CN109194621B - 流量劫持的检测方法、装置及系统 - Google Patents

流量劫持的检测方法、装置及系统 Download PDF

Info

Publication number
CN109194621B
CN109194621B CN201810895136.1A CN201810895136A CN109194621B CN 109194621 B CN109194621 B CN 109194621B CN 201810895136 A CN201810895136 A CN 201810895136A CN 109194621 B CN109194621 B CN 109194621B
Authority
CN
China
Prior art keywords
url
host name
traffic hijacking
related information
security server
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201810895136.1A
Other languages
English (en)
Other versions
CN109194621A (zh
Inventor
郑劲松
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Qihoo Technology Co Ltd
Original Assignee
Beijing Qihoo Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Qihoo Technology Co Ltd filed Critical Beijing Qihoo Technology Co Ltd
Priority to CN201810895136.1A priority Critical patent/CN109194621B/zh
Publication of CN109194621A publication Critical patent/CN109194621A/zh
Application granted granted Critical
Publication of CN109194621B publication Critical patent/CN109194621B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1466—Active attacks involving interception, injection, modification, spoofing of data unit addresses, e.g. hijacking, packet injection or TCP sequence number attacks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Information Transfer Between Computers (AREA)

Abstract

本发明公开了一种流量劫持的检测方法、装置及系统，涉及数据安全技术领域，能够解决现有技术无法检测流量劫持URL的问题。方法包括：获取当前网页包含的目标URL中主机名的相关信息，目标URL是与当前网页非同源的URL；将获取的主机名的相关信息上报给安全服务器，以便安全服务器判断上报的主机名的相关信息是否在当前网页对应的参考列表中；接收安全服务器下发的URL上传指令，URL上传指令包括未包含在参考列表中的主机名的相关信息；向安全服务器上传未包含在参考列表中的主机名的相关信息所对应的URL，以便安全服务器根据在预设网络范围内对上传的URL的访问信息，确定上传的URL是否为具有流量劫持行为的URL。本发明主要适用于识别流量劫持URL的场景中。

