CN104092665A - 访问请求过滤方法、装置及设备 - Google Patents

Abstract

本公开是关于一种访问请求过滤方法、装置及设备，属于网络安全技术领域。所述方法包括：接收访问请求，所述访问请求携带访问触发信息；根据所述访问触发信息，判断所述访问请求是否是攻击请求；如果所述访问请求是攻击请求，则对所述访问请求进行过滤；如果所述访问请求不是攻击请求，则获取所述访问请求对应的页面内容，将所述访问请求对应的页面内容发送至对应终端。由于访问触发信息中携带的标识信息能够显式地表征访问请求的类型，因此，可以根据访问触发信息对攻击请求进行快速且有效地分辨，该种访问请求过滤方式可更加有效地对DDoS攻击进行拦截。

Description

访问请求过滤方法、装置及设备

技术领域

本公开涉及网络安全技术领域，特别涉及一种访问请求过滤方法、装置及设备。

背景技术

网络技术的蓬勃发展，在为人们的工作生活带来极大便利的同时，也引发了大量的安全问题。计算机在遭受到黑客攻击后，轻者不能正常工作，重者会泄露用户的个人信息，所以网络安全问题一直是大家关注的焦点。对于业务涵盖电子书网站运营的独立网站运营公司而言，遭受到黑客攻击后，不但影响到公司的正常运作，还会存在泄露用户个人信息的安全隐患。所以针对电子书网站运营者来说，如何对海量的访问请求进行安全性的过滤，以使电子书网站免遭诸如DDoS(Distributed Denial of Service，分布式拒绝服务)攻击的恶意攻击，成为了本领域一个亟待解决的问题。

相关技术中，电子书网站通常采取传统硬件防火墙对访问请求进行过滤。比如，硬件防火墙根据IP(Internet Protocol，网际协议)地址、端口号以及TCP(Transmission Control Protocol传输控制协议)标记，判断接收到的访问请求是否为攻击请求；如果是，则将该访问请求过滤掉。其中，传统硬件防火墙包括思科(CISCO)防火墙、Juniper防火墙、东软(Neusoft)防火墙等。

在实现本公开的过程中，发明人发现相关技术至少存在以下问题：

由于硬件防火墙不但成本较高，而且需专业的安全人员对其进行定期维护，所以采取硬件防火墙对访问请求进行过滤的方式，不但增加了成本消耗，而且增加了人力成本和维护复杂度。此外，当电子书网站遭受到大规模的DDoS攻击时，受限于硬件防火墙的硬件处理能力，访问请求的过滤能力较差。

发明内容

为克服相关技术中存在的问题，本公开提供一种访问请求过滤方法、装置及设备。

根据本公开实施例的第一方面，提供一种访问请求过滤方法，所述方法包括：

接收访问请求，所述访问请求携带访问触发信息；

根据所述访问触发信息，判断所述访问请求是否是攻击请求；

如果所述访问请求是攻击请求，则对所述访问请求进行过滤；

如果所述访问请求不是攻击请求，则获取所述访问请求对应的页面内容，将所述访问请求对应的页面内容发送至对应终端。

可选地，所述根据所述访问触发信息，判断所述访问请求是否是攻击请求，包括：

判断所述访问请求的链接地址头部是否携带浏览器标识；

如果所述访问请求的链接地址头部未携带浏览器标识，则确定所述访问请求为攻击请求。

可选地，所述根据所述访问触发信息，判断所述访问请求是否是攻击请求，包括：

判断所述访问请求的链接地址头部是否携带跳转页面标识；

如果所述访问请求的链接地址头部未携带跳转页面标识，则确定所述访问请求为攻击请求。

可选地，所述根据所述访问触发信息，判断所述访问请求是否是攻击请求，包括：

判断所述访问请求的链接地址头部是否携带跳转页面标识；

如果所述访问请求的链接地址头部携带跳转页面标识，则判断携带的跳转页面标识的连续出现次数是否达到预设数值，所述连续出现次数指代所述跳转页面标识在所述访问请求中和所述访问请求之前的连续多个访问请求中的出现次数；

