CN106789939A - 一种钓鱼网站检测方法和装置 - Google Patents

Abstract

本发明实施例涉及通信技术领域，尤其涉及一种钓鱼网站检测方法和装置，用于有效检测待检测URL的域名为合法域名时用户正在访问的目标网站是否是钓鱼网站。获取目标网站的待检测统一资源定位符URL；待检测URL对应的域名为合法域名；从目标网站获取待检测URL对应的待检测HTTPS证书；从待检测URL的域名对应的服务器上获取待检测URL的域名对应的合法HTTPS证书；根据待检测HTTPS证书中包括的预设信息项和合法HTTPS证书中包括的预设信息项，确定目标网站是否为钓鱼网站；进而有效检测待检测URL的域名为合法域名时用户正在访问的目标网站是否是钓鱼网站。

Description

一种钓鱼网站检测方法和装置

技术领域

本发明实施例涉及通信领域，尤其涉及一种钓鱼网站检测方法和装置。

背景技术

钓鱼网站通常伪装成银行及电子商务网站，窃取用户提交的银行帐号、密码等私密信息。恶意的攻击者通过伪基站、钓鱼邮件等方式，给受害者提供一个看似正常的银行或金融类网站域名，诱骗用户打开后在钓鱼网站内输入用户名、密码、卡号、身份证号等敏感信息。

现有的检测钓鱼网站的工具主要使用黑名单、白名单、启发式分析等多种技术识别钓鱼网站的网址。对于待检测统一资源定位符(Uniform Resource Locator，简称URL)的域名错误的情况下，主要是采用黑名单、白名单的钓鱼网站检测技术进行检测：基于黑名单的钓鱼网站检测技术是根据已知的错误的URL构建的数据库来判断目标网站是否为钓鱼网站，但由于钓鱼网站往往存在时间较短、黑名单的及时更新十分困难，使得该技术不能有效防止钓鱼；基于白名单的钓鱼网站检测技术是根据可信网站地址构建的数据库来判断目标网站是否为合法网站，由于可信网站地址数量庞大，若用户访问的合法网址未被加入数据库，则可能导致将合法网站误判为钓鱼网站。

对于待检测URL的域名正确的情况下，主要是采用启发式分析的钓鱼网站检测技术进行检测：根据目标网站和合法网站进行网页页面布局相似度进行比对，确定目标网站是否为钓鱼网站，但这种检测方法容易被一些欺骗手段绕过，导致对钓鱼网站存在一定程度的漏检。

现有技术中只根据待检测URL或根据目标网站和合法网站的页面布局相似度检测目标网站是否为钓鱼网站，对于域名系统(Domain Name System，简称DNS)劫持、流量劫持、安全超文本传输协议(Secure Hypertext Transfer Protocol，简称HTTPS)中间人等复杂的钓鱼攻击手段，获取的待检测URL对应的域名为合法域名，且目标网站和合法网站的相似度极高，现有技术中的方法无法有效确定目标网站是否为钓鱼网站。因此，亟需一种钓鱼网站检测方法，有效检测待检测URL的域名为合法域名时用户正在访问的目标网站是否是钓鱼网站。

发明内容

本发明实施例提供一种钓鱼网站检测方法和装置，用以有效检测待检测URL的域名为合法域名时用户正在访问的目标网站是否是钓鱼网站。

本发明实施例中提供一种钓鱼网站检测方法，包括：获取目标网站的待检测统一资源定位符URL；所述待检测URL对应的域名为合法域名；从所述目标网站获取待检测URL对应的待检测安全超文本传输协议HTTPS证书；从所述待检测URL的域名对应的服务器上获取所述待检测URL的域名对应的合法HTTPS证书；根据所述待检测HTTPS证书中包括的预设信息项和所述合法HTTPS证书中包括的预设信息项，确定所述目标网站是否为钓鱼网站。

可选地，所述根据所述待检测HTTPS证书中包括的预设信息项和所述合法HTTPS证书中包括的预设信息项，确定所述目标网站是否为钓鱼网站，包括：在确定所述待检测HTTPS证书中包括的预设信息项和所述合法HTTPS证书中包括的预设信息项全部匹配的情况下，确定所述目标网站为正常网站。

可选地，所述根据所述待检测HTTPS证书中包括的预设信息项和所述合法HTTPS证书中包括的预设信息项，确定所述目标网站是否为钓鱼网站，包括：在确定所述待检测HTTPS证书中包括的预设信息项和所述合法HTTPS证书中包括的预设信息项中存在至少一项不匹配的情况下：在确定所述待检测HTTPS证书中包括的证书签发者标识和所述合法HTTPS证书中包括的证书签发者标识匹配、根据所述待检测HTTPS证书中的证书有效期确定所述待检测HTTPS证书在当前时刻有效、且根据所述待检测HTTPS证书中的证书是否被注销的信息确定所述待检测HTTPS证书未被注销，则确定所述目标网站为正常网站。

