CN109660556B - 基于信息安全的用户登陆方法、装置、设备和存储介质 - Google Patents

基于信息安全的用户登陆方法、装置、设备和存储介质 Download PDF

Info

Publication number
CN109660556B
CN109660556B CN201910026205.XA CN201910026205A CN109660556B CN 109660556 B CN109660556 B CN 109660556B CN 201910026205 A CN201910026205 A CN 201910026205A CN 109660556 B CN109660556 B CN 109660556B
Authority
CN
China
Prior art keywords
user
login
information
page
returning
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201910026205.XA
Other languages
English (en)
Other versions
CN109660556A (zh
Inventor
谢志威
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Ping An Technology Shenzhen Co Ltd
Original Assignee
Ping An Technology Shenzhen Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Ping An Technology Shenzhen Co Ltd filed Critical Ping An Technology Shenzhen Co Ltd
Priority to CN201910026205.XA priority Critical patent/CN109660556B/zh
Publication of CN109660556A publication Critical patent/CN109660556A/zh
Application granted granted Critical
Publication of CN109660556B publication Critical patent/CN109660556B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0815—Network architectures or network communication protocols for network security for authentication of entities providing single-sign-on or federations
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/50—Network services
    • H04L67/535—Tracking the activity of the user

Abstract

本发明涉及信息安全技术领域，尤其涉及一种基于信息安全的用户登陆方法、装置、设备和存储介质。该方法包括：通过登陆页面接收用户登陆请求，通过预设在登陆页面中的页面埋点脚本，收集用户行为信息；判断用户行为信息是否为真实用户，若非真实用户，则返回禁止访问提示，若是真实用户，则对登陆信息进行验证，若正确，则定义为登陆成功，返回用户访问页面，否则返回登陆页面，并展示错误提示。本发明采用页面埋点分析用户行为的方式，确定真实用户，通过多种验证措施，避免账号安全锁定机制被恶意利用，防御短信炸弹的同时，不会降低用户体验。

