CN109756479A - 浏览器中伪造请求检测方法及装置 - Google Patents

Abstract

本发明实施例提供一种浏览器中伪造请求检测方法及装置，所述方法包括：获取浏览器中的待检测请求，并获取所述待检测请求中的目标头信息顺序和目标用户代理信息；若所述目标用户代理信息在预先构建的映射表中存在，则从所述映射表中获取所述目标用户代理信息映射的头信息顺序；若所述目标头信息顺序在所述目标用户代理信息映射的头信息顺序中不存在，则获知所述待检测请求为伪造请求。本发明实施例方法简单，提高了伪造请求检测的查全率和查准率。

Description

浏览器中伪造请求检测方法及装置

技术领域

本发明实施例属于软件安全技术领域，更具体地，涉及一种浏览器中伪造请求检测方法及装置。

背景技术

现行的互联网为人们生活提供了很大便利，很多企业将自己的服务公开放至互联网上以便大家进行查看和交互操作，一些黑客利用反爬虫及反欺诈技术，使用伪造的请求来模拟真实用户的行为进行操作，很可能会产生不良影响。

为了限制浏览器中的伪造请求，一般基于流量和IP库对浏览器中的伪造请求进行限制，但这种限制方式存在非常高的误封率，即会将浏览器中的正常请求误认为伪造请求而拒绝正常请求的访问，严重影响用户体验。为了降低误封率，通常尝试调高流量阈值或者以更高频率更新IP库，调高流量阈值后很容易漏掉一些伪造请求的检测，而高频率地更新IP库需要消耗大量成本。

综上所述，现有的浏览器伪造请求检测方法容易出现检测错误，即将正常请求检测为伪造请求或者将伪造请求检测为正常请求，且需要消耗大量成本。因此，需要提供一种新的浏览器伪造请求检测方法以解决这些问题。

发明内容

为克服上述现有的浏览器伪造请求检测方法易出错且成本高的问题或者至少部分地解决上述问题，本发明实施例提供一种浏览器中伪造请求检测方法及装置。

根据本发明实施例的第一方面，提供一种浏览器中伪造请求检测方法，包括：

获取浏览器中的待检测请求，并获取所述待检测请求中的目标头信息顺序和目标用户代理信息；

若所述目标用户代理信息在预先构建的映射表中存在，则从所述映射表中获取所述目标用户代理信息映射的头信息顺序；

若所述目标头信息顺序在所述目标用户代理信息映射的头信息顺序中不存在，则获知所述待检测请求为伪造请求。

根据本发明实施例第二方面提供一种浏览器中伪造请求检测装置，包括：

获取模块，用于获取浏览器中的待检测请求，并获取所述待检测请求中的目标头信息顺序和目标用户代理信息；

映射模块，用于若所述目标用户代理信息在预先构建的映射表中存在，则从所述映射表中获取所述目标用户代理信息映射的头信息顺序；

检测模块，用于若所述目标头信息顺序在所述目标用户代理信息映射的头信息顺序中不存在，则获知所述待检测请求为伪造请求。

根据本发明实施例的第三个方面，还提供一种电子设备，包括：

至少一个处理器；以及

与所述处理器通信连接的至少一个存储器，其中：

所述存储器存储有可被所述处理器执行的程序指令，所述处理器调用所述程序指令能够执行第一方面的各种可能的实现方式中任一种可能的实现方式所提供的浏览器中伪造请求检测方法。

根据本发明实施例的第四个方面，还提供一种非暂态计算机可读存储介质，所述非暂态计算机可读存储介质存储计算机指令，所述计算机指令使所述计算机执行第一方面的各种可能的实现方式中任一种可能的实现方式所提供的浏览器中伪造请求检测方法。

本发明实施例提供一种浏览器中伪造请求检测方法及装置，该方法通过使用预先建立的映射表验证线上的单条待检测请求的头信息顺序和用户代理信息之间是否存在映射关系，若不存在映射关系，则获知待检测请求为伪造请求，本实施例不依赖于外部IP数据的更新，直接使用浏览器请求中的头信息顺序来分辨出该请求是否为伪造请求，检测结果解释性强，便于反查问题和纠正问题，方法简单，提高了伪造请求检测的查全率和查准率。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例提供的浏览器中伪造请求检测方法整体流程示意图；

