CN111541672A - 一种检测http请求安全性方法及系统 - Google Patents

Abstract

本发明涉及一种检测HTTP请求安全性方法及系统。通过获取发送HTTP请求客户端的IP地址；在预设IP黑名单和预设IP白名单中搜索所述IP地址，得到第一搜索结果；当第一搜索结果为未搜索到所述IP地址时，提取HTTP请求中的文件扩展名，得到HTTP请求所请求的资源类型；当资源类型为非静态文件时，提取HTTP请求中的URI；在预设的URI白名单中搜索所述URI，得到第二搜索结果；当第二搜索结果为未搜索到所述URI时，识别HTTP请求中是否包括预设特征码；若是，匹配HTTP请求与预设的安全规则，若匹配成功，发送HTTP请求所请求的资源至客户端；否则，拦截HTTP请求。实现提高检测HTTP请求安全性的效率。

Description

一种检测HTTP请求安全性方法及系统

本案是以申请号为201611202994.0，申请日为2016年12月23日，名称为《一种WEB站点安全防护方法及系统》的专利申请为母案的分案申请。

技术领域

本发明涉及信息安全领域，尤其涉及一种检测HTTP请求安全性方法及系统。

背景技术

现有的WEB站点安全防护产品主要以硬件防火墙或基于Apache、IIS等的应用防火墙，通过独立设备以及代理技术来处理网站安全过滤。但是，硬件的应用防火墙成本高，基于Apache、IIS等软件的应用防火墙也会增加服务器的额外投入。

发明内容

本发明所要解决的技术问题是：提供一种检测HTTP请求安全性方法及系统，提高检测HTTP请求安全性的效率。

为了解决上述技术问题，本发明采用的技术方案为：

本发明提供一种检测HTTP请求安全性方法，包括：

获取发送HTTP请求的客户端的IP地址；

在预设IP黑名单和预设IP白名单中搜索所述IP地址，得到第一搜索结果；

当所述第一搜索结果为未搜索到所述IP地址时，提取HTTP请求中的文件扩展名，得到所述HTTP请求所请求的资源类型；

当所述资源类型为非静态文件时，提取所述HTTP请求中的URI；

在预设的URI白名单中搜索所述URI，得到第二搜索结果；

当所述第二搜索结果为未搜索到所述URI时，识别所述HTTP请求中是否包括预设的特征码；若是，则匹配所述HTTP请求与预设的安全规则，得到匹配结果；

若所述匹配结果为匹配成功，则拦截所述HTTP请求；否则，发送所述HTTP请求所请求的资源至客户端。

本发明还提供一种检测HTTP请求安全性系统，包括：

第一获取模块，用于获取发送HTTP请求的客户端的IP地址；

第一搜索模块，用于在预设IP黑名单和预设IP白名单中搜索所述IP地址，得到第一搜索结果；

第一提取模块，用于当所述第一搜索结果为未搜索到所述IP地址时，提取HTTP请求中的文件扩展名，得到所述HTTP请求所请求的资源类型；

第二提取模块，用于当所述资源类型为非静态文件时，提取所述HTTP请求中的URI；

第二搜索模块，用于在预设的URI白名单中搜索所述URI，得到第二搜索结果；

匹配模块，用于当所述第二搜索结果为未搜索到所述URI时，识别所述HTTP请求中是否包括预设的特征码；若是，则：匹配所述HTTP请求与预设的安全规则，得到匹配结果；若所述匹配结果为匹配成功，则拦截所述HTTP请求；否则，发送所述HTTP请求所请求的资源至客户端。

本发明的有益效果在于：本发明通过预设的IP黑名单和IP白名单检测发送HTTP请求的客户端的IP地址的安全性，若该IP地址均不在IP黑名单和IP白名单内，则进一步判断HTTP请求所请求的资源是否为CSS、图片等静态文件，若是，直接返回静态文件资源至客户端，否则进一步判断HTTP请求所请求的URI是否为预设的URI白名单中设置的无安全风险的资源，如首页、验证码页面等。IP黑名单主要对那些长时间或大批量非法请求的客户端进行拒绝，而IP白名单则提供给双方互相信任的服务器间服务通讯(一般服务通信本身会有安全检验)，跳过检测是为了提升服务处理效率。若通过上述步骤均无法确定该HTTP请求的安全性，则进一步识别HTTP请求中是否包含预设的特征码，若包含预设的特征码则根据预设的安全规则进行安全检测。所述特征码为欲进行安全检测的资源的特征，如欲检测脚本文件，可将特征码设置为“<script>”。每个安全规则都与一个特征码相对应，只有当HTTP请求中包含匹配该特征码时，才使用安全规则中详细的规则列表进行安全检测操作，提高检测HTTP请求安全性的效率。

