CN109873818A - 一种防止非法访问服务器的方法及系统 - Google Patents

Abstract

本发明公开了一种防止非法访问服务器的方法及系统，其中防止方法包括：A1.服务器生成提示码、会话标识；A2.将提示码、会话标识加密后得到加密信息；A3.将提示码和加密信息发送至客户端；A4.客户端接收信息；A5.客户端选取一个加密密钥对加密信息进行解密；A6.判断解密信息中的提示码是否和直接接收的提示码一致，若是则获取相应会话标识并跳转至A；若否则重复A5～A6；A.客户端生成原始资源URL；B.将会话标识、原始资源URL合为新URL；C.基于新URL发送访问请求；D.判断新URL中是否带有会话标识，若否则拒绝访问；若是则执行E.判断新URL中的会话标识与预先生成的会话标识是否一致，若否则拒绝访问。本发明能够识别访问请求是否合法，防止非法访问服务器的行为发生。

Description

一种防止非法访问服务器的方法及系统

技术领域

本发明属于通讯领域，特别涉及一种防止非法访问服务器的方法及系统。

背景技术

目前，客户端和服务器的交互接口大部分是通过http的方式实现，其中，服务器提供对外的访问接口，这些接口提供的是标准的http服务。

在现有技术中，客户端与服务器交互的过程如下：

首先，客户端生成待请求的资源URL(Uniform Resource Locator,统一资源定位符)，向服务器发送http请求。

然后，服务器接收到请求，向客户端返回访问结果。

最后，客户端解析服务器返回的访问结果，并处理对应的业务逻辑。

在上述交互过程中，若存在恶意客户端修改URL或其中的参数，发起恶意请求，或者恶意客户端模拟正常用户发起请求，则存在信息泄漏的风险。此外，若恶意客户端不断发起请求，则服务器由于资源不够而会拒绝正常的客户端请求，导致客户端无法获得需要的数据，从而服务器无法服务正常用户。

为解决上述问题，现有的做法一般是对发起请求的客户端的IP、UserAgent进行限制处理，比如限制单个IP在固定时间段能发起的请求数，或者通过分析IP的行为，对可疑IP放入黑名单，不允许黑名单中的IP发出请求。但是，这种方法无法防止IP分散、请求不固定的刷后端接口访问服务器的行为发生。

发明内容

本发明的目的在于，针对上述现有技术的不足，提供一种防止非法访问服务器的方法及系统，能够识别访问请求是否合法，防止非法访问服务器的行为发生，从而避免信息泄漏和服务器无法服务正常用户；该方法适用范围广，对于IP分散、请求不固定的刷后端接口行为尤为适用。

为解决上述技术问题，本发明所采用的技术方案是：

一种防止非法访问服务器的方法，包括步骤A.客户端生成待请求的原始资源URL；其特点是，

在步骤A之前还包括：

步骤A1.服务器生成提示码、会话标识和加密密钥集合；

步骤A2.服务器将提示码、会话标识组合形成的信息经过加密密钥加密后得到加密信息，其中加密密钥为加密密钥集合中的任意一个数；

步骤A3.服务器将加密密钥集合、提示码和加密信息发送至客户端；

步骤A4.客户端接收加密密钥集合、提示码和加密信息；

步骤A5.客户端在加密密钥集合中选取一个加密密钥对加密信息进行解密，得到解密信息；

步骤A6.判断解密信息中包含的提示码是否和客户端直接从服务器接收的提示码一致，若是，则客户端获取相应解密信息中的会话标识并跳转至步骤A；若否，则重复步骤A5～A6；

在步骤A之后还包括：

步骤B.客户端将步骤A6中获取的会话标识、步骤A中生成的原始资源URL合并为新URL；

步骤C.客户端基于新URL向服务器发送访问请求；

步骤D.服务器判断接收到的访问请求中的新URL中是否带有会话标识，若否，则判断此次访问请求为非法访问请求，服务器拒绝此次访问；若是，则执行步骤E；

步骤E.判断新URL中的会话标识与服务器中预先生成的会话标识是否一致，若否，则判断此次访问请求为非法访问请求，服务器拒绝此次访问。

借由上述方法，客户端在发出访问请求前，由服务器给客户端一段加密信息和提示码，客户端不断尝试用不同的密钥去解密加密信息，同时，客户端根据提示码能够判定是否正确解密服务端发送的加密信息。当正确解密后，解密信息中包含会话标识(sessionid)。从而客户端在发出访问请求时，带上服务器中预先生成并由客户端解密获得的会话标识，再由服务器检查访问请求中的会话标识与服务器中预先生成的会话标识是否一致，来决定是否拒绝客户端的本次访问，从而避免第三方应用非法访问服务器，避免信息泄漏和服务器无法服务正常用户；本发明方法对于IP分散、请求不固定的刷后端接口行为尤为适用。

