CN111031024B - 一种暗链验证平台及其暗链验证方法 - Google Patents

Abstract

本发明涉及一种暗链验证平台及其暗链验证方法，以暗链验证平台对待验证URL或域名判断是否存在关联URL或域名记录，存在则提取URL进行访问，访问失败则返回访问失败的信息，否则以当前URL对应的检测参数对暗链结果验证，基于是否发现暗链及复核结果，对检测为暗链的URL对应的网站资产在网站资产库进行关联，若关联到对应资产则记录资产信息，否则资产信息记录为空，对发现存在暗链的界面进行截图，返回暗链检测信息，输出返回结果。本发明对暗链在线验证，对网站暗链验证是否仍旧存在，可截图，方便监管单位通报，暗链不存在也相应提示，方便整改单位确认整改完成，减少验证工作量，保证通报事件准确性，降低相关工作人员技术门槛。

Description

一种暗链验证平台及其暗链验证方法

技术领域

本发明属于电数字数据处理的技术领域，特别适用于特定功能的数字计算设备或数据处理设备或数据处理方法的一种暗链验证平台及其暗链验证方法。

背景技术

暗链是一种隐式篡改的技术手段，一般是在被攻击网站的网页中植入链接到色情、诈骗等非法信息的暗链，以助黑客谋取非法经济利益。黑客为了篡改网页，一般需提前知晓网站的漏洞，提前在网页中植入后门，并最终获取网站的控制权，所以一般存在暗链的网站往往存在很大的安全隐患，一旦发现暗链事件需要及时整改并完善网站防护。

自2003年起，CNCERT/CC针对境内网站被植入暗链情况开展治理工作，发现被篡改的网站后及时通知相关分中心或网站负责人进行协调解决；而随着暗链植入的技术不断提高，各种暗链植入的方式更加隐蔽，各种暗链监测引擎也应运而生，大量的暗链被暗链监测引擎检测到、发现并通报给监管单位，但是由于检测的准确性和暗链的时效性，在开展网站黑链、网站篡改事件的通报处置工作时，需要对暗链进行验证截图证明存在才能够进行通报。

目前暗链引擎已经支持关键字、页面隐藏、URL黑名单、UA作弊算法、标题逃逸等多种检测方法进行的暗链检测，大量检测发现的暗链给暗链验证工作大大增加了人力成本，同时由于暗链隐蔽方式的多样化，验证工作也对工作人员提出了较高的技术门槛要求。

与此同时，对被通报的单位而言，进行整改后是否确实解决问题、暗链是否继续存在等，在没有相关匹配的技术人员进行复验时是无法知晓的。

发明内容

本发明解决了现有技术中，暗链验证工作的人力成本高，对工作人员有较高的技术门槛，且存在无法知晓整改是否到位的问题，提供了一种优化的暗链验证平台及其暗链验证方法。

本发明所采用的技术方案是，一种暗链验证方法，所述方法包括以下步骤：

步骤1：在暗链验证平台中输入待验证URL或域名；

步骤2：在暗链检测结果中检索是否存在关联的URL或域名记录，若有则进行下一步，否则，返回未收录，进行步骤7；

步骤3：对待验证URL或通过待验证域名提取的URL进行访问，若访问失败，则返回访问失败的信息并进行步骤7，否则进行下一步；

步骤4：以当前URL对应的检测参数对暗链结果进行验证，若发现暗链，则进行下一步，否则进行复核判断，基于复核判断结果进行下一步或返回；

步骤5：对检测为暗链的URL所对应的网站资产在网站资产库进行关联；若关联到对应资产则记录资产信息，否则资产信息记录为空；

步骤6：对发现存在暗链的界面进行截图；返回暗链检测信息，进行步骤7；

步骤7：输出返回结果。

优选地，所述步骤4中，复核判断包括以下步骤：

步骤4.1：调用至少N个区别于当前待验证URL或域名检出手段的暗链检测方法，N≥1；

步骤4.2：对当前暗链进行再次检测，若检测未再次发现暗链，则返回未发现暗链的信息，进行步骤7，否则进行步骤5。

优选地，所述步骤4.2中，再次检测包括UA作弊算法检测、页面隐藏检测。

优选地，所述步骤5中，资产信息包括与URL对应的域名、关联单位、单位类型、单位区域、IP、IP所在地。

优选地，所述步骤6中，截图包括界面前端显示界面截图和源代码界面截图。

优选地，所述步骤6中，暗链检测信息包括验证结果、基础信息和验证参数；所述验证结果包括首次复核的时间、POC、截图、可信度；所述基础信息包括域名和URL、IP、IP所在地、关联单位、单位类型、单位区域、单位所在地；所述验证参数包括关键字、黑名单、USER-AGENT。