可选地，所述根据所述待检测HTTPS证书中包括的预设信息项和所述合法HTTPS证书中包括的预设信息项，确定所述目标网站是否为钓鱼网站，包括：在确定所述待检测HTTPS证书中包括的预设信息项和所述合法HTTPS证书中包括的预设信息项中存在至少一项不匹配的情况下：确定所述待检测HTTPS证书和所述待检测HTTPS证书满足第一预设条件中的至少一项，则确定所述目标网站为钓鱼网站；其中，所述第一预设条件包括：在确定所述待检测HTTPS证书中包括的证书签发者标识和所述合法HTTPS证书中包括的证书签发者标识不匹配；根据所述待检测HTTPS证书中的证书有效期确定所述待检测HTTPS证书在当前时刻失效；根据所述待检测HTTPS证书中的证书是否被注销的信息确定所述待检测HTTPS证书被注销。

可选地，所述获取目标网站的待检测URL之后，从所述目标网站获取待检测URL对应的待检测HTTPS证书之前，还包括：确定所述待检测URL使用HTTPS。

可选地，所述获取目标网站的待检测URL之后，从所述目标网站获取待检测URL对应的待检测HTTPS证书之前，还包括：在确定所述待检测URL未使用HTTPS的情况下，上报告警信息，所述告警信息用于指示所述目标网站存在危险。

可选地，所述获取目标网站的待检测URL之后，从所述目标网站获取待检测URL对应的待检测HTTPS证书之前，还包括：确定所述待检测URL满足第二预设条件中的任一项或任多项，其中，所述第二预设条件包括：确定所述待检测URL的域名与至少一个预设的URL域名匹配；确定所获取的所述待检测URL对应的网页源代码中的属性类关键词中存在至少一个与预设属性类关键词匹配；确定所获取的所述待检测URL对应的网页源代码中输入类关键词中存在至少一个与预设输入类关键词匹配。

本发明实施例提供的一种钓鱼网站检测装置，包括：获取单元，用于获取目标网站的待检测统一资源定位符URL；所述待检测URL对应的域名为合法域名；从所述目标网站获取待检测URL对应的待检测安全超文本传输协议HTTPS证书；从所述待检测URL的域名对应的服务器上获取所述待检测URL的域名对应的合法HTTPS证书；处理单元，用于根据所述待检测HTTPS证书中包括的预设信息项和所述合法HTTPS证书中包括的预设信息项，确定所述目标网站是否为钓鱼网站。

可选地，所述处理单元，用于：在确定所述待检测HTTPS证书中包括的预设信息项和所述合法HTTPS证书中包括的预设信息项全部匹配的情况下，确定所述目标网站为正常网站。

可选地，所述处理单元，用于：在确定所述待检测HTTPS证书中包括的预设信息项和所述合法HTTPS证书中包括的预设信息项中存在至少一项不匹配的情况下：在确定所述待检测HTTPS证书中包括的证书签发者标识和所述合法HTTPS证书中包括的证书签发者标识匹配、根据所述待检测HTTPS证书中的证书有效期确定所述待检测HTTPS证书在当前时刻有效、且根据所述待检测HTTPS证书中的证书是否被注销的信息确定所述待检测HTTPS证书未被注销，则确定所述目标网站为正常网站。

可选地，所述处理单元，用于：在确定所述待检测HTTPS证书中包括的预设信息项和所述合法HTTPS证书中包括的预设信息项中存在至少一项不匹配的情况下：确定所述待检测HTTPS证书和所述待检测HTTPS证书满足第一预设条件中的至少一项，则确定所述目标网站为钓鱼网站；其中，所述第一预设条件包括：在确定所述待检测HTTPS证书中包括的证书签发者标识和所述合法HTTPS证书中包括的证书签发者标识不匹配；根据所述待检测HTTPS证书中的证书有效期确定所述待检测HTTPS证书在当前时刻失效；根据所述待检测HTTPS证书中的证书是否被注销的信息确定所述待检测HTTPS证书被注销。

可选地，所述处理单元，还用于：确定所述待检测URL使用HTTPS。

可选地，所述处理单元，还用于：在确定所述待检测URL未使用HTTPS的情况下，上报告警信息，所述告警信息用于指示所述目标网站存在危险。

可选地，所述处理单元，还用于：确定所述待检测URL满足第二预设条件中的任一项或任多项，其中，所述第二预设条件包括：确定所述待检测URL的域名与至少一个预设的URL域名匹配；确定所获取的所述待检测URL对应的网页源代码中的属性类关键词中存在至少一个与预设属性类关键词匹配；确定所获取的所述待检测URL对应的网页源代码中输入类关键词中存在至少一个与预设输入类关键词匹配。

本发明实施例中提供一种钓鱼网站检测方法和装置，由于本发明实施例中从目标网站获取待检测URL对应的待检测HTTPS证书，待检测URL的域名正确，因此才能获取待检测URL对应的合法HTTPS证书；一个URL的域名对应一个合法HTTPS证书，从所述待检测URL的域名对应的服务器上获取所述待检测URL的域名对应的合法HTTPS证书，根据待检测HTTPS证书和合法HTTPS证书，进而可有效检测用户正在访问的目标网站是否为钓鱼网站。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简要介绍。