Description

流量劫持的检测方法、装置及系统
技术领域
本发明涉及数据安全技术领域，特别是涉及一种流量劫持的检测方法、装置及系统。
背景技术
流量劫持是指利用各种恶意软件修改浏览器、锁定主页或不停弹出新窗口等方式，强制用户访问某些网站，从而造成用户流量损失的行为。其实，流量劫持是一种古老的攻击方式，比如早已见惯的广告弹窗等，很多用户已经对此麻木，并认为流量劫持不会造成什么损失。而事实上，流量劫持可以通过多种你无法觉察的方式窃取各种密码、个人信息等，还可以植入木马病毒，盗窃个人财产。另外，由于原始网站上也会增加一些安全的广告弹窗等信息，所以对于一个网页中存在的URL(Uniform Resource Locator，统一资源定位符)，还是比较难区分哪些是安全URL，哪些是流量劫持URL的，并且目前也没有检测流量劫持URL的具体方案。
发明内容
有鉴于此，本发明提供的流量劫持的检测方法、装置及系统，其目的在于解决现有技术无法检测流量劫持URL的问题。
本发明的目的是采用以下技术方案来实现的：
第一方面，本发明提供了一种流量劫持的检测方法，所述方法包括：
获取当前网页包含的目标统一资源定位符URL中主机名的相关信息，所述目标URL是与所述当前网页非同源的URL，所述主机名的相关信息包括主机名或者主机名的运算值；
将获取的主机名的相关信息上报给安全服务器，以便所述安全服务器判断上报的主机名的相关信息是否在所述当前网页对应的参考列表中，所述参考列表包括所述安全服务器通过安全网络访问所述当前网页所对应的服务器时，记录的所述当前网页包含的目标URL中主机名的相关信息；
接收所述安全服务器下发的URL上传指令，所述URL上传指令包括未包含在所述参考列表中的主机名的相关信息；
向所述安全服务器上传所述未包含在所述参考列表中的主机名的相关信息所对应的URL，以便所述安全服务器根据在预设网络范围内对所述上传的URL的访问信息，确定所述上传的URL是否为具有流量劫持行为的URL。
第二方面，本发明提供了一种流量劫持的检测方法，所述方法包括：
接收客户端上报的、当前网页包含的目标统一资源定位符URL中主机名的相关信息，所述目标URL是与所述当前网页非同源的URL，所述主机名的相关信息包括主机名或者主机名的运算值；
判断接收到的主机名的相关信息是否包含在所述当前网页对应的参考列表中，所述参考列表包括通过安全网络访问所述当前网页所对应的服务器时，记录的所述当前网页包含的目标URL中主机名的相关信息；
若存在未包含在所述参考列表中的主机名的相关信息，则向所述客户端下发URL上传指令，所述URL上传指令用于指示所述客户端上传未包含在所述参考列表中的主机名的相关信息所对应的URL；
接收所述客户端上传的URL，并根据在预设网络范围内对所述上传的URL的访问信息，确定所述上传的URL是否为具有流量劫持行为的URL。
第三方面，本发明提供了一种流量劫持的检测装置，所述装置包括：
获取单元，用于获取当前网页包含的目标统一资源定位符URL中主机名的相关信息，所述目标URL是与所述当前网页非同源的URL，所述主机名的相关信息包括主机名或者主机名的运算值；
发送单元，用于将获取的主机名的相关信息上报给安全服务器，以便所述安全服务器判断上报的主机名的相关信息是否在所述当前网页对应的参考列表中，所述参考列表包括所述安全服务器通过安全网络访问所述当前网页所对应的服务器时，记录的所述当前网页包含的目标URL中主机名的相关信息；
接收单元，用于接收所述安全服务器下发的URL上传指令，所述URL上传指令包括未包含在所述参考列表中的主机名的相关信息；
所述发送单元，还用于向所述安全服务器上传所述未包含在所述参考列表中的主机名的相关信息所对应的URL，以便所述安全服务器根据在预设网络范围内对所述上传的URL的访问信息，确定所述上传的URL是否为具有流量劫持行为的URL。
第四方面，本发明提供了一种流量劫持的检测装置，所述装置包括：
接收单元，用于接收客户端上报的、当前网页包含的目标统一资源定位符URL中主机名的相关信息，所述目标URL是与所述当前网页非同源的URL，所述主机名的相关信息包括主机名或者主机名的运算值；
判断单元，用于判断接收到的主机名的相关信息是否包含在所述当前网页对应的参考列表中，所述参考列表包括通过安全网络访问所述当前网页所对应的服务器时，记录的所述当前网页包含的目标URL中主机名的相关信息；
发送单元，用于当存在未包含在所述参考列表中的主机名的相关信息时，向所述客户端下发URL上传指令，所述URL上传指令用于指示所述客户端上传未包含在所述参考列表中的主机名的相关信息所对应的URL；
所述接收单元，还用于接收所述客户端上传的URL；
确定单元，用于根据在预设网络范围内对所述上传的URL的访问信息，确定所述上传的URL是否为具有流量劫持行为的URL。
第五方面，本发明提供了一种存储介质，所述存储介质存储有多条指令，所述指令适用于由处理器加载并执行如第一方面所述的流量劫持的检测方法，或执行如第二方面所述的流量劫持的检测方法。
第六方面，本发明提供了一种流量劫持的检测装置，所述装置包括存储介质和处理器；
所述处理器，适于实现各指令；
所述存储介质，适于存储多条指令；
所述指令适于由所述处理器加载并执行如第一方面所述的流量劫持的检测方法。
第七方面，本发明提供了一种流量劫持的检测装置，所述装置包括存储介质和处理器；
所述处理器，适于实现各指令；
所述存储介质，适于存储多条指令；
所述指令适于由所述处理器加载并执行如第二方面所述的流量劫持的检测方法。
第八方面，本发明提供了一种流量劫持的检测系统，所述系统包括客户端和安全服务器，所述客户端包括第六方面所述的装置，所述安全服务器包括第七方面所述的装置。
