CN106375288A - 一种中文域名相似度计算方法及仿冒域名检测方法 - Google Patents

Abstract

本发明公开了一种中文域名相似度计算方法及仿冒域名检测方法。本方法为：1)分别生成待测域名d₁、目标域名d₂的中文字符集合set₁、set₂；2)根据集合set₁、set₂中字符数的比较结果确定计算标志flag的值并确定集合set₁、set₂中所包含的n组相似字符对以及每组相似字符对的相似度；3)根据形近字变换对待测域名d₁、目标域名d₂的影响值，以及字序交换对待测域名d₁、目标域名d₂的影响值，计算域名d₁与域名d₂的整体相似度值。如果整体相似度值大于设定阈值，则判定域名d₁为域名d₂的仿冒域名。本发明可有效检测出基于形近字替换、基于字序交换的中文仿冒域名，在网络安全领域具有广泛的应用前景。

Description

一种中文域名相似度计算方法及仿冒域名检测方法

技术领域

本发明属于网络安全技术领域，具体涉及一种中文域名相似度计算方法及仿冒域名检测方法。

背景技术

中文域名作为国际化域名的重要组成部分，针对中文域名的域名仿冒攻击日渐增多、域名仿冒形式也日益复杂。汉字的造字规则使其产生了大量的形近字，且因为人的阅读惯性，一定程度上的字序错乱并不影响整体视觉效果。

传统的域名检测技术只适用于字符体系较为简单英文域名，不能有效检测字符库庞大、字形复杂的中文域名，目前针对该领域的研究还比较欠缺。

专利申请CN103957191A《一种中文域名仿冒攻击的检测方法》提出的检测方法是首先基于字符点阵计算待测域名与目标域名对应位置字符的相似度，再由此计算整体域名相似度。该方法可有效识别利用形近字构造的仿冒域名，但如果攻击者在使用形近字的基础上对域名中的字符顺序进行了交换，上述检测方法将不再适用。

发明内容

本发明针对利用中文形近字替换和字序交换构造的中文仿冒域名，提出一种中文域名相似度计算方法及仿冒域名检测方法。

该方法包括域名预处理模块、相似字符对构造模块、单字相似度计算模块和整体域名相似度计算模块。

域名预处理模块：该模块输入待测域名与从预设的若干目标域名中选取的一目标域名，输出两域名对应的中文字符集合set₁、set₂。

相似字符对构造模块：该模块输入set₁、set₂，输出计算标志flag、n组字符对以及每组字符对的相似度，其中每个字符对的相似度调用单字相似度计算模块计算。

单字相似度计算模块：该模块基于中文字符的五笔编码以及笔画数计算每组字符对中两中文字符的相似度。

整体域名相似度计算模块：该模块综合考虑两域名中形近字替换和字序交换带来的影响，计算并输出待测域名与目标域名的相似度值。

所述域名预处理模块输入为待测域名和目标域名，输出为两域名对应的字符集合set₁、set₂。具体步骤为：

第一步，去除输入域名中的非中文字符。

第二步，去除每个域名中重复的中文字符，并将剩余字符对应写入集合set₁、set₂。

所述相似字符对构造模块输入集合set₁、set₂，输出计算标志flag、n组相似字符对以及每组相似字符对的相似度。具体步骤为：

第一步，计算得集合set₁、set₂的元素个数setNum₁、setNum₂。

第二步，若setNum₁大于或等于setNum₂，则flag＝1，否则flag＝2。

第三步，构造一个setNum₁*setNum₂的矩阵，其中行元素为列元素为

第四步，若flag＝1，则按行计算字符对的相似度如下：首先判断列元素中是否存在与x_i相同的元素，若存在相同元素y_i，则字符对(x_i,y_i)的相似度为1；若不存在相同元素，则调用所述单字相似度计算x_i与中每个元素的相似度值，取其中的最大值对应的元素y_j与x_i的构成相似字符对(x_i，y_j)，对应的相似度值作为字符对(x_i，y_i)的相似度值。若flag＝2，则按列计算字符对的相似度，计算方法同上。