一种采用所述的暗链验证方法的暗链验证平台，所述暗链验证平台与暗链检测平台、网站资产库分别配合设置；

暗链验证平台获取暗链检测平台基于远程监测技术有效检测到的网站暗链；

暗链验证平台对获取的网站暗链进行检测和验证，对验证为暗链的界面截图；

暗链验证平台获取检测为暗链的URL所对应的网站资产在网站资产库的关联信息；

暗链验证平台输出界面截图和关联信息。

本发明提供了一种优化的暗链验证平台及其暗链验证方法，通过在暗链验证平台中输入待验证URL或域名，在暗链检测结果中检索是否存在关联的URL或域名记录，若无则返回未收录，否则对待验证URL或通过待验证域名提取的URL进行访问，访问失败则返回访问失败的信息，否则以当前URL对应的检测参数对暗链结果进行验证，基于是否发现暗链及复核结果，对检测为暗链的URL所对应的网站资产在网站资产库进行关联，若关联到对应资产则记录资产信息，否则资产信息记录为空，对发现存在暗链的界面进行截图，返回暗链检测信息，输出返回结果。

本发明对已经检测发现的暗链进行在线验证，可以对网站进行暗链验证是否仍旧存在，且截图、方便监管单位进行通报，不存在也进行相应提示，方便整改单位确认整改完成，减少验证的工作量，保证通报事件的准确性，降低相关工作人员的技术门槛。

本发明基于暗链检测结果，结合对应的暗链检测参数进行暗链验证，通过对访问失败和检测未发现暗链的结果进行区分，对通过检测参数进行验证的结果在未发现暗链的情况下，补充了复核程序，提升结果的准确率，对暗链网站和网站资产库进行关联，对存在暗链的网站进行截图，证明暗链的存在性。

本发明的有益效果在于：

（1）通过对暗链检测的结果、基于对应的检测参数进行验证，大大降低验证时间，提升验证效率；

（2）通过对访问失败和检测未发现暗链的结果进行区分，降低误报率，将由于网络原因导致的检测失败单独提出，保证结果的准确率；

（3）通过检测参数进行验证的结果未发现暗链的情况下，补充复核流程，以常见的验证方式进行再次验证，提升结果的准确率；

（4）对存在暗链的网站进行资产关联，方便用户的通报工作，了解植入暗链单位的详情；

（5）对存在暗链的网站进行截图，证明暗链的存在性。

附图说明

图1为本发明的流程图；

图2为本发明的平台的结构示意图，箭头方向为数据信息传输的方向。

具体实施方式

下面结合实施例对本发明做进一步的详细描述，但本发明的保护范围并不限于此。

本发明涉及一种暗链验证方法，所述方法包括以下步骤。

步骤1：在暗链验证平台中输入待验证URL或域名。

步骤2：在暗链检测结果中检索是否存在关联的URL或域名记录，若有则进行下一步，否则，返回未收录，进行步骤7。

本发明中，步骤2的关联是指：

如果是URL，则匹配是否存在一模一样的URL；

如果是域名，则查询该域名下是否存在有暗链的URL，如有，则取最新的数据；

举例来说，http://gab.122.gov.cn/login是个URL，进行查询时需要匹配到完全一样的URL；而“gab.122..gov.cn”是个域名，只需要存在有该域名的URL就当做是关联的。