图1为本发明实施例提供的一种钓鱼网站检测的系统架构示意图；

图2为本发明实施例提供的一种钓鱼网站检测方法流程示意图；

图3为本发明实施例提供的在另一种钓鱼网站检测方法流程示意图；

图4为本发明实施例提供的一种钓鱼网站检测装置的结构示意图。

具体实施方式

为了使本发明的目的、技术方案及有益效果更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

图1示例性示出了本发明实施例适用的钓鱼网站检测的系统架构示意图，如图1所示，本发明实施例适用的钓鱼网站检测系统架构100包括服务器101、服务器102、终端103、钓鱼网站检测装置104；服务器101、服务器102和终端103可以通过无线连接或有线连接或其它方式连接；服务器101、服务器102和钓鱼网站检测装置104也可通过无线连接或有线连接或其它方式连接；其中，服务器101为目标网站对应的服务器，服务器102为待检测URL的域名对应的服务器，钓鱼网站检测装置104安装于终端103中。

终端103向服务器101发送访问目标网站的URL，服务器101接收到该URL后，向终端103发送该URL对应的网页内容，例如网页源代码等。钓鱼网站检测装置104可从服务器102上获得待检测HTTPS证书；钓鱼网站检测装置104可从服务器102上获得URL的域名对应的合法HTTPS证书。例如，目标网站为百度，则百度对应的URL为https://www.baidu.com/，URL的域名为www.baidu.com。

可选地，终端103可以为手机、平板电脑、计算机等；可选地，钓鱼网站检测装置104可安装于终端103中，用于检测终端访问的目标网站是否为钓鱼网站；可选地，钓鱼网站检测装置104可以为银联程序插件，也可以为安全卫士应用。

图2示例性示出了本发明实施例提供的一种钓鱼网站检测方法流程示意图。

基于图1所示的系统架构，如图2所示，本发明实施例提供的一种钓鱼网站检测方法，包括以下步骤：

步骤S201：钓鱼网站检测装置获取目标网站的待检测统一资源定位符URL；所述待检测URL对应的域名为合法域名；

步骤S202：钓鱼网站检测装置从所述目标网站获取待检测URL对应的待检测安全超文本传输协议HTTPS证书；

步骤S203：钓鱼网站检测装置从所述待检测URL的域名对应的服务器上获取所述待检测URL的域名对应的合法HTTPS证书；

步骤S204：钓鱼网站检测装置根据所述待检测HTTPS证书中包括的预设信息项和所述合法HTTPS证书中包括的预设信息项，确定所述目标网站是否为钓鱼网站。

基于上述实施例，步骤S201中，合法域名为用户预期访问的目标网站的正确域名；例如，用户当前访问预期访问的目标网站为中国工商银行，用户输入的待检测URL为http://www.icbc.com.cn/icbc/，待检测URL的域名为www.icbc.com.cn，这个域名为中国工商银行的正确域名，即为合法域名。在正常情况下，当用户访问http://www.icbc.com.cn/icbc/时，进入的目标网站为用户预期访问的网站：中国工商银行；在DNS劫持、流量劫持、HTTPS中间人等复杂的钓鱼攻击手段存在的情况下，用户当前访问http://www.icbc.com.cn/icbc/时，其对应的域名仍为合法域名www.icbc.com.cn，但是用户进入的目标网站为钓鱼网站，现有技术中无法有效检测出用户当前访问的待检测URL的域名为合法域名时对应的目标网站是否为钓鱼网站，本发明实施例提供的方法可以有效检测用户当前访问的待检测URL的域名为合法域名时对应的目标网站是否为钓鱼网站。

本发明实施例中，钓鱼网站检测装置以银联程序插件为例，银联程序插件使用安全传输层协议(Transport Layer Security Protocol，简称TLS)安全连接银联后台服务器；银联后台服务器根据待检测URL的域名，若银联后台服务器的缓存数据库中存在待检测URL的域名对应的合法HTTPS证书，则直接将合法HTTPS证书发送至银联程序插件，进行验证待检测HTTPS证书的合法性；若银联后台服务器的自身缓存数据库中不存在待检测URL的域名对应的合法HTTPS证书，银联后台服务器主动访问待检测URL，从待检测URL的域名对应的服务器上获取待检测URL对应的合法HTTPS证书，将合法HTTPS证书存放于自身缓存数据库，并将待检测URL对应的合法HTTPS证书发送至银联程序插件。为保证自身缓存数据库的时效性，银联后台服务器定期验证自身缓存数据库中的HTTPS证书是否被注销或不在有效期内，若存在HTTPS证书被注销或不在有效期内的情况，将该HTTPS证书标记为不合法HTTPS证书。

本发明实施例中，待检测HTTPS证书和合法HTTPS证书中的任一个HTTPS证书包括证书签发者标识、证书有效期、证书序列号、证书签名等多个关键因素；可选地，预设信息项可包括多个关键因素中的任一个，例如将证书签发者标识作为预设信息项；预设信息项也可包括多个关键因素中的任N个，N为大于1的整数，例如将证书签发者标识、证书有效期作为预设信息项，又例如将证书签发者标识、证书序列号作为预设信息项，再例如将证书签发者标识、证书序列号、证书签名作为预设信息项。