如果所述连续出现次数达到预设数值，则确定所述访问请求为攻击请求。

可选地，所述根据所述访问触发信息，判断所述访问请求是否是攻击请求，包括：

确定所述访问请求对应的源IP(Internet Protocol，网际协议)地址；

统计所述源IP地址在预设时间内对网站的访问次数；

当所述源IP地址在预设时间内对所述网站的访问次数大于第一预设阈值，则确定所述访问请求为攻击请求。

可选地，其特征在于，所述方法还包括：

如果任一个IP地址在预设时间内对网站的访问次数大于第二预设阈值，则下次接收到所述任一个IP地址发送的访问请求后，对所述任一个IP地址发送的访问请求进行过滤；

其中，所述任一个IP地址为一或多个访问请求对应的源IP地址。

根据本公开实施例的第二方面，提供一种访问请求过滤装置，所述装置包括：

访问请求接收模块，用于接收访问请求，所述访问请求携带访问触发信息；

攻击请求判断模块，用于根据所述访问触发信息，判断所述访问请求是否是攻击请求；

访问请求处理模块，用于当所述访问请求为攻击请求时，对所述访问请求进行过滤；当所述访问请求不是攻击请求时，获取所述访问请求对应的页面内容，将所述访问请求对应的页面内容发送至对应终端。

可选地，所述攻击请求判断模块，用于判断所述访问请求的链接地址头部是否携带浏览器标识；如果所述访问请求的链接地址头部未携带浏览器标识，则确定所述访问请求为攻击请求。

可选地，所述攻击请求判断模块，用于判断所述访问请求的链接地址头部是否携带跳转页面标识；如果所述访问请求的链接地址头部未携带跳转页面标识，则确定所述访问请求为攻击请求。

可选地，所述攻击请求判断模块，用于判断所述访问请求的链接地址头部是否携带跳转页面标识；如果所述访问请求的链接地址头部携带跳转页面标识，则判断携带的跳转页面标识的连续出现次数是否达到预设数值，所述连续出现次数指代所述跳转页面标识在所述访问请求中和所述访问请求之前的连续多个访问请求中的出现次数；如果所述连续出现次数达到预设数值，则确定所述访问请求为攻击请求。

可选地，所述攻击请求判断模块，用于确定所述访问请求对应的源IP地址；统计所述源IP地址在预设时间内对网站的访问次数；当所述源IP地址在预设时间内对所述网站的访问次数大于第一预设阈值，则确定所述访问请求为攻击请求。

可选地，所述访问请求过滤模块，还用于当任一个IP地址在预设时间内对网站的访问次数大于第二预设阈值时，下次接收到所述任一个IP地址发送的访问请求后，对所述任一个IP地址发送的访问请求进行过滤；其中，所述任一个IP地址为一或多个访问请求对应的源IP地址。

根据本公开实施例的第三方面，提供一种访问请求过滤设备，所述设备包括：

处理器；

用于存储处理器可执行指令的存储器；

其中，所述处理器被配置为：接收访问请求，所述访问请求携带访问触发信息；根据所述访问触发信息，判断所述访问请求是否是攻击请求；如果所述访问请求是攻击请求，则对所述访问请求进行过滤；如果所述访问请求不是攻击请求，则获取所述访问请求对应的页面内容，将所述访问请求对应的页面内容发送至对应终端。

本公开的实施例提供的技术方案可以包括以下有益效果：

当接收到访问请求时，根据访问请求携带的访问触发信息，判断访问请求是否是攻击请求，由于访问触发信息中携带的标识信息能够显式地表征访问请求的类型，因此，可以根据访问触发信息对攻击请求快速且有效地进行分辨，该种访问请求过滤方式可更加有效地对DDoS攻击进行拦截。此外，该基于访问触发信息进行攻击请求拦截的软件防火墙不但成本较低，而且无需专业的安全人员对其进行定期维护，所以采取软件防火墙对访问请求进行过滤的方式，不但降低了成本消耗，而且降低了人力成本和维护复杂度。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本公开。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本发明的实施例，并与说明书一起用于解释本发明的原理。

图1是根据一示例性实施例示出的一种访问请求过滤方法的流程图。

图2是根据一示例性实施例示出的一种访问请求过滤方法的流程图。

图3是根据一示例性实施例示出的一种访问请求过滤装置的框图。

图4是根据一示例性实施例示出的一种访问请求过滤设备的框图。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本发明相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本发明的一些方面相一致的装置和方法的例子。

在对本公开实施例做详细解释说明之前，先对本公开的应用场景予以介绍。DDoS攻击作为黑客攻击的一种常用手段，是将多个计算机联合起来作为攻击平台，对一个或多个目标发起DDoS攻击，从而成倍地提高拒绝服务攻击的威力。对于电子书网站而言，当DDoS攻击发起时，若无防火墙进行攻击拦截，则首先网站访问流量快速上升，进而网站服务器的压力持不断增大状态。当整个电子书网站的资源耗尽时，用户便无法浏览电子书网站进行阅读。因此，本公开实施例提供了一种软件防火墙，通过该软件防火墙可最大限度地从海量对电子书网站的访问请求中挖掘出DDoS攻击请求，并将挖掘出的DDoS攻击进行过滤，进而提高电子书网站的安全性，避免因DDoS攻击导致电子书网站瘫痪，从而对用户阅读造成障碍的情况发生。