借由上述技术方案，本发明提供的流量劫持的检测方法、装置及系统，能够当用户访问某网页时，获取当前网页(即被访问网页)包含的与该当前网页非同源的URL(即目标URL)中主机名或者主机名的运算值(即主机名的相关信息)，然后将获取的主机名的相关信息上报给安全服务器，由安全服务器获取通过安全网络访问当前网页所对应的服务器时，生成的记录有当前网页包含的目标URL中主机名的相关信息的参考列表，然后判断上报的主机名的相关信息是否在该参考列表中，若存在主机名的相关信息未包含在参考列表中，则由于参考列表是通过安全服务器直接访问当前网页对应的服务器记录的目标URL中主机名的相关信息，且安全服务器直接访问当前网页对应的服务器时被流量劫持的可能性很小，所以参考列表中记录的主机名的相关信息都是非流量劫持URL的主机名的相关信息，从而说明未包含在参考列表中的主机名的相关信息对应的URL很可能是具有流量劫持行为的URL，故需要让客户端上传该主机名的相关信息对应的URL，以便安全服务器根据在预设网络范围内对上传的URL的访问信息，进一步确定上传的URL是否为具有流量劫持行为的URL。由此可知，本发明不但可以检测出具有流量劫持行为的URL，而且在上报非同源URL时，本发明客户端只向安全服务器上报数据量相较小的URL中主机名的相关信息，而不是直接上报所有非同源URL，并且待安全服务器确定出可疑主机名的相关信息后，只需让客户端上报可疑主机名的相关信息对应的URL，从而可以节省上报流量，提高检测效率。
上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。
附图说明
通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：
图1示出了本发明实施例提供的一种流量劫持的检测方法的流程图；
图2示出了本发明实施例提供的另一种流量劫持的检测方法的流程图；
图3示出了本发明实施例提供的一种流量劫持的检测装置的组成框图；
图4示出了本发明实施例提供的另一种流量劫持的检测装置的组成框图；
图5示出了本发明实施例提供的又一种流量劫持的检测装置的组成框图；
图6示出了本发明实施例提供的再一种流量劫持的检测装置的组成框图。
具体实施方式
下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。
本发明实施例提供了一种流量劫持的检测方法，所述方法主要应用于客户端侧，如图1所示，所述方法主要包括：
101、获取当前网页包含的目标URL中主机名的相关信息。
所述目标URL是与所述当前网页非同源的URL，即与所述当前网页非同域名的URL。由于与当前网页同源的URL肯定是原始网页中包含的URL，而与当前网页非同源的URL可能是原始网页中包含的URL，也可能是在当前网页所对应的服务器向当前网页所属客户端发送当前网页的过程中，被恶意程序加入的具有流量劫持行为的URL。因此，当用户访问当前网页时，可以获取当前网页中包含的目标URL进行流量劫持识别。
由于有的URL除了包括协议、主机名(即hostname)、路径及文件名外，还包括端口号、参数(即parameters)、查询(？query)等信息，所以当获取的目标URL较多时，其数据量也是很大的。因此，如直接将所有目标URL上报给安全服务器进行流量劫持识别，需要消耗较大的上传流量，为了节省流量，可以先上传所有目标URL的主机名的相关信息，待安全服务器确定可疑主机名的相关信息后，再仅上传对应的URL。
其中，所述主机名的相关信息包括主机名或者主机名的运算值。所述主机名的运算值可以为所述主机名的MD5(Message-Digest Algorithm 5，消息摘要算法第五版)值，也可以是对主机名进行其他算法运算后得到的运算值。
示例性的，某一目标URL为https://www.abc.com/zhangcanyan/article/details/51348148，则该目标URL的主机名为www.abc.com。
102、将获取的主机名的相关信息上报给安全服务器，以便所述安全服务器判断上报的主机名的相关信息是否在所述当前网页对应的参考列表中。
其中，所述参考列表包括所述安全服务器通过安全网络访问所述当前网页所对应的服务器时，记录的所述当前网页包含的目标URL中主机名的相关信息。由于安全服务器直接访问当前网页对应的服务器时被流量劫持的可能性很小，且又是通过安全网络进行访问的，所以参考列表中记录的主机名的相关信息都是非流量劫持URL的主机名的相关信息，从而安全服务器可以通过将客户端上报的主机名的相关信息与参考列表进行匹配，查找出可疑的主机名的相关信息。
103、接收所述安全服务器下发的URL上传指令。
其中，所述URL上传指令包括未包含在所述参考列表中的主机名的相关信息，即安全服务器查找出未包含在参考列表中的主机名的相关信息后，生成一个URL上传指令，让客户端上传未包含在所述参考列表中的主机名的相关信息所对应的URL。
104、向所述安全服务器上传所述未包含在所述参考列表中的主机名的相关信息所对应的URL，以便所述安全服务器根据在预设网络范围内对所述上传的URL的访问信息，确定所述上传的URL是否为具有流量劫持行为的URL。
其中，安全服务器根据在预设网络范围内对上传的URL的访问信息，确定所述上传的URL是否为具有流量劫持行为的URL的实现方式可以参见下述步骤204的详解，在此不再赘述。
本发明实施例提供的流量劫持的检测方法，能够当用户访问某网页时，获取当前网页(即被访问网页)包含的与该当前网页非同源的URL(即目标URL)中主机名或者主机名的运算值(即主机名的相关信息)，然后将获取的主机名的相关信息上报给安全服务器，以便安全服务器获取通过安全网络访问当前网页所对应的服务器时，生成的记录有当前网页包含的目标URL中主机名的相关信息的参考列表，然后判断上报的主机名的相关信息是否在该参考列表中，若存在主机名的相关信息未包含在参考列表中，则由于参考列表是通过安全服务器直接访问当前网页对应的服务器记录的目标URL中主机名的相关信息，且安全服务器直接访问当前网页对应的服务器时被流量劫持的可能性很小，所以参考列表中记录的主机名的相关信息都是非流量劫持URL的主机名的相关信息，从而说明未包含在参考列表中的主机名的相关信息对应的URL很可能是具有流量劫持行为的URL，故需要让客户端上传该主机名的相关信息对应的URL，以便安全服务器根据在预设网络范围内对上传的URL的访问信息，进一步确定上传的URL是否为具有流量劫持行为的URL。由此可知，本发明实施例不但可以检测出具有流量劫持行为的URL，而且在上报非同源URL时，本发明实施例客户端只向安全服务器上报数据量相较小的URL中主机名的相关信息，而不是直接上报所有非同源URL，并且待安全服务器确定出可疑主机名的相关信息后，只需让客户端上报可疑主机名的相关信息对应的URL，从而可以节省上报流量，提高检测效率。
可选的，在安全服务器确定出具有流量劫持行为的URL后，为了防止具有流量劫持行为的URL再次进行流量劫持，给用户造成损失，客户端还可以接收所述安全服务器下发的流量劫持库，当接收到访问某网页的访问请求后，将被访问网页包含的URL中与所述流量劫持库中的URL相同的URL进行拦截。
其中，所述流量劫持库中包括具有流量劫持行为的URL，还可以包括每个网页的URL，将每个网页的URL和该网页中包含的具有流量劫持行为的URL进行对应存储，以便客户端快速判断待确定的URL是否为具有流量劫持行为的URL。
需要说明的是，上述方法实施例中的客户端可以是当前网页所属的客户端，即在现有当前网页所属的客户端中嵌入能够实现上述方案的程序，与安全服务器进行交互，实现对流量劫持URL的识别；也可以是专门与安全服务器对应的安全客户端，通过安全客户端从当前网页所属的客户端获取当前网页，然后与安全服务器进行交互，实现对流量劫持URL的识别。
进一步的，依据上述方法实施例，本发明的另一个实施例还提供了一种流量劫持的检测方法，所述方法主要应用于安全服务器侧，如图2所示，所述方法主要包括：
201、接收客户端上报的、当前网页包含的目标URL中主机名的相关信息。
其中，所述目标URL是与所述当前网页非同源的URL，即与所述当前网页非同域名的URL。由于与当前网页同源的URL肯定是原始网页中包含的URL，而与当前网页非同源的URL可能是原始网页中包含的URL，也可能是在当前网页所对应的服务器向当前网页所属客户端发送当前网页的过程中，被恶意程序加入的具有流量劫持行为的URL。因此，当用户访问当前网页时，客户端可以获取当前网页中包含的目标URL让安全服务器进行流量劫持识别。又由于有的URL除了包括协议、主机名、路径及文件名外，还包括端口号、参数、查询等信息，所以当客户端获取的目标URL较多时，其数据量也是很大的。因此，如直接将所有目标URL上报给安全服务器进行流量劫持识别，需要消耗较大的上传流量，为了节省流量，可以先上传所有目标URL的主机名的相关信息，待安全服务器确定可疑主机名的相关信息后，再仅上传对应的URL。
其中，所述主机名的相关信息包括主机名或者主机名的运算值。所述主机名的运算值可以是所述主机名的MD5值，也可以是对主机名进行其他算法运算后得到的运算值。
202、判断接收到的主机名的相关信息是否包含在所述当前网页对应的参考列表中。
其中，所述参考列表包括通过安全网络访问所述当前网页所对应的服务器时，记录的所述当前网页包含的目标URL中主机名的相关信息。由于安全服务器直接访问当前网页对应的服务器时被流量劫持的可能性很小，且又是通过安全网络进行访问的，所以参考列表中记录的主机名的相关信息都是非流量劫持URL的主机名的相关信息，从而安全服务器可以通过将客户端上报的主机名的相关信息与参考列表进行匹配，查找出可疑的主机名的相关信息。
示例性的，若主机名的相关信息是主机名的MD5值，且针对当前网页，客户端上报的MD5值包括MD51、MD52、MD53和MD54，安全服务器侧预先存储的当前网页的参考列表包括MD51、MD52和MD53，则可以确定MD54不包含在参考列表中，MD54所对应的URL很可能是具有流量劫持行为的URL，需要从客户端获取该URL进行进一步识别。
203、若存在未包含在所述参考列表中的主机名的相关信息，则向所述客户端下发URL上传指令。
当某主机名的相关信息未包含在参考列表中时，该主机名的相关信息所对应的URL具有流量劫持行为的可能性很大，因此，若存在未包含在所述参考列表中的主机名的相关信息，则需要向客户端下发URL上传指令，用于指示所述客户端上传未包含在所述参考列表中的主机名的相关信息所对应的URL。
204、接收所述客户端上传的URL，并根据在预设网络范围内对所述上传的URL的访问信息，确定所述上传的URL是否为具有流量劫持行为的URL。
具体的，安全服务器接收到客户端上传的URL后，可以统计在预设网络范围内对所述上传的URL的访问次数；当所述访问次数大于预设次数阈值时，确定所述上传的URL为具有流量劫持行为的URL；或者，将访问次数最多的URL确定为具有流量劫持行为的URL。
其中，由于流量劫持具有地域性，所以可以针对不同的地域分别识别同一网页中存在的具有流量劫持行为的URL。也就是说，安全服务器接收到客户端上传的URL后，可以收集客户端所属地域内(即预设网络范围内)所有客户端上传的针对同一网页的可疑URL，然后统计每个URL的访问次数，并根据访问次数，确定该URL是否为具有流量劫持行为的URL。
本发明实施例提供的流量劫持的检测方法，能够由安全服务器接收客户端上报的当前网页(即被访问网页)包含的目标URL(即与该当前网页非同源的URL)中主机名的相关信息(包括主机名或者主机名的运算值)，然后安全服务器获取通过安全网络访问当前网页所对应的服务器时，生成的记录有当前网页包含的目标URL中主机名的相关信息的参考列表，并判断上报的主机名的相关信息是否在该参考列表中，若存在主机名的相关信息未包含在参考列表中，则由于参考列表是通过安全服务器直接访问当前网页对应的服务器记录的目标URL中主机名的相关信息，且安全服务器直接访问当前网页对应的服务器时被流量劫持的可能性很小，所以参考列表中记录的主机名的相关信息都是非流量劫持URL的主机名的相关信息，从而说明未包含在参考列表中的主机名的相关信息对应的URL很可能是具有流量劫持行为的URL，故需要让客户端上传该主机名的相关信息对应的URL，以便安全服务器根据在预设网络范围内对上传的URL的访问信息，进一步确定上传的URL是否为具有流量劫持行为的URL。由此可知，本发明实施例不但可以检测出具有流量劫持行为的URL，而且在上报非同源URL时，本发明实施例客户端只向安全服务器上报数据量相较小的URL中主机名的相关信息，而不是直接上报所有非同源URL，并且待安全服务器确定出可疑主机名的相关信息后，只需让客户端上报可疑主机名的相关信息对应的URL，从而可以节省上报流量，提高检测效率。
可选的，在安全服务器确定出具有流量劫持行为的URL后，为了防止具有流量劫持行为的URL再次进行流量劫持，给用户造成损失，安全服务器可以建立包含具有流量劫持行为的URL的流量劫持库，并将所述流量劫持库下发给所述客户端，以便所述客户端根据所述流量劫持库拦截具有流量劫持行为的URL。
进一步的，依据上述方法实施例，本发明的另一个实施例还提供了一种流量劫持的检测装置，所述装置主要应用于客户端，如图3所示，所述装置主要包括：
获取单元31，用于获取当前网页包含的目标统一资源定位符URL中主机名的相关信息，所述目标URL是与所述当前网页非同源的URL，所述主机名的相关信息包括主机名或者主机名的运算值；
发送单元32，用于将获取的主机名的相关信息上报给安全服务器，以便所述安全服务器判断上报的主机名的相关信息是否在所述当前网页对应的参考列表中，所述参考列表包括所述安全服务器通过安全网络访问所述当前网页所对应的服务器时，记录的所述当前网页包含的目标URL中主机名的相关信息；
接收单元33，用于接收所述安全服务器下发的URL上传指令，所述URL上传指令包括未包含在所述参考列表中的主机名的相关信息；
所述发送单元32，还用于向所述安全服务器上传所述未包含在所述参考列表中的主机名的相关信息所对应的URL，以便所述安全服务器根据在预设网络范围内对所述上传的URL的访问信息，确定所述上传的URL是否为具有流量劫持行为的URL。
可选的，所述接收单元33，还用于接收所述安全服务器下发的流量劫持库，所述流量劫持库中包括具有流量劫持行为的URL；
如图4所示，所述装置还包括：
拦截单元34，用于当接收到访问某网页的访问请求后，将被访问网页包含的URL中与所述流量劫持库中的URL相同的URL进行拦截。
可选的，所述主机名的运算值包括所述主机名的消息摘要算法第五版MD5值。
本发明实施例提供的流量劫持的检测装置，能够当用户访问某网页时，获取当前网页(即被访问网页)包含的与该当前网页非同源的URL(即目标URL)中主机名或者主机名的运算值(即主机名的相关信息)，然后将获取的主机名的相关信息上报给安全服务器，以便安全服务器获取通过安全网络访问当前网页所对应的服务器时，生成的记录有当前网页包含的目标URL中主机名的相关信息的参考列表，然后判断上报的主机名的相关信息是否在该参考列表中，若存在主机名的相关信息未包含在参考列表中，则由于参考列表是通过安全服务器直接访问当前网页对应的服务器记录的目标URL中主机名的相关信息，且安全服务器直接访问当前网页对应的服务器时被流量劫持的可能性很小，所以参考列表中记录的主机名的相关信息都是非流量劫持URL的主机名的相关信息，从而说明未包含在参考列表中的主机名的相关信息对应的URL很可能是具有流量劫持行为的URL，故需要让客户端上传该主机名的相关信息对应的URL，以便安全服务器根据在预设网络范围内对上传的URL的访问信息，进一步确定上传的URL是否为具有流量劫持行为的URL。由此可知，本发明实施例不但可以检测出具有流量劫持行为的URL，而且在上报非同源URL时，本发明实施例客户端只向安全服务器上报数据量相较小的URL中主机名的相关信息，而不是直接上报所有非同源URL，并且待安全服务器确定出可疑主机名的相关信息后，只需让客户端上报可疑主机名的相关信息对应的URL，从而可以节省上报流量，提高检测效率。
进一步的，依据上述方法实施例，本发明的另一个实施例还提供了一种流量劫持的检测装置，所述装置主要应用于安全服务器侧，如图5所示，所述装置主要包括：
接收单元41，用于接收客户端上报的、当前网页包含的目标统一资源定位符URL中主机名的相关信息，所述目标URL是与所述当前网页非同源的URL，所述主机名的相关信息包括主机名或者主机名的运算值；
判断单元42，用于判断接收到的主机名的相关信息是否包含在所述当前网页对应的参考列表中，所述参考列表包括通过安全网络访问所述当前网页所对应的服务器时，记录的所述当前网页包含的目标URL中主机名的相关信息；
发送单元43，用于当存在未包含在所述参考列表中的主机名的相关信息时，向所述客户端下发URL上传指令，所述URL上传指令用于指示所述客户端上传未包含在所述参考列表中的主机名的相关信息所对应的URL；
所述接收单元41，还用于接收所述客户端上传的URL；
确定单元44，用于根据在预设网络范围内对所述上传的URL的访问信息，确定所述上传的URL是否为具有流量劫持行为的URL。
可选的，如图6所示，所述确定单元44包括：
统计模块441，用于统计在预设网络范围内对所述上传的URL的访问次数；
确定模块442，用于当所述访问次数大于预设次数阈值时，确定所述上传的URL为具有流量劫持行为的URL；或者，将访问次数最多的URL确定为具有流量劫持行为的URL。
可选的，如图6所示，所述装置还包括：
建立单元45，用于建立包含具有流量劫持行为的URL的流量劫持库；
所述发送单元43，还用于将所述流量劫持库下发给所述客户端，以便所述客户端根据所述流量劫持库拦截具有流量劫持行为的URL。
可选的，所述主机名的运算值包括所述主机名的消息摘要算法第五版MD5值。
本发明实施例提供的流量劫持的检测装置，能够由安全服务器接收客户端上报的当前网页(即被访问网页)包含的目标URL(即与该当前网页非同源的URL)中主机名的相关信息(包括主机名或者主机名的运算值)，然后安全服务器获取通过安全网络访问当前网页所对应的服务器时，生成的记录有当前网页包含的目标URL中主机名的相关信息的参考列表，并判断上报的主机名的相关信息是否在该参考列表中，若存在主机名的相关信息未包含在参考列表中，则由于参考列表是通过安全服务器直接访问当前网页对应的服务器记录的目标URL中主机名的相关信息，且安全服务器直接访问当前网页对应的服务器时被流量劫持的可能性很小，所以参考列表中记录的主机名的相关信息都是非流量劫持URL的主机名的相关信息，从而说明未包含在参考列表中的主机名的相关信息对应的URL很可能是具有流量劫持行为的URL，故需要让客户端上传该主机名的相关信息对应的URL，以便安全服务器根据在预设网络范围内对上传的URL的访问信息，进一步确定上传的URL是否为具有流量劫持行为的URL。由此可知，本发明实施例不但可以检测出具有流量劫持行为的URL，而且在上报非同源URL时，本发明实施例客户端只向安全服务器上报数据量相较小的URL中主机名的相关信息，而不是直接上报所有非同源URL，并且待安全服务器确定出可疑主机名的相关信息后，只需让客户端上报可疑主机名的相关信息对应的URL，从而可以节省上报流量，提高检测效率。