图2为本发明实施例提供的浏览器中伪造请求检测装置整体结构示意图；

图3为本发明实施例提供的电子设备整体结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

在本发明的一个实施例中提供一种浏览器中伪造请求检测方法，图1本发明实施例提供的浏览器中伪造请求检测方法整体流程示意图，该方法包括：S101，获取浏览器中的待检测请求，并获取所述待检测请求中的目标头信息顺序和目标用户代理信息；

其中，待检测请求为需要检测是否为伪造的请求，指线上的单条数据。将待检测请求中的头信息顺序header order作为目标头信息顺序，将待检测请求中的用户代理信息作为目标用户代理信息。用户代理(User Agent，UA)是一个特殊字符串头，使得服务器能够识别用户使用的操作系统及其版本、CPU类型、浏览器及版本、浏览器渲染引擎、浏览器语言、浏览器插件等。本实施例中用户代理信息包括对目标头信息顺序影响较大的操作系统版本和/或浏览器版本。对于待检测请求，通过接口在Server(服务器)端透过中间层获取底层真实的header order顺序。不同版本的操作系统，不同版本的浏览器上header order有很大不同。这是因为浏览器厂商在硬编码底层http协议时，其实是在socket(端口)上包裹了一层,对于socket而言是只有流的，而http协议中是按照字典形式对数据结构进行描述和通讯交换的。那么对于dict(字典)而言浏览器各自厂商会根据自身的编码偏好来优化头信息顺序，而头信息顺序只体现在底层，对于破解而言是不可见的。因此，通过利用头信息顺序不对称分析出哪些头信息顺序是正常的，哪些是伪造的。并对伪造的行为数据进行后续防御策略。

S102，若所述目标用户代理信息在预先构建的映射表中存在，则从所述映射表中获取所述目标用户代理信息映射的头信息顺序；

预先构建的映射表中存放有用户代理信息与头信息顺序之间的映射关系。当用户代理信息包括多种时，用户代理信息是指多种用户代理信息的组合，映射关系为多种用户代理信息的组合与头信息顺序之间的映射关系。例如，当用户代理信息包括浏览器版本和操作系统版本时，用户代理信息的一种情况为操作系统版本为IOS和浏览器版本为百度浏览器的组合。在将待检测请求中的目标头信息顺序和目标用户代理信息与映射表中的头信息顺序进行匹配时，先判断待检测请求中的目标用户代理信息在预先构建的映射列表中是否存在。若存在，则从映射表中获取目标代理信息映射的头信息顺序。例如，若映射列表中存在操作系统版本为IOS且浏览器版本为百度浏览器映射的头信息顺序，则从映射列表中获取操作系统版本为IOS且浏览器版本为百度浏览器的头信息顺序。

S103，若所述目标头信息顺序在所述目标用户代理信息映射的头信息顺序中不存在，则获知所述待检测请求为伪造请求。

目标用户代理信息映射的头信息顺序为一个或多个。判断待检测请求中目标头信息顺序在目标用户代理信息所映射的头信息顺序中是否存在。若不存在，则获知待检测请求为伪造请求。若存在，则获知待检测请求可能不是伪造请求。

本实施例通过使用预先建立的映射表验证线上的单条待检测请求的头信息顺序和用户代理信息之间是否存在映射关系，若不存在映射关系，则获知待检测请求为伪造请求，本实施例不依赖于外部IP数据的更新，直接使用浏览器请求中的头信息顺序来分辨出该请求是否为伪造请求，检测结果解释性强，便于反查问题和纠正问题，方法简单，提高了伪造请求检测的查全率和查准率。

在上述实施例的基础上，本实施例中在获取浏览器中的待检测请求，并获取所述待检测请求中的目标头信息顺序和目标用户代理信息的步骤之前还包括：根据预先构建的浏览器中正常请求样本库，获取所述样本库中各正常请求样本的头信息顺序和用户代理信息；将各所述正常请求样本的用户代理信息与各所述正常请求样本的头信息顺序进行映射，生成各所述正常请求样本的用户代理信息与各所述正常请求样本的头信息顺序之间的映射关系，并将所述映射关系保存在映射表中。

具体地，根据正常请求样本的头信息顺序和用户代理信息，构建映射表，即构建正常请求样本的头信息顺序和用户代理信息之间的映射关系。正常请求样本的用户代理信息所包含的内容与待检测请求的用户代理信息所包含的内容相同。例如正常请求样本和待检测请求的用户代理信息均包括浏览器版本和操作系统版本。

