加载完毕的全过程，并在所述全过程中，获取页面加载信息，以及获取网络数据报文。

17.根据权利要求15所述的装置，其特征在于，还包括：

确定模块，用于在所述第一获取模块获取监测任务之后，确定所述监测任务的属性，所述属性包括即时监测任务或者周期监测任务；

加入模块，用于根据所述监测任务的属性，将所述监测任务加入至预先设定的即时监测队列或周期监测队列，其中，所述即时监测队列中监测任务的优先级高于所述周期监测队列中监测任务的优先级；

读取模块，用于根据优先级从所述即时监测队列或周期监测队列中，读取监测任务以确定执行。

18.根据权利要求15所述的装置，其特征在于，所述第一获取模块具体用于：

接收服务器推送的所述监测任务；或

发送拉取请求，并接收所述服务器根据所述拉取请求发送的所述监测任务。