图1是根据一示例性实施例示出的一种访问请求过滤方法的流程图，如图1所示，该访问请求过滤方法用于软件防火墙中，包括以下步骤。

在步骤101中，接收访问请求，该访问请求携带访问触发信息。

在步骤102中，根据访问触发信息，判断该访问请求是否为攻击请求；如果该访问请求是攻击请求，则执行步骤103；如果该访问请求不是攻击请求，则执行步骤104。

在步骤103中，如果该访问请求是攻击请求，则对该访问请求进行过滤。

在步骤104中，如果该访问请求不是攻击请求，则获取该访问请求对应的页面内容，将该访问请求对应的页面内容发送至对应终端。

本公开实施例提供的方法，当接收到访问请求时，根据访问请求携带的访问触发信息，判断访问请求是否是攻击请求，由于访问触发信息中携带的标识信息能够显式地表征访问请求的类型，因此，可以根据访问触发信息对攻击请求快速且有效地进行分辨，该种访问请求过滤方式可更加有效地对DDoS攻击进行拦截。此外，该基于访问触发信息进行攻击请求拦截的软件防火墙不但成本较低，而且无需专业的安全人员对其进行定期维护，所以采取软件防火墙对访问请求进行过滤的方式，不但降低了成本消耗，而且降低了人力成本和维护复杂度。

可选地，根据访问触发信息，判断访问请求是否是攻击请求，包括：

判断访问请求的链接地址头部是否携带浏览器标识；

如果访问请求的链接地址头部未携带浏览器标识，则确定访问请求为攻击请求。

可选地，根据访问触发信息，判断访问请求是否是攻击请求，包括：

判断访问请求的链接地址头部是否携带跳转页面标识；

如果访问请求的链接地址头部未携带跳转页面标识，则确定访问请求为攻击请求。

可选地，根据访问触发信息，判断访问请求是否是攻击请求，包括：

判断访问请求的链接地址头部是否携带跳转页面标识；

如果访问请求的链接地址头部携带跳转页面标识，则判断携带的跳转页面标识的连续出现次数是否达到预设数值，连续出现次数指代跳转页面标识在访问请求中和访问请求之前的连续多个访问请求中的出现次数；

如果连续出现次数达到预设数值，则确定访问请求为攻击请求。

可选地，根据访问触发信息，判断访问请求是否是攻击请求，包括：

确定访问请求对应的源IP地址；

统计源IP地址在预设时间内对网站的访问次数；

当源IP地址在预设时间内对网站的访问次数大于第一预设阈值，则确定访问请求为攻击请求。

可选地，该方法还包括：

如果任一个IP地址在预设时间内对网站的访问次数大于第二预设阈值，则下次接收到任一个IP地址发送的访问请求后，对任一个IP地址发送的访问请求进行过滤；

其中，任一个IP地址为一或多个访问请求对应的源IP地址。

上述所有可选技术方案，可以采用任意结合形成本发明的可选实施例，在此不再一一赘述。

图2是根据一示例性实施例示出的一种访问请求过滤方法的流程图，如图2所示，该访问请求过滤方法用于软件防火墙中，包括以下步骤。

在步骤201中，接收访问请求，该访问请求携带访问触发信息。

其中，访问请求中除携带访问触发信息之外，还可携带其他信息。例如，访问请求生成时间等等，本公开实施例对访问请求携带的内容不进行具体限定。其中，访问请求触发信息可分为三种类型，分别为浏览器标识、跳转页面标识(Referer标识)及IP地址。三种类型访问请求触发信息的详细说明参见下述步骤202。

在步骤202中，根据访问触发信息，判断该访问请求是否是攻击请求。如果该访问请求是攻击请求，则执行步骤203；如果该访问请求不是攻击请求，则执行步骤204。

在本公开实施例中，根据访问请求触发信息的类型不同，判断访问请求是否是攻击请求的方式也不同，主要分为下述三种判断方式。

第一种方式、如果访问触发信息为浏览器标识，则通过下述步骤(a1)至步骤(a2)判断访问请求是否是攻击请求。

步骤(a1)、判断访问请求的链接地址头部是否携带浏览器标识。

其中，浏览器标识，指代User-Agent。User-Agent是Http(Hypertext transferprotocol，超文本传输协议)中的一部分，属于头域的组成部分，User-Agent也简称UA，是一种向访问网站提供用户所使用的浏览器类型、操作系统及版本、CPU类型、浏览器渲染引擎、浏览器语言、浏览器插件等信息的标识。UA字符串在每次浏览器HTTP请求时发送到服务器。以User-Agent为“Windows；U；Windows NT5.1；en-US；rv:1.7.6”为例，则“Windows”指代浏览器类型，IE系列；“U”为加密等级标识，指代128位强安全加密；“Windows NT5.1”为操作系统标识，Windows NT5.1对应操作系统Windows xp；“en-US”为浏览器语言，“en-US”对应美国英语；rv:1.7.6为浏览器版本信息。