附图说明

图1为本发明提供的一种检测HTTP请求安全性方法的具体实施方式的流程框图；

图2为本发明提供的一种检测HTTP请求安全性系统的具体实施方式的结构框图；

标号说明：

1、第一获取模块；2、第一搜索模块；3、第一提取模块；4、第二提取模块；5、第二搜索模块；6、匹配模块。

具体实施方式

为详细说明本发明的技术内容、所实现目的及效果，以下结合实施方式并配合附图予以说明。

如图1所示，本发明提供一种检测HTTP请求安全性方法，包括：

获取发送HTTP请求的客户端的IP地址；

在预设IP黑名单和预设IP白名单中搜索所述IP地址，得到第一搜索结果；

当所述第一搜索结果为未搜索到所述IP地址时，提取HTTP请求中的文件扩展名，得到所述HTTP请求所请求的资源类型；

当所述资源类型为非静态文件时，提取所述HTTP请求中的URI；

在预设的URI白名单中搜索所述URI，得到第二搜索结果；

当所述第二搜索结果为未搜索到所述URI时，识别所述HTTP请求中是否包括预设的特征码；若是，则匹配所述HTTP请求与预设的安全规则，得到匹配结果；

若所述匹配结果为匹配成功，则拦截所述HTTP请求；否则，发送所述HTTP请求所请求的资源至客户端。

进一步地，所述匹配所述HTTP请求与预设的安全规则，具体为：

获取所述HTTP请求中的请求参数名，得到第一参数名；

若所述第一参数名与预设的参数名黑名单中的一参数名相同，则拦截所述HTTP请求。

由上述描述可知，对HTTP请求中的请求参数进行过滤，确认客户端是否有通过POST、GET请求方式提交非法参数。

进一步地，所述匹配所述HTTP请求与预设的安全规则，具体为：

从所述HTTP请求中获取客户端使用的浏览器类型，得到第一浏览器类型；

若所述第一浏览器类型与预设的浏览器类型不匹配，则拦截所述HTTP请求。

由上述描述可知，浏览器类型检测主要包括以下两个方面：1、限制非法或当前应用不支持的浏览器类型；2、避免有些应用将浏览器类型以日志形式入库时出现SQL注入漏洞。

进一步地，还包括：

加载所述IP黑名单、所述IP白名单、所述URI白名单和所述安全规则至内存。

由上述描述可知，可提高HTTP请求安全检测的效率。

进一步地，还包括：

保存拦截的HTTP请求，形成日志文件。

由上述描述可知，可通过日志文件评估当前网站的健康情况，对于非法请求客户端进行统计，将过于频繁的客户端IP列入黑名单一段时间以减少服务器处理事务量，提升系统性能。

如图2所示，本发明还提供一种检测HTTP请求安全性系统，包括：

第一获取模块1，用于获取发送HTTP请求的客户端的IP地址；

第一搜索模块2，用于在预设IP黑名单和预设IP白名单中搜索所述IP地址，得到第一搜索结果；

第一提取模块3，用于当所述第一搜索结果为未搜索到所述IP地址时，提取HTTP请求中的文件扩展名，得到所述HTTP请求所请求的资源类型；

第二提取模块4，用于当所述资源类型为非静态文件时，提取所述HTTP请求中的URI；

第二搜索模块5，用于在预设的URI白名单中搜索所述URI，得到第二搜索结果；

匹配模块6，用于当所述第二搜索结果为未搜索到所述URI时，识别所述HTTP请求中是否包括预设的特征码；若是，则：匹配所述HTTP请求与预设的安全规则，得到匹配结果；若所述匹配结果为匹配成功，则拦截所述HTTP请求；否则，发送所述HTTP请求所请求的资源至客户端。