第五步，输出计算标志flag、字符对及其相似度值。

所述单字相似度基于中文字符的五笔编码的编辑距离计算两字符的相似度，具体步骤为：

第一步，从五笔编码数据库中获取两输入字符的五笔编码code₁、code₂；

第二步，从汉字笔画数据库中获取两输入字符的笔画数StrokeL₁、StrokeL₂；

第三步，计算两输入字符的相似度，具体计算方法为：

$\begin{array}{c}CharSim(c_1,c_2)=W_{Code}\×(1-\frac{EditDis({\mathrm{Code}}_1,{\mathrm{Code}}_2)}{\max ({\mathrm{CodeL}}_1,{\mathrm{CodeL}}_2)})+(1-W_{Code})\×\\ (1-\frac{abs({\mathrm{StrokeL}}_1-{\mathrm{StrokeL}}_2)}{max({\mathrm{StrokeL}}_1,{\mathrm{StrokeL}}_2)})\end{array}$

其中，W_code是根据五笔编码异同对单字相似度的影响而分配的权值，其取值区间为[0,1]；EditDis(Code₁，Code₂)为两字符的五笔编码的编辑距离(参考http://baike.baidu.com/link？url＝2aAgp7kOpKvFDBRmUNxJFPBQ4sgSkMgNN2JmjP9VztciyXLZ6GpjocXHDbha9-YBxQb70sy7eGKLMCPql4GhWK)；codeL₁、codeL₂为两字符的五笔编码的编码长度；StrokeL₁、StrokeL₂为两字符的笔画数；abs()函数为取绝对值函数，max()函数为取最大值函数。

所述整体域名相似度计算模块包含形近字域名相似度计算子模块、字序交换域名相似度计算子模块和整体域名相似度计算子模块。

所述形近字域名相似度计算子模块：该子模块只考虑形近字变换对整体域名相似度带来的影响，而不考虑字序交换的影响，具体计算方法为：

${\mathrm{DSim}}_{char}(d_1,d_2)=\frac{1}{N}{\mathrm{\Σ}}_1^N{\mathrm{CharSim}}_i$

其中，待测域名d₁与目标域名d₂的长度均为N；若flag＝1，则CharSim₁，CharSim₂，…，CharSim_N是以待测域名中的中文字符为基准，取各字符对的相似度值，若flag＝2，则CharSim₁，CharSim₂，…，CharSim_N是以目标域名中的中文字符为基准，取各字符对的相似度值。

所述字序交换域名相似度计算子模块：该子模块只考虑字序交换对整体域名相似度带来的影响，而不考虑形近字的影响。该子模块首先基于所述相似字符对构造模块输出的n对相似字符对对域名字符进行替换。若flag＝1，则替换待测域名中的字符得新域名d₁’，目标域名不变即d₂’＝d₂；若flag＝2，则替换目标域名中的字符得新域名d₂’，待测域名不变即d₁’＝d₁。替换完成后，两域名d₁’、d₂’中的所有字符相同，只是顺序可能不同。最后计算相似度如下：

${\mathrm{DSim}}_{order}(d_1,d_2)=1-\frac{EditDis(d_1^{\′},d_2^{\′})}{N}$

其中，EditDis(d′₁，d′₂)为替换后域名d₁’、d₂’的编辑距离，两域名的域名长度均为N。

所述整体域名相似度计算子模块：该子模块综合形近字替换和字序交换对整体域名相似度带来的影响，最终得出待测域名与目标域名的相似度值，计算方法如下：

DSim(d₁，d₂)＝W_char×DSim_char(d₁，d₂)+(1-W_char)×DSim_order(d₁，d₂)

其中，W_char是根据形近字替换对整体域名相似度的影响而分配的权值，其取值区间为[0,1]。

仿冒域名判断模块，根据待测域名d₁与目标域名d₂的整体相似度值进行判断，如果整体相似度大于设定阈值，则判定该待测域名d₁为目标域名d₂的仿冒域名。

与现有技术相比，本发明的积极效果为：

针对传统域名检测技术只适用于传统的英文域名而不能有效检测中文仿冒域名的问题，本发明提出一种中文域名相似度计算方法及仿冒域名检测方法。该方法可有效检测出基于形近字替换、基于字序交换或基于两者结合构造的中文仿冒域名，在网络安全领域具有广泛的应用前景。