Description

基于信息安全的用户登陆方法、装置、设备和存储介质
技术领域
本发明涉及信息安全技术领域，尤其涉及一种基于信息安全的用户登陆方法、装置、设备和存储介质。
背景技术
随着互联网技术的发展，人们越来越依赖于网络，各种各样的网络服务正在逐步渗透到人们的学习、生活、工作之中，网络信息的安全也慢慢在被关注。由于所有的网络攻击其目的就在于窃取用户信息，诱导用户进行危险的操作。因此，保证用户信息的安全，以及拦截危险的操作是保证系统安全的关键。为保证系统的安全访问，需要进行登陆控制。
现有的系统登陆方法一般采用用户名密码、Ukey等方式登陆，采用这样的方式容易让黑客或欲窃数据的人通过暴力破解、猜解等方法获取用户名密码，从而导致安全事件的发生，且无防御撞库措施。为了提高网络安全性，出现的防暴力破解机制，但现有的防暴力破解机制又存在可被恶意利用造成拒绝服务攻击、短信炸弹安全风险等缺陷，为了保证安全，却严重降低了用户的体验。
发明内容
有鉴于此，有必要针对现有登陆安全手段为了防暴力破解、短信炸弹，严重降低用户体验的问题，提供一种基于信息安全的用户登陆方法、装置、设备和存储介质。
一种基于信息安全的用户登陆方法，包括：
通过登陆页面接收用户登陆请求，所述用户登陆请求中包含有登陆信息，通过预设在所述登陆页面中的页面埋点脚本，收集用户行为信息；
判断所述用户行为信息是否为真实用户，若非真实用户，则返回禁止访问提示，若是真实用户，则进行下一步；
对所述登陆信息进行验证，若正确，则定义为登陆成功，返回用户访问页面，否则返回所述登陆页面，并展示错误提示。
一种可能的设计中，所述通过登陆页面接收用户登陆请求，所述用户登陆请求中包含有登陆信息，通过预设在所述登陆页面中的页面埋点，收集用户行为信息，包括：
当浏览器上的所述登陆页面被用户打开时，触发所述页面埋点脚本，所述页面埋点脚本动态创建标签，并将标签指向预设的脚本文件，所述脚本文件被所述浏览器请求执行，所述脚本文件用于收集用户行为信息，通过执行所述脚本文件，收集所述用户行为信息，所述脚本文件收集的所述用户行为信息包括鼠标移动轨迹和鼠标移动速度。
一种可能的设计中，所述判断所述用户行为信息是否为真实用户，若非真实用户，则返回禁止访问提示，若是真实用户，则进行下一步，包括：
判断所述用户行为信息中的鼠标移动轨迹，若含有鼠标移动轨迹，则继续进行下一步判断，若无鼠标移动轨迹，则判断为非真实用户，返回禁止访问提示；
判断所述用户行为信息中的鼠标移动速度是否在移动阈值范围内，若在所述移动阈值范围内，则判断为真实用户，进行下一步，若不在所述移动阈值范围内，则判断为非真实用户，返回禁止访问提示。
一种可能的设计中，所述对所述登陆信息进行验证前，包括：
从所述用户登陆请求中获取用户输入的所述登陆信息，当所述登陆信息为账密信息时，判断所述账密信息的连续错误次数是否超过预设的错误阈值，若不超过，则继续对所述登陆信息进行验证步骤；
若超过，则返回图片验证码页面，等待用户返回图片验证信息；
获取用户返回的图片验证信息，对所述图片验证信息进行验证，若验证失败，则刷新并返回图片验证码页面，若验证通过，则继续对所述登陆信息进行验证步骤。
一种可能的设计中，所述对所述登陆信息进行验证，若正确，则定义为登陆成功，返回用户访问页面，否则返回所述登陆页面，并展示错误提示，包括：
判断所述账密信息的连续错误次数是否超过预设的锁定阈值，若超过，则锁定当前账密信息在预设时间内无法登陆，并返回锁定提示；
若不超过，则对所述账密信息进行验证，若错误，则返回所述登陆页面，展示错误提示，并将连续错误次数加一；
若正确，则定义为登陆成功，返回用户访问页面，并将连续错误次数清零。
一种可能的设计中，所述对所述登陆信息进行验证前，包括：
从所述用户登陆请求中获取用户输入的所述登陆信息，当所述登陆信息为手机号时，验证所述手机号是否存在，若不存在，则返回登陆页面，并展示手机号不存在提示；
若存在，则判断所述手机号对应的短信验证码请求次数是否超过预设的请求阈值，若超过，则返回请求短信数量当天超限提示；
若不超过，则判断所述手机号对应的短信验证码的连续错误次数是否超过预设的错误阈值，若不超过，则对所述手机号下发短信验证码，并返回输入验证码页面；
若超过，则返回图片验证码页面，等待用户返回图片验证信息；
获取用户返回的图片验证信息，对所述图片验证信息进行验证，若验证失败，则刷新并返回图片验证码页面，若验证通过，则对所述手机号下发短信验证码，并返回输入验证码页面；
通过所述输入验证码页面，获取用户输入的所述短信验证码，继续对所述登陆信息进行验证步骤。
一种可能的设计中，所述对所述登陆信息进行验证，若正确，则定义为登陆成功，返回用户访问页面，否则返回所述登陆页面，并展示错误提示，包括：
获取用户输入的所述短信验证码，判断所述短信验证码下发时间是否超过时间阈值，若超过，则定义为所述短信验证码失效，返回登陆页面，并展示验证码失效提示；
若不超过，则判断所述短信验证码的连续错误次数是否超过预设的锁定阈值，若超过，则锁定所述手机号在预设时间内无法登陆，并返回锁定提示；
若不超过，则判断所述短信验证码与下发的短信验证码是否一致，若不一致，则返回所述登陆页面，展示错误提示，并将连续错误次数加一；
若一致，则定义为登陆成功，返回用户访问页面，并将连续错误次数清零。
一种基于信息安全的用户登陆装置，包括：
收集信息模块，用于通过登陆页面接收用户登陆请求，所述用户登陆请求中包含有登陆信息，通过预设在所述登陆页面中的页面埋点脚本，收集用户行为信息；