进一步地，所述匹配模块包括：

第一获取单元，用于获取所述HTTP请求中的请求参数名，得到第一参数名；

第一拦截单元，用于若所述第一参数名与预设的参数名黑名单中的一参数名相同，则拦截所述HTTP请求。

进一步地，所述匹配模块还包括：

第二获取单元，用于从所述HTTP请求中获取客户端使用的浏览器类型，得到第一浏览器类型；

第二拦截单元，用于若所述第一浏览器类型与预设的浏览器类型不匹配，则拦截所述HTTP请求。

进一步地，还包括：

加载模块，用于加载所述IP黑名单、所述IP白名单、所述URI白名单和所述安全规则至内存。

进一步地，还包括：

保存模块，用于保存拦截的HTTP请求，形成日志文件。

由上述描述可知，通过本发明提供的检测HTTP请求安全性系统，可提高检测HTTP请求安全性的效率。

本发明的实施例一为：

加载预设的IP黑名单、IP白名单、URI白名单和安全规则至内存；

获取发送HTTP请求的客户端的IP地址；若预设IP黑名单和预设IP白名单中均未搜索到所述IP地址，则：

提取HTTP请求中的文件扩展名，得到所述HTTP请求所请求的资源类型；若所述资源类型为非静态文件，则：

提取所述HTTP请求中的URI，若预设的URI白名单中未搜索到所述URI，则：

识别所述HTTP请求中是否包括预设的特征码；若是，则：

匹配所述HTTP请求与预设的安全规则；具体为：获取所述HTTP请求中的请求参数名，得到第一参数名；

若所述第一参数名与预设的参数名黑名单中的一参数名相同，则拦截所述HTTP请求；否则：

从所述HTTP请求中获取客户端使用的浏览器类型，得到第一浏览器类型；

若所述第一浏览器类型与预设的浏览器类型不匹配，则拦截所述HTTP请求；

保存拦截的HTTP请求，形成日志文件。

本发明的实施例二为：

获取发送HTTP请求的客户端的IP地址，搜索预设的IP白名单中是否存在该IP地址，若存在，则发送所述HTTP请求所请求的资源至客户端；若不存在，搜索预设的IP黑名单中是否存在该IP地址，若存在，则拦截所述HTTP请求，并将该HTTP请求保存至日志文件中。

若IP黑名单和IP白名单中均不存在该IP地址，则提取HTTP请求中的文件扩展名，根据提取到的文件扩展名判断HTTP请求所请求的资源类型，若请求的资源类型为CSS样式文件、图片等静态文件，则不继续进行安全检测，直接返回静态文件至客户端，否则，进行URI检测。

根据HTTP请求获取所请求资源的URI，搜索预设的URI白名单中是否存在该URI，若存在，说明所请求的资源为无安全性问题的资源，如页面的首页、验证码页面等，则直接返回HTTP请求的资源至客户端，否则进行安全规则匹配。

预设的安全规则包括检测参数http_referer，对用户请求的引用路径进行匹配过滤；检测参数http_user_agent，对HTTP请求的Header的用户浏览器信息过滤；检测参数http_accept_language，对发送HTTP请求的浏览器的Accept_Language信息过滤；检测参数URI，对HTTP请求的URL进行过滤；检测参数Cookie，对HTTP请求中的Cookie信息过滤；检测参数Get，对HTTP的GET请求方式的请求参数进行过滤；检测参数POST，对HTTP的POST请求方式的请求参数进行过滤。上述安全规则可任意排列组合，形成安全规则组，并为安全规则组配置一特征码，当HTTP请求中包含所述特征码时，则使用对应的安全规则组对该HTTP请求进行检测。若HTTP请求符合与安全规则匹配，则发送HTTP请求所请求的资源至客户端，否则，拦截该HTTP请求，并保存该HTTP请求至日志文件。

本发明的实施例三：

对于有使用到Struts2技术的网站，客户端可以构造：http://host/struts2-blank/example/X.action？action:％25{(new+java.lang.ProcessBuilder(new+java.lang.String[]{'command','goes','here'})).start()}链接，command goeshere可以换成是破坏脚本的路径和参数，比如fdisk-f等，造成破环系统无法运行的目的。

本发明可以通过匹配action、java.lang、command等Struts2的一些关键字以达到识别Struts2非法请求的上的，拦截这些非法请求。

综上所述，本发明提供的一种检测HTTP请求安全性方法及系统，通过预设的IP黑名单和IP白名单检测发送HTTP请求的客户端的IP地址的安全性，若该IP地址均不在IP黑名单和IP白名单内，则进一步判断HTTP请求所请求的资源是否为CSS、图片等静态文件，若是，直接返回静态文件资源至客户端，否则进一步判断HTTP请求所请求的URI是否为预设的URI白名单中设置的无安全风险的资源，如首页、验证码页面等。若通过上述步骤均无法确定该HTTP请求的安全性，则进一步识别HTTP请求中是否包含预设的特征码，若包含预设的特征码则根据预设的安全规则进行安全检测。所述特征码为欲进行安全检测的资源的特征，如欲检测脚本文件，可将特征码设置为“<script>”。每个安全规则都与一个特征码相对应，只有当HTTP请求中包含匹配该特征码时，才使用安全规则中详细的规则列表进行安全检测操作，提高检测HTTP请求安全性的效率。