由于本发明实施例中从目标网站获取待检测URL对应的待检测HTTPS证书，待检测URL的域名正确，因此才能获取待检测URL对应的合法HTTPS证书；一个URL的域名对应一个合法HTTPS证书，从所述待检测URL的域名对应的服务器上获取所述待检测URL的域名对应的合法HTTPS证书，根据待检测HTTPS证书和合法HTTPS证书，进而可有效检测用户正在访问的目标网站是否为钓鱼网站。

可选地，所述根据所述待检测HTTPS证书中包括的预设信息项和所述合法HTTPS证书中包括的预设信息项，确定所述目标网站是否为钓鱼网站，包括：在确定所述待检测HTTPS证书中包括的预设信息项和所述合法HTTPS证书中包括的预设信息项全部匹配的情况下，确定所述目标网站为正常网站。

可选地，预设信息项包括一个关键因素时，例如预设信息项为证书签发者标识，在确定所述待检测HTTPS证书中包括的证书签发者标识和所述合法HTTPS证书中包括的证书签发者标识匹配的情况下，确定所述目标网站为正常网站；可选地，预设信息项包括N个关键因素时，例如，N等于2，以预设信息项包括的两个关键因素为证书签发者标识、证书序列号为例，在确定所述待检测HTTPS证书中包括的证书签发者标识、证书序列号和所述合法HTTPS证书中包括的证书签发者标识、证书序列号全部匹配的情况下，确定所述目标网站为正常网站；例如，N等于4，以预设信息项包括的四个关键因素为证书签发者标识、证书有效期、证书序列号、证书签名为例，在确定所述待检测HTTPS证书中包括的证书签发者标识、证书有效期、证书序列号、证书签名和所述合法HTTPS证书中包括的证书签发者标识、证书有效期、证书序列号、证书签名全部匹配的情况下，确定所述目标网站为正常网站。

可选地，在确定所述待检测HTTPS证书中包括的预设信息项和所述合法HTTPS证书中包括的预设信息项中至少一项不匹配的情况下，确定所述目标网站为钓鱼网站。例如，N等于2，以预设信息项包括的四个关键因素为证书签发者标识、证书序列号为例，在确定所述待检测HTTPS证书中包括的证书签发者标识和所述合法HTTPS证书中包括的证书签发者标识不匹配的情况下，确定所述目标网站为钓鱼网站；或者，在确定所述待检测HTTPS证书中包括的证书序列号和所述合法HTTPS证书中包括的证书序列号不匹配的情况下，确定所述目标网站为钓鱼网站；或者，在确定所述待检测HTTPS证书中包括的证书签发者标识、证书序列号和所述合法HTTPS证书中包括的证书签发者标识、证书序列号均不匹配的情况下，确定所述目标网站为钓鱼网站。如此，钓鱼网站检测装置可根据待检测HTTPS证书中和合法HTTPS证书中包括的预设信息项是否完全匹配，确定待检测HTTPS证书是否合法证书，进而有效确定目标网站是否为正常网站；而且，在确定HTTPS证书是合法证书情况下，确定目标网站为正常网站，终端可以正常浏览待检测URL对应的网页；在确定HTTPS证书不是合法证书情况下，确定目标网站为钓鱼网站，上报告警信息，并提醒用户不要继续访问待检测URL对应的网页，以避免造成个人信息的泄露。本发明实施例中提供的方法不需要进行待检测URL的黑白名单查询，因此检测结果不受黑白名单数据库更新频率和覆盖率的影响。

可选地，所述根据所述待检测HTTPS证书中包括的预设信息项和所述合法HTTPS证书中包括的预设信息项，确定所述目标网站是否为钓鱼网站，包括：在确定所述待检测HTTPS证书中包括的预设信息项和所述合法HTTPS证书中包括的预设信息项中存在至少一项不匹配的情况下：在同时满足以下三个条件的情况下，确定所述目标网站为正常网站：条件一，确定所述待检测HTTPS证书中包括的证书签发者标识和所述合法HTTPS证书中包括的证书签发者标识匹配；条件二，根据所述待检测HTTPS证书中的证书有效期确定所述待检测HTTPS证书在当前时刻有效；条件三，根据所述待检测HTTPS证书中的证书是否被注销的信息确定所述待检测HTTPS证书未被注销。如此，在确定所述待检测HTTPS证书中包括的预设信息项和所述合法HTTPS证书中包括的预设信息项中存在至少一项不匹配的情况下，钓鱼网站检测装置可根据以上三个条件，确定目标网站是否为正常网站。

在实际应用场景下，由于内容分发网络(Content Delivery Network，简称CDN)或负载均衡的存在，不同的终端访问目标网站时看到的待检测HTTPS证书可能不一致；例如华东地区的终端连接华东地区的目标网站服务器和华南地区的终端连接华南地区的服务器，待检测HTTPS证书包括的证书签发者标识一样，证书序列号有可能不一样。本发明实施例提供的方案充分考虑了可能由于CDN或负载均衡的存在，导致不同终端访问目标网站时可能得到的HTTPS证书不一致的情况，避免了将待检测HTTPS证书和合法HTTPS证书的预设信息项中存在至少一项不匹配的正常网站确定为钓鱼网站的情况。