进一步地，所述步骤A1中，服务器还生成会话密钥；

所述步骤A2中，服务器将提示码、会话标识、会话密钥组合形成的信息经过加密密钥加密后得到加密信息；

所述步骤A6中，若解密信息中包含的提示码和客户端直接从服务器接收的提示码一致，则客户端获取相应解密信息中的会话标识和会话密钥并跳转至步骤A；

所述步骤B中还包括，客户端根据会话密钥对原始资源URL进行加密，得到加密URL；客户端将步骤A6中获取的会话标识、步骤B中得到的加密URL、步骤A中生成的原始资源URL合并为新URL；

所述步骤E中，若判断新URL中的会话标识与服务器中预先生成的会话标识一致，则利用会话密钥对新URL中的加密URL数据进行解密；

还包括：

步骤F.判断解密后得到的资源标识数据与新URL中原始资源URL中携带的资源标识数据是否一致，若否，则判断此次访问请求为非法访问请求，服务器拒绝此次访问；若是，则判断此次访问请求为合法访问请求，服务器允许此次访问且基于原始资源URL向客户端返回访问结果。

借由上述方法，当客户端正确解密后，解密信息中包含会话标识(session id)和会话密钥(session key)。客户端在发出访问请求时，在请求URL中带上服务器中会话标识及经过会话密钥加密的认证信息。当客户端访问服务器时，由服务器检查访问请求中的会话标识与服务器中预先生成的会话标识是否一致，同时解密客户端发过来的加密认证信息，来决定是否允许客户端的本次访问。通过在正常的访问请求上加上会话标识和经过会话密钥加密的认证信息，第三方客户端或恶意客户端在正常情况下无法发出合法的访问请求，自然也无法修改参数去刷服务器接口，同时服务器容易识别并拒绝非法访问请求，最终可避免第三方客户端或恶意客户端去刷服务器接口。再者，本发明中，服务器处理请求所需要的计算资源小于客户端发出请求所需要的计算资源，从而在技术层面能够扭转应对恶意用户刷请求的资源优势，使得恶意用户发出一个请求所获得的收益跟发出请求所需要的资源相当，从经济上避免非法访问行为。

基于同一个发明构思，本发明还提供了一种防止非法访问服务器的系统，包括客户端和服务器，其中，客户端包括原始资源URL生成单元：用于生成待请求的原始资源URL；服务器包括第一接收单元：用于接收客户端发送的访问请求；

其特点是，

服务器还包括：

数据生成单元：用于生成提示码、会话标识和加密密钥集合；

第一加密单元：用于将提示码、会话标识组合形成的信息经过加密密钥加密后得到加密信息，其中加密密钥为加密密钥集合中的任意一个数；

第一发送单元：用于将加密密钥集合、提示码和加密信息发送至客户端；

第一判断单元：用于判断接收到的访问请求中的新URL中是否带有会话标识，若否，则判断此次访问请求为非法访问请求，服务器拒绝此次访问；若是，则判断新URL中的会话标识与服务器中预先生成的会话标识是否一致；