附图说明

图1为本发明的流程示意图；

图2整体域名相似度计算模块结构示意图。

具体实施方式

下面结合附图和实施示例，对本发明的具体实施方式作进一步详细描述。以下实施示例用于说明本发明，但不限制本发明的范围。

本发明主要针对利用形近字替换和字序交换构造的中文仿冒域名，计算此类仿冒域名与目标域名的相似度。

如图1，本发明包括域名预处理模块10、相似字符对构造模块20、单字相似度计算模块30和整体域名相似度计算模块40。

所述域名预处理模块10的输入为待测域名与目标域名，输出为两域名对应的中文字符集合Set₁、Set₂，其具体步骤为：

第一步，去除输入域名中的非中文字符。

第二步，去除每个域名中重复的中文字符，并将剩余字符对应写入集合Set₁、Set₂。

例如，待测域名为“中国茅洒合业集团”，目标域名为“中国茅台酒业集团”。集合Set₁＝{中，国，茅，洒，合，业，集，团}，集合Set₂＝{中，国，茅，台，酒，业，集，团}。

所述相似字符对构造模块20的输入为集合Set₁、Set₂，输出为计算标志flag、n组字符对以及每组字符对的相似度，其中每个字符对的相似度调用单字相似度计算模块30计算，其具体步骤如下：

第一步，计算得集合set₁、set₂的元素个数setNum₁、setNum₂。

第二步，若setNum₁大于或等于setNum₂，则flag＝1，否则flag＝2。

第三步，构造一个setNum₁*setNum₂的矩阵，其中行元素为列元素为

第四步，若flag＝1，则按行计算字符对的相似度如下：首先判断列元素中是否存在与x_i相同的元素，若存在相同元素y_i，则字符对(x_i,y_i)的相似度为1；若不存在相同元素，则调用所述单字相似度计算x_i与中每个元素的相似度值，取其中的最大值作为字符对(x_i，y_i)的相似度值。若flag＝2，则按列计算字符对的相似度，计算方法同上。

第五步，输出计算标志flag、字符对及其相似度值。

例如，输入集合为集合Set₁＝{中，国，茅，酒，合，业，集，团}，集合Set₂＝{中，国，茅，台，酒，业，集，团}。构造一个8*8的矩阵，并按行计算得字符对相似度值如下。

	中	国	茅	台	酒	业	集	团
									中	1	-	-	-	-	-	-	-
国	-	1	-	-	-	-	-	-
									茅	-	-	1	-	-	-	-	-
洒	0.27	0.53	0.53	0.33	0.84	0.33	0.55	0.4
									合	0.5	0.45	0.45	0.7	0.46	0.6	0.4	0.6
业	-	-	-	-	-	1	-	-
									集	-	-	-	-	-	-	1	-
团	-	-	-	-	-	-	-	1

根据上述计算结果，输出“(中 中 1)(国 国 1)(茅 茅 1)(洒 酒 0.84)(合 台0.7)(业 业 1)(集 集 1)(团 团 1)flag＝1”。

所述单字相似度计算模块30基于中文字符的五笔编码以及笔画数计算两字符的相似度值，具体计算步骤如下：

第一步，从五笔编码数据库中获取两输入字符的五笔编码code₁、code₂；

第二步，从汉字笔画数据库中获取两输入字符的笔画数StrokeL₁、StrokeL₂；

第三步，计算两输入字符的相似度，具体计算方法为：

$\begin{array}{c}CharSim(c_1,c_2)=W_{Code}\×(1-\frac{EditDis({\mathrm{Code}}_1,{\mathrm{Code}}_2)}{\max ({\mathrm{CodeL}}_1,{\mathrm{CodeL}}_2)})+(1-W_{Code})\×\\ (1-\frac{abs({\mathrm{StrokeL}}_1-{\mathrm{StrokeL}}_2)}{max({\mathrm{StrokeL}}_1,{\mathrm{StrokeL}}_2)})\end{array}$

其中，W_code是根据五笔编码异同对单字相似度的影响而分配的权值，其取值区间为[0,1]；EditDis(Code₁，Code₂)为两字符的五笔编码的编辑距离；codeL₁、codeL₂为两字符的五笔编码的编码长度；StrokeL₁、StrokeL₂为两字符的笔画数；abs()函数为取绝对值函数，max()函数为取最大值函数。