可选地，所述根据所述待检测HTTPS证书中包括的预设信息项和所述合法HTTPS证书中包括的预设信息项，确定所述目标网站是否为钓鱼网站，包括：在确定所述待检测HTTPS证书中包括的预设信息项和所述合法HTTPS证书中包括的预设信息项中存在至少一项不匹配的情况下：确定所述待检测HTTPS证书和所述待检测HTTPS证书满足第一预设条件中的至少一项，则确定所述目标网站为钓鱼网站；其中，所述第一预设条件包括：在确定所述待检测HTTPS证书中包括的证书签发者标识和所述合法HTTPS证书中包括的证书签发者标识不匹配；根据所述待检测HTTPS证书中的证书有效期确定所述待检测HTTPS证书在当前时刻失效；根据所述待检测HTTPS证书中的证书是否被注销的信息确定所述待检测HTTPS证书被注销。如此，本发明实施例提供的方案，在确定所述待检测HTTPS证书中包括的预设信息项和所述合法HTTPS证书中包括的预设信息项中存在至少一项不匹配的情况下，充分考虑了可能由于CDN或负载均衡的存在，导致不同终端访问目标网站时可能得到的HTTPS证书不一致的情况，更准确的将待检测HTTPS证书满足上述第一预设条件中的至少一项的目标网站确定为钓鱼网站。本发明实施例中提供的方法不需要进行待检测URL的黑白名单查询，因此检测结果不受黑白名单数据库更新频率和覆盖率的影响；同时，也可避免大规模搜索所有网站的URL，并验证所有网站的URL是否为钓鱼网站的资源浪费。

可选地，所述获取目标网站的待检测URL之后，从所述目标网站获取待检测URL对应的待检测HTTPS证书之前，还包括：确定所述待检测URL使用安全超文本传输协议HTTPS。例如，待检测URL为https://zhidao.baidu.com/，该待检测URL的协议为HTTPS；如此，钓鱼检测装置可根据待检测URL使用的HTTPS，继续获取待检测HTTPS证书，继续判断待检测HTTPS证书的合法性，进而判断目标网站是否为钓鱼网站。

可选地，所述获取目标网站的待检测URL之后，从所述目标网站获取待检测URL对应的待检测HTTPS证书之前，还包括：在确定所述待检测URL未使用HTTPS的情况下，上报告警信息，所述告警信息用于指示所述目标网站存在危险。例如，待检测URL为http://abc.com/，该待检测URL的协议为http，未使用HTTPS；如此，钓鱼检测装置不需要继续获取待检测HTTPS证书，可根据待检测URL未使用HTTPS，直接上报目标网站存在危险的告警信息，避免用户在不知情的情况下进入存在危险的目标网站。

可选地，所述获取目标网站的待检测URL之后，从所述目标网站获取待检测URL对应的待检测HTTPS证书之前，还包括：确定所述待检测URL满足第二预设条件中的任一项或任多项，其中，所述第二预设条件包括：条件一，确定所述待检测URL的域名与至少一个预设的URL域名匹配；条件二，确定所获取的所述待检测URL对应的网页源代码中的属性类关键词中存在至少一个与预设属性类关键词匹配；条件三，确定所获取的所述待检测URL对应的网页源代码中输入类关键词中存在至少一个与预设输入类关键词匹配。可选地，所述获取目标网站的待检测URL之后，在确定所述待检测URL满足第二预设条件中的任一项的情况下，确定目标网站为正常网站，可正常在终端上访问目标网站。

本发明实施例中，预设的URL域名可以根据实际需要进行设定，可选地，可以将预设的URL域名设为涉及到银行账户信息以及个人信息的网站的域名；可选地，预设的URL域名可以为银行网站URL域名，例如，中国工商银行的URL域名为www.icbc.com.cn；例如，中国农业银行的URL域名为www.abchina.com；预设的URL域名也可以为社交网站URL域名，例如，新浪微博的URL域名为weibo.com。预设属性类关键词可根据实际需求设定，可选地，终端访问的目标网站为银行网站，可将预设属性类关键词设置为包括银行、网银、支付、金融等；预设输入类关键词可根据实际需求设定，可选地，可将预设输入类关键词设置为登录账户、卡号、密码、身份证号等。

可选地，待检测URL对应的网页源代码中属性类关键词可从待检测URL对应的网页源代码中的<TITLE>标记、<META name＝”Keywords”/”Description”/”Copyright”>标记中的CONTENT属性、<body>标记中的提取；可选地，待检测URL对应的网页源代码中输入类关键词可从待检测URL对应的网页源代码中的<input>标记等标记中提取。同时考虑到部分钓鱼网站会使用截图来布局，上述属性类关键词和输入类关键词在提取时会同步提取通过光学字符识别(Optical Character Recognition，简称OCR)识别到的图片中的文字。

例如，待检测URL的域名为www.icbc.com.cn，则与预设的中国工商银行的域名匹配，则继续从目标网站获取待检测HTTPS证书，以进行验证待检测HTTPS证书是否合法；例如，待检测URL的域名为www.abc.com.cn，与预设的中国工商银行的域名不匹配，则可以继续判断待检测URL是否满足第二预设条件中的条件二和条件三，即待检测URL对应的网页源代码中的属性类关键词是否与至少一个预设属性类关键词匹配，或输入类关键词中存在至少一个与预设输入类关键词匹配，或属性类关键词是否与至少一个预设属性类关键词匹配和输入类关键词中存在至少一个与预设输入类关键词匹配。如此，可根据待检测URL是否满足第二预设条件，确定目标网站是否需要进行钓鱼网站检测，这种判断目标网站是否需要进行钓鱼网站检测的方法简单易行、效率高、针对性强，可有效的防御敏感信息泄露，同时避免影响在终端上访问正常网站时的用户体验。

为了更清楚的介绍上述方法流程，本发明实施例提供以下示例。

图3示例性示出了本发明实施例提供的另一种钓鱼网站检测方法流程示意图，基于图1所示的系统架构，如图3所示，该方法包括以下步骤：

步骤S301：钓鱼网站检测装置获取目标网站的待检测统一资源定位符URL；

步骤S302：待检测URL对应的域名是否为合法域名；若是，则执行步骤S303；若否，则执行步骤S312；

步骤S303：待检测URL的域名是否与至少一个预设的URL域名匹配；若是，则执行步骤S306；若否，则执行步骤S304；

步骤S304：所获取的待检测URL对应的网页源代码中的属性类关键词中是否存在至少一个与预设属性类关键词匹配；若是，则执行步骤S305；若否，则执行步骤S313；

步骤S305：确定所获取的待检测URL对应的网页源代码中输入类关键词中存在至少一个与预设输入类关键词匹配；若是，则执行步骤S306；若否，则执行步骤S313；

步骤S306：确定待检测URL是否使用安全超文本传输协议HTTPS；若是，则执行步骤S307；若否，则执行步骤S314；

步骤S307：从目标网站获取待检测URL对应的待检测HTTPS证书，并从待检测URL的域名对应的服务器上获取待检测URL的域名对应的合法HTTPS证书；

步骤S308：确定待检测HTTPS证书中包括的预设信息项和合法HTTPS证书中包括的预设信息项是否全部匹配；若是，则执行步骤S313；若否，则执行步骤S309；

步骤S309：确定待检测HTTPS证书中包括的证书签发者标识和合法HTTPS证书中包括的证书签发者标识是否匹配；若是，则执行步骤S310；若否，则执行步骤S312；

步骤S310：根据待检测HTTPS证书中的证书有效期确定待检测HTTPS证书在当前时刻是否有效；若是，则执行步骤S311；若否，则执行步骤S312；

步骤S311：根据待检测HTTPS证书中的证书是否被注销的信息确定待检测HTTPS证书是否未被注销；若是，则执行步骤S313；若否，则执行步骤S312；

步骤S312：确定目标网站为钓鱼网站；

步骤S313：确定目标网站为正常网站；

步骤S314：上报告警信息，所述告警信息用于指示所述目标网站存在危险。

从上述内容可以看出：本发明实施例中提供了一种钓鱼网站检测方法的方法，根据待检测URL是否满足第二预设条件判断目标网站是否需要进行钓鱼网站检测，这种判断方法简单易行、效率高、针对性强，可有效的防御敏感信息泄露，同时避免影响用户在终端上访问正常网站时的用户体验。由于本发明实施例中从目标网站获取待检测URL对应的待检测HTTPS证书，待检测URL的域名正确，因此才能获取待检测URL对应的合法HTTPS证书；一个URL的域名对应一个合法HTTPS证书，从所述待检测URL的域名对应的服务器上获取所述待检测URL的域名对应的合法HTTPS证书，根据待检测HTTPS证书和合法HTTPS证书，进而可有效检测用户正在访问的目标网站是否为钓鱼网站。本发明实施例中充分考虑了可能由于CDN或负载均衡的存在，导致不同终端访问目标网站时可能得到的HTTPS证书不一致的情况，更准确、有效的检测用户正在访问的目标网站是否为钓鱼网站。进一步，本发明实施例中提供的方法不需要进行待检测URL的黑白名单查询，因此检测结果不受黑白名单数据库更新频率和覆盖率的影响，也可避免大规模搜索所有网站的URL，并验证所有网站的URL是否为钓鱼网站的资源浪费。

图4示例性示出了本发明实施例提供的一种钓鱼网站检测装置的结构示意图。

基于相同构思，本发明实施例提供的一种钓鱼网站检测装置，用于执行上述方法流程，如图4所示，该钓鱼网站检测装置400包括获取单元401、处理单元402；其中：

获取单元401，用于获取目标网站的待检测统一资源定位符URL；所述待检测URL对应的域名为合法域名；从所述目标网站获取待检测URL对应的待检测安全超文本传输协议HTTPS证书；从所述待检测URL的域名对应的服务器上获取所述待检测URL的域名对应的合法HTTPS证书；

处理单元402，用于根据所述待检测HTTPS证书中包括的预设信息项和所述合法HTTPS证书中包括的预设信息项，确定所述目标网站是否为钓鱼网站。

可选地，所述处理单元402，用于：在确定所述待检测HTTPS证书中包括的预设信息项和所述合法HTTPS证书中包括的预设信息项全部匹配的情况下，确定所述目标网站为正常网站。