进一步的，依据上述方法实施例，本发明的另一个实施例还提供了一种存储介质，所述存储介质存储有多条指令，所述指令适用于由处理器加载并执行如上述客户端侧执行的流量劫持的检测方法。
进一步的，依据上述方法实施例，本发明的另一个实施例还提供了一种存储介质，所述存储介质存储有多条指令，所述指令适用于由处理器加载并执行如上述安全服务器侧执行的流量劫持的检测方法。
进一步的，依据上述方法实施例，本发明的另一个实施例还提供了一种流量劫持的检测装置，所述装置主要应用于客户端侧，所述装置包括存储介质和处理器；
所述处理器，适于实现各指令；
所述存储介质，适于存储多条指令；
所述指令适于由所述处理器加载并执行如上所述的客户端侧执行的所述的流量劫持的检测方法。
进一步的，依据上述方法实施例，本发明的另一个实施例还提供了一种流量劫持的检测装置，所述装置主要应用于安全服务器侧，所述装置包括存储介质和处理器；
所述处理器，适于实现各指令；
所述存储介质，适于存储多条指令；
所述指令适于由所述处理器加载并执行如上所述的安全服务器侧执行的所述的流量劫持的检测方法。
进一步的，依据上述实施例，本发明的另一个实施例还提供了一种流量劫持的检测系统，所述系统包括客户端和安全服务器，所述客户端包括如上所述的应用于客户端侧的装置，所述安全服务器包括如上所述的应用于安全服务器侧的装置。
本发明实施例提供的流量劫持的检测系统，能够当用户访问某网页时，获取当前网页(即被访问网页)包含的与该当前网页非同源的URL(即目标URL)中主机名或者主机名的运算值(即主机名的相关信息)，然后将获取的主机名的相关信息上报给安全服务器，由安全服务器获取通过安全网络访问当前网页所对应的服务器时，生成的记录有当前网页包含的目标URL中主机名的相关信息的参考列表，然后判断上报的主机名的相关信息是否在该参考列表中，若存在主机名的相关信息未包含在参考列表中，则由于参考列表是通过安全服务器直接访问当前网页对应的服务器记录的目标URL中主机名的相关信息，且安全服务器直接访问当前网页对应的服务器时被流量劫持的可能性很小，所以参考列表中记录的主机名的相关信息都是非流量劫持URL的主机名的相关信息，从而说明未包含在参考列表中的主机名的相关信息对应的URL很可能是具有流量劫持行为的URL，故需要让客户端上传该主机名的相关信息对应的URL，以便安全服务器根据在预设网络范围内对上传的URL的访问信息，进一步确定上传的URL是否为具有流量劫持行为的URL。由此可知，本发明实施例不但可以检测出具有流量劫持行为的URL，而且在上报非同源URL时，本发明实施例客户端只向安全服务器上报数据量相较小的URL中主机名的相关信息，而不是直接上报所有非同源URL，并且待安全服务器确定出可疑主机名的相关信息后，只需让客户端上报可疑主机名的相关信息对应的URL，从而可以节省上报流量，提高检测效率。
在上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其他实施例的相关描述。
可以理解的是，上述方法及装置中的相关特征可以相互参考。另外，上述实施例中的“第一”、“第二”等是用于区分各实施例，而并不代表各实施例的优劣。
所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统，装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。
在此提供的算法和显示不与任何特定计算机、虚拟系统或者其它设备固有相关。各种通用系统也可以与基于在此的示教一起使用。根据上面的描述，构造这类系统所要求的结构是显而易见的。此外，本发明也不针对任何特定编程语言。应当明白，可以利用各种编程语言实现在此描述的本发明的内容，并且上面对特定语言所做的描述是为了披露本发明的最佳实施方式。
在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。
类似地，应当理解，为了精简本公开并帮助理解各个发明方面中的一个或多个，在上面对本发明的示例性实施例的描述中，本发明的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下意图：即所要求防护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说，如下面的权利要求书所反映的那样，发明方面在于少于前面公开的单个实施例的所有特征。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本发明的单独实施例。
本领域那些技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书(包括伴随的权利要求、摘要和附图)中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书(包括伴随的权利要求、摘要和附图)中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。
此外，本领域的技术人员能够理解，尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如，在下面的权利要求书中，所要求防护的实施例的任意之一都可以以任意的组合方式来使用。
本发明的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器(DSP)来实现根据本发明实施例的流量劫持的检测方法、装置及系统中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序(例如，计算机程序和计算机程序产品)。这样的实现本发明的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。
应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。