第二判断单元：用于判断新URL中的会话标识与服务器中预先生成的会话标识是否一致，若否，则判断此次访问请求为非法访问请求，服务器拒绝此次访问；

客户端还包括：

第二接收单元：用于接收加密密钥集合、提示码和加密信息；

第一解密单元：用于在加密密钥集合中选取一个加密密钥对加密信息进行解密，得到解密信息；

第三判断单元：用于判断解密信息中包含的提示码是否和客户端直接从服务器接收的提示码一致；

数据获取单元：用于在解密信息中包含的提示码和客户端直接从服务器接收的提示码一致时，获取相应解密信息中的会话标识；

新URL生成单元：用于将会话标识、原始资源URL合并为新URL；

第二发送单元：用于基于新URL向服务器发送访问请求。

进一步地，所述数据生成单元还用于生成会话密钥；

所述第一加密单元用于将提示码、会话标识、会话密钥组合形成的信息经过加密密钥加密后得到加密信息；

所述数据获取单元还用于在解密信息中包含的提示码和客户端直接从服务器接收的提示码一致时，获取相应解密信息中的会话密钥；

所述客户端还包括：

第二加密单元：用于根据会话密钥对原始资源URL进行加密，得到加密URL；

所述新URL生成单元用于将会话标识、加密URL、原始资源URL合并为新URL；

所述服务器还包括：

第二解密单元：用于在新URL中的会话标识与服务器中预先生成的会话标识一致时，利用会话密钥对新URL中的加密URL数据进行解密；

第四判断单元：用于判断解密后得到的资源标识数据与新URL中原始资源URL中携带的资源标识数据是否一致，若否，则判断此次访问请求为非法访问请求，服务器拒绝此次访问；若是，则判断此次访问请求为合法访问请求，服务器允许此次访问且基于原始资源URL向客户端返回访问结果。

与现有技术相比，本发明能够识别访问请求是否合法，防止非法访问服务器的行为发生，从而避免信息泄漏和服务器无法服务正常用户；该方法适用范围广，对于IP分散、请求不固定的刷后端接口行为尤为适用。

具体实施方式

防止非法访问服务器的方法一实施方式包括以下步骤：

步骤A1.服务器生成提示码、会话标识、会话密钥和加密密钥集合；

步骤A2.服务器将提示码、会话标识、会话密钥组合形成的信息经过加密密钥加密后得到加密信息，其中加密密钥为加密密钥集合中的任意一个数；

步骤A3.服务器将加密密钥集合、提示码和加密信息发送至客户端；

步骤A4.客户端接收加密密钥集合、提示码和加密信息；

步骤A5.客户端在加密密钥集合中选取一个加密密钥对加密信息进行解密，得到解密信息；

步骤A6.判断解密信息中包含的提示码是否和客户端直接从服务器接收的提示码一致，若是，则客户端获取相应解密信息中的会话标识和会话密钥并跳转至步骤A；若否，则重复步骤A5～A6；

步骤A.客户端生成待请求的原始资源URL；

步骤B.客户端根据会话密钥对原始资源URL进行加密，得到加密URL；客户端将步骤A6中获取的会话标识、步骤B中得到的加密URL、步骤A中生成的原始资源URL合并为新URL；

步骤C.客户端基于新URL向服务器发送访问请求；

步骤D.服务器判断接收到的访问请求中的新URL中是否带有会话标识，若否，则判断此次访问请求为非法访问请求，服务器拒绝此次访问；若是，则执行步骤E；

步骤E.判断新URL中的会话标识与服务器中预先生成的会话标识是否一致，若否，则判断此次访问请求为非法访问请求，服务器拒绝此次访问；若判断新URL中的会话标识与服务器中预先生成的会话标识一致，则利用会话密钥对新URL中的加密URL数据进行解密；

步骤F.判断解密后得到的资源标识数据与新URL中原始资源URL中携带的资源标识数据是否一致，若否，则判断此次访问请求为非法访问请求，服务器拒绝此次访问；若是，则判断此次访问请求为合法访问请求，服务器允许此次访问且基于原始资源URL向客户端返回访问结果。

本发明提出一种创新的会话标识和会话密钥交换机制，有效地将自有的客户端跟第三方客户端区别开来，从而达到有效控制恶意客户端访问服务器的目的。

具体而言，本发明方法包括以下两个阶段：

第一个阶段：

客户端在发出资源请求之前，前序请求中增加下面逻辑。比如客户端在短信验证码下发请求之前，会预先请求服务器，拿到返回后，生成一个页面，让用户填写手机号码。这样可以在预先的这个请求里增加这个逻辑。

其中服务器的处理逻辑如下：

1.服务器生成下面的会话信息：

session info＝prompt number:sessionid:session key

prompt number：是一个数字，用来给客户端判断是否正常解密用的，即本发明所述的提示码。

session id:会话标识。

session key:会话密钥。

2.服务器对上面的session info进行加密

服务器在1～Max key之间随机选取一个数字，用作加密密钥，对session info进行加密，生成加密的session info信息。

3.服务器把提示码prompt number和加密的session info发给客户端。

客户端的处理收到结果后，处理逻辑如下：

不断尝试去解密session info信息：从1到Max key之间进行循环，不断选择密钥去解密session info信息，当解密部分的前缀是prompt number时，即解密成功，从而拿到会话标识(session id)和会话密钥(session key)。

第二个阶段：

客户端发出资源请求，用会话标识和会话密钥，加入加密的会话认证信息，服务器再验证这些会话认证信息，以此决定是否允许访问请求。

本发明还提供了一种防止非法访问服务器的系统，包括客户端和服务器，其中，客户端包括原始资源URL生成单元：用于生成待请求的原始资源URL；服务器包括第一接收单元：用于接收客户端发送的访问请求。

服务器还包括：

数据生成单元：用于生成提示码、会话标识、会话密钥和加密密钥集合；

第一加密单元：用于将提示码、会话标识、会话密钥组合形成的信息经过加密密钥加密后得到加密信息，其中加密密钥为加密密钥集合中的任意一个数；

第一发送单元：用于将加密密钥集合、提示码和加密信息发送至客户端；

第一判断单元：用于判断接收到的访问请求中的新URL中是否带有会话标识，若否，则判断此次访问请求为非法访问请求，服务器拒绝此次访问；若是，则判断新URL中的会话标识与服务器中预先生成的会话标识是否一致；

第二判断单元：用于判断新URL中的会话标识与服务器中预先生成的会话标识是否一致，若否，则判断此次访问请求为非法访问请求，服务器拒绝此次访问。

客户端还包括：

第二接收单元：用于接收加密密钥集合、提示码和加密信息；

第一解密单元：用于在加密密钥集合中选取一个加密密钥对加密信息进行解密，得到解密信息；

第三判断单元：用于判断解密信息中包含的提示码是否和客户端直接从服务器接收的提示码一致；

数据获取单元：用于在解密信息中包含的提示码和客户端直接从服务器接收的提示码一致时，获取相应解密信息中的会话标识和会话密钥；

第二加密单元：用于根据会话密钥对原始资源URL进行加密，得到加密URL；

新URL生成单元：用于将会话标识、、加密URL、原始资源URL合并为新URL；

第二发送单元：用于基于新URL向服务器发送访问请求。

所述服务器还包括：

第二解密单元：用于在新URL中的会话标识与服务器中预先生成的会话标识一致时，利用会话密钥对新URL中的加密URL数据进行解密；

第四判断单元：用于判断解密后得到的资源标识数据与新URL中原始资源URL中携带的资源标识数据是否一致，若否，则判断此次访问请求为非法访问请求，服务器拒绝此次访问；若是，则判断此次访问请求为合法访问请求，服务器允许此次访问且基于原始资源URL向客户端返回访问结果。

上面对本发明的实施例进行了描述，但是本发明并不局限于上述的具体实施方式，上述的具体实施方式仅仅是示意性的，而不是局限性的，本领域的普通技术人员在本发明的启示下，在不脱离本发明宗旨和权利要求所保护的范围情况下，还可做出很多形式，这些均属于本发明的保护范围之内。

Claims (4)

1.一种防止非法访问服务器的方法，包括步骤A.客户端生成待请求的原始资源URL；其特征在于，

在步骤A之前还包括：

步骤A1.服务器生成提示码、会话标识和加密密钥集合；

步骤A2.服务器将提示码、会话标识组合形成的信息经过加密密钥加密后得到加密信息，其中加密密钥为加密密钥集合中的任意一个数；

步骤A3.服务器将加密密钥集合、提示码和加密信息发送至客户端；

步骤A4.客户端接收加密密钥集合、提示码和加密信息；

步骤A5.客户端在加密密钥集合中选取一个加密密钥对加密信息进行解密，得到解密信息；

步骤A6.判断解密信息中包含的提示码是否和客户端直接从服务器接收的提示码一致，若是，则客户端获取相应解密信息中的会话标识并跳转至步骤A；若否，则重复步骤A5～A6；

在步骤A之后还包括：

步骤B.客户端将步骤A6中获取的会话标识、步骤A中生成的原始资源URL合并为新URL；

步骤C.客户端基于新URL向服务器发送访问请求；

步骤D.服务器判断接收到的访问请求中的新URL中是否带有会话标识，若否，则判断此次访问请求为非法访问请求，服务器拒绝此次访问；若是，则执行步骤E；

步骤E.判断新URL中的会话标识与服务器中预先生成的会话标识是否一致，若否，则判断此次访问请求为非法访问请求，服务器拒绝此次访问。

2.如权利要求1所述的防止非法访问服务器的方法，其特征在于，

所述步骤A1中，服务器还生成会话密钥；

所述步骤A2中，服务器将提示码、会话标识、会话密钥组合形成的信息经过加密密钥加密后得到加密信息；

所述步骤A6中，若解密信息中包含的提示码和客户端直接从服务器接收的提示码一致，则客户端获取相应解密信息中的会话标识和会话密钥并跳转至步骤A；

所述步骤B中还包括，客户端根据会话密钥对原始资源URL进行加密，得到加密URL；客户端将步骤A6中获取的会话标识、步骤B中得到的加密URL、步骤A中生成的原始资源URL合并为新URL；

所述步骤E中，若判断新URL中的会话标识与服务器中预先生成的会话标识一致，则利用会话密钥对新URL中的加密URL数据进行解密；

还包括：

步骤F.判断解密后得到的资源标识数据与新URL中原始资源URL中携带的资源标识数据是否一致，若否，则判断此次访问请求为非法访问请求，服务器拒绝此次访问；若是，则判断此次访问请求为合法访问请求，服务器允许此次访问且基于原始资源URL向客户端返回访问结果。

3.一种防止非法访问服务器的系统，包括客户端和服务器，其中，客户端包括原始资源URL生成单元：用于生成待请求的原始资源URL；服务器包括第一接收单元：用于接收客户端发送的访问请求；

其特征在于，

服务器还包括：

数据生成单元：用于生成提示码、会话标识和加密密钥集合；

第一加密单元：用于将提示码、会话标识组合形成的信息经过加密密钥加密后得到加密信息，其中加密密钥为加密密钥集合中的任意一个数；

第一发送单元：用于将加密密钥集合、提示码和加密信息发送至客户端；

第一判断单元：用于判断接收到的访问请求中的新URL中是否带有会话标识，若否，则判断此次访问请求为非法访问请求，服务器拒绝此次访问；若是，则判断新URL中的会话标识与服务器中预先生成的会话标识是否一致；

第二判断单元：用于判断新URL中的会话标识与服务器中预先生成的会话标识是否一致，若否，则判断此次访问请求为非法访问请求，服务器拒绝此次访问；

客户端还包括：

第二接收单元：用于接收加密密钥集合、提示码和加密信息；

第一解密单元：用于在加密密钥集合中选取一个加密密钥对加密信息进行解密，得到解密信息；

第三判断单元：用于判断解密信息中包含的提示码是否和客户端直接从服务器接收的提示码一致；

数据获取单元：用于在解密信息中包含的提示码和客户端直接从服务器接收的提示码一致时，获取相应解密信息中的会话标识；

新URL生成单元：用于将会话标识、原始资源URL合并为新URL；

第二发送单元：用于基于新URL向服务器发送访问请求。

4.如权利要求3所述的防止非法访问服务器的系统，其特征在于，

所述数据生成单元还用于生成会话密钥；

所述第一加密单元用于将提示码、会话标识、会话密钥组合形成的信息经过加密密钥加密后得到加密信息；

所述数据获取单元还用于在解密信息中包含的提示码和客户端直接从服务器接收的提示码一致时，获取相应解密信息中的会话密钥；

所述客户端还包括：

第二加密单元：用于根据会话密钥对原始资源URL进行加密，得到加密URL；

所述新URL生成单元用于将会话标识、加密URL、原始资源URL合并为新URL；

所述服务器还包括：

第二解密单元：用于在新URL中的会话标识与服务器中预先生成的会话标识一致时，利用会话密钥对新URL中的加密URL数据进行解密；

第四判断单元：用于判断解密后得到的资源标识数据与新URL中原始资源URL中携带的资源标识数据是否一致，若否，则判断此次访问请求为非法访问请求，服务器拒绝此次访问；若是，则判断此次访问请求为合法访问请求，服务器允许此次访问且基于原始资源URL向客户端返回访问结果。