CN108462672A - 一种应对网络攻击的认证保护方法及系统 - Google Patents

Abstract

本申请提供一种应对网络攻击的认证保护方法及系统，其中，所述方法包括：接收用户发来的用于访问预设页面的页面访问请求，所述页面访问请求中携带所述用户的认证令牌；当所述认证令牌不合法时，生成用于让所述用户提供算力的访问验证数据，并将所述访问验证数据下发给所述用户；接收所述用户反馈的对所述访问验证数据进行计算后的明文字符串，并验证所述明文字符串经过至少一种哈希算法计算后是否命中目标哈希值；若命中，向所述用户颁发用于访问所述预设页面的认证令牌。本申请提供的应对网络攻击的认证保护方法及系统，能够有效地应对CC攻击，以缓解后台服务器的压力。

Description

一种应对网络攻击的认证保护方法及系统

技术领域

本申请涉及互联网技术领域，特别涉及一种应对网络攻击的认证保护方法及系统。

背景技术

一般来说，用户(通常是非正常的用户)对某个系统的某些功能的短时间持续访问会使得被访问的系统出现较高的负载，如果这种行为频繁和严重，通常会认为这种行为是一种攻击，称资源消耗型攻击，常见于CC攻击。

CC攻击是一种以较低的成本消耗Web服务器大量运算资源的攻击类型。在现有技术中，CC攻击的防御方式往往是通过封禁用户IP、要求用户输入验证码或者下发一些执行用户脚本写入标记等方式完整对攻击流量与正常流量的清洗。

从实践上看，封禁IP的方式会导致通过同一出口NAT访问目标系统的其他正常访客受到误伤，影响业务正常使用；传统验证码的方式在OCR或验证码识别技术的发展中逐渐出现对用户不友好或机器识别率高的情况；执行脚本(通常是JavaScript)，事实上则是人为设置了一套通信双方均能识别的“对称”算法，攻击者一旦将算法破解，则会导致防御措施全面失效。

应该注意，上面对技术背景的介绍只是为了方便对本申请的技术方案进行清楚、完整的说明，并方便本领域技术人员的理解而阐述的。不能仅仅因为这些方案在本申请的背景技术部分进行了阐述而认为上述技术方案为本领域技术人员所公知。

发明内容

本申请实施方式的目的在于提供一种应对网络攻击的认证保护方法及系统，能够有效地应对CC攻击，以缓解后台服务器的压力。

为实现上述目的，本申请一方面提供一种应对网络攻击的认证保护方法，所述方法包括：接收用户发来的用于访问预设页面的页面访问请求，所述页面访问请求中携带所述用户的认证令牌；当所述认证令牌不合法时，生成用于让所述用户提供算力的访问验证数据，并将所述访问验证数据下发给所述用户；其中，所述访问验证数据中包括至少一种哈希算法、目标哈希值以及哈希前/后缀；接收所述用户反馈的对所述访问验证数据进行计算后的明文字符串，并验证所述明文字符串经过所述至少一种哈希算法计算后是否命中所述目标哈希值；若命中，向所述用户颁发用于访问所述预设页面的认证令牌。

进一步地，所述方法还包括：当所述认证令牌合法时，将所述页面访问请求转发至所述页面访问请求指向的后台服务器；其中，所述后台服务器针对所述页面访问请求，获取与所述页面访问请求对应的页面资源；将所述页面资源转发给所述用户。

进一步地，所述认证令牌不合法包括以下至少一种：认证令牌处于有效期外；认证令牌不允许访问所述后台服务器；认证令牌出现登陆地区跳跃；认证令牌出现登陆设备跳跃。

进一步地，所述方法还包括：接收用户提交的目标哈希值和哈希前/后缀，并判断所述目标哈希值和哈希前/后缀是否被篡改以及是否被重复使用；若所述目标哈希值和哈希前/后缀没有被篡改并且没有被重复使用，验证所述明文字符串经过所述至少一种哈希算法计算后是否命中所述目标哈希值。

进一步地，在向所述用户颁发用于访问所述预设页面的认证令牌之后，所述方法还包括：将所述用户的用户信息以及颁发给所述用户的认证令牌写入数据库单元中。

进一步地，所述方法还包括：无论所述认证令牌合法或者不合法，均将所述用户发来的页面访问请求记录至系统日志中。

为实现上述目的，本申请另一方面提供一种应对网络攻击的认证保护系统，所述系统包括：页面访问请求接收单元，用于接收用户发来的用于访问预设页面的页面访问请求，所述页面访问请求中携带所述用户的认证令牌；算力数据生成单元，用于当所述认证令牌不合法时，生成用于让所述用户提供算力的访问验证数据，并将所述访问验证数据下发给所述用户；其中，所述访问验证数据中包括至少一种哈希算法、目标哈希值以及哈希前/后缀；明文字符串验证单元，用于接收所述用户反馈的对所述访问验证数据进行计算后的明文字符串，并验证所述明文字符串经过所述至少一种哈希算法计算后是否命中所述目标哈希值；认证令牌颁发单元，用于若命中，向所述用户颁发用于访问所述预设页面的认证令牌。

进一步地，所述系统还包括：反向代理单元，用于当所述认证令牌合法时，将所述页面访问请求转发至所述页面访问请求指向的后台服务器；其中，所述后台服务器针对所述页面访问请求，获取与所述页面访问请求对应的页面资源；将所述页面资源转发给所述用户。

进一步地，所述系统还包括：数据验证单元，用于接收用户提交的目标哈希值和哈希前/后缀，并判断所述目标哈希值和哈希前/后缀是否被篡改以及是否被重复使用；验证通过单元，用于若所述目标哈希值和哈希前/后缀没有被篡改并且没有被重复使用，验证所述明文字符串经过所述至少一种哈希算法计算后是否命中所述目标哈希值。

进一步地，所述系统还包括：数据库单元，用于保存所述用户的用户信息以及颁发给所述用户的认证令牌。

本发明利用一种或多种通用哈希算法，通过下发哈希算法、目标哈希值和哈希前/后缀的方式，要求用户在一定时间区间内贡献部分CPU运算能力，计算出哈希目标所对应的明文字符串。只有在所述明文字符串经过所述至少哈希算法计算后命中所述目标哈希值时，才能允许用户进行页面访问，从而极大提升了攻击者发动攻击的门槛，从而避免后台服务器频繁地受到攻击。同时，整个过程用户除感知一定的延时外，不需要进行任何操作，不严重影响用户体验。

参照后文的说明和附图，详细公开了本申请的特定实施方式，指明了本申请的原理可以被采用的方式。应该理解，本申请的实施方式在范围上并不因而受到限制。在所附权利要求的精神和条款的范围内，本申请的实施方式包括许多改变、修改和等同。

针对一种实施方式描述和/或示出的特征可以以相同或类似的方式在一个或更多个其它实施方式中使用，与其它实施方式中的特征相组合，或替代其它实施方式中的特征。

应该强调，术语“包括/包含”在本文使用时指特征、整件、步骤或组件的存在，但并不排除一个或更多个其它特征、整件、步骤或组件的存在或附加。

附图说明

所包括的附图用来提供对本申请实施方式的进一步的理解，其构成了说明书的一部分，用于例示本申请的实施方式，并与文字描述一起来阐释本申请的原理。显而易见地，下面描述中的附图仅仅是本申请的一些实施方式，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。在附图中：

图1为本申请实施方式提供的一种应对网络攻击的认证保护方法的流程图；

图2为本申请实施方式提供的一种应对网络攻击的认证保护系统的结构示意图。

具体实施方式

为了使本技术领域的人员更好地理解本申请中的技术方案，下面将结合本申请实施方式中的附图，对本申请实施方式中的技术方案进行清楚、完整地描述，显然，所描述的实施方式仅仅是本申请一部分实施方式，而不是全部的实施方式。基于本申请中的实施方式，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其它实施方式，都应当属于本申请保护的范围。

请参阅图1，本申请实施方式提供一种应对网络攻击的认证保护方法，所述方法包括以下步骤。

S1：接收用户发来的用于访问预设页面的页面访问请求，所述页面访问请求中携带所述用户的认证令牌。

在本实施方式中，用户可以根据预设页面地址进行页面访问。所述预设页面地址可以是按照固定格式进行编写的字符串。例如，所述预设页面地址可以是统一资源定位符(Uniform Resource Locator，URL)。所述固定格式可以限定预设页面地址的组成部分以及各个组成部分的排列顺序。例如，所述预设页面地址中可以包括协议标识、服务器标识和资源标识。其中，协议标识例如可以是http、https、ftp等数据传输协议的代表字符。所述服务器标识可以是服务器的名称或者服务器的IP地址。所述资源标识可以是待访问的页面中的资源在服务器中的存储名称或者是在服务器中被分配的编号。

在本实施方式中，所述页面访问请求中可以包括上述的预设页面地址。在本实施方式中，所述页面访问请求可以是根据预设格式进行编写的报文(message)。在所述页面访问请求中，可以包括预设数量的字段，各个字段均可以填充不同的内容。例如，所述页面访问请求中可以包括源IP字段、目的IP字段以及页面地址字段等。其中，源IP字段可以填充发送所述页面访问请求的客户端的IP地址，所述目的IP字段可以填充待接收所述页面访问请求的服务器的IP地址，所述页面地址字段中可以填充待访问的页面对应的页面地址。

在本实施方式中，接收所述页面访问请求的可以是认证子系统，所述页面访问请求中可以携带所述用户的认证令牌。所述认证令牌可以用于访问所述页面。

S2：当所述认证令牌不合法时，生成用于让所述用户提供算力的访问验证数据，并将所述访问验证数据下发给所述用户；其中，所述访问验证数据中包括至少一种哈希算法、目标哈希值以及哈希前/后缀。

在本实施方式中，所述认证令牌不合法，可以指所述认证令牌符合以下至少一种情况：认证令牌处于有效期外；认证令牌不允许访问所述后台服务器；认证令牌出现登陆地区跳跃；或者认证令牌出现登陆设备跳跃。

在本实施方式中，当所述认证令牌不合法时，为了避免CC攻击，可以要求发送页面访问请求的客户端贡献一部分算力。具体地，可以随机指定一种或者多种通用哈希算法的组合，然后可以随机生成目标哈希值和哈希前/后缀(也叫作salt)。所述目标哈希值可以是对预设字符串经过所述一种或者多种通用哈希算法计算得到的，所述预设字符串中可以附带所述哈希前/后缀。这样，可以将哈希算法、目标哈希值以及哈希前/后缀作为访问验证数据，并将所述访问验证数据下发给所述用户。具体地，可以将所述访问验证数据转换成JavaScript代码或者用户的客户端可执行的代码，这样，用户的客户端便可以正常对所述访问验证数据进行计算。

S3：接收所述用户反馈的对所述访问验证数据进行计算后的明文字符串，并验证所述明文字符串经过所述至少一种哈希算法计算后是否命中所述目标哈希值。

在本实施方式中，用户的客户端接收到所述访问验证数据后，可以根据所述至少一种哈希算法对所述目标哈希值和哈希前/后缀进行解算，从而得到明文字符串。在解算得到明文字符串后，用户的客户端可以将该明文字符串返回给认证保护系统。这样，认证保护系统可以验证所述明文字符串经过所述至少一种哈希算法计算后是否命中所述目标哈希值，从而确定所述用户是否具备访问预设页面的权限。

S4：若命中，向所述用户颁发用于访问所述预设页面的认证令牌。

在本实施方式中，如果所述明文字符串经过所述至少一种哈希算法计算后命中所述目标哈希值，那么表明用户提供的解算答案是正确的，因此可以向所述用户颁发用于访问所述预设页面的认证令牌。用户后续可以通过该认证令牌，访问所述预设页面。

在本申请一个实施方式中，当接收到的页面访问请求中的认证令牌合法时，可以进入反向代理过程。所述反向代理过程可以由反向代理模块将所述页面访问请求转发至所述页面访问请求指向的后台服务器。其中，所述后台服务器中可以运行所述用户想要访问的目标系统。所述后台服务器接收到转发来的页面访问请求时，可以针对所述页面访问请求，获取与所述页面访问请求对应的页面资源。所述页面资源例如可以是页面中加载的图片、视频、文字、链接等信息。

在本实施方式中，后台服务器获取到所述页面资源后，便可以将所述页面资源发给反向代理模块。然后所述反向代理模块可以将该页面资源转发给用户。这样，用户和后台服务器之间不直接进行数据通信，而是通过反向代理模块进行数据的转发，这样，用户便无法对后台服务器中运行的目标系统进行修改或者二次开发，保证了所述后台服务器中运行的目标系统的安全。

在本申请一个实施方式中，用户在计算完成之后，还可以将目标哈希值和哈希前/后缀提交给认证保护系统。这样，认证保护系统可以接收用户提交的目标哈希值和哈希前/后缀，并判断所述目标哈希值和哈希前/后缀是否被篡改以及是否被重复使用。若所述目标哈希值和哈希前/后缀没有被篡改并且没有被重复使用，则可以进行验证所述明文字符串经过所述至少一种哈希算法计算后是否命中所述目标哈希值的步骤。

在本实施方式中，在向所述用户颁发用于访问所述预设页面的认证令牌之后，还可以将所述用户的用户信息以及颁发给所述用户的认证令牌写入数据库单元中，从而可以在用户后续进行页面访问时，调用数据库单元中保存的信息进行验证。

在本实施方式中，无论所述认证令牌合法或者不合法，均可以将所述用户发来的页面访问请求记录至系统日志中，从而能够记录用户每一次尝试访问的行为。

请参阅图2，本申请实施方式还提供一种应对网络攻击的认证保护系统，所述系统包括：

页面访问请求接收单元100，用于接收用户发来的用于访问预设页面的页面访问请求，所述页面访问请求中携带所述用户的认证令牌；

算力数据生成单元200，用于当所述认证令牌不合法时，生成用于让所述用户提供算力的访问验证数据，并将所述访问验证数据下发给所述用户；其中，所述访问验证数据中包括至少一种哈希算法、目标哈希值以及哈希前/后缀；

明文字符串验证单元300，用于接收所述用户反馈的对所述访问验证数据进行计算后的明文字符串，并验证所述明文字符串经过所述至少一种哈希算法计算后是否命中所述目标哈希值；

认证令牌颁发单元400，用于若命中，向所述用户颁发用于访问所述预设页面的认证令牌。

在本实施方式中，所述系统还包括：

反向代理单元500，用于当所述认证令牌合法时，将所述页面访问请求转发至所述页面访问请求指向的后台服务器；其中，所述后台服务器针对所述页面访问请求，获取与所述页面访问请求对应的页面资源；将所述页面资源转发给所述用户。

在本实施方式中，所述系统还包括：

数据验证单元，用于接收用户提交的目标哈希值和哈希前/后缀，并判断所述目标哈希值和哈希前/后缀是否被篡改以及是否被重复使用；

验证通过单元，用于若所述目标哈希值和哈希前/后缀没有被篡改并且没有被重复使用，验证所述明文字符串经过所述至少一种哈希算法计算后是否命中所述目标哈希值。

在本实施方式中，所述系统还包括：

数据库单元，用于保存所述用户的用户信息以及颁发给所述用户的认证令牌。

本发明利用一种或多种通用哈希算法，通过下发哈希算法、目标哈希值和哈希前/后缀的方式，要求用户在一定时间区间内贡献部分CPU运算能力，计算出哈希目标所对应的明文字符串。只有在所述明文字符串经过所述至少哈希算法计算后命中所述目标哈希值时，才能允许用户进行页面访问，从而极大提升了攻击者发动攻击的门槛，从而避免后台服务器频繁地受到攻击。同时，整个过程用户除感知一定的延时外，不需要进行任何操作，不严重影响用户体验。

上面对本申请的各种实施方式的描述以描述的目的提供给本领域技术人员。其不旨在是穷举的、或者不旨在将本发明限制于单个公开的实施方式。如上所述，本申请的各种替代和变化对于上述技术所属领域技术人员而言将是显而易见的。因此，虽然已经具体讨论了一些另选的实施方式，但是其它实施方式将是显而易见的，或者本领域技术人员相对容易得出。本申请旨在包括在此已经讨论过的本发明的所有替代、修改、和变化，以及落在上述申请的精神和范围内的其它实施方式。

Claims (10)

1.一种应对网络攻击的认证保护方法，其特征在于，所述方法包括：

接收用户发来的用于访问预设页面的页面访问请求，所述页面访问请求中携带所述用户的认证令牌；

当所述认证令牌不合法时，生成用于让所述用户提供算力的访问验证数据，并将所述访问验证数据下发给所述用户；其中，所述访问验证数据中包括至少一种哈希算法、目标哈希值以及哈希前/后缀；

接收所述用户反馈的对所述访问验证数据进行计算后的明文字符串，并验证所述明文字符串经过所述至少一种哈希算法计算后是否命中所述目标哈希值；

若命中，向所述用户颁发用于访问所述预设页面的认证令牌。

2.根据权利要求1所述的应对网络攻击的认证保护方法，其特征在于，所述方法还包括：

当所述认证令牌合法时，将所述页面访问请求转发至所述页面访问请求指向的后台服务器；其中，所述后台服务器针对所述页面访问请求，获取与所述页面访问请求对应的页面资源；

将所述页面资源转发给所述用户。

3.根据权利要求1所述的应对网络攻击的认证保护方法，其特征在于，所述认证令牌不合法包括以下至少一种：

认证令牌处于有效期外；

认证令牌不允许访问所述后台服务器；

认证令牌出现登陆地区跳跃；

认证令牌出现登陆设备跳跃。

4.根据权利要求1所述的应对网络攻击的认证保护方法，其特征在于，所述方法还包括：

接收用户提交的目标哈希值和哈希前/后缀，并判断所述目标哈希值和哈希前/后缀是否被篡改以及是否被重复使用；

若所述目标哈希值和哈希前/后缀没有被篡改并且没有被重复使用，验证所述明文字符串经过所述至少一种哈希算法计算后是否命中所述目标哈希值。

5.根据权利要求1所述的应对网络攻击的认证保护方法，其特征在于，在向所述用户颁发用于访问所述预设页面的认证令牌之后，所述方法还包括：

将所述用户的用户信息以及颁发给所述用户的认证令牌写入数据库单元中。

6.根据权利要求1所述的应对网络攻击的认证保护方法，其特征在于，所述方法还包括：

无论所述认证令牌合法或者不合法，均将所述用户发来的页面访问请求记录至系统日志中。

7.一种应对网络攻击的认证保护系统，其特征在于，所述系统包括：

页面访问请求接收单元，用于接收用户发来的用于访问预设页面的页面访问请求，所述页面访问请求中携带所述用户的认证令牌；

算力数据生成单元，用于当所述认证令牌不合法时，生成用于让所述用户提供算力的访问验证数据，并将所述访问验证数据下发给所述用户；其中，所述访问验证数据中包括至少一种哈希算法、目标哈希值以及哈希前/后缀；

明文字符串验证单元，用于接收所述用户反馈的对所述访问验证数据进行计算后的明文字符串，并验证所述明文字符串经过所述至少一种哈希算法计算后是否命中所述目标哈希值；

认证令牌颁发单元，用于若命中，向所述用户颁发用于访问所述预设页面的认证令牌。

8.根据权利要求7所述的应对网络攻击的认证保护系统，其特征在于，所述系统还包括：

反向代理单元，用于当所述认证令牌合法时，将所述页面访问请求转发至所述页面访问请求指向的后台服务器；其中，所述后台服务器针对所述页面访问请求，获取与所述页面访问请求对应的页面资源；将所述页面资源转发给所述用户。

9.根据权利要求7所述的应对网络攻击的认证保护系统，其特征在于，所述系统还包括：

数据验证单元，用于接收用户提交的目标哈希值和哈希前/后缀，并判断所述目标哈希值和哈希前/后缀是否被篡改以及是否被重复使用；

验证通过单元，用于若所述目标哈希值和哈希前/后缀没有被篡改并且没有被重复使用，验证所述明文字符串经过所述至少一种哈希算法计算后是否命中所述目标哈希值。

10.根据权利要求7所述的应对网络攻击的认证保护系统，其特征在于，所述系统还包括：

数据库单元，用于保存所述用户的用户信息以及颁发给所述用户的认证令牌。