本发明中，暗链是存在从无到有的情况的，暗链库持续更新，每次验证时直接查询即可。

步骤3：对待验证URL或通过待验证域名提取的URL进行访问，若访问失败，则返回访问失败的信息并进行步骤7，否则进行下一步。

本发明中，访问失败时，可以返回“访问失败，检测IP或被拦截，请稍后再试”的消息。

本发明中，对访问失败和检测未发现暗链的结果进行区分，降低误报率，将由于网络原因导致的检测失败单独提出，保证结果的准确率。

本发明中，即使由于暗链验证引擎的IP加入黑名单后无法访问，返回访问失败的信息，下一次的再次验证时仍旧保持发起请求。

步骤4：以当前URL对应的检测参数对暗链结果进行验证，若发现暗链，则进行下一步，否则进行复核判断，基于复核判断结果进行下一步或返回。

所述步骤4中，复核判断包括以下步骤：

步骤4.1：调用至少N个区别于当前待验证URL或域名检出手段的暗链检测方法，N≥1；

步骤4.2：对当前暗链进行再次检测，若检测未再次发现暗链，则返回未发现暗链的信息，进行步骤7，否则进行步骤5。

所述步骤4.2中，再次检测包括UA作弊算法检测、页面隐藏检测。

本发明中，基于原有检测参数进行验证，大大降低验证时间，提升验证效率。

本发明中，在以检测参数验证后未发现暗链时，补充常见的验证方式进行再次验证，提升结果的准确率。

本发明中，未发现暗链时，可以返回“检测未发现暗链，暗链可能被修复或者被删除” 的消息。

步骤5：对检测为暗链的URL所对应的网站资产在网站资产库进行关联；若关联到对应资产则记录资产信息，否则资产信息记录为空。

所述步骤5中，资产信息包括与URL对应的域名、关联单位、单位类型、单位区域、IP、IP所在地。

本发明中，有别于仅提供单纯的URL，而是对存在暗链的网站进行资产关联，方便用户的通报工作，了解到植入暗链单位的详情。

本发明中，只有域名或者URL而没有单位信息是没有积极意义的，监管单位在知道哪个单位的资产存在暗链事件后，可以直接进行通报，才是暗链验证平台的功能真正实现。

步骤6：对发现存在暗链的界面进行截图；返回暗链检测信息，进行步骤7。

所述步骤6中，截图包括界面前端显示界面截图和源代码界面截图。

所述步骤6中，暗链检测信息包括验证结果、基础信息和验证参数；所述验证结果包括首次复核的时间、POC、截图、可信度；所述基础信息包括域名和URL、IP、IP所在地、关联单位、单位类型、单位区域、单位所在地；所述验证参数包括关键字、黑名单、USER-AGENT。

本发明中，对存在暗链的网站进行截图，证明暗链的存在性，基本解决暗链通报时的暗链验证存在难题。

本发明中，只有验证存在暗链后才会进行截图，故在源代码界面截图中是可以看到暗链的。

本发明中，首次复核的时间，如果存在的话结果保存24小时，这24小时内再次检测还是首次复核时间。

本发明中，POC是再验证、发现暗链时保留下来的存在暗链部分的源代码。

本发明中，可信度是暗链引擎本身带有的识别策略，此为本领域技术人员容易理解的内容，可以由本领域技术人员在设置时进行自行预先设置。

步骤7：输出返回结果。

本发明还涉及一种采用所述的暗链验证方法的暗链验证平台，所述暗链验证平台与暗链检测平台、网站资产库分别配合设置；

暗链验证平台获取暗链检测平台基于远程监测技术有效检测到的网站暗链；

暗链验证平台对获取的网站暗链进行检测和验证，对验证为暗链的界面截图；

暗链验证平台获取检测为暗链的URL所对应的网站资产在网站资产库的关联信息；

暗链验证平台输出界面截图和关联信息。

本发明中，暗链检测平台是指基于远程监测技术可以有效检测到网站暗链的平台，其基于关键字、页面隐藏、URL黑名单、UA作弊算法、标题逃逸等多种检测方法进行暗链检测，检测结果记录暗链的所在的URL、检测方法、关键字、POC、URL黑名单等多种暗链检测参数。

本发明中，暗链检测平台是指基于输入的URL或者域名在暗链检测结果中进行匹配、提取相关的检测参数、根据相关的检测参数进行暗链的再次检测、如若发现暗链则关联相关单位并对存在暗链部分截图取证的平台。

本发明中，网站资产库是收集整理网站资产信息汇总而成的数据库，包括网站的ICP备案信息和域名解析信息以及whois信息等。

本发明中，暗链验证平台与暗链检测平台、网站资产库的信息互通为本领域常规技术，本领域技术人员可以依据需求自行配置。

本发明通过在暗链验证平台中输入待验证URL或域名，在暗链检测结果中检索是否存在关联的URL或域名记录，若无则返回未收录，否则对待验证URL或通过待验证域名提取的URL进行访问，访问失败则返回访问失败的信息，否则以当前URL对应的检测参数对暗链结果进行验证，基于是否发现暗链及复核结果，对检测为暗链的URL所对应的网站资产在网站资产库进行关联，若关联到对应资产则记录资产信息，否则资产信息记录为空，对发现存在暗链的界面进行截图，返回暗链检测信息，输出返回结果。

本发明对已经检测发现的暗链进行在线验证，可以对网站进行暗链验证是否仍旧存在，且截图、方便监管单位进行通报，不存在也进行相应提示，方便整改单位确认整改完成，减少验证的工作量，保证通报事件的准确性，降低相关工作人员的技术门槛。

本发明基于暗链检测结果，结合对应的暗链检测参数进行暗链验证，通过对访问失败和检测未发现暗链的结果进行区分，对通过检测参数进行验证的结果在未发现暗链的情况下，补充了复核程序，提升结果的准确率，对暗链网站和网站资产库进行关联，对存在暗链的网站进行截图，证明暗链的存在性。

本发明的有益效果在于通过对暗链检测的结果、基于对应的检测参数进行验证，大大降低验证时间，提升验证效率；通过对访问失败和检测未发现暗链的结果进行区分，降低误报率，将由于网络原因导致的检测失败单独提出，保证结果的准确率；通过检测参数进行验证的结果未发现暗链的情况下，补充复核流程，以常见的验证方式进行再次验证，提升结果的准确率；对存在暗链的网站进行资产关联，方便用户的通报工作，了解植入暗链单位的详情；对存在暗链的网站进行截图，证明暗链的存在性。

Claims (6)

1.一种暗链验证方法，其特征在于：所述方法包括以下步骤：

步骤1：在暗链验证平台中输入待验证URL或域名；

步骤2：在暗链检测结果中检索是否存在关联的URL或域名记录，若有则进行下一步，否则，返回未收录，进行步骤7；

步骤3：对待验证URL或通过待验证域名提取的URL进行访问，若访问失败，则返回访问失败的信息并进行步骤7，否则进行下一步；

步骤4：以当前URL对应的检测参数对暗链结果进行验证，若发现暗链，则进行下一步，否则进行复核判断；复核判断包括以下步骤：

步骤4.1：调用至少N个区别于当前待验证URL或域名检出手段的暗链检测方法，N≥1；

步骤4.2：对当前暗链进行再次检测，若检测未再次发现暗链，则返回未发现暗链的信息，进行步骤7，否则进行步骤5；

步骤5：对检测为暗链的URL所对应的网站资产在网站资产库进行关联；若关联到对应资产则记录资产信息，否则资产信息记录为空；

步骤6：对发现存在暗链的界面进行截图；返回暗链检测信息，进行步骤7；

步骤7：输出返回结果。

2.根据权利要求1所述的一种暗链验证方法，其特征在于：所述步骤4.2中，再次检测包括UA作弊算法检测、页面隐藏检测。

3.根据权利要求1所述的一种暗链验证方法，其特征在于：所述步骤5中，资产信息包括与URL对应的域名、关联单位、单位类型、单位区域、IP、IP所在地。

4.根据权利要求1所述的一种暗链验证方法，其特征在于：所述步骤6中，截图包括界面前端显示界面截图和源代码界面截图。

5.根据权利要求1所述的一种暗链验证方法，其特征在于：所述步骤6中，暗链检测信息包括验证结果、基础信息和验证参数；所述验证结果包括首次复核的时间、POC、截图、可信度；所述基础信息包括域名和URL、IP、IP所在地、关联单位、单位类型、单位区域、单位所在地；所述验证参数包括关键字、黑名单、USER-AGENT。

6.一种采用权利要求1~5之一所述的暗链验证方法的暗链验证平台，其特征在于：所述暗链验证平台与暗链检测平台、网站资产库分别配合设置；

暗链验证平台获取暗链检测平台基于远程监测技术有效检测到的网站暗链；

暗链验证平台对获取的网站暗链进行检测和验证，对验证为暗链的界面截图；

暗链验证平台获取检测为暗链的URL所对应的网站资产在网站资产库的关联信息；

暗链验证平台输出界面截图和关联信息。

Images