可选地，所述处理单元402，用于：在确定所述待检测HTTPS证书中包括的预设信息项和所述合法HTTPS证书中包括的预设信息项中存在至少一项不匹配的情况下：在确定所述待检测HTTPS证书中包括的证书签发者标识和所述合法HTTPS证书中包括的证书签发者标识匹配、根据所述待检测HTTPS证书中的证书有效期确定所述待检测HTTPS证书在当前时刻有效、且根据所述待检测HTTPS证书中的证书是否被注销的信息确定所述待检测HTTPS证书未被注销，则确定所述目标网站为正常网站。

可选地，所述处理单元402，用于：在确定所述待检测HTTPS证书中包括的预设信息项和所述合法HTTPS证书中包括的预设信息项中存在至少一项不匹配的情况下：确定所述待检测HTTPS证书和所述待检测HTTPS证书满足第一预设条件中的至少一项，则确定所述目标网站为钓鱼网站；其中，所述第一预设条件包括：在确定所述待检测HTTPS证书中包括的证书签发者标识和所述合法HTTPS证书中包括的证书签发者标识不匹配；根据所述待检测HTTPS证书中的证书有效期确定所述待检测HTTPS证书在当前时刻失效；根据所述待检测HTTPS证书中的证书是否被注销的信息确定所述待检测HTTPS证书被注销。

可选地，所述处理单元402，还用于：确定所述待检测URL使用HTTPS。

可选地，所述处理单元402，还用于：在确定所述待检测URL未使用HTTPS的情况下，上报告警信息，所述告警信息用于指示所述目标网站存在危险。

可选地，所述处理单元402，还用于：确定所述待检测URL满足第二预设条件中的任一项或任多项，其中，所述第二预设条件包括：确定所述待检测URL的域名与至少一个预设的URL域名匹配；确定所获取的所述待检测URL对应的网页源代码中的属性类关键词中存在至少一个与预设属性类关键词匹配；确定所获取的所述待检测URL对应的网页源代码中输入类关键词中存在至少一个与预设输入类关键词匹配。

从上述内容可以看出：本发明实施例中提供了一种钓鱼网站检测方法的装置，根据待检测URL是否满足第二预设条件判断目标网站是否需要进行钓鱼网站检测，这种判断方法简单易行、效率高、针对性强，可有效的防御敏感信息泄露，同时避免影响用户在终端上访问正常网站时的用户体验。由于本发明实施例中从目标网站获取待检测URL对应的待检测HTTPS证书，待检测URL的域名正确，因此才能获取待检测URL对应的合法HTTPS证书；一个URL的域名对应一个合法HTTPS证书，从所述待检测URL的域名对应的服务器上获取所述待检测URL的域名对应的合法HTTPS证书，根据待检测HTTPS证书和合法HTTPS证书，进而可有效检测用户正在访问的目标网站是否为钓鱼网站。本发明实施例中充分考虑了可能由于CDN或负载均衡的存在，导致不同终端访问目标网站时可能得到的HTTPS证书不一致的情况，更准确、有效的检测用户正在访问的目标网站是否为钓鱼网站。进一步，本发明实施例中提供的方法不需要进行待检测URL的黑白名单查询，因此检测结果不受黑白名单数据库更新频率和覆盖率的影响，也可避免大规模搜索所有网站的URL，并验证所有网站的URL是否为钓鱼网站的资源浪费。

本领域内的技术人员应明白，本发明的实施例可提供为方法、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

尽管已描述了本发明的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例作出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本发明范围的所有变更和修改。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (14)

1.一种钓鱼网站检测方法，其特征在于，包括：

获取目标网站的待检测统一资源定位符URL；所述待检测URL对应的域名为合法域名；

从所述目标网站获取待检测URL对应的待检测安全超文本传输协议HTTPS证书；

从所述待检测URL的域名对应的服务器上获取所述待检测URL的域名对应的合法HTTPS证书；

根据所述待检测HTTPS证书中包括的预设信息项和所述合法HTTPS证书中包括的预设信息项，确定所述目标网站是否为钓鱼网站。

2.如权利要求1所述的方法，其特征在于，所述根据所述待检测HTTPS证书中包括的预设信息项和所述合法HTTPS证书中包括的预设信息项，确定所述目标网站是否为钓鱼网站，包括：

在确定所述待检测HTTPS证书中包括的预设信息项和所述合法HTTPS证书中包括的预设信息项全部匹配的情况下，确定所述目标网站为正常网站。

3.如权利要求1或2所述的方法，其特征在于，所述根据所述待检测HTTPS证书中包括的预设信息项和所述合法HTTPS证书中包括的预设信息项，确定所述目标网站是否为钓鱼网站，包括：

在确定所述待检测HTTPS证书中包括的预设信息项和所述合法HTTPS证书中包括的预设信息项中存在至少一项不匹配的情况下：

在确定所述待检测HTTPS证书中包括的证书签发者标识和所述合法HTTPS证书中包括的证书签发者标识匹配、根据所述待检测HTTPS证书中的证书有效期确定所述待检测HTTPS证书在当前时刻有效、且根据所述待检测HTTPS证书中的证书是否被注销的信息确定所述待检测HTTPS证书未被注销，则确定所述目标网站为正常网站。

4.如权利要求1或2所述的方法，其特征在于，所述根据所述待检测HTTPS证书中包括的预设信息项和所述合法HTTPS证书中包括的预设信息项，确定所述目标网站是否为钓鱼网站，包括：

在确定所述待检测HTTPS证书中包括的预设信息项和所述合法HTTPS证书中包括的预设信息项中存在至少一项不匹配的情况下：

确定所述待检测HTTPS证书和所述待检测HTTPS证书满足第一预设条件中的至少一项，则确定所述目标网站为钓鱼网站；其中，所述第一预设条件包括：

在确定所述待检测HTTPS证书中包括的证书签发者标识和所述合法HTTPS证书中包括的证书签发者标识不匹配；

根据所述待检测HTTPS证书中的证书有效期确定所述待检测HTTPS证书在当前时刻失效；

根据所述待检测HTTPS证书中的证书是否被注销的信息确定所述待检测HTTPS证书被注销。

5.如权利要求1所述的方法，其特征在于，所述获取目标网站的待检测URL之后，从所述目标网站获取待检测URL对应的待检测HTTPS证书之前，还包括：

确定所述待检测URL使用HTTPS。

6.如权利要求5所述的方法，其特征在于，所述获取目标网站的待检测URL之后，从所述目标网站获取待检测URL对应的待检测HTTPS证书之前，还包括：

在确定所述待检测URL未使用HTTPS的情况下，上报告警信息，所述告警信息用于指示所述目标网站存在危险。

7.如权利要求1所述的方法，其特征在于，所述获取目标网站的待检测URL之后，从所述目标网站获取待检测URL对应的待检测HTTPS证书之前，还包括：

确定所述待检测URL满足第二预设条件中的任一项或任多项，其中，所述第二预设条件包括：

确定所述待检测URL的域名与至少一个预设的URL域名匹配；

确定所获取的所述待检测URL对应的网页源代码中的属性类关键词中存在至少一个与预设属性类关键词匹配；

确定所获取的所述待检测URL对应的网页源代码中输入类关键词中存在至少一个与预设输入类关键词匹配。

8.一种钓鱼网站检测装置，其特征在于，包括：

获取单元，用于获取目标网站的待检测统一资源定位符URL；所述待检测URL对应的域名为合法域名；从所述目标网站获取待检测URL对应的待检测安全超文本传输协议HTTPS证书；从所述待检测URL的域名对应的服务器上获取所述待检测URL的域名对应的合法HTTPS证书；

处理单元，用于根据所述待检测HTTPS证书中包括的预设信息项和所述合法HTTPS证书中包括的预设信息项，确定所述目标网站是否为钓鱼网站。

9.如权利要求8所述的装置，其特征在于，所述处理单元，用于：

在确定所述待检测HTTPS证书中包括的预设信息项和所述合法HTTPS证书中包括的预设信息项全部匹配的情况下，确定所述目标网站为正常网站。

10.如权利要求8或9所述的装置，其特征在于，所述处理单元，用于：

在确定所述待检测HTTPS证书中包括的预设信息项和所述合法HTTPS证书中包括的预设信息项中存在至少一项不匹配的情况下：在确定所述待检测HTTPS证书中包括的证书签发者标识和所述合法HTTPS证书中包括的证书签发者标识匹配、根据所述待检测HTTPS证书中的证书有效期确定所述待检测HTTPS证书在当前时刻有效、且根据所述待检测HTTPS证书中的证书是否被注销的信息确定所述待检测HTTPS证书未被注销，则确定所述目标网站为正常网站。

11.如权利要求8或9所述的装置，其特征在于，所述处理单元，用于：

在确定所述待检测HTTPS证书中包括的预设信息项和所述合法HTTPS证书中包括的预设信息项中存在至少一项不匹配的情况下：

确定所述待检测HTTPS证书和所述待检测HTTPS证书满足第一预设条件中的至少一项，则确定所述目标网站为钓鱼网站；其中，所述第一预设条件包括：

在确定所述待检测HTTPS证书中包括的证书签发者标识和所述合法HTTPS证书中包括的证书签发者标识不匹配；

根据所述待检测HTTPS证书中的证书有效期确定所述待检测HTTPS证书在当前时刻失效；

根据所述待检测HTTPS证书中的证书是否被注销的信息确定所述待检测HTTPS证书被注销。

12.如权利要求8所述的装置，其特征在于，所述处理单元，还用于：

确定所述待检测URL使用HTTPS。

13.如权利要求12所述的装置，其特征在于，所述处理单元，还用于：

在确定所述待检测URL未使用HTTPS的情况下，上报告警信息，所述告警信息用于指示所述目标网站存在危险。

14.如权利要求8所述的装置，其特征在于，所述处理单元，还用于：

确定所述待检测URL满足第二预设条件中的任一项或任多项，其中，所述第二预设条件包括：

确定所述待检测URL的域名与至少一个预设的URL域名匹配；

确定所获取的所述待检测URL对应的网页源代码中的属性类关键词中存在至少一个与预设属性类关键词匹配；

确定所获取的所述待检测URL对应的网页源代码中输入类关键词中存在至少一个与预设输入类关键词匹配。