Claims (18)

1.一种流量劫持的检测方法，其特征在于，所述方法包括：
获取当前网页包含的目标统一资源定位符URL中主机名的相关信息，所述目标URL是与所述当前网页非同源的URL，所述主机名的相关信息包括主机名或者主机名的运算值；
将获取的主机名的相关信息上报给安全服务器，以便所述安全服务器判断上报的主机名的相关信息是否在所述当前网页对应的参考列表中，所述参考列表包括所述安全服务器通过安全网络访问所述当前网页所对应的服务器时，记录的所述当前网页包含的目标URL中主机名的相关信息；
接收所述安全服务器下发的URL上传指令，所述URL上传指令包括未包含在所述参考列表中的主机名的相关信息；
向所述安全服务器上传所述未包含在所述参考列表中的主机名的相关信息所对应的URL，以便所述安全服务器根据在预设网络范围内对所述上传的URL的访问信息，确定所述上传的URL是否为具有流量劫持行为的URL。
2.根据权利要求1所述的方法，其特征在于，所述方法还包括：
在安全服务器确定出具有流量劫持行为的URL后,接收所述安全服务器下发的流量劫持库，所述流量劫持库中包括具有流量劫持行为的URL；
当接收到访问某网页的访问请求后，将被访问网页包含的URL中与所述流量劫持库中的URL相同的URL进行拦截。
3.根据权利要求1或2所述的方法，其特征在于，所述主机名的运算值包括所述主机名的消息摘要算法第五版MD5值。
4.一种流量劫持的检测方法，其特征在于，所述方法包括：
接收客户端上报的、当前网页包含的目标统一资源定位符URL中主机名的相关信息，所述目标URL是与所述当前网页非同源的URL，所述主机名的相关信息包括主机名或者主机名的运算值；
判断接收到的主机名的相关信息是否包含在所述当前网页对应的参考列表中，所述参考列表包括通过安全网络访问所述当前网页所对应的服务器时，记录的所述当前网页包含的目标URL中主机名的相关信息；
若存在未包含在所述参考列表中的主机名的相关信息，则向所述客户端下发URL上传指令，所述URL上传指令用于指示所述客户端上传未包含在所述参考列表中的主机名的相关信息所对应的URL；
接收所述客户端上传的URL，并根据在预设网络范围内对所述上传的URL的访问信息，确定所述上传的URL是否为具有流量劫持行为的URL。
5.根据权利要求4所述的方法，其特征在于，根据在预设网络范围内对所述上传的URL的访问信息，确定所述上传的URL是否为具有流量劫持行为的URL包括：
统计在预设网络范围内对所述上传的URL的访问次数；
当所述访问次数大于预设次数阈值时，确定所述上传的URL为具有流量劫持行为的URL；或者，将访问次数最多的URL确定为具有流量劫持行为的URL。
6.根据权利要求4所述的方法，其特征在于，所述方法还包括：
建立包含具有流量劫持行为的URL的流量劫持库；
将所述流量劫持库下发给所述客户端，以便所述客户端根据所述流量劫持库拦截具有流量劫持行为的URL。
7.根据权利要求4-6中任一项所述的方法，其特征在于，所述主机名的运算值包括所述主机名的消息摘要算法第五版MD5值。
8.一种流量劫持的检测装置，其特征在于，所述装置包括：
获取单元，用于获取当前网页包含的目标统一资源定位符URL中主机名的相关信息，所述目标URL是与所述当前网页非同源的URL，所述主机名的相关信息包括主机名或者主机名的运算值；
发送单元，用于将获取的主机名的相关信息上报给安全服务器，以便所述安全服务器判断上报的主机名的相关信息是否在所述当前网页对应的参考列表中，所述参考列表包括所述安全服务器通过安全网络访问所述当前网页所对应的服务器时，记录的所述当前网页包含的目标URL中主机名的相关信息；
接收单元，用于接收所述安全服务器下发的URL上传指令，所述URL上传指令包括未包含在所述参考列表中的主机名的相关信息；
所述发送单元，还用于向所述安全服务器上传所述未包含在所述参考列表中的主机名的相关信息所对应的URL，以便所述安全服务器根据在预设网络范围内对所述上传的URL的访问信息，确定所述上传的URL是否为具有流量劫持行为的URL。
9.根据权利要求8所述的装置，其特征在于，所述接收单元，还用于接收所述安全服务器下发的流量劫持库，所述流量劫持库中包括具有流量劫持行为的URL；
所述装置还包括：
拦截单元，用于当接收到访问某网页的访问请求后，将被访问网页包含的URL中与所述流量劫持库中的URL相同的URL进行拦截。
10.根据权利要求8或9所述的装置，其特征在于，所述主机名的运算值包括所述主机名的消息摘要算法第五版MD5值。
11.一种流量劫持的检测装置，其特征在于，所述装置包括：
接收单元，用于接收客户端上报的、当前网页包含的目标统一资源定位符URL中主机名的相关信息，所述目标URL是与所述当前网页非同源的URL，所述主机名的相关信息包括主机名或者主机名的运算值；
判断单元，用于判断接收到的主机名的相关信息是否包含在所述当前网页对应的参考列表中，所述参考列表包括通过安全网络访问所述当前网页所对应的服务器时，记录的所述当前网页包含的目标URL中主机名的相关信息；
发送单元，用于当存在未包含在所述参考列表中的主机名的相关信息时，向所述客户端下发URL上传指令，所述URL上传指令用于指示所述客户端上传未包含在所述参考列表中的主机名的相关信息所对应的URL；
所述接收单元，还用于接收所述客户端上传的URL；
确定单元，用于根据在预设网络范围内对所述上传的URL的访问信息，确定所述上传的URL是否为具有流量劫持行为的URL。
12.根据权利要求11所述的装置，其特征在于，所述确定单元包括：
统计模块，用于统计在预设网络范围内对所述上传的URL的访问次数；
确定模块，用于当所述访问次数大于预设次数阈值时，确定所述上传的URL为具有流量劫持行为的URL；或者，将访问次数最多的URL确定为具有流量劫持行为的URL。
13.根据权利要求11所述的装置，其特征在于，所述装置还包括：
建立单元，用于建立包含具有流量劫持行为的URL的流量劫持库；
所述发送单元，还用于将所述流量劫持库下发给所述客户端，以便所述客户端根据所述流量劫持库拦截具有流量劫持行为的URL。
14.根据权利要求11-13中任一项所述的装置，其特征在于，所述主机名的运算值包括所述主机名的消息摘要算法第五版MD5值。
15.一种存储介质，其特征在于，所述存储介质存储有多条指令，所述指令适用于由处理器加载并执行如权利要求1-3中任一项所述的流量劫持的检测方法，或执行如权利要求4-7中任一项所述的流量劫持的检测方法。
16.一种流量劫持的检测装置，其特征在于，所述装置包括存储介质和处理器；
所述处理器，适于实现各指令；
所述存储介质，适于存储多条指令；
所述指令适于由所述处理器加载并执行如权利要求1-3中任一项所述的流量劫持的检测方法。
17.一种流量劫持的检测装置，其特征在于，所述装置包括存储介质和处理器；
所述处理器，适于实现各指令；
所述存储介质，适于存储多条指令；
所述指令适于由所述处理器加载并执行如权利要求4-7中任一项所述的流量劫持的检测方法。
18.一种流量劫持的检测系统，其特征在于，所述系统包括客户端和安全服务器，所述客户端包括权利要求16所述的装置，所述安全服务器包括权利要求17所述的装置。
CN201810895136.1A 2018-08-08 2018-08-08 流量劫持的检测方法、装置及系统 Active CN109194621B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201810895136.1A CN109194621B (zh) 2018-08-08 2018-08-08 流量劫持的检测方法、装置及系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201810895136.1A CN109194621B (zh) 2018-08-08 2018-08-08 流量劫持的检测方法、装置及系统