此外，本公开实施例提供的软件防火墙可预先存储各个浏览器标识。每当接收到一个访问请求时，可先判断该访问请求的链接地址头部是否携带形如“Windows；U；Windows NT5.1；en-US；rv:1.7.6”的字符串；如果该访问请求的链接地址头部携带形如“Windows；U；Windows NT5.1；en-US；rv:1.7.6”的字符串，则判断该字符串是否与预先存储的多个浏览器标识中的一个相匹配；如果该字符串与预先存储的多个浏览器标识中的一个相匹配，则该访问请求的链接地址头部携带浏览器标识。

步骤(a2)如果访问请求的链接地址头部未携带浏览器标识，则确定访问请求为攻击请求。

在本公开实施例中，对于一个正常访问请求来说，一般都是通过浏览器对电子书网站进行访问，所以正常访问请求的链接地址(HTTP地址)首部中均会携带浏览器标识。如果一个访问请求中未携带浏览器标识，则将这个访问请求视为攻击请求(无效访问)。如果一个访问请求中携带浏览器标识，则将这个访问请求视为正常请求(有效访问)。

第二种方式、如果访问触发信息为跳转页面标识(Referer标识)，则通过下述步骤(b1)至步骤(b2)判断访问请求是否是攻击请求。

步骤(b1)、判断访问请求的链接地址头部是否携带跳转页面标识。

其中，对于跳转页面标识而言，其含义为：对于电子书网站的每一个页面来说，该页面均包含多个链接；当我们想要访问某一个链接时候，只需要点击这个链接便可。在我们点击这个链接后，会进行页面跳转；当我们跳转到另外一个页面时，跳转之前的页面的链接称之为这个链接的Referer链接，也即根据Referer标识可对这个链接的来源进行追踪。比如，针对一个跳转页面标识Referer:http://www.baidu.com/来说，该Referer标识的含义为该访问是先访问百度页面，然后从百度页面点击跳转过来的。由于电子书网站的网站链接较为固定，所以采取根据跳转页面标识进行攻击请求判断的方式较为精确。

在本公开实施例中，在判断访问请求的链接地址头部是否携带跳转页面标识时，可采取以下方式实现：判断访问请求的链接地址头部是否携带“Referer”字符串；如果访问请求的链接地址头部携带“Referer”字符串，则判断访问请求的链接地址头部携带跳转页面标识。

步骤(b2)、如果访问请求的链接地址头部未携带跳转页面标识，则确定访问请求为攻击请求。

在本公开实施例中，当一个DDoS攻击发起时，一般会直接选取网站的某个链接进行攻击，极少在访问请求中携带Referer标识。即便模拟了一次携带Referer标识的访问请求，基于DDoS攻击的在短时间内进行海量攻击的特点来说，也不可能对在每一个攻击请求中均携带Referer标识，也即对于每一个攻击请求都进行模拟，使之看起来像正常访问请求。所以每当接收到一个访问请求时，根据Referer标识便可对该访问请求的安全性进行验证。如果该访问请求中未携带跳转页面标识，则直接将该访问请求确定为攻击请求(无效访问)。如果该访问请求中携带跳转页面标识，则将该访问请求确定为正常请求(有效访问)。

可选地，当访问触发信息为跳转页面标识时，除了根据上述步骤(b1)至步骤(b2)提供的判断方式外，还可采取下述步骤(c1)至步骤(c3)的判断方式。

步骤(c1)、判断访问请求的链接地址头部是否携带跳转页面标识。

该步骤与上述步骤步骤(b1)同理，此处不再赘述。

步骤(c2)、如果访问请求的链接地址头部携带跳转页面标识，则判断携带的跳转页面标识的连续出现次数是否达到预设数值，连续出现次数指代跳转页面标识在该访问请求中和该访问请求之前的连续多个访问请求中的出现次数。

在本公开实施例中，如果软件防火墙连续接收到的多个访问请求的跳转页面标识均一致，则该连续的多个访问请求便很可疑。因为对于电子书网站而言，其网站链接有成千上万个，且每一个链接的上一级链接均有可能不同。对于海量的电子书网站访问用户而言，由于不同用户的喜好一般不同，所以不可能所有用户均对某一个链接或某几个链接感兴趣，所以当连续的多个访问请求均对应一个跳转页面标识时，该连续的多个访问请求很有可能时DDoS攻击发起的攻击请求。