例如，输入字符为“洒、酒”。两字符的五笔编码分别为code₁＝“isg”，code₂＝“isgg”，笔画数分别为StrokeL₁＝9、StrokeL₂＝10；设定W_code＝0.4，根据上述公式计算得两字的相似度为0.84。

所述整体域名相似度计算模块40综合考虑两域名中形近字替换和字序交换带来的影响，计算并输出待测域名与目标域名的相似度值。

如图2，所述整体域名相似度计算模块40包括形近字域名相似度计算子模块41、字序交换域名相似度计算子模块42和整体域名相似度计算子模块43。

所述形近字域名相似度计算子模块41只考虑形近字变换对整体域名相似度带来的影响，而不考虑字序交换的影响，具体计算方法为：

${\mathrm{DSim}}_{char}(d_1,d_2)=\frac{1}{N}{\mathrm{\Σ}}_1^N{\mathrm{CharSim}}_i$

其中，待测域名与目标域名的长度均为N；若flag＝1，则CharSim₁，CharSim₂，…，CharSim_N是以待测域名中的中文字符为基准，取各字符对的相似度值，若flag＝2，则CharSim₁，CharSim₂，…，CharSim_N是以目标域名中的中文字符为基准，取各字符对的相似度值。

所述字序交换域名相似度计算子模块42只考虑字序交换对整体域名相似度带来的影响，而不考虑形近字的影响。该子模块首先基于所述相似字符对构造模块输出的相似字符对(即(洒、酒)，(合、台))对域名字符进行替换。若flag＝1，则替换待测域名中的字符得新域名d₁’(即“中国茅酒台业集团”)，目标域名不变即d₂’＝d₂；若flag＝2，则替换目标域名中的字符得新域名d₂’，待测域名不变即d₁’＝d₁。替换完成后，两域名d₁’、d₂’中的所有字符相同，只是顺序可能不同。最后计算相似度如下：

${\mathrm{DSim}}_{order}(d_1,d_2)=1-\frac{EditDis(d_1^{\′},d_2^{\′})}{N}$

其中，EditDis(d′₁，d′₂)为替换后域名d₁’、d₂’的编辑距离，两域名的域名长度均为N。

所述整体域名相似度计算子模块43综合形近字替换和字序交换对整体域名相似度带来的影响，最终得出待测域名与目标域名的相似度值，计算方法如下：

DSim(d₁，d₂)＝W_char×DSim_char(d₁，d₂)+(1-W_char)×DSim_order(d₁，d₂)

其中，W_char是根据形近字替换对整体域名相似度的影响而分配的权值，其取值区间为[0,1]。

例如，“中国茅洒合业集团”与“中国茅台酒业集团”的DSim_char＝(1+1+1+0.84+0.7+1+1+1)/8＝0.94，DSim_order＝1-2/8＝0.75。取W_char＝0.8，则计算得整体域名相似度DSim＝0.8×0.94+0.2×0.75＝0.90。

仿冒域名判断模块，由于“中国茅洒合业集团”与“中国茅台酒业集团”的整体相似度大于设定阈值0.85，则判定“中国茅洒合业集团”为“中国茅台酒业集团”的仿冒域名。

以上实施方式仅用于说明本发明，而并非对本发明的限制，有关技术领域的普通技术人员，在不脱离本发明的精神和范围的情况下，还可以做出各种变化和变型，因此所有等同的技术方案也属于本发明的范畴。

Claims (8)

1.一种中文域名相似度计算方法，其步骤为：

1)分别生成待测域名d₁、目标域名d₂的中文字符集合set₁、set₂；其中，set₁为待测域名d₁的中文字符集合，set₂为目标域名d₂的中文字符集合；待测域名d₁、目标域名d₂的长度均为N；

2)根据集合set₁、set₂中字符数的比较结果确定计算标志flag的值并确定集合set₁、set₂中所包含的n组相似字符对以及每组相似字符对的相似度；其中，n≤N；

3)根据形近字变换对待测域名d₁、目标域名d₂的影响值，以及字序交换对待测域名d₁、目标域名d₂的影响值，计算待测域名d₁与目标域名d₂的整体相似度值。

2.如权利要求1所述的方法，其特征在于，其特征在于，根据公式 计算形近字变换对待测域名d₁、目标域名d₂的影响值DSim_char(d₁，d₂)；其中，若flag的值代表set₁中字符数大于或等于set₂中字符数，则以待测域名d₁中的中文字符为基准，取各字符对的相似度值；否则以目标域名d₂中的中文字符为基准，取各字符对的相似度值；CharSim_i是待测域名d₁、目标域名d₂中第i对字符对的相似度值。