Publications (2)

Publication Number Publication Date
CN109194621A CN109194621A (zh) 2019-01-11
CN109194621B true CN109194621B (zh) 2021-06-29

Family

ID=64920441

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201810895136.1A Active CN109194621B (zh) 2018-08-08 2018-08-08 流量劫持的检测方法、装置及系统

Country Status (1)

Country Link
CN (1) CN109194621B (zh)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112714132A (zh) * 2020-12-31 2021-04-27 北京奇艺世纪科技有限公司 网页劫持检测方法、装置、系统和电子设备

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN100586080C (zh) * 2007-11-16 2010-01-27 北京金山软件有限公司 统计网页访问数据的方法及系统
JP5288204B2 (ja) * 2009-08-10 2013-09-11 株式会社日立製作所 ゲートウェイシステム及び制御方法
CN103051596A (zh) * 2011-10-14 2013-04-17 腾讯科技（深圳）有限公司 网络安全识别方法、安全检测服务器、客户端及系统
CN102833258B (zh) * 2012-08-31 2015-09-23 北京奇虎科技有限公司 网址访问方法及系统
CN108156121B (zh) * 2016-12-02 2021-07-30 阿里巴巴集团控股有限公司 流量劫持的监控方法及装置、流量劫持的报警方法及装置

Also Published As

Publication number Publication date
CN109194621A (zh) 2019-01-11

Similar Documents

Publication Publication Date Title
US10491614B2 (en) Illegitimate typosquatting detection with internet protocol information
US11570211B1 (en) Detection of phishing attacks using similarity analysis
US10193929B2 (en) Methods and systems for improving analytics in distributed networks
US8646038B2 (en) Automated service for blocking malware hosts
US10721245B2 (en) Method and device for automatically verifying security event
US9258289B2 (en) Authentication of IP source addresses
Amrutkar et al. Detecting mobile malicious webpages in real time
CN106534051B (zh) 一种针对访问请求的处理方法和装置
US20160337378A1 (en) Method and apparatus for detecting security of online shopping environment
US20140173726A1 (en) Methods and systems for preventing unauthorized acquisition of user information
EP3646218A1 (en) Cyber-security system and method for weak indicator detection and correlation to generate strong indicators
CN103701793B (zh) 服务器肉鸡的识别方法和装置
CN104901975B (zh) 网站日志安全分析方法、装置及网关
WO2009023315A2 (en) Anti-content spoofing (acs)
CN107332804B (zh) 网页漏洞的检测方法及装置
CN107465702B (zh) 基于无线网络入侵的预警方法及装置
CN111786966A (zh) 浏览网页的方法和装置
CN108573146A (zh) 一种恶意url检测方法及装置
CN103685294A (zh) 拒绝服务攻击的攻击源的识别方法和装置
CN110636068B (zh) 在cc攻击防护中识别未知cdn节点的方法以及装置
US20210006592A1 (en) Phishing Detection based on Interaction with End User
Sorio et al. Detection of hidden fraudulent urls within trusted sites using lexical features
CN112600797A (zh) 异常访问行为的检测方法、装置、电子设备及存储介质
CN109194621B (zh) 流量劫持的检测方法、装置及系统
US10686834B1 (en) Inert parameters for detection of malicious activity

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant