CN107463840B

CN107463840B - 一种基于网站网页名称加密的防御cc攻击的方法及装置

Info

Publication number: CN107463840B
Application number: CN201610388534.5A
Authority: CN
Inventors: 刘杰
Original assignee: Tencent Technology Shenzhen Co Ltd
Current assignee: Tencent Technology Shenzhen Co Ltd; Tencent Cloud Computing Beijing Co Ltd
Priority date: 2016-06-02
Filing date: 2016-06-02
Publication date: 2018-11-09
Anticipated expiration: 2036-06-02
Also published as: CN107463840A

Abstract

本发明涉及一种基于网站网页名称加密的防御CC攻击的方法及装置，本发明通过对网页请求中的网页名称进行解密和合法性校正的方式对于非法请求进行清洗，本发明中对网页名称进行加密，在服务器响应之前对网页请求进行解密和校验，仅仅通过分析网页请求中的网页名称即可辨识非法请求，从而实现了在服务器响应之前规避掉恶意请求的目的，最大限度地节省服务器资源，保证服务器的性能。相对于维护列表的方法，本发明节省了列表维护的成本，降低了服务器负担。

Description

一种基于网站网页名称加密的防御CC攻击的方法及装置

技术领域

本发明涉及网络安全领域，具体涉及一种基于网站网页名称加密的防御CC攻击的方法及装置。

背景技术

在互联网上有一种针对网站的攻击方式，通过不断访问目标站点的页面来消耗服务器性能，造成服务瘫痪正常用户无法使用，这种类型的攻击被成为CC攻击。

CC意为“挑战黑洞”，其前身名为Fatboy攻击，CC攻击是DDoS(分布式拒绝服务)的一种，即发送大量的请求数据来导致服务器拒绝服务，是一种连接攻击。相比其它的分布式拒绝服务攻击，CC攻击不暴露真实源IP，也不会引起特别大的异常流量，但造成服务器无法进行正常连接。

CC攻击的原理就是攻击者控制某些主机不停地发大量数据包给对方服务器造成服务器资源耗尽，一直到宕机崩溃。CC主要是用来攻击页面的，CC就是模拟多个用户不停地进行访问那些需要大量数据操作，也就是需要大量CPU时间的页面，造成服务器资源的浪费，CPU长时间处于100％，永远都有处理不完的连接直至网络拥塞，正常的访问被中止。

CC攻击手段中有一种为：针对不存在页面的攻击，即访问目标站点上不存在的页面(比如www.qq.com/sb.html)，由于服务器在处理这些页面的时候需要返回404页面，也会消耗一定资源，从而达到攻击目的。

针对这种攻击手段，常用的防御方法主要是在服务器端进行流量清洗：站点的所有cgi建立一个列表，当攻击来时先去检测访问的页面是不是当前站点的，如果是当前站点的可以访问，不是的就丢弃。但是这个方法存在两个问题：需要建立列表，维护困难，新增和删除都要操作容易遗漏；服务器需要维护列表，当网站页面多时，本身性能消耗严重。此外，如果网页很多，这种维护列表的方法本身会造成列表过大，对于每一个网页请求都需要通过列表查询的方式进行辨识，也会造成服务器负担过重，这种对于非法请求的辨识方法不仅效率低，而且成本高。

发明内容

为了解决上述技术问题，本发明提供一种基于网站网页名称加密的防御CC攻击的方法及装置，通过对网页名称进行加密，在服务器响应之前对网页请求进行校验，仅仅通过获取请求的网页名称即可辨识出非法请求请求，从而对于非法请求进行清洗，本发明辨识速度快并且耗费的资源小，能够最大限度地节省服务器资源，保证服务器的性能。