判断真实用户模块，用于判断所述用户行为信息是否为真实用户，若非真实用户，则返回禁止访问提示，若是真实用户，则进行下一步；
验证登陆信息模块，用于对所述登陆信息进行验证，若正确，则定义为登陆成功，返回用户访问页面，否则返回所述登陆页面，并展示错误提示。
一种计算机设备，包括存储器和处理器，所述存储器中存储有计算机可读指令，所述计算机可读指令被所述处理器执行时，使得所述处理器执行上述基于信息安全的用户登陆方法的步骤。
一种存储有计算机可读指令的存储介质，所述计算机可读指令被一个或多个处理器执行时，使得一个或多个处理器执行上述基于信息安全的用户登陆方法的步骤。
上述基于信息安全的用户登陆方法、装置、计算机设备和存储介质，包括通过登陆页面接收用户登陆请求，所述用户登陆请求中包含有登陆信息，通过预设在所述登陆页面中的页面埋点脚本，收集用户行为信息；判断所述用户行为信息是否为真实用户，若非真实用户，则返回禁止访问提示，若是真实用户，则进行下一步；对所述登陆信息进行验证，若正确，则定义为登陆成功，返回用户访问页面，否则返回所述登陆页面，并展示错误提示。本发明采用页面埋点分析用户行为的方式，防御撞库攻击的同时，未降低用户体验；分级限制措施防御暴力破解，同时不会影响真实用户体验，通过多种验证措施，避免账号安全锁定机制被恶意利用，防御短信炸弹的同时，不会降低用户体验。
附图说明
通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。
图1为本发明一个实施例中的基于信息安全的用户登陆方法的流程图；
图2为一个实施例中步骤S3验证账密信息的一种流程图；
图3为一个实施例中步骤S3验证账密信息的另一种流程图；
图4为一个实施例中步骤S3验证短信验证码的一种流程图；
图5为一个实施例中步骤S3验证短信验证码的另一种流程图；
图6为本发明一个实施例中基于信息安全的用户登陆装置的结构图。
具体实施方式
为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。
本技术领域技术人员可以理解，除非特意声明，这里使用的单数形式“一”、“一个”、“所述”和“该”也可包括复数形式。应该进一步理解的是，本发明的说明书中使用的措辞“包括”是指存在所述特征、整数、步骤、操作、元件和/或组件，但是并不排除存在或添加一个或多个其他特征、整数、步骤、操作、元件、组件和/或它们的组。
图1为本发明一个实施例中的基于信息安全的用户登陆方法的流程图，如图1所示，一种基于信息安全的用户登陆方法，包括以下步骤：
步骤S1，收集用户行为信息：通过登陆页面接收用户登陆请求，用户登陆请求中包含有登陆信息，通过预设在登陆页面中的页面埋点脚本，收集用户行为信息。
埋点分析，是网站分析的一种数据采集方法，本步骤在登陆页面预先设置页面埋点脚本，通过埋点措施，收集用户行为信息，用于后续判断用户是真实用户或机器登陆请求行为。用户行为信息包括鼠标移动轨迹、鼠标移动速度、屏幕分辨率、屏幕颜色深度、上一跳网址URL等。
在一个实施例中，步骤S1，包括：当浏览器上的登陆页面被用户打开时，触发页面埋点脚本，页面埋点脚本动态创建标签，并将标签指向预设的脚本文件，脚本文件被浏览器请求执行，脚本文件用于收集用户行为信息，通过执行脚本文件，收集用户行为信息，脚本文件收集的用户行为信息包括鼠标移动轨迹和鼠标移动速度。
用户在浏览器中打开登陆页面，触发一个HTTP请求时，若此登陆页面预设了页面埋点脚本javascript代码，则此javascript代码被触发执行，动态创建一个script标签，并将script标签指向一个单独js脚本文件，此时该单独js脚本文件被浏览器请求执行，此js脚本文件是真正的数据收集脚本，用于收集用户行为信息。数据收集完成后，js脚本文件会请求一个后端的数据收集脚本，此数据收集脚本可以由php、python或其它服务端语言编写，js脚本文件会将收集到的数据通过http参数的方式传递给后端的数据收集脚本，后端的数据收集脚本解析参数并按固定格式记录到访问日志。
本步骤的js脚本文件不仅收集包括鼠标移动轨迹和鼠标移动速度在内的用户行为信息，还通过windows.screen获取屏幕分辨率，通过window.screen.colorDepth获取屏幕颜色深度，通过document.referrer获取上一跳URL。
本实施例在接收用户登陆请求时，还通过预设的页面埋点脚本，收集用户行为信息，为后续判断是否真实用户提供有效数据支持，兼顾安全的同时，不降低用户网页登陆的体验感。
步骤S2，判断真实用户：判断用户行为信息是否为真实用户，若非真实用户，则返回禁止访问提示，若是真实用户，则进行下一步。
本步骤对步骤S1收集的用户行为信息进行分析，判断登陆请求是真实用户的请求，还是非真实用户，如机器、脚本等，本步骤在防御撞库攻击的同时，通过页面埋点，避免错判真实用户，提高真实用户的登陆体验。
在一个实施例中，步骤S2，包括：
步骤S201，判断鼠标移动轨迹：判断用户行为信息中的鼠标移动轨迹，若含有鼠标移动轨迹，则继续进行下一步判断，若无鼠标移动轨迹，则判断为非真实用户，返回禁止访问提示。
由于机器或脚本撞库攻击网页时，通常无鼠标操作，因此本步骤通过验证是否存在鼠标移动轨迹来判断登陆请求是否为真实用户。
步骤S202，判断鼠标移动速度：判断用户行为信息中的鼠标移动速度是否在移动阈值范围内，若在移动阈值范围内，则判断为真实用户，进行下一步，若不在移动阈值范围内，则判断为非真实用户，返回禁止访问提示。
当存在暴力破解行为时，其鼠标移动速度通常较快，而正常的用户登陆通常鼠标在一定的移动范围内，因此本步骤通过验证鼠标移动速度来判断登陆请求是否为真实用户。
本实施例在判断为真实用户时，也可以页面埋点javascript代码，收集真实用户的历史用户行为信息，构成白名单，若此次的用户行为信息符合白名单内的所有特征，则判断为真实用户。其中，历史用户行为信息不限于登陆页面。
本实施例在判断为真实用户，进行下一步之前，还对是否为真实用户进一步判断：
步骤S203，判断屏幕分辨率：判断用户行为信息中的屏幕分辨率是否在分辨率阈值范围内，若在分辨率阈值范围内，则继续进行下一步判断，否则，则判断为非真实用户，返回禁止访问提示。
步骤S204，判断屏幕颜色深度：判断用户行为信息中的屏幕颜色深度是否在颜色阈值范围内，若在颜色阈值范围内，则继续进行下一步判断，否则，则判断为非真实用户，返回禁止访问提示。
步骤S205，判断上一跳网址：判断用户行为信息中的上一跳网址URL是否异常，若非异常，则判断为真实用户，进行下一步，若异常，则判断为非真实用户，返回禁止访问提示。
本实施例通过依次对鼠标移动轨迹、鼠标移动速度、屏幕分辨率、屏幕颜色深度、上一跳网址URL的层层判断，逐个确定是否为真实用户行为，防御撞库攻击的同时，防止对真实用户的误判。
步骤S3，验证登陆信息：对登陆信息进行验证，若正确，则定义为登陆成功，返回用户访问页面，否则返回登陆页面，并展示错误提示。
本步骤在确定用户登陆请求是真实用户的情况下，对用户登陆请求中的登陆信息进行验证，在验证过程中，登陆信息分为两种情况，包括从账密登陆页面获取的账密信息、从手机短信验证登陆页面获取的手机号信息。
在一个实施例中，当登陆信息为账密信息时，在步骤S3中，对登陆信息进行验证过程即为验证账密信息的过程，如图2和图3所示，在对账密信息进行验证前，包括：
步骤S301，判断连续错误次数：从用户登陆请求中获取用户输入的登陆信息，当登陆信息为账密信息时，判断账密信息的连续错误次数是否超过预设的错误阈值，若不超过，则继续对登陆信息进行验证步骤。
本步骤在对账密信息进行验证前，还对账密信息的连续错误次数进行验证，例如错误阈值为3次时，判断同一账号连续错误次数是否超过3次，若不超过3次，认为是正常登陆请求。
步骤S302，返回图片验证码：若超过，则返回图片验证码页面，等待用户返回图片验证信息。
若同一账号连续错误次数超过3次，认为存在恶意攻击或暴力破解嫌疑，通过图片验证码的方式，进一步验证请求行为，是否为正常行为。
步骤S303，验证图片验证码：获取用户返回的图片验证信息，对图片验证信息进行验证，若验证失败，则刷新并返回图片验证码页面，若验证通过，则继续对登陆信息进行验证步骤。
通过对图片验证码的验证，确定是真实用户的正常行为，则继续进行下一步判断，若验证失败，则刷新图片验证码后，通过图片验证码页面继续展示图片验证码，等待用户返回图片验证信息后，继续验证图片验证码，直到用户验证通过。
在对账密信息进行验证时，包括：
步骤S304，再次判断连续错误次数：判断账密信息的连续错误次数是否超过预设的锁定阈值，若超过，则锁定当前账密信息在预设时间内无法登陆，并返回锁定提示。
本步骤与步骤S301相似，但是进一步判断账密信息的连续错误次数，例如锁定阈值为10次时，判断同一账号连续错误次数是否超过10次，若超过10次，认为是异常登陆请求，存在恶意攻击或暴力破解，在预设时间内锁定当前账号，如10分钟无法登陆，并返回锁定提示。
步骤S305，验证账密信息：若不超过，则对账密信息进行验证，若错误，则返回登陆页面，展示错误提示，并将连续错误次数加一，若正确，则定义为登陆成功，返回用户访问页面，并将连续错误次数清零。
在经过层层验证，确定不存在恶意攻击或暴力破解的情况下，本步骤对获取的账密信息进行验证，验证过程与现有技术相同，即将账密信息和用户注册的账密信息进行比较，确定登陆是否成功。
本实施例通过账密信息连续错误次数、图片验证码验证、账密信息验证等多次验证过程，通过不可见的和可见的手段避免账号安全锁定机制被恶意利用，确保在不存在恶意攻击或暴力破解的情况下，完成登陆请求的验证，确保用户登陆安全。
在一个实施例中，当登陆信息为手机号时，在步骤S3中，对登陆信息进行验证过程即为对手机号的短信验证码的验证过程，如图4和图5所示，在对手机号的短信验证码进行验证前，包括：
步骤S311，验证手机号：从用户登陆请求中获取用户输入的登陆信息，当登陆信息为手机号时，验证手机号是否存在，若不存在，则返回登陆页面，并展示手机号不存在提示。
本步骤在确定用户登陆请求是真实用户的情况下，在对账密信息进行验证前，先对手机号是否存在进行判断，判断时，先判断手机号的真实性，若为空号，则认为不存在，若不为空号，继续判断该手机号是否存在于存储的用户注册信息库中，即判断该手机号是否为注册用户的手机号，若是已注册过的手机号，则认为存在。
步骤S312，判断短信验证码请求次数：若存在，则判断手机号对应的短信验证码请求次数是否超过预设的请求阈值，若超过，则返回请求短信数量当天超限提示。
在用户每次通过任一手机号，进行一次登陆请求时，短信验证码请求次数加一，且短信验证码请求次数当天累加，隔天清空，即到第二天清空一次短信验证码请求次数。例如，请求阈值为10次，若当天该手机号请求的次数超过10次，则认为存在短信炸弹，限制单个手机短信验证权限。
步骤S313，判断连续错误次数：若不超过，则判断手机号对应的短信验证码的连续错误次数是否超过预设的错误阈值，若不超过，则对手机号下发短信验证码，并返回输入验证码页面。
在确保不存在短信炸弹的情况下，本步骤还对手机号对应的短信验证码的连续错误次数进行验证，例如错误阈值为3次时，判断同一手机号对应输入的短信验证码连续错误次数是否超过3次，若不超过3次，认为是正常登陆请求。
步骤S314，返回图片验证码：若超过，则返回图片验证码页面，等待用户返回图片验证信息。
若同一手机号对应输入的短信验证码连续错误次数超过3次，认为存在恶意攻击或暴力破解嫌疑，通过图片验证码的方式，进一步验证请求行为，是否为正常行为。
步骤S315，验证图片验证码：获取用户返回的图片验证信息，对图片验证信息进行验证，若验证失败，则刷新并返回图片验证码页面，若验证通过，则对手机号下发短信验证码，并返回输入验证码页面。
通过对图片验证码的验证，确定是真实用户的正常行为，则继续进行下一步判断，若验证失败，则刷新图片验证码后，通过图片验证码页面继续展示图片验证码，等待用户返回图片验证信息后，继续验证图片验证码，直到用户验证通过。
步骤S316，获取短信验证码：通过输入验证码页面，获取用户输入的短信验证码，继续对登陆信息进行验证步骤。
在图片验证码验证通过后，用户经输入验证码页面输入收到的短信验证码后，获取此输入的短信验证码，对此短信验证码进行后续的验证。
在对手机号的短信验证码进行验证时，包括：
步骤S317，判断时间阈值：获取用户输入的短信验证码，判断短信验证码下发时间是否超过时间阈值，若超过，则定义为短信验证码失效，返回登陆页面，并展示验证码失效提示。
在对短信验证码进行验证之前，还对此短信验证码的下发时间进行判断，下发时间的计时可以从下发短信验证码开始，通过预设的计时器开始计时，直至获取用户输入的短信验证码，定义为短信验证码下发时间。例如时间阈值为2分钟时，判断短信验证码下发时间是否超过2分钟，若超过，则失效当前短信验证码，并返回登陆页面，供用户继续进行登陆请求。
步骤S318，再次判断连续错误次数：若不超过，则判断短信验证码的连续错误次数是否超过预设的锁定阈值，若超过，则锁定手机号在预设时间内无法登陆，并返回锁定提示。
本步骤与步骤S312相似，但是进一步判断短信验证码的连续错误次数，例如锁定阈值为10次时，判断同一手机号对应的短信验证码连续错误次数是否超过10次，若超过10次，认为是异常登陆请求，存在短信炸弹，在预设时间内锁定当前手机号，如10分钟无法登陆，并返回锁定提示。
步骤S319，验证短信验证码：若不超过，则判断短信验证码与下发的短信验证码是否一致，若不一致，则返回登陆页面，展示错误提示，并将连续错误次数加一，若一致，则定义为登陆成功，返回用户访问页面，并将连续错误次数清零。
在经过层层验证，确定不存在短信炸弹的情况下，本步骤对获取的短信验证码进行验证，确定登陆是否成功。
本实施例通过手机号是否存在、手机号短信请求次数限制、手机号对应的短信验证码验证错误次数限制、图片验证码、下发时间是否超时等验证过程，通过不可见的和可见的手段避免手机号安全锁定机制被恶意利用，确保在不存在短信炸弹的情况下，完成登陆请求的验证，确保用户登陆安全。
本实施例基于信息安全的用户登陆方法，通过在登陆页面预设页面埋点，确定是否为真实用户；在确定是真实用户后，通过分级限制措施，防御暴力破解，同时不影响真实用户体验；还通过图片验证码验证来避免防爆力破解锁定机制被恶意利用；通过不可见的和可见的手段避免安全锁定机制被恶意利用；还兼顾防御短信炸弹的同时不会降低用户体验。本方法通过多层纵深防御措施，保证用户较好体验的情况下的实现网页的安全登陆。
在一个实施例中，提出了一种基于信息安全的用户登陆装置，如图6所示，包括如下模块：
收集信息模块，用于通过登陆页面接收用户登陆请求，用户登陆请求中包含有登陆信息，通过预设在登陆页面中的页面埋点脚本，收集用户行为信息；
判断真实用户模块，用于判断用户行为信息是否为真实用户，若非真实用户，则返回禁止访问提示，若是真实用户，则进行下一步；
验证登陆信息模块，用于对登陆信息进行验证，若正确，则定义为登陆成功，返回用户访问页面，否则返回登陆页面，并展示错误提示。
在一个实施例中，提出了一种计算机设备，包括存储器和处理器，存储器中存储有计算机可读指令，计算机可读指令被处理器执行时，使得处理器执行计算机可读指令时实现上述各实施例的基于信息安全的用户登陆方法中的步骤。
在一个实施例中，提出了一种存储有计算机可读指令的存储介质，计算机可读指令被一个或多个处理器执行时，使得一个或多个处理器执行上述各实施例的基于信息安全的用户登陆方法中的步骤。其中，存储介质可以为非易失性存储介质。
本领域普通技术人员可以理解上述实施例的各种方法中的全部或部分步骤是可以通过程序来指令相关的硬件来完成，该程序可以存储于一计算机可读存储介质中，存储介质可以包括：只读存储器(ROM，Read Only Memory)、随机存取存储器(RAM，RandomAccess Memory)、磁盘或光盘等。
以上所述实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。
以上所述实施例仅表达了本发明一些示例性实施例，其描述较为具体和详细，但并不能因此而理解为对本发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变形和改进，这些都属于本发明的保护范围。因此，本发明专利的保护范围应以所附权利要求为准。

Claims (8)

1.一种基于信息安全的用户登陆方法，其特征在于，包括：
通过登陆页面接收用户登陆请求，所述用户登陆请求中包含有登陆信息，通过预设在所述登陆页面中的页面埋点脚本，收集用户行为信息；
判断所述用户行为信息是否为真实用户，若非真实用户，则返回禁止访问提示，若是真实用户，则进行下一步；
对所述登陆信息进行验证，若正确，则定义为登陆成功，返回用户访问页面，否则返回所述登陆页面，并展示错误提示；
所述通过登陆页面接收用户登陆请求，所述用户登陆请求中包含有登陆信息，通过预设在所述登陆页面中的页面埋点脚本，收集用户行为信息，包括：
当浏览器上的所述登陆页面被用户打开时，触发所述页面埋点脚本，所述页面埋点脚本动态创建标签，并将标签指向预设的脚本文件，所述脚本文件被所述浏览器请求执行，所述脚本文件用于收集用户行为信息，通过执行所述脚本文件，收集所述用户行为信息，所述脚本文件收集的所述用户行为信息包括鼠标移动轨迹和鼠标移动速度；
所述判断所述用户行为信息是否为真实用户，若非真实用户，则返回禁止访问提示，若是真实用户，则进行下一步，包括：
判断所述用户行为信息中的鼠标移动轨迹，若含有鼠标移动轨迹，则继续进行下一步判断，若无鼠标移动轨迹，则判断为非真实用户，返回禁止访问提示；
判断所述用户行为信息中的鼠标移动速度是否在移动阈值范围内，若在所述移动阈值范围内，则判断为真实用户，进行下一步，若不在所述移动阈值范围内，则判断为非真实用户，返回禁止访问提示；
判断屏幕分辨率：判断用户行为信息中的屏幕分辨率是否在分辨率阈值范围内，若在分辨率阈值范围内，则继续进行下一步判断，否则，则判断为非真实用户，返回禁止访问提示；
判断屏幕颜色深度：判断用户行为信息中的屏幕颜色深度是否在颜色阈值范围内，若在颜色阈值范围内，则继续进行下一步判断，否则，则判断为非真实用户，返回禁止访问提示；
判断上一跳网址：判断用户行为信息中的上一跳网址URL是否异常，若非异常，则判断为真实用户，进行下一步，若异常，则判断为非真实用户，返回禁止访问提示。
2.根据权利要求1所述的基于信息安全的用户登陆方法，其特征在于，所述对所述登陆信息进行验证前，包括：
从所述用户登陆请求中获取用户输入的所述登陆信息，当所述登陆信息为账密信息时，判断所述账密信息的连续错误次数是否超过预设的错误阈值，若不超过，则继续对所述登陆信息进行验证步骤；
若超过，则返回图片验证码页面，等待用户返回图片验证信息；
获取用户返回的图片验证信息，对所述图片验证信息进行验证，若验证失败，则刷新并返回图片验证码页面，若验证通过，则继续对所述登陆信息进行验证步骤。
3.根据权利要求2所述的基于信息安全的用户登陆方法，其特征在于，所述对所述登陆信息进行验证，若正确，则定义为登陆成功，返回用户访问页面，否则返回所述登陆页面，并展示错误提示，包括：
判断所述账密信息的连续错误次数是否超过预设的锁定阈值，若超过，则锁定当前账密信息在预设时间内无法登陆，并返回锁定提示；
若不超过，则对所述账密信息进行验证，若错误，则返回所述登陆页面，展示错误提示，并将连续错误次数加一；
若正确，则定义为登陆成功，返回用户访问页面，并将连续错误次数清零。
4.根据权利要求1所述的基于信息安全的用户登陆方法，其特征在于，所述对所述登陆信息进行验证前，包括：
从所述用户登陆请求中获取用户输入的所述登陆信息，当所述登陆信息为手机号时，验证所述手机号是否存在，若不存在，则返回登陆页面，并展示手机号不存在提示；
若存在，则判断所述手机号对应的短信验证码请求次数是否超过预设的请求阈值，若超过，则返回请求短信数量当天超限提示；
若不超过，则判断所述手机号对应的短信验证码的连续错误次数是否超过预设的错误阈值，若不超过，则对所述手机号下发短信验证码，并返回输入验证码页面；
若超过，则返回图片验证码页面，等待用户返回图片验证信息；
获取用户返回的图片验证信息，对所述图片验证信息进行验证，若验证失败，则刷新并返回图片验证码页面，若验证通过，则对所述手机号下发短信验证码，并返回输入验证码页面；
通过所述输入验证码页面，获取用户输入的所述短信验证码，继续对所述登陆信息进行验证步骤。
5.根据权利要求4所述的基于信息安全的用户登陆方法，其特征在于，所述对所述登陆信息进行验证，若正确，则定义为登陆成功，返回用户访问页面，否则返回所述登陆页面，并展示错误提示，包括：
获取用户输入的所述短信验证码，判断所述短信验证码下发时间是否超过时间阈值，若超过，则定义为所述短信验证码失效，返回登陆页面，并展示验证码失效提示；
若不超过，则判断所述短信验证码的连续错误次数是否超过预设的锁定阈值，若超过，则锁定所述手机号在预设时间内无法登陆，并返回锁定提示；
若不超过，则判断所述短信验证码与下发的短信验证码是否一致，若不一致，则返回所述登陆页面，展示错误提示，并将连续错误次数加一；
若一致，则定义为登陆成功，返回用户访问页面，并将连续错误次数清零。
6.一种基于信息安全的用户登陆装置，其特征在于，包括：
收集信息模块，用于通过登陆页面接收用户登陆请求，所述用户登陆请求中包含有登陆信息，通过预设在所述登陆页面中的页面埋点脚本，收集用户行为信息；
判断真实用户模块，用于判断所述用户行为信息是否为真实用户，若非真实用户，则返回禁止访问提示，若是真实用户，则进行下一步；
验证登陆信息模块，用于对所述登陆信息进行验证，若正确，则定义为登陆成功，返回用户访问页面，否则返回所述登陆页面，并展示错误提示；
所述收集信息模块，还用于当浏览器上的所述登陆页面被用户打开时，触发所述页面埋点脚本，所述页面埋点脚本动态创建标签，并将标签指向预设的脚本文件，所述脚本文件被所述浏览器请求执行，所述脚本文件用于收集用户行为信息，通过执行所述脚本文件，收集所述用户行为信息，所述脚本文件收集的所述用户行为信息包括鼠标移动轨迹和鼠标移动速度；
所述判断真实用户模块，还用于判断所述用户行为信息中的鼠标移动轨迹，若含有鼠标移动轨迹，则继续进行下一步判断，若无鼠标移动轨迹，则判断为非真实用户，返回禁止访问提示；判断所述用户行为信息中的鼠标移动速度是否在移动阈值范围内，若在所述移动阈值范围内，则判断为真实用户，进行下一步，若不在所述移动阈值范围内，则判断为非真实用户，返回禁止访问提示；判断屏幕分辨率：判断用户行为信息中的屏幕分辨率是否在分辨率阈值范围内，若在分辨率阈值范围内，则继续进行下一步判断，否则，则判断为非真实用户，返回禁止访问提示；判断屏幕颜色深度：判断用户行为信息中的屏幕颜色深度是否在颜色阈值范围内，若在颜色阈值范围内，则继续进行下一步判断，否则，则判断为非真实用户，返回禁止访问提示；判断上一跳网址：判断用户行为信息中的上一跳网址URL是否异常，若非异常，则判断为真实用户，进行下一步，若异常，则判断为非真实用户，返回禁止访问提示。
7.一种计算机设备，包括存储器和处理器，所述存储器中存储有计算机可读指令，所述计算机可读指令被所述处理器执行时，使得所述处理器执行如权利要求1至5中任一项权利要求所述基于信息安全的用户登陆方法的步骤。
8.一种存储有计算机可读指令的存储介质，所述计算机可读指令被一个或多个处理器执行时，使得一个或多个处理器执行如权利要求1至5中任一项权利要求所述基于信息安全的用户登陆方法的步骤。
CN201910026205.XA 2019-01-11 2019-01-11 基于信息安全的用户登陆方法、装置、设备和存储介质 Active CN109660556B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201910026205.XA CN109660556B (zh) 2019-01-11 2019-01-11 基于信息安全的用户登陆方法、装置、设备和存储介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201910026205.XA CN109660556B (zh) 2019-01-11 2019-01-11 基于信息安全的用户登陆方法、装置、设备和存储介质

Publications (2)

Publication Number Publication Date
CN109660556A CN109660556A (zh) 2019-04-19
CN109660556B true CN109660556B (zh) 2022-11-29

Family

ID=66119904

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201910026205.XA Active CN109660556B (zh) 2019-01-11 2019-01-11 基于信息安全的用户登陆方法、装置、设备和存储介质

Country Status (1)

Country Link
CN (1) CN109660556B (zh)

Families Citing this family (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110147660A (zh) * 2019-05-15 2019-08-20 四川长虹电器股份有限公司 基于风险分类的数字验证系统及数字验证方法
CN110415124A (zh) * 2019-07-31 2019-11-05 深圳市思迪信息技术股份有限公司 证券营销活动限流防刷方法及装置
CN110708306B (zh) * 2019-09-29 2022-07-12 贝壳找房(北京)科技有限公司 一种数据处理方法、装置和存储介质
CN111199473A (zh) * 2019-12-16 2020-05-26 北京淇瑀信息科技有限公司 基于交易记录信息的反作弊方法、装置和系统
CN111918224B (zh) * 2020-07-28 2022-03-04 广州市百果园信息技术有限公司 短信验证方法、装置、设备及存储介质
CN112487376A (zh) * 2020-12-07 2021-03-12 北京明略昭辉科技有限公司 一种人机验证方法及装置
CN112566121B (zh) * 2020-12-09 2023-03-24 北京深盾科技股份有限公司 一种防止攻击的方法及服务器、存储介质
CN113194104B (zh) * 2021-06-30 2021-09-10 南京敏宇数行信息技术有限公司 一种安全远程访问系统、方法、计算机设备及存储介质

