CN110290148B - 一种web防火墙的防御方法、装置、服务器及存储介质 - Google Patents

Abstract

本发明公开了一种WEB防火墙的防御方法，包括：获取客户端发起的基于不同业务的多个关键请求；根据预设的关键请求的操作组合规则确定所述多个关键请求是否合法；将合法的关键请求发送至服务器，并阻止非法的关键请求发送至服务器。本发明还提供一种WEB防火墙的防御装置、服务器及存储介质，以实现从HTTP请求层面拦截恶意攻击，避免安全策略被绕过，提升网络安全性能。

Description

一种WEB防火墙的防御方法、装置、服务器及存储介质

技术领域

本发明实施例涉及网络安全防御技术领域，尤其涉及一种WEB防火墙的防御方法、装置、服务器及存储介质。

背景技术

WAF(Web Application Firewall，即Web应用防火墙)是通过执行一系列针对HTTP/HTTPS的安全策略来专门为Web应用提供保护的一款产品。当WEB应用越来越为丰富的同时，WEB服务器以其强大的计算能力、处理性能及蕴含的较高价值逐渐成为主要攻击目标，导致跨站脚本攻击、SQL注入、网页篡改、网页挂马等安全事件频繁发生。

WAF目前主要通过安全策略防御恶意请求，任何安全策略都有被绕过的风险，同时基于策略的防护，很难发现未知风险，导致策略无法及时更新。

发明内容

本发明提供一种WEB防火墙的防御方法、装置、防火墙及存储介质，以实现从HTTP请求层面拦截恶意攻击，避免安全策略被绕过。

第一方面，本发明提供的一种WEB防火墙的防御方法包括：

预先获取客户端发起的基于不同业务的多个关键请求；

根据预设的关键请求的操作组合规则确定所述多个关键请求是否合法；

将合法的关键请求发送至服务器，并阻止非法的关键请求发送至服务器。

第二方面，本发明实施例还提供了一种WEB防火墙的防御装置，包括：

获取模块，预先获取客户端发起的基于不同业务的多个关键请求；

判断模块，根据预设的关键请求的操作组合规则确定所述多个关键请求是否合法；

拦截模块，将合法的关键请求发送至服务器，并阻止非法的关键请求发送至服务器。

第三方面，本发明实施例还提供了一种服务器，包括存储器、处理器及存储在存储器上并可在处理器上运行的程序，其特征在于，所述处理器执行所述程序时实现如上述任一所述的WEB防火墙的防御方法。

第四方面，本发明实施例还提供了一种终端可读存储介质，其上存储有程序，其特征在于，所述程序被处理器执行时能够实现如上述任一所述的WEB防火墙的防御方法。

附图说明

图1是本发明实施例一中的WEB防火墙的防御方法流程图。

图2是本发明实施例二中的WEB防火墙的防御方法流程图。

图3是本发明实施例三中的WEB防火墙的防御方法流程图。

图4是本发明实施例三的替代实施例的WEB防火墙的防御方法流程图。

图5是本发明实施例四的WEB防火墙的防御装置模块图。

图6是本发明实施例五的服务器结构示意图。

具体实施方式

下面结合附图和实施例对本发明作进一步的详细说明。可以理解的是，此处所描述的具体实施例仅仅用于解释本发明，而非对本发明的限定。另外还需要说明的是，为了便于描述，附图中仅示出了与本发明相关的部分而非全部结构。

在更加详细地讨论示例性实施例之前应当提到的是，一些示例性实施例被描述成作为流程图描绘的处理或方法。虽然流程图将各步骤描述成顺序的处理，但是其中的许多步骤可以被并行地、并发地或者同时实施。此外，各步骤的顺序可以被重新安排。当其操作完成时处理可以被终止，但是还可以具有未包括在附图中的附加步骤。处理可以对应于方法、函数、规程、子例程、子程序等等。

此外，术语“第一”、“第二”等可在本文中用于描述各种方向、动作、步骤或元件等，但这些方向、动作、步骤或元件不受这些术语限制。这些术语仅用于将第一个方向、动作、步骤或元件与另一个方向、动作、步骤或元件区分。举例来说，在不脱离本申请的范围的情况下，第一速度差值可以为第二速度差值，且类似地，第二速度差值可以为第一速度差值。第一速度差值和第二速度差值两者都是速度差值，但其不是同一速度差值。术语“第一”、“第二”等而不能理解为指示或暗示相对重要性或者隐含指明所指示的技术特征的数量。由此，限定有“第一”、“第二”的特征可以明示或者隐含地包括一个或者更多个该特征。在本发明的描述中，“多个”、“批量”的含义是至少两个，例如两个，三个等，除非另有明确具体的限定。

在下述实施例中提到的英文缩写含义如下：

WAF(Web Application Firewall)WEB应用防火墙，又称为网站应用级入侵防御系统，是通过执行一系列针对http/https请求的安全策略来专门为Web应用提供保护的一款产品。

GET/POST操作：GET和POST是http请求中与服务器交互的两种基本方法。HTTP请求过程中，服务器交互的常见方法有四种：put，delete，post，get，分别对应服务器资源的增，删，改，查。一般来说，GET操作用于获取或查询服务器资源信息，而POST操作一般用于更新资源信息。

SQL注入：结构化查询语言(Structured Query Language)简称SQL，结构化查询语言是一种数据库查询和程序设计语言，用于存取数据以及查询、更新和管理关系数据库系统；SQL攻击攻击通过构建特殊的输入作为参数传入Web应用程序，而这些输入大都是SQL语法里的一些组合，通过执行SQL语句进而执行攻击者所要的操作，是黑客对数据库进行攻击的常用手段之一。

实施例一

如图1为本发明实施例一提供的WEB防火墙的防御方法，通过行为识别对客户端发来的请求进行识别和拦截。

防火墙是位于客户端与服务器之间的网络安全系统，能够依照预先定义的安全规则，允许或限制传输的数据通过。目前，防火墙的拦截规则是基于从常规用户的请求数据中提取到的特征参数获得的。

本实施例WEB防火墙的防御方法包括的步骤如下：

S110.获取客户端发起的基于不同业务的多个关键请求；

在网络请求过程中，客户端向服务器发送一个或多个网络请求，其中，用于达成业务目的的请求即为关键请求。本实施例中的不同业务包括但不限于用户的登录、注册、填写验证码或支付等业务场景。示例性地，在支付的业务中，用户会首先发起一个或多个GET请求，以执行浏览商品界面、选择商品加入购物车等操作，然后发起POST请求，以执行向服务器发送付款请求、输入付款密码等操作，在上述示例中，关键操作即为用户达成付款操作的浏览商品界面、选择商品加入购物车、输入密码完成支付的操作。

S120.根据预设的关键请求的操作组合规则确定多个关键请求是否合法；

在固定的业务场景中，正常用户的行为是收束、统一并且一成不变的，而攻击者的行为则是一些稀有的行为，如执行命令、大量请求数据、下载敏感文件，此时可以通过监控请求过程中的关键请求的操作组合规则来识别请求是否为恶意攻击。

固定业务包括但不限于登录、注册、输入验证码等，示例性地，在注册业务中，正常用户会首先发起一个或多个GET请求，以执行浏览界面等操作，然后发起POST请求，以执行向服务器上传数据、获取注册信息的操作。因此注册业务对应的关键请求的操作组合规则为：POST请求及POST请求之前的一个或多个GET请求。在出现恶意注册时，防火墙可以监控到注册操作中只有大量向服务器获取注册信息的POST请求，而没有POST请求之前正常用户执行的浏览界面等操作，因此根据注册业务过程中的关键请求的操作组合规则，可判定该请求不合法。

S130.将合法的关键请求发送至服务器，并阻止非法的关键请求发送至服务器。

WAF设置于客户端和服务器之间，客户端发起的HTTP请求必须通过WAF许可才能发送至服务器。当检测到请求不合法时，WAF拦截该请求，阻止请求发送至服务器，以保证服务器不受攻击。同时，可选地，根据恶意攻击的类型，WAF也可以执行不同的防御动作。

本实施例通过WEB防火墙的防御通过不同业务的关键请求来判断是否为恶意攻击，以实现从HTTP请求层面拦截恶意攻击，避免安全策略被绕过，提升网络安全性能。

实施例二

如图2所示，本实施例二在实施例一的基础上，增加了预设的关键请求的操作组合规则的建立方法的详细步骤，如下：

S210.预先获取客户端发起的基于不同业务的多个模板业务请求；

WAF预先经过安全规则的训练过程，以获取在预设时间内常规用户发起的基于不同业务的多个模板业务请求。

需要强调的是，该步骤中，安全规则的训练过程在WEB防火墙配置使用之前进行。由于网络攻击者可以不断向防火墙发送大量相同或相似的恶意数据，对训练过程进行污染，以误导防火墙基于不断接收到的恶意数据，生成新的安全规则并添加到安全规则库中，使得防火墙在此后将异常请求认定为常规的用户关键操作组合，导致误判，不再对该类恶意数据进行阻断或预警。因此，本实施例采用的安全规则的训练方法，不能从防火墙工作过程中的系统日志选取，也不能在防火墙工作过程中根据获取的请求动态调整安全规则。

该步骤中，防火墙可以不断更新安全规则，现有技术中，自学习式的防火墙可以通过对不断接收到的数据进行学习来提取数据的特征参数，进而生成新的防火墙规则。

S220.获取每个模板业务请求中的模板关键请求；

该步骤中，安全规则训练过程可以根据工作人员进行事先筛选，选出WEB防火墙的防御配置使用之前某一天的系统日志，该系统日志中包含大量不同业务的常规用户请求。防火墙系统从该系统日志获取客户端向服务器发起的所有网络请求，以区分不同业务类型的不同请求。

S230.将多个模板关键请求的一个或多个操作组合定义为预设的关键请求的操作组合规则。

示例性地，WAF从某一天的系统日志中获取了用户登录、注册、输入验证码、页面支付等多种业务场景中的关键请求，即为模板关键请求。示例性地，模板关键请求中包含用户登录请求N次(N≥1)，WAF从中获取N次正常用户登录请求中的关键请求组合，根据N次登录业务场景的关键请求组合，制定出登录业务场景对应的安全规则。同时，WAF从系统日志中获取M次用户注册业务、P次输入验证码业务或Q次页面支付业务，从中获取对应业务场景的关键请求组合，以根据对应业务场景的关键请求组合制定出对应的安全规则。

S240.根据预设的关键请求的操作组合规则确定多个关键请求是否合法；

通过获取一段时间的用户访问，WAF记录了常用网页的访问模式，如一个网页中有几个输入点，输入的是什么类型的内容，通常情况的长度是多少等。学习完毕后，WAF能够定义出一个网页的正常使用模式，当今后有用户突破了这个模式，如一般的帐号输入不应该有特殊字符，而XML注入时需要有“<”之类的语言标记，WAF就会根据你预先定义的方式预警或阻断；再如密码长度一般不超过20位，在SQL注入时加入代码会很长，同样突破了网页访问的模式。

S250.将合法的关键请求发送至服务器，并阻止非法的关键请求发送至服务器。

本实施例通过WEB防火墙的防御通过不同业务的关键请求来判断是否为恶意攻击，以实现从HTTP请求层面拦截恶意攻击，避免安全策略被绕过，提升网络安全性能。同时通过提供一种预设的安全规则的训练方法，使关键请求的判断更精确。

实施例三

如图3为本发明实施例三提供的一种WEB防火墙的防御方法，本实施例在上述实施例的基础上，增加了阻止非法的关键请求发送至服务器之后的步骤，具体如下：

S310.获取客户端发起的基于不同业务的多个关键请求；

S320.根据预设的关键请求的操作组合规则确定多个关键请求是否合法；

S330.将合法的关键请求发送至服务器，并阻止非法的关键请求发送至服务器。

S340.在预设时间段内，判断阻止非法的关键请求发送至服务器的次数是否超过阈值；

S350.若是，则判断当前业务是否出现地址变更和/或端口变更；

该步骤中，当非法的关键请求出现次数超过阈值，可能是服务器遭受恶意攻击，也可能是由于当前业务出现地址变更或端口变更，导致用户一直向错误的地址发送请求。

S360.若是，则更新当前业务对应的预设的关键请求的操作组合规则；

在确定当前业务出现地址变更或端口变更时，防火墙更新当前业务对应的地址信息及端口信息，同时更新预设的关键请求的操作组合规则，以应对用户后续的网络请求。

S370.若否，则将非法的关键请求记录为恶意攻击。

若业务地址及端口未出现变更，且多次非法的关键请求均来源于同一客户端，则可认为服务器受到了恶意攻击，将非法的关键请求记录为恶意攻击，以进行后续的应对工作。示例性地，恶意攻击的类型包括但不限于：SQL注入、恶意注册、用户撞库、密码爆破或恶意OCR识别等。

如图4，在替代实施例中，S370之后还增加了WEB防火墙的黑名单功能，黑名单存储有以往的发起恶意攻击行为的客户端，能够根据预设的防御规则判断恶意攻击的类型，并根据攻击类型执行对应的防御动作。

具体步骤如下：

S371.获取发起恶意攻击的客户端信息，判断客户端信息是否已记录在黑名单中；

防火墙对请求的拦截方式可以包括黑名单或白名单，黑名单一般记载有发起恶意攻击的IP地址，以及根据已有经验、针对不同的攻击类型预先定义的应对措施，一般包括预警、阻断及主动防御；白名单则由正常的合法数据中提取形成，当防火墙接收到的请求来源与用户发起的请求来源相匹配时，则防火墙系统判断该数据为合法数据，允许该数据通过防火墙发送至服务器。

由于白名单只允许满足预设名单信息的请求通过，会阻止一切没有定义为可接收的事物，因此需要在防火墙部署前增加大量工作，且容易误拦截合法请求，因此本实施例中采用黑名单方式进行拦截。

S372.若否，则将客户端信息记录进WEB防火墙的黑名单中；

由于上述步骤S370已经将请求判定为恶意攻击，即防火墙拦截非法请求的次数超过了阈值，若黑名单中未记录该客户端信息，则将发起多次非法的关键请求的客户端信息记录进黑名单中。

S373.若是，则阻止黑名单中的客户端发送至服务器的所有请求。

当黑名单中已记录客户端信息，则首先执行阻断措施，阻止请求发送至服务器。可选地，防火墙系统也可以向发起非法请求的客户端发送警告信息。

S374.从服务器获取更新内容，以更新黑名单中预设的防御规则。

为防止黑名单识别出现遗漏，可选地，防火墙系统每隔预设时间段从服务器获取更新的黑名单，以更新发起恶意攻击的客户端信息、恶意攻击的类型及对应的防御动作。可选地，黑名单信息能够通过云端服务器共享，使各个防火墙系统能够共享发起恶意攻击的客户端信息、恶意攻击的类型及对应的防御动作，提升防火墙的识别效果。

S375.根据黑名单中预设的防御规则判断恶意攻击的类型，根据恶意攻击的类型执行防御动作。

然后防火墙系统对恶意攻击类型进行逻辑判断，以根据恶意攻击类型执行对应的防御动作。示例性地，恶意攻击的类型包括但不限于：SQL注入、恶意注册、用户撞库、密码爆破或恶意OCR识别等。示例性地，防火墙的防御动作包括：断开客户端与服务器之间的HTTP连接；和/或开启验证码；和/或注入防御代码。同时还包括：拦截HTTP请求、封禁发起请求的IP和/或对非法请求进行重定向等。示例性地，当攻击者发起撞库攻击时，采用撞库是黑客通过收集互联网已泄露的用户和密码信息，生成对应的字典表，尝试批量登陆其他网站后，得到一系列可以登录的用户。很多用户在不同网站使用的是相同的帐号密码，因此黑客可以通过获取用户在A网站的账户从而尝试登录B网址，这就可以理解为撞库攻击。

本实施例通过及时更新黑名单信息，能够加快对恶意攻击来源的识别，通过黑名单中预设的防御规则执行防御动作，使防火墙不仅只是被动切断客户端与服务器之间的http请求，还能够根据攻击类型执行对应的主动防御，进一步提高服务器的安全性。

实施例四

图5为本发明实施例四提供的一种WEB防火墙的防御装置4，包括如下模块：

获取模块401，用于获取客户端发起的基于不同业务的多个关键请求；

判断模块402，用于根据预设的关键请求的操作组合规则确定多个关键请求是否合法；

执行模块403，用于将合法的关键请求发送至服务器，并阻止非法的关键请求发送至服务器。

同时，获取模块401还用于预先获取客户端发起的基于不同业务的多个模板业务请求；获取每个模板业务请求中的模板关键请求；

WEB防火墙的防御装置4还包括：

定义模块404，用于将多个模板关键请求的一个或多个操作组合定义为预设的关键请求的操作组合规则。

判断模块402还用于：在阻止非法的关键请求发送至服务器之后，在预设时间段内，判断阻止非法的关键请求发送至服务器的次数是否超过阈值；

执行模块403还用于：若是，则判断当前业务是否出现地址变更和/或端口变更；

若是，则更新当前业务对应的预设的关键请求的操作组合规则；

若否，则将非法的关键请求记录为恶意攻击。

判断模块402还用于：在将非法的关键请求记录为恶意攻击之后，获取发起恶意攻击的客户端信息，判断客户端信息是否已记录在黑名单中；

执行模块403还用于：

若否，则将客户端信息记录进WEB防火墙的黑名单中；

若是，则阻止黑名单中的客户端发送至服务器的所有请求。

执行模块403还用于：在则阻止黑名单中的客户端发送至服务器的所有请求之后，根据黑名单中预设的防御规则判断恶意攻击的类型，根据恶意攻击的类型执行防御动作。

同时，判断模块402还用于：在预设时间段内，判断阻止非法的关键请求发送至服务器的次数是否超过阈值；

执行模块403还用于：

若是，则判断当前业务是否出现地址变更和/或端口变更；

若是，则更新当前业务对应的预设的关键请求的操作组合规则；

若否，则将非法的关键请求记录为恶意攻击。

同时，判断模块402还用于：在将非法的关键请求记录为恶意攻击之后，获取发起恶意攻击的客户端信息，判断客户端信息是否已记录在黑名单中；

执行模块403还用于：

若否，则将客户端信息记录进WEB防火墙的黑名单中；

若是，则阻止黑名单中的客户端发送至服务器的所有请求。

同时，拦截模块403还用于：根据黑名单中预设的防御规则判断恶意攻击的类型，根据恶意攻击的类型执行防御动作。

WEB防火墙的防御装置4还包括：

更新模块405，用于在根据黑名单中预设的防御规则判断恶意攻击的类型之前，从服务器获取更新内容，以更新黑名单中预设的防御规则。

本实施例的WEB防火墙的防御装置通过不同业务的关键请求来判断是否为恶意攻击，以实现从HTTP请求层面拦截恶意攻击，避免安全策略被绕过，提升网络安全性能。同时通过提供一种预设的安全规则的训练方法，使关键请求的判断更精确。本实施例通过提供一种WEB防火墙的防御装置，可执行本发明任意实施例所提供的WEB防火墙的防御方法，具备执行方法相应的功能模块和有益效果。

实施例五

图6为本发明实施例五提供的一种服务器的结构示意图，如图所示，该服务器包括处理器50、存储器51、输入装置52和输出装置53；服务器中处理器50的数量可以是一个或多个，图中以一个处理器50为例；设备/终端/服务器中的处理器50、存储器51、输入装置52和输出装置53可以通过总线或其他方式连接，图6中以通过总线连接为例。

存储器51作为一种计算机可读存储介质，可用于存储软件程序、计算机可执行程序以及模块，如本发明实施例中的主题更新方法对应的程序指令/模块(例如，WEB防火墙的防御装置中的获取模块401和判断模块402等)。处理器50通过运行存储在存储器51中的软件程序、指令以及模块，从而执行设备/终端/服务器的各种功能应用以及数据处理，即实现上述的WEB防火墙的防御方法。

存储器51可主要包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需的应用程序；存储数据区可存储根据终端的使用所创建的数据等。此外，存储器51可以包括高速随机存取存储器，还可以包括非易失性存储器，例如至少一个磁盘存储器件、闪存器件、或其他非易失性固态存储器件。在一些实例中，存储器51可进一步包括相对于处理器50远程设置的存储器，这些远程存储器可以通过网络连接至设备/终端/服务器。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

输入装置52可用于接收输入的数字或字符信息，以及产生与设备/终端/服务器的用户设置以及功能控制有关的键信号输入。输出装置53可包括显示屏等显示设备。

本发明实施例五中的服务器通过不同业务的关键请求来判断是否为恶意攻击，以实现从HTTP请求层面拦截恶意攻击，避免安全策略被绕过，提升网络安全性能。

实施例六

本发明实施例六还提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现如本发明任意实施例所提供的一种WEB防火墙的防御方法，该方法可以包括：

获取客户端发起的基于不同业务的多个关键请求；

根据预设的关键请求的操作组合规则确定多个关键请求是否合法；

将合法的关键请求发送至服务器，并阻止非法的关键请求发送至服务器。

本发明实施例的计算机可读存储介质，可以采用一个或多个计算机可读的介质的任意组合。计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本文件中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。

计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。

存储介质上包含的程序代码可以用任何适当的介质传输，包括——但不限于无线、电线、光缆、RF等等，或者上述的任意合适的组合。

可以以一种或多种程序设计语言或其组合来编写用于执行本发明操作的计算机程序代码，程序设计语言包括面向对象的程序设计语言—诸如Java、Smalltalk、C++，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算机上执行、部分地在用户计算机上执行、作为一个独立的软件包执行、部分在用户计算机上部分在远程计算机上执行、或者完全在远程计算机或终端上执行。在涉及远程计算机的情形中，远程计算机可以通过任意种类的网络——包括局域网(LAN)或广域网(WAN)—连接到用户计算机，或者，可以连接到外部计算机(例如利用因特网服务提供商来通过因特网连接)。

本实施例通过实现从HTTP请求层面拦截恶意攻击，避免安全策略被绕过，提升了网络安全性能。

注意，上述仅为本发明的较佳实施例及所运用技术原理。本领域技术人员会理解，本发明不限于这里的特定实施例，对本领域技术人员来说能够进行各种明显的变化、重新调整和替代而不会脱离本发明的保护范围。因此，虽然通过以上实施例对本发明进行了较为详细的说明，但是本发明不仅仅限于以上实施例，在不脱离本发明构思的情况下，还可以包括更多其他等效实施例，而本发明的范围由所附的权利要求范围决定。

Claims (8)

1.一种WEB防火墙的防御方法，其特征在于，包括：

获取客户端发起的基于不同业务的多个关键请求；

根据预设的关键请求的操作组合规则确定所述多个关键请求是否合法；

将合法的关键请求发送至服务器，并阻止非法的关键请求发送至服务器；

所述预设的关键请求的操作组合规则的建立方法包括：

预先获取客户端发起的正常用户基于不同业务的多个模板业务请求；

获取每个所述模板业务请求中的模板关键请求；

将多个所述模板关键请求的一个或多个操作组合定义为预设的关键请求的操作组合规则；

所述在阻止非法的关键请求发送至服务器之后，还包括：

在预设时间段内，判断阻止非法的关键请求发送至服务器的次数是否超过阈值；

若是，则判断当前业务是否出现地址变更和/或端口变更；

若是，则更新当前业务对应的预设的关键请求的操作组合规则；

若否，则将所述非法的关键请求记录为恶意攻击。

2.根据权利要求1所述的一种WEB防火墙的防御方法，其特征在于，所述则将所述非法的关键请求记录为恶意攻击之后，还包括：

获取发起所述恶意攻击的客户端信息，判断所述客户端信息是否已记录在黑名单中；

若否，则将所述客户端信息记录进所述WEB防火墙的黑名单中；

若是，则阻止所述黑名单中的客户端发送至服务器的所有请求。

3.根据权利要求2所述的一种WEB防火墙的防御方法，其特征在于，所述则阻止所述黑名单中的客户端发送至服务器的所有请求之后，还包括：

根据黑名单中预设的防御规则判断所述恶意攻击的类型，根据所述恶意攻击的类型执行防御动作。

4.根据权利要求3所述的一种WEB防火墙的防御方法，其特征在于，所述根据黑名单中预设的防御规则判断所述恶意攻击的类型之前，还包括：

从服务器获取更新内容，以更新所述黑名单中预设的防御规则。

5.根据权利要求3所述的一种WEB防火墙的防御方法，其特征在于，所述防御动作包括：

断开客户端与服务器之间的HTTP连接；和/或

开启验证码；和/或

注入防御代码。

6.一种WEB防火墙的防御装置，其特征在于，包括：

获取模块，用于预先获取客户端发起的基于不同业务的多个关键请求；

判断模块，用于根据预设的关键请求的操作组合规则确定所述多个关键请求是否合法；

拦截模块，用于将合法的关键请求发送至服务器，并阻止非法的关键请求发送至服务器；

其中，所述获取模块，还用于预先获取客户端发起的正常用户基于不同业务的多个模板业务请求；

获取每个所述模板业务请求中的模板关键请求；

定义模块，用于将所述多个模板关键请求的一个或多个操作组合定义为预设的关键请求的操作组合规则；

判断模块还用于：

在阻止非法的关键请求发送至服务器之后，在预设时间段内，判断阻止非法的关键请求发送至服务器的次数是否超过阈值；

执行模块还用于：

若是，则判断当前业务是否出现地址变更和/或端口变更；

若是，则更新当前业务对应的预设的关键请求的操作组合规则；

若否，则将非法的关键请求记录为恶意攻击。

7.一种服务器，包括存储器、处理器及存储在存储器上并可在处理器上运行的程序，其特征在于，所述处理器执行所述程序时实现如权利要求1-5任一所述的WEB防火墙的防御方法。

8.一种终端可读存储介质，其上存储有程序，其特征在于，所述程序被处理器执行时能够实现如权利要求1-5任一所述的WEB防火墙的防御方法。

Images