本实施例通过使用浏览器中真实且正常的请求样本构建先验映射表，然后使用先验的映射关系对线上的单体待检测请求验证其是否伪造，从而提高了伪造请求检测的准确性。

在上述实施例的基础上，本实施例中生成各所述正常请求样本的用户代理信息与各所述正常请求样本的头信息顺序之间的映射关系的步骤之后还包括：统计具有同一所述映射关系的正常请求样本的数量；根据具有同一所述映射关系的正常请求样本的数量，统计各所述映射关系的出现频率；相应地，若所述目标头信息顺序在所述目标用户代理信息映射的头信息顺序中不存在，则获知所述待检测请求为伪造请求的步骤还包括：若所述目标头信息顺序在所述目标用户代理信息映射的头信息顺序中存在，则获取所述目标用户代理信息与所述目标头信息顺序之间映射关系的出现频率；若所述目标用户代理信息与所述目标头信息顺序之间映射关系的出现频率小于预设阈值，则使用预设防御策略对所述待检测请求进行处理。

具体地，由于每个正常请求样本对应一种映射关系，统计具有同一映射关系的正常请求样本的数量。使用具有同一映射关系的正常请求样本的数量除以正常请求样本的总数，获取各种映射关系出现的频率。若待检测请求的目标头信息顺序与目标用户代理信息之间的映射关系在映射表中存在，但该映射关系的出现频率较低，则说明待检测请求很可能为伪造请求，使用预先设定的防御策略对伪造请求进行防御。从而提高伪造请求的查全率。

在上述实施例的基础上，本实施例中获取所述待检测请求中的目标头信息顺序和目标用户代理信息的步骤还包括：获取所述待检测请求的请求类型和/或协议类型；相应地，若所述目标用户代理信息在预先构建的映射表中存在，则从所述映射表中获取所述目标用户代理信息映射的头信息顺序的步骤还包括：若所述目标用户代理信息，以及所述待检测请求的请求类型和/或协议类型的组合在预先构建的映射表中存在，则从所述映射表中获取所述组合映射的头信息顺序。

具体地，请求类型包括GET、POST和OPTION。协议类型包括http和https。为了使映射关系更加精细，进一步提高伪造请求检测的准确率，除了获取待检测请求中的目标头信息顺序和目标用户代理信息，还获取待检测请求的请求类型和/或协议类型。相应地，在映射表的每条映射关系中添加请求类型和/或协议类型，即将目标用户代理信息，以及请求类型和/或协议类型的组合与头信息顺序进行映射。判断待检测请求的目标用户代理信息，以及请求类型和/或协议类型的组合在预先构建的映射表中是否存在，若存在则从映射表中获取该组合映射的头信息顺序。

在本发明的另一个实施例中提供一种浏览器中伪造请求检测装置，该装置用于实现前述各实施例中的方法。因此，在前述。。。方法的各实施例中的描述和定义，可以用于本发明实施例中各个执行模块的理解。图2为本发明实施例提供的浏览器中伪造请求检测装置整体结构示意图，该装置包括获取模块201、映射模块202和检测模块203；其中：获取模块201用于获取浏览器中的待检测请求，并获取所述待检测请求中的目标头信息顺序和目标用户代理信息；

待检测请求为需要检测是否为伪造的请求，指线上的单条数据。将待检测请求中的头信息顺序header order作为目标头信息顺序，将待检测请求中的用户代理信息作为目标用户代理信息。用户代理(User Agent，UA)是一个特殊字符串头，使得服务器能够识别用户使用的操作系统及其版本、CPU类型、浏览器及版本、浏览器渲染引擎、浏览器语言、浏览器插件等。本实施例中用户代理信息包括对目标头信息顺序影响较大的操作系统版本和/或浏览器版本。对于待检测请求，获取模块201通过接口在Server(服务器)端透过中间层获取底层真实的header order顺序。不同版本的操作系统，不同版本的浏览器上headerorder有很大不同。这是因为浏览器厂商在硬编码底层http协议时，其实是在socket(端口)上包裹了一层,对于socket而言是只有流的，而http协议中是按照字典形式对数据结构进行描述和通讯交换的。那么对于dict(字典)而言浏览器各自厂商会根据自身的编码偏好来优化头信息顺序，而头信息顺序只体现在底层，对于破解而言是不可见的。因此，通过利用头信息顺序不对称分析出哪些头信息顺序是正常的，哪些是伪造的。并对伪造的行为数据进行后续防御策略。

映射模块202用于若所述目标用户代理信息在预先构建的映射表中存在，则从所述映射表中获取所述目标用户代理信息映射的头信息顺序；

预先构建的映射表中存放有用户代理信息与头信息顺序之间的映射关系。当用户代理信息包括多种时，用户代理信息是指多种用户代理信息的组合，映射关系为多种用户代理信息的组合与头信息顺序之间的映射关系。在将待检测请求中的目标头信息顺序和目标用户代理信息与映射表中的头信息顺序进行匹配时，映射模块202先判断待检测请求中的目标用户代理信息在预先构建的映射列表中是否存在。若存在，则从映射表中获取目标代理信息映射的头信息顺序。

检测模块203用于若所述目标头信息顺序在所述目标用户代理信息映射的头信息顺序中不存在，则获知所述待检测请求为伪造请求。

目标用户代理信息映射的头信息顺序为一个或多个。检测模块203判断待检测请求中目标头信息顺序在目标用户代理信息所映射的头信息顺序中是否存在。若不存在，则获知待检测请求为伪造请求。若存在，则获知待检测请求可能不是伪造请求。

本实施例通过使用预先建立的映射表验证线上的单条待检测请求的头信息顺序和用户代理信息之间是否存在映射关系，若不存在映射关系，则获知待检测请求为伪造请求，本实施例不依赖于外部IP数据的更新，直接使用浏览器请求中的头信息顺序来分辨出该请求是否为伪造请求，检测结果解释性强，便于反查问题和纠正问题，方法简单，提高了伪造请求检测的查全率和查准率。

在上述实施例的基础上，本实施例中还包括构建模块，用于根据预先构建的浏览器中正常请求样本库，获取所述样本库中各正常请求样本的头信息顺序和用户代理信息；将各所述正常请求样本的用户代理信息与各所述正常请求样本的头信息顺序进行映射，生成各所述正常请求样本的用户代理信息与各所述正常请求样本的头信息顺序之间的映射关系，并将所述映射关系保存在映射表中。

在上述实施例的基础上，本实施例中还包括统计模块，用于统计具有同一所述映射关系的正常请求样本的数量；根据具有同一所述映射关系的正常请求样本的数量，统计各所述映射关系的出现频率；相应地，检测模块还用于：若所述目标头信息顺序在所述目标用户代理信息映射的头信息顺序中存在，则获取所述目标用户代理信息与所述目标头信息顺序之间映射关系的出现频率；若所述目标用户代理信息与所述目标头信息顺序之间映射关系的出现频率小于预设阈值，则使用预设防御策略对所述待检测请求进行处理。

在上述实施例的基础上，本实施例中所述用户代理信息包括操作系统版本和/或浏览器版本。

在上述实施例的基础上，本实施例中获取模块还用于：获取所述待检测请求的请求类型和/或协议类型；相应地，映射模块还用于：若所述目标用户代理信息，以及所述待检测请求的请求类型和/或协议类型的组合在预先构建的映射表中存在，则从所述映射表中获取所述组合映射的头信息顺序。

本实施例提供一种电子设备，图3为本发明实施例提供的电子设备整体结构示意图，该设备包括：至少一个处理器301、至少一个存储器302和总线303；其中，

处理器301和存储器302通过总线303完成相互间的通信；

存储器302存储有可被处理器301执行的程序指令，处理器调用程序指令能够执行上述各方法实施例所提供的方法，例如包括：获取浏览器中的待检测请求，并获取所述待检测请求中的目标头信息顺序和目标用户代理信息；若所述目标用户代理信息在预先构建的映射表中存在，则从所述映射表中获取所述目标用户代理信息映射的头信息顺序；若所述目标头信息顺序在所述目标用户代理信息映射的头信息顺序中不存在，则获知所述待检测请求为伪造请求。

本实施例提供一种非暂态计算机可读存储介质，非暂态计算机可读存储介质存储计算机指令，计算机指令使计算机执行上述各方法实施例所提供的方法，例如包括：获取浏览器中的待检测请求，并获取所述待检测请求中的目标头信息顺序和目标用户代理信息；若所述目标用户代理信息在预先构建的映射表中存在，则从所述映射表中获取所述目标用户代理信息映射的头信息顺序；若所述目标头信息顺序在所述目标用户代理信息映射的头信息顺序中不存在，则获知所述待检测请求为伪造请求。

本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。

以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性的劳动的情况下，即可以理解并实施。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到各实施方式可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件。基于这样的理解，上述技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在计算机可读存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行各个实施例或者实施例的某些部分所述的方法。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (10)

1.一种浏览器中伪造请求检测方法，其特征在于，包括：

获取浏览器中的待检测请求，并获取所述待检测请求中的目标头信息顺序和目标用户代理信息；

若所述目标用户代理信息在预先构建的映射表中存在，则从所述映射表中获取所述目标用户代理信息映射的头信息顺序；

若所述目标头信息顺序在所述目标用户代理信息映射的头信息顺序中不存在，则获知所述待检测请求为伪造请求。

2.根据权利要求1所述的方法，其特征在于，在获取浏览器中的待检测请求，并获取所述待检测请求中的目标头信息顺序和目标用户代理信息的步骤之前还包括：

根据预先构建的浏览器中正常请求样本库，获取所述样本库中各正常请求样本的头信息顺序和用户代理信息；

将各所述正常请求样本的用户代理信息与各所述正常请求样本的头信息顺序进行映射，生成各所述正常请求样本的用户代理信息与各所述正常请求样本的头信息顺序之间的映射关系，并将所述映射关系保存在映射表中。

3.根据权利要求2所述的方法，其特征在于，生成各所述正常请求样本的用户代理信息与各所述正常请求样本的头信息顺序之间的映射关系的步骤之后还包括：

统计具有同一所述映射关系的正常请求样本的数量；

根据具有同一所述映射关系的正常请求样本的数量，统计各所述映射关系的出现频率；

相应地，若所述目标头信息顺序在所述目标用户代理信息映射的头信息顺序中不存在，则获知所述待检测请求为伪造请求的步骤还包括：

若所述目标头信息顺序在所述目标用户代理信息映射的头信息顺序中存在，则获取所述目标用户代理信息与所述目标头信息顺序之间映射关系的出现频率；

若所述目标用户代理信息与所述目标头信息顺序之间映射关系的出现频率小于预设阈值，则使用预设防御策略对所述待检测请求进行处理。

4.根据权利要求1所述的方法，其特征在于，所述用户代理信息包括操作系统版本和/或浏览器版本。

5.根据权利要求1所述的方法，其特征在于，获取所述待检测请求中的目标头信息顺序和目标用户代理信息的步骤还包括：

获取所述待检测请求的请求类型和/或协议类型；

相应地，若所述目标用户代理信息在预先构建的映射表中存在，则从所述映射表中获取所述目标用户代理信息映射的头信息顺序的步骤还包括：

若所述目标用户代理信息，以及所述待检测请求的请求类型和/或协议类型的组合在预先构建的映射表中存在，则从所述映射表中获取所述组合映射的头信息顺序。

6.一种浏览器中伪造请求检测装置，其特征在于，包括：

获取模块，用于获取浏览器中的待检测请求，并获取所述待检测请求中的目标头信息顺序和目标用户代理信息；

映射模块，用于若所述目标用户代理信息在预先构建的映射表中存在，则从所述映射表中获取所述目标用户代理信息映射的头信息顺序；

检测模块，用于若所述目标头信息顺序在所述目标用户代理信息映射的头信息顺序中不存在，则获知所述待检测请求为伪造请求。

7.根据权利要求6所述的装置，其特征在于，还包括构建模块，用于根据预先构建的浏览器中正常请求样本库，获取所述样本库中各正常请求样本的头信息顺序和用户代理信息；

将各所述正常请求样本的用户代理信息与各所述正常请求样本的头信息顺序进行映射，生成各所述正常请求样本的用户代理信息与各所述正常请求样本的头信息顺序之间的映射关系，并将所述映射关系保存在映射表中。

8.根据权利要求7所述的装置，其特征在于，还包括统计模块，用于统计具有同一所述映射关系的正常请求样本的数量；

根据具有同一所述映射关系的正常请求样本的数量，统计各所述映射关系的出现频率；

相应地，检测模块还用于：

若所述目标头信息顺序在所述目标用户代理信息映射的头信息顺序中存在，则获取所述目标用户代理信息与所述目标头信息顺序之间映射关系的出现频率；

若所述目标用户代理信息与所述目标头信息顺序之间映射关系的出现频率小于预设阈值，则使用预设防御策略对所述待检测请求进行处理。

9.一种电子设备，其特征在于，包括：

至少一个处理器、至少一个存储器和总线；其中，

所述处理器和存储器通过所述总线完成相互间的通信；

所述存储器存储有可被所述处理器执行的程序指令，所述处理器调用所述程序指令能够执行如权利要求1至5任一所述的方法。

10.一种非暂态计算机可读存储介质，其特征在于，所述非暂态计算机可读存储介质存储计算机指令，所述计算机指令使所述计算机执行如权利要求1至5任一所述的方法。