CN106789864B - 一种报文防攻击方法及装置 - Google Patents

Abstract

本发明实施例公开了一种报文防攻击方法及装置，应用于宽带接入服务器BRAS中的转发芯片，该报文防攻击方法包括：BRAS的转发芯片接收建立联机报文；转发芯片确定建立联机报文的源地址未通过认证且建立联机报文的目的地址属于未认证用户不允许访问的地址范围且建立联机报文的TCP端口对应超文本传输协议；转发芯片生成并发送代答建立联机确认报文。该方法能够避免处理单元为未通过portal认证的设备建立超文本传输协议的传输控制协议连接，防止portal入口攻击。

Description

一种报文防攻击方法及装置

技术领域

本发明涉及信息安全领域，特别涉及一种报文防攻击方法及装置。

背景技术

在WLAN(Wireless Local Area Networks，无线局域网)，如果在完成对终端的Portal认证之前，终端的多种工具软件发出大量请求进行网页脚本攻击，会对WLAN内的BRAS(Broadband Remote Access Server，宽带接入服务器)设备造成报文冲击，影响其他终端的正常使用。

目前，宽带接入服务器BRAS设备采用的portal(入口)防攻击方法包括TCP(Transmission Control Protocol，传输控制协议)报文限速以及HTTP(Hyper TextTransfer Protocol，超文本传输协议)报文限速，将TCP报文以及HTTP报文发往CPU进行识别，从而丢弃符合portal攻击报文特征的TCP报文以及HTTP报文。

发明内容

本发明实施例公开了一种报文防攻击方法及装置，以避免大量攻击报文占用通道资源与CPU资源，影响正常用户的正常报文进行重定向，进而影响正常用户进行后续的认证。具体方案如下：

一方面，本发明实施例提供了一种报文防攻击方法，应用于宽带接入服务器BRAS的转发芯片，方法包括：转发芯片接收第一建立联机报文；转发芯片确定第一建立联机报文的源地址未通过认证且第一建立联机报文的目的地址属于未认证用户不允许访问的地址范围且第一建立联机报文的TCP端口号对应超文本传输协议；转发芯片生成并发送代答建立联机确认报文。

另一方面，本发明实施例提供了一种报文防攻击装置，应用于宽带接入服务器BRAS的转发芯片，装置包括：接收模块，用于接收第一建立联机报文；解析模块，用于确定第一建立联机报文的源地址未通过认证且第一建立联机报文的目的地址属于未认证用户不允许访问的地址范围且第一建立联机报文的TCP端口对应超文本传输协议，则生成代答建立联机确认报文；发送模块，用于发送代答建立联机确认报文。

本发明实施例中，BRAS设备的转发芯片通过解析收到的SYN报文，如果收到的SYN报文来自未认证用户，且需要访问不允许访问的地址并建立用于HTTP的TCP连接，BRAS设备的转发芯片则认为符合攻击报文的特征，直接发送建立联机确认报文，(SYN ACK，Synchronous acknowledgement)报文，避免将符合攻击报文特征的SYN报文建立HTTP的TCP连接以及避免将攻击报文特征的SYN报文发往处理单元，例如CPU，而导致的处理单元的报文处理资源被占用。当然，实施本发明的任一产品或方法必不一定需要同时达到以上所述的所有优点。

附图说明

图1为本发明实施例提供的一种报文防攻击方法的流程示意图；

图2为本发明实施例提供的宽带接入服务器的报文防攻击处理方式的示意图；

图3为本发明实施例提供的宽带接入服务器的另一报文防攻击处理方式的示意图；

图4为本发明实施例提供的宽带接入服务器的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明实施例提供了一种报文防攻击方法，应用于WLAN的BRAS设备的转发芯片，如图1所示该方法包括：

步骤S101，转发芯片接收建立联机(SYN，Synchronous)报文；

步骤S102，转发芯片确定建立联机报文的源地址未通过认证且建立联机报文的目的地址属于未认证用户不允许访问的地址范围且建立联机报文的TCP端口对应HTTP超文本传输协议；

步骤S103，转发芯片生成并发送代答建立联机确认报文。

图1所示实施例中，BRAS设备的转发芯片通过解析收到的SYN报文，如果收到的SYN报文来自未认证用户，且需要访问不允许访问的地址并建立用于HTTP的TCP连接，BRAS设备的转发芯片则认为符合攻击报文的特征，直接发送建立联机确认报文，(SYN ACK，Synchronous acknowledgement)报文，避免将符合攻击报文特征的SYN报文建立HTTP的TCP连接以及避免将攻击报文特征的SYN报文发往处理单元，例如CPU，而导致的处理单元的报文处理资源被占用。