其中，连续多个访问请求，指代在当前到达软件防火墙的访问请求到达之前，到达软件防火墙的多个访问请求。连续出现次数，指代跳转页面标识在该访问请求中和该连续多个访问请求中的出现次数。

步骤(c3)、如果连续出现次数达到预设数值，则确定访问请求为攻击请求。

其中，预设数值可为1000次或10000次等等，本公开实施例对预设数值的大小不进行具体限定。如果该连续出现次数未达到预设数值，则该访问请求为攻击请求。

此外，在根据跳转页面标识进行攻击请求判断时，为了避免出现将正常访问请求误认为攻击请求的现象发生，在步骤(b2)中判断该访问请求的链接地址头部未携带跳转页面标识后，继续判断该访问请求之前的多个访问请求中是否也未携带跳转页面标识；如果该访问请求之前的多个访问请求中也未携带跳转页面标识，则将该访问请求确定为攻击请求。在步骤(c3)如果判断该访问请求的链接地址头部携带跳转页面标识且该跳转页面标识的连续出现次数达到预设数值之后，还要判断该访问请求的链接地址在跳转页面标识所示的链接页面中是否存在；如果该访问请求的链接地址在跳转页面标识所示的链接页面中不存在，则将该访问请求确定为攻击请求。

第三种方式、如果访问触发信息是IP地址，则通过下述步骤(d1)至步骤(d3)判断访问请求是否是攻击请求。

步骤(d1)、确定访问请求对应的源网际协议IP地址。

对于每一个访问请求来说，该源IP地址携带在该访问请求中，软件防火墙在接收到该访问请求后，便可获知发送该访问请求的源IP地址。

步骤(d2)、统计源IP地址在预设时间内对网站的访问次数。

其中，预设时间的大小可为1分钟。当然，预设时间的大小除上述数值外，还可为30分钟或1小时等等，本公开实施例对预设时间的大小不进行具体限定。由于每一个访问请求中均携带IP地址，所以在接收到的多个访问请求中提取出各个源IP地址后，便可统计每一个源IP地址在预设时间内对网站的访问次数。

此外，对于一个正常的IP地址而言，其每分钟对网站发送访问请求的次数极少超出20次，每个小时对网站发送访问请求的次数也极少超出200次。所以当某一IP地址连续不断地对网站发送访问请求时，该IP地址对应的计算机便极有可能遭受到DDoS攻击。

步骤(d3)、当源IP地址在预设时间内对网站的访问次数大于第一预设阈值，则确定访问请求为攻击请求。

在本公开实施例中，第一预设阈值的大小依据预设时间的大小而定。若预设时间的大小为1分钟，则第一预设阈值的大小可为10次或20次等等；若预设时间的大小为1小时，则第一预设阈值的大小可为100次或200次等等。本公开实施例对第一预设阈值的大小不进行具体限定，可视情况而定。

在步骤203中，如果该访问请求是攻击请求，则对该访问请求进行过滤。

对于一个访问请求来说，软件防火墙相当于一个“安检通道”。所有的访问请求在被电子书网站的服务器进行处理之前，均需软件防火墙对其进行检验。当软件防火墙判断该访问请求为攻击请求后，则将该访问请求进行过滤处理，防止该访问请求被进一步处理，也即将该访问请求丢弃。

在步骤204中，如果该访问请求不是攻击请求，则获取该访问请求对应的页面内容，将该访问请求对应的页面内容发送至对应终端。

在本公开实施例中，若软件防火墙判断一个访问请求为正常请求，则该访问请求在达到电子书网站的服务器后，将会被服务器进行处理。对于电子书网站来说，由于存储了海量的电子书籍，所以电子书网站的服务器通常可分为数据处理服务器和数据存储服务器。数据处理服务器在对该访问请求进行分析处理后，从数据存储服务器拉取相应页面内容，并将该访问请求对应的页面内容发送至该访问请求的发送终端。由于每一个访问请求中均携带了源IP地址，因此根据该源IP地址便可将该访问请求对应的页面内容发送至对应终端。

此外，为了更加有效地对DDoS攻击进行拦截，本公开实施例还设置了惩罚机制，对于不断发起访问请求的IP地址进行访问禁止，详细过程参见下述步骤205。

在步骤205中，如果任一个IP地址在预设时间内对网站的访问次数大于第二预设阈值，则下次接收到任一个IP地址发送的访问请求后，对任一个IP地址发送的访问请求进行过滤；其中，任一个IP地址为一或多个访问请求对应的源IP地址。

其中，第二预设阈值的大小依据预设时间的大小而定。若预设时间的大小为1分钟，则第二预设阈值的大小可为100次或200次等等；若预设时间的大小为1小时，则第二预设阈值的大小可为1000次或2000次等等。本公开实施例对第二预设阈值的大小不进行具体限定，可视情况而定。

在通常情况下，一个IP地址在1小时之内，对网站的访问次数不会超出2000次。如果某一个IP地址在1小时之内对网站的访问次数超出了2000次，那么基本可以确定该IP地址发起的访问请求为攻击请求。后续再次接收到该IP地址发起的访问请求时，可直接将该访问请求过滤掉。

此外，对于某一个IP地址对应的计算机而言，其有可能仅在一段时间内作为DDoS攻击的傀儡机，而在其他时间内均可发起正常的访问请求，所以可设置一个预设时间段，在该预设时间段内接收到该IP地址发起的访问请求后，直接将该访问请求过滤掉。比如，在判断该IP地址发起的访问请求为攻击请求后的100天内，严格禁止该IP地址再次对网站进行访问，对于该IP地址发起的访问请求一概过滤掉。

此外，时下的诸多智能终端上均安装有APP，通过特定APP也可进行向电子书网站发送访问请求。针对通过特定APP向电子书网站发送访问请求的情形，访问请求中携带的访问触发信息可为APP标识，包括APP的名称、APP版本等。对于携带APP标识的访问请求判定为正常访问请求，对于未携带APP标识的访问请求判定为攻击请求。具体的判断方式同上述步骤601至步骤603所述的判断方式类似，此处不再赘述。

本公开实施例提供的方法，当接收到访问请求时，根据访问请求携带的访问触发信息，判断访问请求是否是攻击请求，由于访问触发信息中携带的标识信息能够显式地表征访问请求的类型，因此，可以根据访问触发信息对攻击请求快速且有效地进行分辨，该种访问请求过滤方式可更加有效地对DDoS攻击进行拦截。此外，该基于访问触发信息进行攻击请求拦截的软件防火墙不但成本较低，而且无需专业的安全人员对其进行定期维护，所以采取软件防火墙对访问请求进行过滤的方式，不但降低了成本消耗，而且降低了人力成本和维护复杂度。

图3是根据一示例性实施例示出的一种访问请求过滤装置的框图。参照图3，该装置包括访问请求接收模块301、攻击请求判断模块302和访问请求处理模块303。

其中，访问请求接收模块301，用于接收访问请求，所述访问请求携带访问触发信息；攻击请求判断模块302与访问请求接收模块301连接，用于根据访问触发信息，判断访问请求是否是攻击请求；访问请求处理模块303与攻击请求判断模块302连接，用于当访问请求为攻击请求时，对访问请求进行过滤；当访问请求不是攻击请求时，获取访问请求对应的页面内容，将访问请求对应的页面内容发送至对应终端。

可选地，攻击请求判断模块，用于判断访问请求的链接地址头部是否携带浏览器标识；如果访问请求的链接地址头部未携带浏览器标识，则确定访问请求为攻击请求。

可选地，攻击请求判断模块，用于判断访问请求的链接地址头部是否携带跳转页面标识；如果访问请求的链接地址头部未携带跳转页面标识，则确定访问请求为攻击请求。

可选地，攻击请求判断模块，用于判断访问请求的链接地址头部是否携带跳转页面标识；如果访问请求的链接地址头部携带跳转页面标识，则判断携带的跳转页面标识的连续出现次数是否达到预设数值，连续出现次数指代跳转页面标识在访问请求中和访问请求之前的连续多个访问请求中的出现次数；如果连续出现次数达到预设数值，则确定访问请求为攻击请求。

可选地，攻击请求判断模块，用于确定访问请求对应的源IP地址；统计源IP地址在预设时间内对网站的访问次数；当源IP地址在预设时间内对网站的访问次数大于第一预设阈值，则确定访问请求为攻击请求。

可选地，访问请求过滤模块，还用于当任一个IP地址在预设时间内对网站的访问次数大于第二预设阈值时，下次接收到任一个IP地址发送的访问请求后，对任一个IP地址发送的访问请求进行过滤；其中，任一个IP地址为一或多个访问请求对应的源IP地址。

本公开实施例提供的装置，当接收到访问请求时，根据访问请求携带的访问触发信息，判断访问请求是否是攻击请求，由于访问触发信息中携带的标识信息能够显式地表征访问请求的类型，因此，可以根据访问触发信息对攻击请求快速且有效地进行分辨，该种访问请求过滤方式可更加有效地对DDoS攻击进行拦截。此外，该基于访问触发信息进行攻击请求拦截的软件防火墙不但成本较低，而且无需专业的安全人员对其进行定期维护，所以采取软件防火墙对访问请求进行过滤的方式，不但降低了成本消耗，而且降低了人力成本和维护复杂度。