以上所述仅为本发明的实施例，并非因此限制本发明的专利范围，凡是利用本发明说明书及附图内容所作的等同变换，或直接或间接运用在相关的技术领域，均同理包括在本发明的专利保护范围内。

Claims (6)

1.一种检测HTTP请求安全性方法，其特征在于，包括：

获取发送HTTP请求的客户端的IP地址；

搜索预设的IP白名单中是否存在该IP地址，若存在，则发送所述HTTP请求所请求的资源至客户端；若不存在，搜索预设的IP黑名单中是否存在该IP地址，若存在，则拦截所述HTTP请求，并将该HTTP请求保存至日志文件中；

若IP黑名单和IP白名单中均不存在该IP地址，提取HTTP请求中的文件扩展名，得到所述HTTP请求所请求的资源类型；

当所述资源类型为非静态文件时，提取所述HTTP请求中的URI；

在预设的URI白名单中搜索所述URI，得到第二搜索结果；

当所述第二搜索结果为未搜索到所述URI时，识别所述HTTP请求中是否包括预设的特征码；若是，则使用与所述预设的特征码对应的安全规则组对所述HTTP请求进行检测；

若HTTP请求符合于安全规则匹配，则发送所述HTTP请求所请求的资源至客户端，否则，拦截该HTTP请求，并保存该HTTP请求至日志文件；

每一安全规则组通过该对预设的安全规则进行任意排列组合形成。

2.根据权利要求1所述的检测HTTP请求安全性方法，其特征在于，预设的安全规则包括：

检测参数http_referer，对用户请求的引用路径进行匹配过滤；

检测参数http_user_agent，对HTTP请求的Header的用户浏览器信息过滤；

检测参数http_accept_language，对发送HTTP请求的浏览器的Accept_Language信息过滤；

检测参数URI，对HTTP请求的URL进行过滤；检测参数Cookie，对HTTP请求中的Cookie信息过滤；

检测参数Get，对HTTP的GET请求方式的请求参数进行过滤；

以及检测参数POST，对HTTP的POST请求方式的请求参数进行过滤。

3.根据权利要求1所述的检测HTTP请求安全性方法，其特征在于，还包括：

加载所述IP黑名单、所述IP白名单、所述URI白名单和所述安全规则至内存。

4.一种检测HTTP请求安全性系统，其特征在于，包括：

第一获取模块，用于获取发送HTTP请求的客户端的IP地址；

第一搜索模块，用于在预设IP黑名单和预设IP白名单中搜索所述IP地址，得到第一搜索结果；

第一提取模块，用于当所述第一搜索结果为未搜索到所述IP地址时，提取HTTP请求中的文件扩展名，得到所述HTTP请求所请求的资源类型；

第二提取模块，用于当所述资源类型为非静态文件时，提取所述HTTP请求中的URI；

第二搜索模块，用于在预设的URI白名单中搜索所述URI，得到第二搜索结果；

匹配模块，当所述第二搜索结果为未搜索到所述URI时，识别所述HTTP请求中是否包括预设的特征码；若是，则使用与所述预设的特征码对应的安全规则组对所述HTTP请求进行检测；

若HTTP请求符合于安全规则匹配，则发送所述HTTP请求所请求的资源至客户端，否则，拦截该HTTP请求；

每一安全规则组通过该对预设的安全规则进行任意排列组合形成；

保存模块，用于保存拦截的HTTP请求，形成日志文件；

还包括：

搜索预设的IP白名单中是否存在该IP地址，若存在，则发送所述HTTP请求所请求的资源至客户端；若不存在，搜索预设的IP黑名单中是否存在该IP地址，若存在，则拦截所述HTTP请求，并将该HTTP请求保存至日志文件中。

5.根据权利要求4所述的检测HTTP请求安全性系统，其特征在于，预设的安全规则包括：

检测参数http_referer，对用户请求的引用路径进行匹配过滤；

检测参数http_user_agent，对HTTP请求的Header的用户浏览器信息过滤；

检测参数http_accept_language，对发送HTTP请求的浏览器的Accept_Language信息过滤；

检测参数URI，对HTTP请求的URL进行过滤；检测参数Cookie，对HTTP请求中的Cookie信息过滤；

检测参数Get，对HTTP的GET请求方式的请求参数进行过滤；

以及检测参数POST，对HTTP的POST请求方式的请求参数进行过滤。

6.根据权利要求4所述的检测HTTP请求安全性系统，其特征在于，还包括：

加载模块，用于加载所述IP黑名单、所述IP白名单、所述URI白名单和所述安全规则至内存。

Images