如图2所示，本发明实施例提供的BRAS设备的转发芯片的报文防攻击处理方式如下：

客户端21在完成Portal认证之前，向BRAS设备22发送SYN报文(即第一建立联机报文)。

BRAS设备22的转发芯片确定该SYN报文的源IP地址或源MAC(Media AccessControl，媒体访问控制)地址不属于已认证用户的地址信息，且SYN报文的目的IP地址属于未认证用户不允许访问的IP地址范围且SYN报文的TCP端口号＝80，即该SYN报文用于建立HTTP的TCP连接。

BRAS设备22的转发芯片生成建立联机确认SYN ACK报文。其中，BRAS设备22的转发芯片生成SYN ACK报文的方式与已有的CPU生成SYN ACK报文的方式大致相同。

BRAS设备22的转发芯片将SYN报文的源MAC地址，源IP地址以及源TCP端口号，设置为SYN ACK报文的目的MAC地址，目的IP地址以及目的TCP端口号；将SYN报文的目的MAC地址，目的IP地址以及目的TCP端口号设置为SYN ACK报文的源MAC地址，源IP地址以及源TCP端口号；封装本地序列号(sequence number)字段，将SYN报文的序列号封装在SYN ACK报文的(acknowledgement number)字段等。

BRAS设备22的转发芯片代替CPU生成的SYN ACK报文在本实施例内属于代答SYNACK报文。

客户端21收到SYN ACK报文，建立HTTP协议的TCP连接。此时，需要强调的是，客户端21认为与BRAS设备22之间建立了TCP连接，而BRAS设备22的转发芯片未将SYN报文发送到CPU进行处理，BRAS设备22的CPU并未与客户端21建立真正的HTTP协议的TCP连接，由于BRAS设备22的转发芯片未将SYN报文发送到CPU进行处理，减少了BRAS设备22的非必要TCP连接。

客户端21向BRAS设备22发送ACK(Acknowledgement)报文。BRAS设备22的转发芯片接收ACK报文，并解析该ACK报文。

BRAS设备22的转发芯片确定收到的ACK报文的源IP地址或源MAC地址不属于已认证用户的地址信息，且ACK报文的目的IP地址属于未认证用户不允许访问的IP地址范围且ACK报文的TCP端口号＝80，即该ACK报文用于建立HTTP(超文本传输协议)的TCP连接。

BRAS设备22的转发芯片丢弃收到的ACK报文。

BRAS设备22不需要与未认证的用户建立HTTP协议的TCP连接，BRAS设备22的转发芯片丢弃收到的ACK报文，减少对于BRAS设备22的CPU处理资源的占用。

客户端21认为建立了HTTP协议的TCP连接，发送请求URL页面的HTTP请求报文。BRAS设备22的转发芯片确定HTTP请求报文的源IP地址/源MAC地址属于未认证用户，生成包含用于Portal认证的重定向地址的重定向报文。BRAS设备22的转发芯片生成重定向报文的方式与已有的CPU生成重定向报文的方式大致相同。

BRAS设备22的转发芯片将HTTP请求报文的源MAC地址，源IP地址以及源TCP端口号，设置为重定向报文的目的MAC地址，目的IP地址以及目的TCP端口号；将HTTP请求报文的目的MAC地址，目的IP地址以及目的TCP端口号设置为重定向报文的源MAC地址，源IP地址以及源TCP端口号；设置标识TCP连接中介的FIN字段，设置响应代码(response code)字段为302，用于代表重定向报文等等。BRAS设备22的转发芯片代替CPU生成的重定向报文在本发明实施例内为代答重定向报文。客户端21收到重定向报文，访问重定向报文内的重定向地址，执行Portal认证。

如图3所示，本发明实施例提供的BRAS设备报文防攻击处理方式如下：

客户端22是已通过Portal认证，Portal服务器将客户端22的IP地址或MAC地址作为已认证用户的地址信息发送至BRAS设备22。BRAS设备22的转发芯片记录这些已通过认证的用户(客户端)的地址信息及其允许访问的地址范围。

客户端22向BRAS设备22发送SYN报文。

BRAS设备22的转发芯片确定SYN报文的源IP地址或源MAC地址属于已认证用户的地址信息，且SYN报文的目的IP地址属于认证用户允许访问的IP地址范围且SYN报文的TCP端口号＝80，即该SYN报文用于建立HTTP协议的TCP连接。

BRAS设备22的转发芯片将收到SYN报文发往CPU。BRAS设备22的CPU生成SYN ACK报文的方式(与已有的CPU生成SYN ACK报文的方式大致相同)。BRAS设备22的CPU将生成SYNACK报文发送给转发芯片，再由转发芯片发送CPU生成的SYN ACK报文。

客户端22收到SYN ACK报文，建立HTTP协议的TCP连接，向BRAS设备22发送ACK报文。BRAS设备22的转发芯片接收ACK报文，解析ACK报文。

BRAS设备22的转发芯片确定收到的ACK报文的源IP地址或源MAC地址属于已认证用户的地址信息，且ACK报文的目的IP地址属于认证用户允许访问的IP地址范围且ACK报文的TCP端口号＝80，即该ACK报文用于建立HTTP协议的TCP连接。

BRAS设备22的转发芯片将收到的ACK报文发往CPU，CPU建立HTTP协议的TCP连接。由于BRAS设备22与通过Portal认证的用户建立的HTTP协议TCP连接，实现了报文防攻击的目的。

BRAS设备22的转发芯片收到HTTP请求报文；BRAS设备22的转发芯片确定该HTTP请求报文的源地址属于已认证用户(即通过Portal认证的用户)；BRAS设备22的转发芯片向CPU发送该HTTP请求报文。

本发明实施例，BRAS设备通过转发芯片识别攻击报文特征，代答建立HTTP协议的TCP连接的建立联机确认报文以及代答通知未认证用户继续执行Portal认证的重定向报文，减少了不必要的TCP连接，节约了TCP连接资源，减少了发往BRAS设备CPU处理的报文，避免了大量攻击报文占用通道资源与CPU资源，影响正常用户的正常报文进行重定向，进而影响正常用户进行后续的认证的情况。

图4为本发明实施例宽带接入服务器BRAS 400的示意图。图4中，BRAS 400包括转发装置410，处理单元420以及存储单元430。其中转发装置410的报文防攻击装置包括：接收模块411，解析模块412以及发送模块413。

接收模块411，用于接收第一建立联机报文；解析模块412，用于确定第一建立联机报文的源地址未通过认证且第一建立联机报文的目的地址属于未认证用户不允许访问的地址范围且第一建立联机报文的TCP端口对应超文本传输协议，则生成代答建立联机确认报文；发送模块413，用于发送代答建立联机确认报文。

具体的，接收模块411，还用于接收第一确认报文；解析模块412，还用于转发芯片解析第一确认报文的源地址，目的地址以及TCP端口；确定第一确认报文的源地址属于未认证用户且确认报文的目的地址属于未认证用户不允许访问的地址范围且确认报文的TCP端口对应超文本传输协议，则丢弃第一确认报文。

具体的，接收模块411，还用于接收第一超文本传输协议请求报文；解析模块412，还用于确定第一超文本传输协议请求报文的源地址属于未认证用户，则生成代答重定向报文；其中，代答重定向报文包含用于Portal认证的重定向地址；发送模块413，还用于发送代答重定向报文。

具体的，接收模块411，还用于接收第二建立联机报文，第二确认报文以及第二超文本传输协议请求报文；解析模块412，还用于确定第二建立联机报文的源地址通过认证且第一建立联机报文的目的地址属于已认证用户允许访问的地址范围且建立联机报文的TCP端口对应超文本传输协议；还用于确定第二确认报文的源地址属于已认证用户且第二确认报文的目的地址属于已认证用户允许访问的地址范围且第二确认报文的TCP端口对应超文本传输协议；还用于确定第二超文本传输协议请求报文的源地址属于已认证用户；发送模块413，还用于向处理单元发送第二建立联机报文，第二确认报文以及第二超文本传输协议请求报文。

对于装置实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内所作的任何修改、等同替换、改进等，均包含在本发明的保护范围内。

Claims (10)

1.一种报文防攻击方法，应用于无线局域网的宽带接入服务器BRAS的转发芯片，其特征在于，所述方法包括：

所述转发芯片接收第一建立联机报文；

所述转发芯片确定所述第一建立联机报文的源地址未通过认证且所述第一建立联机报文的目的地址属于未认证用户不允许访问的地址范围且所述第一建立联机报文的传输控制协议TCP端口对应超文本传输协议；

所述转发芯片生成并发送代答建立联机确认报文。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

所述转发芯片接收第一确认报文；

所述转发芯片解析所述第一确认报文的源地址，目的地址以及TCP端口；

所述转发芯片确定所述第一确认报文的源地址属于未认证用户且所述第一确认报文的目的地址属于未认证用户不允许访问的地址范围且所述第一确认报文的TCP端口号对应超文本传输协议；

所述转发芯片丢弃收到的所述第一确认报文。

3.根据权利要求1所述的方法，其特征在于，所述方法还包括：

所述转发芯片接收第一超文本传输协议请求报文；

所述转发芯片确定所述第一超文本传输协议请求报文的源地址属于未认证用户；

所述转发芯片生成并发送代答重定向报文，所述代答重定向报文包含用于Portal认证的重定向地址。

4.根据权利要求1所述的方法，其特征在于，所述方法还包括：

所述转发芯片接收第二建立联机报文；

所述转发芯片确定所述第二建立联机报文的源地址通过认证且所述第二建立联机报文的目的地址属于已认证用户不允许访问的地址范围且所述第二建立联机报文的TCP端口对应超文本传输协议；

所述转发芯片向处理单元发送所述第二建立联机报文。

5.根据权利要求1所述的方法，其特征在于，所述方法还包括：

所述转发芯片接收第二确认报文；

所述转发芯片确定所述第二确认报文的源地址属于已认证用户且所述第二确认报文的目的地址属于已认证用户不允许访问的地址范围且所述第二确认报文的TCP端口号对应超文本传输协议；

所述转发芯片向处理单元发送所述第二确认报文。

6.根据权利要求1-5任一项所述的方法，其特征在于，所述方法还包括：

所述转发芯片接收第二超文本传输协议请求报文；

所述转发芯片确定所述第二超文本传输协议请求报文的源地址属于已认证用户；

所述转发芯片向所述处理单元发送所述第二超文本传输协议请求报文。

7.一种报文防攻击装置，应用于无线局域网的宽带接入服务器BRAS的转发芯片，其特征在于，所述装置包括：

接收模块，用于接收第一建立联机报文；

解析模块，用于确定所述第一建立联机报文的源地址未通过认证且所述第一建立联机报文的目的地址属于未认证用户不允许访问的地址范围且所述第一建立联机报文的传输控制协议TCP端口对应超文本传输协议，则生成代答建立联机确认报文；

所述发送模块，用于发送所述代答建立联机确认报文。

8.根据权利要求7所述的装置，其特征在于，

所述接收模块，还用于接收第一确认报文；

所述解析模块，还用于解析所述第一确认报文的源地址，目的地址以及TCP端口；确定所述第一确认报文的源地址属于未认证用户且所述第一确认报文的目的地址属于未认证用户不允许访问的地址范围且所述第一确认报文的TCP端口对应超文本传输协议，则丢弃所述第一确认报文。

9.根据权利要求7所述的装置，其特征在于，

所述接收模块，还用于接收第一超文本传输协议请求报文；

所述解析模块，还用于确定所述第一超文本传输协议请求报文的源地址属于未认证用户，则生成代答重定向报文；其中，所述代答重定向报文包含用于Portal认证的重定向地址；

所述发送模块，还用于发送所述代答重定向报文。

10.根据权利要求7所述的装置，其特征在于，

所述接收模块，还用于接收第二建立联机报文，第二确认报文以及第二超文本传输协议请求报文；

所述解析模块，还用于确定所述第二建立联机报文的源地址通过认证且所述第二建立联机报文的目的地址属于已认证用户允许访问的地址范围且所述第二建立联机报文的TCP端口对应超文本传输协议；还用于确定所述第二确认报文的源地址属于已认证用户且所述第二确认报文的目的地址属于已认证用户允许访问的地址范围且所述第二确认报文的TCP端口对应超文本传输协议；还用于确定所述第二超文本传输协议请求报文的源地址属于已认证用户；

所述发送模块，还用于向处理单元发送所述第二建立联机报文，所述第二确认报文以及所述第二超文本传输协议请求报文。

Images