关于上述实施例中的装置，其中各个模块执行操作的具体方式已经在有关该方法的实施例中进行了详细描述，此处将不做详细阐述说明。

图4是根据一示例性实施例示出的一种用于访问请求过滤设备400的框图。例如，设备400可以被提供为一服务器。参照图4，设备400包括处理组件422，其进一步包括一个或多个处理器，以及由存储器432所代表的存储器资源，用于存储可由处理组件422的执行的指令，例如应用程序。存储器432中存储的应用程序可以包括一个或一个以上的每一个对应于一组指令的模块。此外，处理组件422被配置为执行指令，以执行上述方法。

设备400还可以包括一个电源组件426被配置为执行设备400的电源管理，一个有线或无线网络接口450被配置为将设备400连接到网络，和一个输入输出(I/O)接口458。设备400可以操作基于存储在存储器432的操作系统，例如Windows ServerTM，Mac OS XTM，UnixTM,LinuxTM，FreeBSDTM或类似。

一种非临时性计算机可读存储介质，当存储介质中的指令由移动终端的处理器执行时，使得移动终端能够执行一种访问请求过滤方法，该方法包括：

接收访问请求，所述访问请求携带访问触发信息；

根据访问触发信息，判断访问请求是否是攻击请求；

如果访问请求是攻击请求，则对访问请求进行过滤；

如果访问请求不是攻击请求，则获取访问请求对应的页面内容，将访问请求对应的页面内容发送至对应终端。

可选地，根据访问触发信息，判断访问请求是否是攻击请求，包括：

判断访问请求的链接地址头部是否携带浏览器标识；

如果访问请求的链接地址头部未携带浏览器标识，则确定访问请求为攻击请求。

可选地，根据访问触发信息，判断访问请求是否是攻击请求，包括：

判断访问请求的链接地址头部是否携带跳转页面标识；

如果访问请求的链接地址头部未携带跳转页面标识，则确定访问请求为攻击请求。

可选地，根据访问触发信息，判断访问请求是否是攻击请求，包括：

判断访问请求的链接地址头部是否携带跳转页面标识；

如果访问请求的链接地址头部携带跳转页面标识，则判断携带的跳转页面标识的连续出现次数是否达到预设数值，连续出现次数指代跳转页面标识在访问请求中和访问请求之前的连续多个访问请求中的出现次数；

如果连续出现次数达到预设数值，则确定访问请求为攻击请求。

可选地，根据访问触发信息，判断访问请求是否是攻击请求，包括：

确定访问请求对应的源IP地址；

统计源IP地址在预设时间内对网站的访问次数；

当源IP地址在预设时间内对网站的访问次数大于第一预设阈值，则确定访问请求为攻击请求。

可选地，该方法还包括：

如果任一个IP地址在预设时间内对网站的访问次数大于第二预设阈值，则下次接收到任一个IP地址发送的访问请求后，对任一个IP地址发送的访问请求进行过滤；

其中，任一个IP地址为一或多个访问请求对应的源IP地址。

本公开实施例提供的非临时性计算机可读存储介质，当接收到访问请求时，根据访问请求携带的访问触发信息，判断访问请求是否是攻击请求，由于访问触发信息中携带的标识信息能够显式地表征访问请求的类型，因此，可以根据访问触发信息对攻击请求快速且有效地进行分辨，该种访问请求过滤方式可更加有效地对DDoS攻击进行拦截。此外，该基于访问触发信息进行攻击请求拦截的软件防火墙不但成本较低，而且无需专业的安全人员对其进行定期维护，所以采取软件防火墙对访问请求进行过滤的方式，不但降低了成本消耗，而且降低了人力成本和维护复杂度。

本领域技术人员在考虑说明书及实践这里公开的发明后，将容易想到本发明的其它实施方案。本申请旨在涵盖本发明的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本发明的一般性原理并包括本公开未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本发明的真正范围和精神由下面的权利要求指出。

应当理解的是，本发明并不局限于上面已经描述并在附图中示出的精确结构，并且可以在不脱离其范围进行各种修改和改变。本发明的范围仅由所附的权利要求来限制。

Claims (13)

1.一种访问请求过滤方法，所述方法应用于软件防火墙，其特征在于，所述方法包括：

接收访问请求，所述访问请求携带访问触发信息；

根据所述访问触发信息，判断所述访问请求是否是攻击请求；

如果所述访问请求是攻击请求，则对所述访问请求进行过滤；

如果所述访问请求不是攻击请求，则获取所述访问请求对应的页面内容，将所述访问请求对应的页面内容发送至对应终端。

2.根据权利要求1所述的方法，其特征在于，所述根据所述访问触发信息，判断所述访问请求是否是攻击请求，包括：

判断所述访问请求的链接地址头部是否携带浏览器标识；

如果所述访问请求的链接地址头部未携带浏览器标识，则确定所述访问请求为攻击请求。

3.根据权利要求1所述的方法，其特征在于，所述根据所述访问触发信息，判断所述访问请求是否是攻击请求，包括：

判断所述访问请求的链接地址头部是否携带跳转页面标识；

如果所述访问请求的链接地址头部未携带跳转页面标识，则确定所述访问请求为攻击请求。

4.根据权利要求1或3所述的方法，其特征在于，所述根据所述访问触发信息，判断所述访问请求是否是攻击请求，包括：

判断所述访问请求的链接地址头部是否携带跳转页面标识；

如果所述访问请求的链接地址头部携带跳转页面标识，则判断携带的跳转页面标识的连续出现次数是否达到预设数值，所述连续出现次数指代所述跳转页面标识在所述访问请求中和所述访问请求之前的连续多个访问请求中的出现次数；

如果所述连续出现次数达到预设数值，则确定所述访问请求为攻击请求。

5.根据权利要求1所述的方法，其特征在于，所述根据所述访问触发信息，判断所述访问请求是否是攻击请求，包括：

确定所述访问请求对应的源网际协议IP地址；

统计所述源IP地址在预设时间内对网站的访问次数；

当所述源IP地址在预设时间内对所述网站的访问次数大于第一预设阈值，则确定所述访问请求为攻击请求。

6.根据权利要求1至5中任一权利要求所述的方法，其特征在于，所述方法还包括：

如果任一个IP地址在预设时间内对网站的访问次数大于第二预设阈值，则下次接收到所述任一个IP地址发送的访问请求后，对所述任一个IP地址发送的访问请求进行过滤；

其中，所述任一个IP地址为一或多个访问请求对应的源IP地址。

7.一种访问请求过滤装置，其特征在于，所述装置包括：

访问请求接收模块，用于接收访问请求，所述访问请求携带访问触发信息；

攻击请求判断模块，用于根据所述访问触发信息，判断所述访问请求是否是攻击请求；

访问请求处理模块，用于当所述访问请求为攻击请求时，对所述访问请求进行过滤；当所述访问请求不是攻击请求时，获取所述访问请求对应的页面内容，将所述访问请求对应的页面内容发送至对应终端。

8.根据权利要求7所述的装置，其特征在于，所述攻击请求判断模块，用于判断所述访问请求的链接地址头部是否携带浏览器标识；如果所述访问请求的链接地址头部未携带浏览器标识，则确定所述访问请求为攻击请求。

9.根据权利要求7所述的装置，其特征在于，所述攻击请求判断模块，用于判断所述访问请求的链接地址头部是否携带跳转页面标识；如果所述访问请求的链接地址头部未携带跳转页面标识，则确定所述访问请求为攻击请求。

10.根据权利要求7或9所述的装置，其特征在于，所述攻击请求判断模块，用于判断所述访问请求的链接地址头部是否携带跳转页面标识；如果所述访问请求的链接地址头部携带跳转页面标识，则判断携带的跳转页面标识的连续出现次数是否达到预设数值，所述连续出现次数指代所述跳转页面标识在所述访问请求中和所述访问请求之前的连续多个访问请求中的出现次数；如果所述连续出现次数达到预设数值，则确定所述访问请求为攻击请求。

11.根据权利要求7所述的装置，其特征在于，所述攻击请求判断模块，用于确定所述访问请求对应的源网际协议IP地址；统计所述源IP地址在预设时间内对网站的访问次数；当所述源IP地址在预设时间内对所述网站的访问次数大于第一预设阈值，则确定所述访问请求为攻击请求。

12.根据权利要求7至11中任一权利要求所述的装置，其特征在于，所述访问请求过滤模块，还用于当任一个IP地址在预设时间内对网站的访问次数大于第二预设阈值时，下次接收到所述任一个IP地址发送的访问请求后，对所述任一个IP地址发送的访问请求进行过滤；其中，所述任一个IP地址为一或多个访问请求对应的源IP地址。

13.一种访问请求过滤设备，其特征在于，所述设备包括：

处理器；

用于存储处理器可执行指令的存储器；

其中，所述处理器被配置为：接收访问请求，所述访问请求携带访问触发信息；根据所述访问触发信息，判断所述访问请求是否是攻击请求；如果所述访问请求是攻击请求，则对所述访问请求进行过滤；如果所述访问请求不是攻击请求，则获取所述访问请求对应的页面内容，将所述访问请求对应的页面内容发送至对应终端。