本发明是以如下技术方案实现的，一种基于网站网页名称加密的防御CC攻击的方法，所述网站的网页名称均为加密网页名称，所述方法包括：

获取网页请求，并对所述网页请求中的网页名称进行解密；

对解密后的网页名称进行合法性校正，若校正通过，则判定所述网页请求为合法网页请求，否则，判定所述网页请求为非法网页请求。

优选的，所述加密网页名称的设置方法包括：

根据网站的原始网页名称和预设校验算法计算校验码；

将所述校验码与所述原始网页名称按照预设组合算法进行组合，获得加密网页名称。

优选的，所述获取网页请求，并对所述网页请求中的网页名称进行解密包括：

获取网页请求中的网页名称；

根据所述预设组合算法从所述网页名称中解析出解密网页名称和解密校验码。

优选的，所述对解密后的网页名称进行合法性校正包括：

根据所述预设校验算法和所述解密网页名称获取验证校验码；

将所述验证校验码与所述解密校验码进行比对，

若所述验证校验码与所述解密校验码相同，则判定所述网页请求为合法网页请求，服务器响应所述网页请求，

否则，判定所述网页请求为非法网页请求，服务器忽略所述网页请求。

优选的，所述原始网页名称使用字符串表示，所述预设校验算法为：

所述字符串中的每一个字符均使用ASCII编码表示，对所述各个字符的ASCII编码进行求和，并将求和得到的总和值中的个位数值作为校验码。

优选的，所述原始网页名称使用字符串表示，所述预设组合算法为：

将所述原始网页名称作为本体码，将所述校验码附在所述本体码最后，构成加密网页名称。

一种基于网站网页名称加密的防御CC攻击的系统，包括加密网页名称生成模块、网页名称获取模块、网页名称解密模块、合法性校正模块和网页响应模块，

所述加密网页名称生成模块用于根据网站的原始网页名称生成加密网页名称，

所述网页名称获取模块用于获取网页请求，并根据所述网页请求获取网页名称，并将所述网页名称传输至所述网页名称解密模块，

所述网页名称解密模块用于根据所述网页名称解析出解密网页名称和解密校验码，并将解析的结果传输至所述合法性校验模块，

所述合法性校验模块用于对所述网页名称解密模块的解析结果进行校验，并将所述校验的结果传输至所述网页响应模块，

所述网页响应模块用于根据所述校验的结果进行网页响应。

优选的，所述加密网页名称生成模块包括校验码生成子模块和校验码添加子模块，

所述校验码生成子模块用于根据网站的原始网页名称和预设校验算法计算校验码，所述校验码添加子模块用于将所述校验码与所述原始网页名称按照预设组合算法进行组合，获得加密网页名称。

优选的，所述网页名称解密模块包括解密子模块、解密网页名称存储子模块和解密校验码存储子模块，

所述解密子模块用于根据所述预设组合算法从所述网页名称中解析出解密网页名称和解密校验码，并将所述解密校验码传输至所述解密校验码存储子模块和合法性校验模块，

所述解密子模块还用于将所述解密网页名称传输至所述解密网页名称存储子模块和合法性校验模块。

优选的，所述合法性校验模块包括验证校验码获取子模块和校验子模块，所述验证校验码获取子模块用于根据所述预设校验算法和所述解密网页名称获取验证校验码，所述校验子模块用于将所述验证校验码与所述解密校验码进行比对并将比对结果传输至所述网页响应模块。

本发明具有如下有益效果是：

(1)本发明通过对网页名称进行加密，在服务器响应之前对网页请求进行校验，从而对于非法请求进行清洗，既实现了在服务器响应之前规避掉恶意请求的目的，又能够最大限度地节省服务器资源，保证服务器的性能。

(2)本发明仅仅通过获取请求的网页名称即可辨识出非法请求，尤其是针对不存在页面的请求，相对于维护列表的方法，本发明节省了列表维护的成本，降低了服务器负担。

(3)本发明中涉及的预设校验算法和预设组合算法都能够在实际的防御CC攻击的过程中由管理员依据具体情况进行设定和改变，从而显著提升本发明的适应性，并且可以通过提高预设校验算法和预设组合算法的复杂度增强对CC攻击的防御能力。

附图说明

图1是本发明实施例中提供的一种防御CC攻击的方法流程图；

图2是本发明实施例中提供的另一种防御CC攻击的方法流程图；

图3是本发明实施例中提供的另一种防御CC攻击的方法流程图；

图4是本发明实施例中提供的一种防御CC攻击的系统示意图；

图5是本发明实施例中提供的加密网页名称生成模块示意图；

图6是本发明实施例中提供的网页名称解密模块示意图；

图7是本发明实施例中提供的合法性校验模块示意图；

图8是本发明实施例中提供的计算机终端的结构框图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明作进一步地详细描述。

CC攻击可以归为分布式拒绝服务攻击的一种。他们之间的原理都是一样的，即发送大量的请求数据来导致服务器拒绝服务，是一种连接攻击。对于单纯的静态页面不需要服务器多少资源，甚至可以说直接从内存中读出来发给你就可以了，但在网站包含很多网页，而网站内部又包括很多资源的情况下，CC攻击能够对网站造成巨大的伤害。

对于针对较为复杂的网站的网页请求，大多需要与数据库进行交互，并且从服务器获取访问请求到服务器给出响应需要消耗一定的资源，即使对于不存在的网页，服务器给出404响应也需要占用服务器资源，对于这种网站发动CC攻击很容易造成服务器宕机。

本发明实施例旨在通过访问请求的内容本身即可辨识出请求是否非法，而避免服务器对于非法请求的响应，从而最大限度地节省服务器资源。

实施例1：

一种基于网站网页名称加密的防御CC攻击的方法，如图1所示，所述方法包括以下步骤：

S101为所述网站的网页名称均设置加密网页名称。

S102.获取网页请求，并对所述网页请求中的网页名称进行解密。

S103.对解密后的网页名称进行合法性校正，若校正通过，则判定所述网页请求为合法网页请求，否则，判定所述网页请求为非法网页请求。

对网站内部网页名称进行加密使得服务器在响应网页请求之前辨识出是否请求的是本网站的网页。网络攻击者在不明确网站使用的加密方法和合法性校正方法的情况下，通过某个代理恶意发布的对于本网站并不存在的页面的访问请求，其访问请求中的网页名称必然不能通过合法性校正，而此时，服务器尚未对这种访问进行响应，因此，不会耗费服务器资源。

实施例2：

一种基于网站网页名称加密的防御CC攻击的方法，如图2所示，所述方法包括以下步骤：

所述网站的网页名称均为加密网页名称，加密过程由S201和S202实现。

S201.根据网站的原始网页名称和预设校验算法计算校验码。

具体地，所述预设校验算法可以根据网站实际情况和加密要求由网站安全管理员进行任意设计，

比如，将小写英文字符a-z与数字1-26一一对应起来，提取所述网页名称中所有的小写英文字符和数字，并将所述小写英文字符全部用对应的数字代替，对提取结果的数字进行加权求和，并将求和得到的总和值的个位数作为校验码，其中，表示原始网页名称的字符串中每个位置的字符的权值均可以进行设定。以字符串“aABC0032.html”为例，提取后为a0032.html，提取结果对应的数字为1，0，0，3，2，8，20，13，12，权值的设置方式为奇数位为1，偶数位为0，以“1，0，0，3，2，8，20，13，12”为例，权值为1，0，1，0，1，0，1，0，1，则对上述数字的加权求和的得到的总和值为35，则校验值为5。

S202.将所述校验码与所述原始网页名称按照预设组合算法进行组合，获取加密网页名称。

具体地，所述预设组合算法可以根据网站实际情况和加密要求由网站安全管理员进行任意设计，所述校验码可以附着在所述原始网页名称之后构成加密网页名称，也可以设置在所述原始网页名称之前构成加密网页名称，也可以设置在在原始网页名称中的特定位置。

具体地，通过将校验码附在所述原始网页名称之后获取加密网页名称，对于网页名称“aABC0032.html”，则校验码为“5”，加密网页名称为“aABC0032.html5”。

S203.获取网页请求中的网页名称。

S204.根据所述预设组合算法从所述网页名称中解析出解密网页名称和解密校验码。

具体地，在本实施例中，参考S202中的组合方式，将所述网页请求中的网页名称的最后一位作为解密校验码，并将除去最后一位后的字符串作为解密网页名称。若网页请求中的网页名称为“aABC0032.html9”，则解密网页名称为“aABC0032.html”，解密校验码为“9”。

S205.根据所述预设校验算法和所述解密网页名称获取验证校验码。

具体地，在本实施例中，若所述网页请求的解密网页名称为“aABC0032.html”，对于“aABC0032.html”字符串使用S201中的预设校验算法，则验证校验码为“5”。

S206.将所述验证校验码与所述解密校验码进行比对，

具体地，在本实施例中，验证校验码为“5”，解密校验码为“9”，验证校验码与解密校验码不同，判定网页请求非正常，服务器不予以响应。

本实施例中仅仅通过获取请求的网页名称即可辨识出非法请求尤其是不存在页面的请求，相对于传统的维护列表的方法，节省了列表维护的成本，降低了服务器负担。

此外，本实施例中涉及的预设校验算法和预设组合算法都能够在实际的防御CC攻击的过程中由管理员依据具体情况进行设定和改变，并且可以通过提高预设校验算法和预设组合算法的复杂度增强对CC攻击的防御能力。

实施例3：

一种基于网站网页名称加密的防御CC攻击的方法，所述网页名称均通过字符串表示，所述字符串中各个字符均能够通过ASCII编码转换为二进制数字，如图3所示，所述方法包括以下步骤：

所述网站的网页名称均为加密网页名称，加密过程由S301和S302实现。

S301.对网站的原始网页名称中各个字符的ASCII编码进行求和，并将求和得到的总和值中的个位数值作为校验码；

S302.将所述原始网页名称作为本体码，将所述校验码附在所述本体码最后，构成加密网页名称；

在为所述网站的网页名称进行加密的前提下，基于网站网页名称加密的防御CC攻击的方法包括以下步骤：

S303.获取网页请求中的网页名称；

S304.将所述网页名称的最后一个字符作为所述网页请求的解密校验码，将删除所述最后一个字符后的字符串作为所述网页请求的解密网页名称；

S305.对所述网页请求的解密网页名称中各个字符的ASCII编码进行求和，并将总和值中的个位数值作为验证校验码；

S306.将所述验证校验码与所述解密校验码进行比对，

比如，原始网页名称是a0A，a的ASCII编码为97，A的ASCII编码为65，则所述原始网页名称的校验码计算方法为(97+0+65)mod10＝2，即各个字符串求和后，再进行取余运算获取个位数值2，则加密网页名称即为a0A2。

若接收到网页请求，则先将网页请求中网页名称的最后一位取出来作为解密校验码，若删除所述最后一个字符后的字符串为a0A，则解密校验码为2就是正常请求，否则，就是非正常请求。

实施例4：

一种基于网站网页名称加密的防御CC攻击的方法，所述网页名称均通过字符串表示，所述字符串中各个字符均能够通过ASCII编码转换为二进制数字，

所述网站的网页名称均为加密网页名称，所述加密网页名称的设置方法包括：

S401.对网站的原始网页名称中各个字符的ASCII编码进行加权求和，并将求和得到的总和值中的个位数值作为校验码；

S402.将所述原始网页名称作为本体码，将所述本体码附在所述校验码之后，构成加密网页名称；

在为所述网站的网页名称进行加密的前提下，所述方法包括以下步骤：

S403.获取网页请求中的网页名称；

S404.将所述网页名称的首字符作为所述网页请求的解密校验码，将删除所述首字符后的字符串作为所述网页请求的解密网页名称；

S405.对所述网页请求的解密网页名称中各个字符的ASCII编码进行加权求和，并将求和得到的总和值中的个位数值作为验证校验码；

S406.将所述验证校验码与所述解密校验码进行比对，

网站管理者能够根据网站实际情况和加密要求对字符串中每个位置的字符的权值进行设定，从而提升解密难度，增加防御CC攻击的安全性。

比如，原始网页名称是a4A，a的ASCII编码为97，A的ASCII编码为65，权值的设置方式为奇数位为1，偶数位为0，则所述原始网页名称的校验码计算方法为(97*1+4*0+65*1)mod10＝2，即各个字符串求和后，再进行取余运算获取个位数值2，则加密网页名称即为2a4A。

若接收到网页请求，则先将网页请求中网页名称的首位字符取出来作为解密校验码，若删除首位字符后的字符串为a4A，则解密校验码为2就是正常请求，否则，就是非正常请求。

实施例3和实施例4均使用ASCII码进行预设校验算法的设计。ASCII是基于拉丁字母的一套电脑编码系统，它是现今最通用的单字节编码系统，并等同于国际标准ISO/IEC646。对于表示网页请求中的网页名称的字符串，其中的每一个字符必然有对应的ASCII码，依托ASCII码设计预设校验算法无疑既方便又高效。

实施例5：

一种基于网站网页名称加密的防御CC攻击的系统，如图4所示，包括：

加密网页名称生成模块501，用于根据网站的原始网页名称生成加密网页名称。

具体地，所述加密网页名称生成模块501如图5所示，包括：校验码生成子模块5011，用于根据网站的原始网页名称和预设校验算法计算校验码；校验码添加子模块5012，用于将所述校验码与所述原始网页名称按照预设组合算法进行组合，获得加密网页名称。

网页名称获取模块502，用于获取网页请求中的网页名称。所述网页请求获取模块502将所述网页名称传输至所述网页名称解密模块503。

网页名称解密模块503，用于根据所述预设组合算法从所述网页名称中解析出解密网页名称和解密校验码。

具体地，所述网页名称解密模块503如图6所示，包括：

解密子模块5031，用于根据所述预设组合算法从所述网页名称中解析出解密网页名称和解密校验码，

解密网页名称存储子模块5032，用于存储所述解密网页名称，

解密校验码存储子模块5033，用于存储所述解密校验码。

所述解密子模块5031将所述解密校验码传输至所述解密校验码存储子模块5033和合法性校验模块504，并将所述解密网页名称传输至所述解密网页名称存储子模块5032和合法性校验模块504。

合法性校验模块504，用于对所述网页名称解密模块的解析结果进行校验。所述合法性校验模块504将所述校验的结果传输至所述网页响应模块505。

具体地，所述合法性校验模块504如图7所示，包括：

验证校验码获取子模块5041，用于根据所述预设校验算法和所述解密网页名称获取验证校验码，

校验子模块5042，用于将所述验证校验码与所述解密校验码进行比对。

具体地，若所述验证校验码与所述解密校验码相同，则判定所述网页请求为合法网页请求，

否则，判定所述网页请求为非法网页请求。

所述网页响应模块505，用于根据所述校验的结果进行网页响应。

具体地，若所述网页请求为合法网页请求，服务器响应所述网页请求，否则，服务器忽略所述网页请求。

本实施例中通过对网页名称进行加密，在服务器响应之前对网页请求进行校验，从而对于非法请求进行清洗，既实现了在服务器响应之前规避掉恶意请求的目的，又能够最大限度地节省服务器资源，保证服务器的性能。仅仅通过获取请求的网页名称即可辨识出非法请求，尤其是不存在页面的请求，相对于维护列表的方法，本实施例显著节省了列表维护的成本，降低了服务器负担。

实施例6：

本实施例提供一种计算机终端，该计算机终端可以是计算机终端群中的任意一个计算机终端设备。可选地，在本实施例中，上述计算机终端也可以替换为移动终端等终端设备。

可选地，在本实施例中，上述计算机终端可以位于计算机网络的多个网络设备中的至少一个网络设备。

可选地，图8是根据本实施例的计算机终端的结构框图。如图8所示，该计算机终端A可以包括：一个或多个(图中仅示出一个)处理器601、存储器603以及传输装置605。

其中，存储器603可用于存储软件程序以及模块，如本实施例中的基于网站网页名称加密的防御CC攻击的方法和装置对应的程序指令/模块，处理器601通过运行存储在存储器603内的软件程序以及模块，从而执行各种功能应用以及数据处理，即实现上述的基于网站网页名称加密的防御CC攻击的技术方案。存储器603可包括高速随机存储器，还可以包括非易失性存储器，如一个或者多个磁性存储装置、闪存、或者其他非易失性固态存储器。在一些实例中，存储器603可进一步包括相对于处理器601远程设置的存储器，这些远程存储器可以通过网络连接至计算机终端A。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

上述的传输装置605用于经由一个网络接收或者发送数据。上述的网络具体实例可包括有线网络及无线网络。在一个实例中，传输装置605包括一个网络适配器，其可通过网线与其他网络设备与路由器相连从而可与互联网或局域网进行通讯。在一个实例中，传输装置605为射频模块，其用于通过无线方式与互联网进行通讯。

处理器601可以通过传输装置调用存储器603存储的信息及应用程序，以执行下述步骤：

可选的，上述处理器601还可以执行如下步骤的程序代码：

第一步，获取网页请求，并对所述网页请求中的网页名称进行解密；

第二步，对解密后的网页名称进行合法性校正，若校正通过，则判定所述网页请求为合法网页请求，响应所述网页请求，否则，判定所述网页请求为非法网页请求，忽略所述网页请求。

可选地，本实施例中的具体示例可以参考上述实施例2-实施例5中所描述的示例，本实施例在此不再赘述。

上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。

上述实施例中的集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在上述计算机可读取的存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在存储介质中，包括若干指令用以使得一台或多台计算机设备(可为个人计算机、服务器或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。

在本发明的上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其他实施例的相关描述。

以上所描述的装置实施例仅仅是示意性的，例如所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所涉及的数据传输可以是通过一些接口，也可以是电性或其它的形式。

在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims

1.一种基于网站网页名称加密的防御CC攻击的方法，其特征在于，所述网站的网页名称均为加密网页名称，所述加密网页名称的设置方法包括：根据网站的原始网页名称和预设校验算法计算校验码；将所述校验码与所述原始网页名称按照预设组合算法进行组合，获得加密网页名称；所述预设校验算法为所述原始网页名称中的每一个字符均使用ASCII编码表示，对所述各个字符的ASCII编码进行求和，并将求和得到的总和值中的个位数值作为校验码；

所述方法包括：

获取网页请求的网页名称，根据所述预设组合算法从所述网页名称中解析出解密网页名称和解密校验码；

将所述验证校验码与所述解密校验码进行比对，

2.根据权利要求1中所述的一种基于网站网页名称加密的防御CC攻击的方法，其特征在于，所述原始网页名称使用字符串表示，所述预设组合算法为：

将所述字符串作为本体码，将所述校验码附在所述本体码最后，构成加密网页名称。

3.一种基于网站网页名称加密的防御CC攻击的系统，其特征在于，包括加密网页名称生成模块、网页名称获取模块、网页名称解密模块、合法性校验模块和网页响应模块，

所述网页响应模块用于根据所述校验的结果进行网页响应；

所述加密网页名称生成模块包括校验码生成子模块和校验码添加子模块，所述校验码生成子模块用于根据网站的原始网页名称和预设校验算法计算校验码，所述校验码添加子模块用于将所述校验码与所述原始网页名称按照预设组合算法进行组合，获得加密网页名称；所述预设校验算法为所述原始网页名称中的每一个字符均使用ASCII编码表示，对所述各个字符的ASCII编码进行求和，并将求和得到的总和值中的个位数值作为校验码；

所述网页名称解密模块包括解密子模块、解密网页名称存储子模块和解密校验码存储子模块，所述解密子模块用于根据所述预设组合算法从所述网页名称中解析出解密网页名称和解密校验码，并将所述解密校验码传输至所述解密校验码存储子模块和合法性校验模块，所述解密子模块还用于将所述解密网页名称传输至所述解密网页名称存储子模块和合法性校验模块；

所述合法性校验模块包括验证校验码获取子模块和校验子模块，所述验证校验码获取子模块用于根据所述预设校验算法和所述解密网页名称获取验证校验码，所述校验子模块用于将所述验证校验码与所述解密校验码进行比对并将比对结果传输至所述网页响应模块。