3.如权利要求1所述的方法，其特征在于，计算字序交换对待测域名d₁、目标域名d₂的影响值DSim_order(d₁，d₂)的方法为：若flag的值代表set₁中字符数大于或等于set₂中字符数，则根据n组相似字符将待测域名d₁中与目标域名相似的字符替换为目标域名中对应的字符，替换得新域名d₁’，目标域名不变，即d₂’＝d₂；否则根据n组相似字符将目标域名d₂中与待测域名相似的字符替换为待测域名中对应的字符，得新域名d₂’，待测域名不变，即d₁’＝d₁；然后计算d₁’与d₂’的相似度作为该影响值DSim_order(d₁，d₂)。

4.如权利要求3所述的方法，其特征在于，根据公式计算该影响值DSim_order(d₁，d₂)；其中，EditDis(d′₁，d′₂)为替换后域名d₁’、d₂’的编辑距离。

5.如权利要求1所述的方法，其特征在于，生成待测域名d₁、目标域名d₂的中文字符集合set₁、set₂的方法为：首先去除待测域名d₁、目标域名d₂中的非中文字符；然后去除每个域名中重复的中文字符，并将剩余字符对应写入集合set₁、set₂。

6.如权利要求5所述的方法，其特征在于，步骤2)中，确定集合set₁、set₂中所包含的n组相似字符对以及每组相似字符对的相似度的方法为：

61)计算得集合set₁、set₂的元素个数setNum₁、setNum₂；

62)若setNum₁≥setNum₂，则flag＝1，否则flag＝2；

63)构造一setNum₁*setNum₂的矩阵，其中行元素为，列元素为；

64)若flag＝1，则按行计算字符对的相似度：首先判断列元素中是否存在与行元素x_i相同的元素，若存在相同元素y_i，则字符对(x_i,y_i)的相似度为1；若不存在相同元素，则计算x_i与列元素中每个元素的相似度值，取其中的最大值对应的元素y_j与x_i的构成相似字符对(x_i,y_j)，对应的相似度值作为该相似字符对(x_i,y_j)的相似度；若flag＝2，则按列计算字符对的相似度，首先判断行元素中是否存在与列元素y_i相同的元素，若存在相同元素x_i，则字符对(x_i,y_i)的相似度为1；若不存在相同元素，则计算y_i与行元素中每个元素的相似度值，取其中的最大值对应的元素x_j与y_i的构成相似字符对(x_j,y_i)，对应的相似度值作为该相似字符对(x_j,y_i)的相似度。

7.如权利要求1或6所述的方法，其特征在于，基于中文字符的五笔编码的编辑距离计算所述相似度CharSim(c₁，c₂)，其公式为：

$CharSim(c_1,c_2)=W_{Code}\×(1-\frac{EditDis({\mathrm{Code}}_1,{\mathrm{Code}}_2)}{\max ({\mathrm{CodeL}}_1,{\mathrm{CodeL}}_2)})+(1-W_{Code})\×(1-\frac{abs({\mathrm{StrokeL}}_1-{\mathrm{StrokeL}}_2)}{\max ({\mathrm{StrokeL}}_1,{\mathrm{StrokeL}}_2)})$

其中，c₁，c₂为两待计算字符，c₁的五笔编码为code₁、笔画数为StrokeL₁，c₂的五笔编码为code₂、笔画数为StrokeL₂；W_code为权值，取值区间为[0,1]；EditDis(Code₁，Code₂)为两字符c₁，c₂的五笔编码的编辑距离，codeL₁为c₁的五笔编码的编码长度，codeL₂为c₂的五笔编码的编码长度；abs()函数为取绝对值函数，max()函数为取最大值函数。

8.一种基于权利要求1所述中文域名相似度计算方法的仿冒域名检测方法，其步骤为：根据待测域名d₁与目标域名d₂的整体相似度值进行判断，如果整体相似度大于设定阈值，则判定该待测域名d₁为目标域名d₂的仿冒域名。