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102737019A (zh) * 2011-03-31 2012-10-17 阿里巴巴集团控股有限公司 机器行为确定方法、网页浏览器及网页服务器
CN104125225A (zh) * 2014-07-28 2014-10-29 浪潮(北京)电子信息产业有限公司 云数据中心用户登录认证方法和装置
CN107483500A (zh) * 2017-09-25 2017-12-15 咪咕文化科技有限公司 一种基于用户行为的风险识别方法、装置及存储介质
CN107872428A (zh) * 2016-09-26 2018-04-03 平安科技（深圳）有限公司 应用程序的登录方法及装置
CN108011863A (zh) * 2017-08-23 2018-05-08 北京车和家信息技术有限责任公司 识别暴力破解的方法及装置
CN108282440A (zh) * 2017-01-05 2018-07-13 阿里巴巴集团控股有限公司 一种安全检测方法、安全检测装置及服务器
CN108416198A (zh) * 2018-02-06 2018-08-17 平安科技（深圳）有限公司 人机识别模型的建立装置、方法及计算机可读存储介质

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104580075A (zh) * 2013-10-14 2015-04-29 深圳市腾讯计算机系统有限公司 一种用户登陆验证方法、装置及系统
CN103634301B (zh) * 2013-11-14 2017-01-04 新浪网技术(中国)有限公司 客户端及其访问服务器中用户存储的私有数据的方法
CN104794385A (zh) * 2015-03-03 2015-07-22 新浪网技术(中国)有限公司 一种信息验证方法及装置

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102737019A (zh) * 2011-03-31 2012-10-17 阿里巴巴集团控股有限公司 机器行为确定方法、网页浏览器及网页服务器
CN104125225A (zh) * 2014-07-28 2014-10-29 浪潮(北京)电子信息产业有限公司 云数据中心用户登录认证方法和装置
CN107872428A (zh) * 2016-09-26 2018-04-03 平安科技（深圳）有限公司 应用程序的登录方法及装置
CN108282440A (zh) * 2017-01-05 2018-07-13 阿里巴巴集团控股有限公司 一种安全检测方法、安全检测装置及服务器
CN108011863A (zh) * 2017-08-23 2018-05-08 北京车和家信息技术有限责任公司 识别暴力破解的方法及装置
CN107483500A (zh) * 2017-09-25 2017-12-15 咪咕文化科技有限公司 一种基于用户行为的风险识别方法、装置及存储介质
CN108416198A (zh) * 2018-02-06 2018-08-17 平安科技（深圳）有限公司 人机识别模型的建立装置、方法及计算机可读存储介质

Also Published As

Publication number Publication date
CN109660556A (zh) 2019-04-19

Similar Documents

Publication Publication Date Title
CN109660556B (zh) 基于信息安全的用户登陆方法、装置、设备和存储介质
CN105939326B (zh) 处理报文的方法及装置
Kim et al. A design of user authentication system using QR code identifying method
US7093291B2 (en) Method and system for detecting and preventing an intrusion in multiple platform computing environments
CN108259619B (zh) 网络请求防护方法及网络通信系统
CN109756460B (zh) 一种防重放攻击方法及装置
CN111274046A (zh) 服务调用的合法性检测方法、装置、计算机设备及计算机存储介质
CN105429943B (zh) 一种信息处理方法及其终端
CN113315637A (zh) 安全认证方法、装置及存储介质
CN116545650B (zh) 一种网络动态防御方法
CN105431843A (zh) 以通信装置识别码作为网络身份验证
CN112235306B (zh) 一种基于云安全的电子商务账户验证方法
US20210051176A1 (en) Systems and methods for protection from phishing attacks
CN110232270B (zh) 一种安全认证的方法、设备、装置及存储介质
CN111949952B (zh) 验证码请求处理方法及计算机可读存储介质
RU103643U1 (ru) Система противодействия фишинг атакам
KR100616240B1 (ko) 피싱 방지 방법
US20150172310A1 (en) Method and system to identify key logging activities
CN110502896B (zh) 一种网站信息的泄露监测方法、系统及相关装置
US11470113B1 (en) Method to eliminate data theft through a phishing website
EP4068125B1 (en) Method of monitoring and protecting access to an online service
KR101576993B1 (ko) 캡차를 이용한 아이디도용 차단방법 및 차단 시스템
KR101900494B1 (ko) 계정 도용 탐지 방법 및 장치
JP6842951B2 (ja) 不正アクセス検出装置、プログラム及び方法
CN104917737B (zh) 用户帐号的保护方法及装置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant