CN108471432B - 防止网络应用程序接口被恶意攻击的方法 - Google Patents

Abstract

本发明公开了一种防止网络应用程序接口被恶意攻击的方法，其包括：服务端接收客户端发出的获取访问令牌的请求；服务端验证该获取访问令牌的请求是否合法，若合法则服务端生成访问令牌并将该访问令牌存入缓存，并提供给该客户端获取该访问令牌的接口；服务端接收客户端发来的附有密文的访问请求，该密文是客户端将从所述访问令牌的接口获取的访问令牌通过加密算法生成的；服务端验证收到的访问请求是否合法，若合法则处理该请求，然后将该请求的处理结果返回给客户端。其中，所述访问令牌的请求和所述访问请求均通过http协议发送。该防止网络应用程序接口被恶意攻击的方法，实现起来更加简单便捷，能够节约系统资源，降低服务端性能压力。

Description

防止网络应用程序接口被恶意攻击的方法

技术领域

本发明是关于互联网Web服务领域，特别是关于一种防止网络应用程序接口被恶意攻击的方法。

背景技术

随着互联网的快速发展和大规模普及，越来越多互联网应用采用web服务来实现数据存储和展现。例如手机app所需要的数据来自其web服务端提供的API接口，对数据的储存也是通过调用web API接口来进行数据持久化。web系统通过分布式部署和负载均衡的架构模式可达到高并发访问的承载能力，Web API接口作为数据访问和操作的入口，在访问安全控制和防止恶意攻击方面需要提供保障策略来保证数据安全和系统正常运行，大多数系统平台通过验证访问请求的身份认证过滤非法用户的访问和恶意攻击，但是某些开放身份认证的Web API接口容易被攻击。如新用户注册时发送注册验证码的Web API接口，很容易被恶意攻击。因此开放身份认证的Web API接口需要有相应的保障策略，目前大多数网站和web服务在访问安全控制方面，是通过对访问报文的加密的方式来防止恶意攻击的产生。该方式是通过在传输层将请求报文做加密处理，使用基于http的SSL协议，在实际的数据传输开始前，通讯双方进行身份认证、协商加密算法以及交换加密密钥来防止恶意攻击的产生。该方式有以下缺点：

1，SSL协议要求服务端和客户端都需要基于SSL数字证书进行双向访问认证，这就要求客户端必须实现能够基于HTTPS的传输功能，并且每次请求数据服务端和客户端都要做加密和解密处理，需要耗费双方系统大量的开销，严重降低机器的性能。

2，相关测试数据表明使用HTTPS协议(超文本传输安全协议)传输数据的工作效率只有使用HTTP协议(超文本传输协议)传输的十分之一。

3，SSL协议的数据加密安全保障是基于网络运营商发布可信赖证书的,对于企业或个人来说，部署SSL证书也存在诸多困难与不便，这也就是目前SSL证书面临的弊端。据一些用户反映，SSL证书存在技术门槛要求较高；增加了网站的运营成本；降低用户的访问速度，增加网站服务器的计算资源消耗。

公开于该背景技术部分的信息仅仅旨在增加对本发明的总体背景的理解，而不应当被视为承认或以任何形式暗示该信息构成已为本领域一般技术人员所公知的现有技术。

发明内容

本发明的目的在于提供一种防止网络应用程序接口被恶意攻击的方法，与现有的基于SSL协议的防攻击方法相比，该方法实现起来更加简单便捷，能够节约系统资源，降低服务端性能压力。

为实现上述目的，本发明提供了一种防止网络应用程序接口被恶意攻击的方法，其包括：服务端接收客户端发出的获取访问令牌的请求；服务端验证该获取访问令牌的请求是否合法，若合法则服务端生成访问令牌并将该访问令牌存入缓存，并提供给该客户端获取该访问令牌的接口；服务端接收客户端发来的附有密文的访问请求，该密文是客户端将从所述访问令牌的接口获取的访问令牌通过加密算法生成的；服务端验证收到的访问请求是否合法，若合法则处理该请求，然后将该请求的处理结果返回给客户端，其中，所述访问令牌的请求和所述访问请求均通过http协议发送。

在一优选的实施方式中，所述服务端接收的获取访问令牌的请求中包括用于标识客户端的唯一标识符字符串UUID参数，该UUID参数是客户端将字符串长度为N的原始UUID参数中加入时间戳信息后做编码形成的。

在一优选的实施方式中，所述服务端验证该获取访问令牌的请求是否合法包括：获取所述获取访问令牌的请求中的UUID参数，将其转码，然后去除其中的时间戳信息；判断剩余的字符串的长度是否等于N，若等于N，则该请求合法，否则该请求不合法。

在一优选的实施方式中，所述服务端生成访问令牌包括：将去除时间戳信息的UUID参数做哈希加密生成访问令牌。

在一优选的实施方式中，所述密文的生成方法包括：随机生成第一字符串；将该第一字符串拼接到生成的访问令牌字符串中，再做散列运算得到第二字符串；将该第二字符串的字符分组，分为多个数组；将第一字符串的字符分组，分为多个数组，该第一字符串的分组数量与所述第二字符串分组数量相同；将第一字符串和第二字符串的分组结果按数组索引合并；将合并后的数组中的每个字符串依次拼接得到新的字符串，该新的字符串即为密文。

在一优选的实施方式中，所述缓存对所述访问令牌的存储具有时限性，若访问令牌超过了存储时限，则该访问令牌不再被缓存。

在一优选的实施方式中，所述服务端验证收到的访问请求是否合法包括：验证收到的访问请求中是否包含访问密文，若不包含则该访问请求为非法请求，不处理该访问请求；若该访问请求包含访问密文，则查询缓存中是否存在该访问密文；若存在则认为该访问请求为非法攻击，将该访问请求的IP列入缓存的黑名单，若所述缓存中不存在该访问密文，则对该访问密文进行解密验证，若通过验证则该访问请求为合法请求，否则该访问请求为非法请求，不处理该访问请求。在一优选的实施方式中，所述防止网络应用程序接口被恶意攻击的方法还包括：服务端在收到每次请求时，首先要先从缓存的黑名单列表中比对该请求的IP是否为黑名单IP，若为黑名单IP则不做任何分发处理，直接返回一状态码提示客户端该IP为黑名单IP，若不为黑名单IP，则进行验证请求合法性的步骤。

在一优选的实施方式中，所述防止网络应用程序接口被恶意攻击的方法还包括：当服务端验证收到的访问请求是合法请求，则在处理该访问请求后记录该访问请求的IP以及一段时间内的该IP的访问次数；判断该段时间内该IP的访问次数是否超过访问次数阈值，若超过访问次数阈值则给客户端返回一状态码提示客户端超出访问次数的提示。

在一优选的实施方式中，给该IP发出控制访问频率的提示后，若该IP在一段时间内再次发出请求，则将该请求降级处理。

与现有技术相比，根据本发明的防止网络应用程序接口被恶意攻击的方法具有以下优点：

1，加密算法在客户端实现，服务端进行解密验证，将计算的压力平分到客户端和服务端，降低服务端性能压力；使用访问令牌和访问密文来验证请求，模拟生成访问令牌或空令牌或重复密文的非法访问都将被安全隔离处理，服务端无需进行解密验证。

2，使用标准的http协议进行访问，传输效率高，合法客户端每次请求的访问密文都动态变化结合特殊的密文生成算法保证了请求的机密性。

3，相对于部署SSL证书存在的诸多困难与不便，本策略的实现和应用更为简单便捷，并且具有很好的扩展性。

附图说明

图1是根据本发明一实施方式的安全隔离策略中服务端与客户端的交互流程；

图2是根据本发明一实施方式的限流控制策略示意图。

具体实施方式

下面结合附图，对本发明的具体实施方式进行详细描述，但应当理解本发明的保护范围并不受具体实施方式的限制。

除非另有其它明确表示，否则在整个说明书和权利要求书中，术语“包括”或其变换如“包含”或“包括有”等等将被理解为包括所陈述的元件或组成部分，而并未排除其它元件或其它组成部分。

首先，对本发明中的一些词语解释如下：

http协议：超文本传输协议(HTTP，Hypertext Transfer Protocol)是互联网上应用最为广泛的一种网络协议，是一个客户端和服务器端请求和应答的标准(TCP)。

SSL协议：Secure Socket Layer，用以保障在Internet上数据传输之安全，利用数据加密(Encryption)技术，可确保数据在网络上之传输过程中不会被截取及窃听。

Web API：网络应用程序接口。包含了广泛的功能，网络应用通过API接口，可以实现存储服务、消息服务、计算服务等能力，利用这些能力可以进行开发出强大功能的web应用。

用户鉴权：web系统识别登录用户身份和权限并根据用户权限做不同的业务处理，分配不同的访问资源。

身份认证：web服务端接收到请求时验证请求客户端的标记，用以判断该请求是否是来自服务端已授权的用户。

访问令牌：是指web客户端请求Web API接口时需要先获取的身份验证标记，与本发明中的accessToken同义。

访问密文：是指web客户端请求Web API接口时需要通过访问令牌按照固定算法生成当次访问的密文字符串，本发明中accessKey同义。

服务端：在本发明中泛指实现Web API接口服务功能的应用。

客户端：在本发明中泛指访问Web API接口服务的客户端，包括手机app，第三方服务，用户浏览器等。

对于对外开放且不需要身份认证来访问的Web API接口，根据本发明一优选的实施方式提供了一种方法防止该Web API接口被攻击，原理如下：在访问频率和客户端类型上做安全隔离和限流控制，安全隔离策略将非法请求进行隔离，限流控制对合法请求进行访问频率控制，使Web API接口服务在受到非法和高频恶意访问攻击时，能够识别请求的合法性，并做出应对的业务处理，避免对业务数据非法处理，保证数据安全和服务端应用的正常运行。该方法以更轻便简单的方式来处理Web API接口的非法恶意攻击，保障系统数据的安全和系统的安全运行。

本实施方式中安全隔离策略中，Web客户端与Web API接口服务端交互配合加密，保证合法的访问才会被处理，非法请求将被隔离。该安全隔离策略具体包括以下内容：

客户端向服务端发出获取访问令牌的请求；

服务端验证该获取访问令牌的请求是否合法，若合法则服务端生成访问令牌并将该访问令牌存入缓存，并提供给该客户端获取该访问令牌的接口；

客户端获取该访问令牌并通过固定的加密算法加密该访问令牌从而生成密文，然后将该密文附加在访问请求中，如附加在访问请求的头部发给服务端；

服务端验证收到的访问请求是否合法，若合法则从访问请求的密文中取出访问令牌，并查询所述缓存中是否还存在该访问令牌，若该访问令牌还存在，则认为该访问请求合法，并处理该请求，然后将该请求的处理结果返回给客户端。若该访问令牌不存在，客户端则重新调用访问令牌获取接口请求获取新的访问令牌。

在一实施方式中，访问令牌的请求以及生成的具体操作如下：

服务端提供访问令牌获取的HTTP接口，定义接口内容如下：

获取访问令牌请求描述：

访问协议	请求方法	请求路径	意义
				http	POST	/auth	获取访问令牌

获取访问令牌请求的参数：

获取访问令牌的响应结果：

服务端提供了获取访问令牌请求的固定访问路径接口/auth供客户端调用，从而生成客户端访问所需的访问令牌，获取访问令牌请求的参数UUID为标识客户端的唯一标识字符串，通过http post方式发送该请求，并要求客户端发送请求时将请求中参数末尾补充11位时间戳再做64位编码转码。服务端接收到请求后，按下面步骤生成访问令牌：

第1步：取得UUID参数转码后去除末尾11位时间戳，剩余字符串长度非32位，则请求不合法，不做处理，长度为32位，则请求合法，进行第2步。

第2步：将验证后的UUID请求参数做2次MD5哈希加密生成16位字符串的访问令牌，并存入缓存中，并设置缓存时间，同时返回生成的访问令牌给客户端。

访问令牌存入有时限的缓存中，在缓存到期时，服务端提示访问令牌不存在，客户端则重新调用访问令牌获取接口取得新的访问令牌，非法攻击则不会重新获取访问令牌。

在该实施方式中，客户端取得访问令牌后，每次访问的访问密文的生成的具体操作如下：

第1步：随机生成4位长度字符串randStr{4}(内容为数字或字母或数字和字母组合)。

公式：randStr{4}

值示例：ds32或Dh08或Hedd

第2步：将randStr{4}拼接到accessToken(访问令牌)字符串后，再做MD5散列运算得到16位长度字符串，如：

公式：md5(accessToken+randStr{4}){16}

示例值：AdcfenfeKstj31kf’

第3步：分组操作

将第二步生成的16位字符串按4位一组分组，分成4个数组。

公式：group(md5(accessToken+randStr{4}){16})[4]

示例值：[‘Adcf’,’enfe’,‘Kstj’,’31kf’]

将第一步生成的随机字符串按4位一组分组，分成4个数组。

公式：group(randStr{4})[4]

示例值：[d,s,3,2]

第4步：分组合并

将第三步两次分组结果按数组索引合并。

公式：combine(group(t)+group(r))[4]

运算示例：group(t)：[‘Adcf’,’enfe’,‘Kstj’,’31kf’]

group(r)：[d,s,3,2]

combine：[‘Adcfd,’enfes’,‘Kstj3’,’31kf2’]

第5步：将combine(group(t)+group(r))得到的数组里每个字符串依次拼接，得到20位长度字符串。

公式：key{20}＝combine[0]+combine[1]+combine[2]+combine[3]

示例值：‘AdcfdenfesKstj331kf2’

上述算法中用随机生成的字符串作为hash算法的盐值来提高破解难度，盐值每次都不同，所以每次散列出的值都不会重复，攻击者很难找到规律。

在该实施方式中，服务端收到访问请求后(除获取访问令牌请求外)，对访问请求进行合法性验证具体包括以下操作：

第1步，验证请求头中是否包含访问密文，不包含则为非法请求。

第2步，验证请求头中访问密文中包含的访问令牌的合法性。通过密文算法的逆向运算从访问密文中取出访问令牌，与服务端缓存中保存的访问令牌对比，如果该令牌还存在则有效，如果令牌不在缓存中提示客户端，重新获取访问令牌再访问。

第3步，验证请求中访问密文的唯一性，请求成功的访问密文服务端已做记录，重复访问密文的访问请求视为非法攻击，请求IP将被记录到黑名单IP列表中。如果该访问请求的访问密文是唯一的，则对该访问密文进行解密验证，若通过验证则该访问请求为合法请求，否则该访问请求为非法请求，不处理该访问请求。

为了加强理解，图1示出了一实施方式中安全隔离策略中客户端与服务端交互的详细流程。该安全隔离策略中，客户端和服务端的交互流程包括：1.客户端发送访问令牌请求；2.服务端的Web API接口验证该访问请求的参数；3.参数验证通过，则服务端生成访问令牌，存入缓存；4.服务端的Web API接口给客户端返回访问令牌；5.客户端结合访问令牌，根据固定的算法生成访问密文；6.客户端将访问密文写入访问请求的请求头；7，客户端发送该访问请求；8，服务端的Web API接口验证该访问请求的合法性；若验证不通过，则进行步骤8.1：不处理该请求并且进行步骤8.1.1：提示客户端该请求为非法请求；若验证通过，则进行步骤8.2：记录该请求的密文到缓存。

在上述实施方式的安全策略中，加密算法在客户端实现，服务端进行解密验证，将计算的压力平分到客户端和服务端，降低服务端性能压力；使用访问令牌和访问密文来验证请求，模拟生成访问令牌或空令牌或重复密文的非法访问都将被安全隔离处理，服务端无需进行解密验证。使用标准的http协议进行访问，传输效率高，合法客户端每次请求的访问密文都动态变化结合特殊的密文生成算法保证了请求的机密性。

在本实施方式中，还增加了限流控制策略来进一步抵御Web API接口被恶意攻击，优选地，如图2所示，限流策略包括：1，对黑名单IP访问进行限流控制；2，对访问频率较高的合法请求进行限流控制。

对黑名单IP访问进行限流控制：当客户端每次新的请求发生时，服务端从缓存的黑名单列表中比对访问IP是否为黑名单IP，如果是web黑名单IP的访问将不会做任何分发处理，直接返回特定请求状态码，如http 500状态码。该对黑名单IP访问的限流控制步骤优先于上述安全隔离策略执行。

对访问频率较高的合法请求进行限流控制：合法请求访问web服务端时，服务端记录了每次请求的访问IP和当前的访问次数，并按照固定的单位时间(如每分钟)计算单位时间内允许的访问数，达到单位时间内访问次数阀值，直接返回特定请求状态码，如http 406状态码，客户端根据服务端返回的http406状态码，做友好提示。

前述对本发明的具体示例性实施方案的描述是为了说明和例证的目的。这些描述并非想将本发明限定为所公开的精确形式，并且很显然，根据上述教导，可以进行很多改变和变化。对示例性实施例进行选择和描述的目的在于解释本发明的特定原理及其实际应用，从而使得本领域的技术人员能够实现并利用本发明的各种不同的示例性实施方案以及各种不同的选择和改变。本发明的范围意在由权利要求书及其等同形式所限定。

Claims (4)

1.一种防止网络应用程序接口被恶意攻击的方法，其特征在于，包括：

服务端接收客户端发出的获取访问令牌的请求；

服务端验证该获取访问令牌的请求是否合法，若合法则服务端生成访问令牌并将该访问令牌存入缓存，并提供给该客户端获取该访问令牌的接口，其中，所述缓存对所述访问令牌的存储具有时限性，若访问令牌超过了存储时限，则该访问令牌不再被缓存；

服务端接收客户端发来的附有密文的访问请求，该密文是客户端将从所述访问令牌的接口获取的访问令牌通过加密算法生成的；以及

服务端验证收到的访问请求是否合法，若合法则处理该访问请求，然后将该访问请求的处理结果返回给客户端，

其中，所述访问令牌的请求和所述访问请求均通过http协议发送，

其中，所述服务端接收的获取访问令牌的请求中包括用于标识客户端的唯一标识符字符串UUID参数，该UUID参数是客户端将字符串长度为N的原始UUID参数中加入时间戳信息后做编码形成的，

其中，所述服务端验证该获取访问令牌的请求是否合法包括：

获取所述获取访问令牌的请求中的UUID参数，将其转码，然后去除其中的时间戳信息；以及

判断剩余的字符串的长度是否等于N，若等于N，则该获取访问令牌的请求合法，否则该获取访问令牌的请求不合法，

其中，所述服务端生成访问令牌包括：

将去除时间戳信息的UUID参数做哈希加密生成访问令牌，

其中，所述密文的生成方法包括：

随机生成第一字符串；

将该第一字符串拼接到生成的访问令牌字符串中，再做散列运算得到第二字符串；

将该第二字符串的字符分组，分为多个数组；

将第一字符串的字符分组，分为多个数组，该第一字符串的分组数量与所述第二字符串分组数量相同；

将第一字符串和第二字符串的分组结果按数组索引合并；以及

将合并后的数组中的每个字符串依次拼接得到新的字符串，该新的字符串即为密文，

其中，所述服务端验证收到的访问请求是否合法包括：

验证收到的访问请求中是否包含密文，若不包含则该访问请求为非法请求，不处理该访问请求；

若该访问请求包含密文，则查询缓存中是否存在该密文；若存在则认为该访问请求为非法攻击，将该访问请求的IP列入缓存的黑名单，若所述缓存中不存在该密文，则对该密文进行解密验证，若通过验证则该访问请求为合法请求，否则该访问请求为非法请求，不处理该访问请求。

2.如权利要求1所述的防止网络应用程序接口被恶意攻击的方法，其特征在于，所述防止网络应用程序接口被恶意攻击的方法还包括：

服务端在收到每次请求时，首先要先从缓存的黑名单列表中比对访问的IP是否为黑名单IP，若为黑名单IP则不做任何分发处理，直接返回一状态码提示客户端该IP为黑名单IP，若不为黑名单IP，则进行验证请求合法性的步骤。

3.如权利要求1所述的防止网络应用程序接口被恶意攻击的方法，其特征在于，所述防止网络应用程序接口被恶意攻击的方法还包括：

当服务端验证收到的访问请求是合法请求，则在处理该访问请求后记录该访问请求的IP以及一段时间内的该IP的访问次数；以及

判断该段时间内该IP的访问次数是否超过访问次数阈值，若超过访问次数阈值则给客户端返回一状态码提示客户端超出访问次数的提示。

4.如权利要求3所述的防止网络应用程序接口被恶意攻击的方法，其特征在于，给该IP发出控制访问频率的提示后，若该IP在一段时间内再次发出请求，则将该请求降级处理。

Images