CN112804370A

CN112804370A - 诈骗网站的分析方法及系统

Info

Publication number: CN112804370A
Application number: CN202011588395.3A
Authority: CN
Inventors: 林振国; 高雷; 卢文哲; 邢志杰; 毛伟
Original assignee: INTERNET DOMAIN NAME SYSTEM BEIJING ENGINEERING RESEARCH CENTER
Current assignee: INTERNET DOMAIN NAME SYSTEM BEIJING ENGINEERING RESEARCH CENTER
Priority date: 2020-12-29
Filing date: 2020-12-29
Publication date: 2021-05-14

Abstract

本发明公开了一种诈骗网站的分析方法及系统，该方法包括：获取某域名的IP地址并保存；从诈骗域名列表中提取出欺诈域名的IP，从保存的某IP地址查询与欺诈域名具有相同或近似的IP地址的域名，生成分析任务；对所述域名对应的网站及网站内容进行分析并判定是否属于欺诈类网站。本发明提供的诈骗网站的分析方法及系统，能够有效、准确的检测和分析出诈骗类网站。

Description

诈骗网站的分析方法及系统

技术领域

本发明涉及互联网域名技术领域，具体地，涉及一种诈骗网站的分析方法。

背景技术

尽管IP地址能够唯一地标记网络上的计算机，但IP地址是一长串数字，不直观，而且用户记忆十分不方便，于是人们又发明了另一套字符型的地址方案，即所谓的域名地址。IP地址和域名是对应的，这份域名地址的信息存放在一个叫域名服务器(DNS，Domain nameserver)的主机内，使用者只需了解易记的域名地址，其对应转换工作就留给了域名服务器。域名服务器就是提供IP地址和域名之间的转换服务的服务器。

这是一种分层的管理模式，域名用文字表达比用数字表示的IP地址容易记忆。加入因特网的各级网络依照域名服务器的命名规则对本网内的计算机命名，并在通信时负责完成域名到各IP地址的转换。

DNS(Domain Name System)，即域名解析系统，是接收域名查询请求、将域名名称映射为IP地址的核心技术系统。

域名和域名解析技术可以使用户快速定位到目标地址，并且记忆与使用都更加方便，还可以保证一定的安全性。

但是，其无法保证内容的安全性。如，某团伙建立了一个诈骗类犯罪网站，并且使用很多域名指向了这个网站，那么，用户输入域名便会定位到这个网站，如果这个网站做的很逼真，那么便可能欺骗到很多用户，使其蒙受损失。

有些安全措施，可以在用户访问时提醒用户可能为一个诈骗网站，但是，此种情况，只要某团伙更换另外一个域名指向此网站即可，并不能很好的达到保护用户的效果。

为应对这种层出不穷的欺诈类网站，更好的保护用户安全的访问互联网，免受网络欺诈的风险，急需一种技术，可以及时快速的发现欺诈类网站，并且举一反三发现其他欺诈网站，甚至提前预警此为诈骗网站。而刑侦反欺诈，便是由此而诞生的一项技术。

至今为止，互联网上存在了以亿为单位的海量域名，而其中有多少欺诈类网站，欺诈类网站之间又存在什么样的关联，另，让确认此为欺诈类网站时，又该如何迅速有效的留下证据，都是需要解决的难题。

发明内容

针对现有技术的缺陷，本发明的目的是，提供一种诈骗网站的分析方法及系统，以有效准确的检测和分析出诈骗类网站。

本发明采用的技术方案如下：

一种诈骗网站的分析方法，包括：

获取某域名的IP地址并保存；

从诈骗域名列表中提取出欺诈域名的IP，从保存的某IP地址查询与欺诈域名具有相同或近似的IP地址的域名，生成分析任务；

基于设定的判断规则对所述域名对应的网站及网站内容进行分析并判定是否属于欺诈类网站。

进一步地，收到分析任务后，先判断该域名是否建站，如未建站则结束任务；如已建站，则访问页面，根据页面内容进行进一步分析，如判定页面内容存在匹配到的诈骗类关键词或语义内容上存在诈骗含义，则标记为欺诈类网站，同时生成简易的截图任务。

进一步地，如无法匹配，则标记为继续分析的截图任务，并根据截图时刻的网站内容再进行一次或多次诈骗类关键词匹配或内容语义分析，并将分析结果保存。

进一步地，针对动态网站，通过webdriver技术动态加载网站内容来获取网站内容，并且同时截图保留。

进一步地，获取某域名的IP地址的方法包括：通过集中化区数据服务定时获取指定的某些顶级域名的区数据，并进行解析，获取到域名列表及域名IP，或者，通过递归查询，解析递归日志内容获取域名IP。

进一步地，域名分析器定时遍历分析任务，对生成的分析任务下发到消息队列，然后分配给各域名信息收集器的节点进行处理，域名信息收集器返回判定结果再次发送到消息队列，域名分析器从消息队列中接收该判定结果。

进一步地，针对部分域名查询whois，根据注册人信息是否一致来判断是否可能属于欺诈域名

进一步地，所有分析任务结束后，由域名分析器生成完整的报告。

本发明的另一方面还提供了一种诈骗网站的分析系统，该系统包括：

域名采集器、控制管理器、域名分析器和域名信息收集器，其中，

所述域名采集器，用于采集域名对应的IP地址并保存到搜索引擎中；

所述控制管理器，用于将接收到的诈骗域名列表下发给域名分析器；

所述域名分析器，定时遍历任务并获取分配到的自身节点的分析任务，通过获取欺诈域名的IP，从搜索引擎数据源中查询与本欺诈域名具有相同或近似IP地址的域名，然后生成详细内容分析任务给域名信息收集器；

所述域名信息收集器根据预设的匹配规则判定是否为欺诈类网站并返回判定结果给域名分析器。

进一步地，所述控制管理器包括web页面展示模块、配置模块以及任务队列控制模块。

与现有技术相比，本发明提供的一种诈骗网站的分析方法及系统，达到了如下技术效果：

1、基于IP同源的理念，根据已有的诈骗域名，分析出其IP地址，然后根据IP地址，在域名库中匹配IP相同的域名。

2、WHOIS信息匹配，部分域名可查询whois，可根据注册人信息是否一致来判断。

3、内容分析，分析目标域名的内容，根据其是否包含诈骗类网站关键词或者其内容具有欺骗语义来判断。

附图说明

图1是本发明实施例中的诈骗网站的分析方法的流程原理图。

图2是本发明实施例中的诈骗网站的分析系统的架构图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述。显然，所描述的实施例为实施本发明的较佳实施方式，所述描述是以说明本发明的一般原则为目的，并非用以限定本发明的范围。本发明的保护范围应当以权利要求所界定者为准，基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明的目的是提供一种诈骗网站的分析方法，以及时快速的发现欺诈类网站，提供预警。

本实施例提供的一种诈骗网站的分析方法，包括如下过程：

步骤S1、获取某域名的IP地址并保存；

具体来说，IP地址的获取主要从两个途径。其一，通过czds(集中化区数据服务)提供的API接口，定时获取指定的某些tld(Top Level Domain，顶级域名)的区数据，即其域名解析数据，解析此文件，获取到域名列表，然后通过DNS系统获取此域名的IP地址，当然，也可以只获取每次的增量域名列表。其二，通过某些途径，如递归服务器产生的递归日志，解析日志内容，获取到目标域名的IP信息，其中，获取的IP地址保存到搜索引擎数据库(ElasticSearch)中。定时采集新的域名列表保证了域名更新的时效性。

步骤S2、从诈骗域名列表中提取出欺诈域名的IP，从搜索引擎数据库中保存的某IP地址查询与欺诈域名具有相同或近似的IP地址的域名，生成分析任务；

通过获取欺诈域名的IP，从ElasticSearch数据源中查询到与本欺诈域名具有相同或者基本相同IP地址的域名，生成域名详细内容分析任务，将任务发送到消息队列。通过此，能够举一反三找到，与指向同一个欺诈网站的其它隐藏域名。

步骤S3、基于设定的判断规则对所述域名对应的网站及网站内容进行分析并判定是否属于欺诈类网站。

具体来说，收到分析任务后，先进行一些系列的判断，包括：依次为判断域名是否建站，建站端口号为80或者是443，是否可以获取到页面内容，是否需要截图等。也就是说，先判断该域名是否建站，如未建站则结束任务；如已建站，则正常访问页面，通过http请求可以获取到相关信息，以便根据页面内容进行进一步分析，如判定页面内容存在匹配到的诈骗类关键词或语义内容上存在诈骗含义，则生成简易截图任务，发送到消息队列；如无法匹配，也即分析结果存在争议，则标记为继续分析的截图任务，发送到消息队列，等待进一步分析。最后，接收到截图任务后，如果为简易截图，则说明是标记的欺诈类网站，直接保存截图；如果是继续分析的截图任务，则根据截图时刻的网站内容再进行一次或多次诈骗类关键词匹配或内容语义分析，并将分析结果保存。然而，有些动态网站，单纯的http请求并不能获取到正确的网站内容。此时，需要借用webdriver技术，可以动态加载网站内容来正确的获取到网站内容，并且同时截图保留。Webdriver针对各个浏览器而开发，取代了嵌入到被测web应用中的javascript，与浏览器的紧密集成支持创建更高级的测试，避免了JavaScript安全模型导致的限制。

此外，本发明还可进一步进行WHOIS信息匹配，部分域名可查询WHOIS，可根据注册人信息是否一致来判断。在使用域名进行Internet访问时，很多用户希望进一步了解域名、名字服务器的详细信息，这就会用到WHOIS。对于域名的注册服务机构(registrar)而言，要确认域名数据是否已经正确注册到域名注册中心(registry)，也经常会用到WHOIS。通过判断域名是否正确注册，对应的注册人信息是否一致，用户判断是否属于欺诈域名作为参考，通常，对于指向同一个IP的不同域名，如果注册人信息不一致，则存在欺诈的可能性。

所有的分析任务结束之后，生成一个完整的报告，并将截图打包，供管理员下载查看使用。

本发明的另一实施例还提供了一种诈骗网站的分析系统，该系统包括：域名采集器、控制管理器、域名分析器和域名信息收集器，其中，

域名采集器，用于采集域名对应的IP地址并保存到搜索引擎中；

控制管理器，用于将接收到的诈骗域名列表下发给域名分析器；控制管理器包括web页面展示模块，提供页面展示功能，配置模块，提供相关信息的配置维护，任务队列控制模块，控制接收和下发任务的队列；

域名分析器，定时遍历任务并获取分配到的自身节点的分析任务，通过获取欺诈域名的IP，从搜索引擎数据源中查询与本欺诈域名具有相同或近似IP地址的域名，然后生成详细内容分析任务给域名信息收集器；

域名信息收集器，根据预设的匹配规则判定是否为欺诈类网站并返回判定结果给域名分析器。

下面来对本发明实施例终端分析系统原理做详述。

1.domain-collector(域名采集器)定时使用czds接口下载指定tld的区数据。比如，可设置每月某一固定时间点，如每月1号处理一次全量数据，其他时间则根据上一次的区文件与当前区文件比较，获取增量域名列表。domain-collector将域名清单分批发送到MQ中，下发到其他节点处理。各个domain-collector节点接收到MQ的消息，获取域名IP，然后保存到ElasticSearch(搜索引擎)中。另外，domain-collector还可以定时通过特定渠道获取到递归日志，解析递归日志内容获取到ip，然后保存到ElasticSearch中。

2.control-platform(控制管理器)接收任务，将接收到的诈骗域名列表下发到domain-analysisor中。同时，control-platform也负责web页面功能展示，配置维护与结果展示等功能。其实质为一个web服务，提供方便易用的管理页面供系统管理员角色维护系统。

3.domain-analysisor(域名分析器)定时遍历任务，并获取分配到自身节点的分析任务。通过获取欺诈域名的IP，从ElasticSearch数据源中查询到与本欺诈域名具有相同IP地址的域名，或者基本相同的IP地址的域名，然后生成域名详细内容分析任务，将任务发送到MQ，下发给各个domain-info-collector(域名信息收集器)节点处理。

4.domain-info-collector(域名信息收集器)从MQ中获取任务，首先通过一系列有序的收集任务(依次为判断域名是否建站，建站端口号为80或者是443，是否可以获取到页面内容，是否需要截图)，获取到此域名是否建站，建站地址，端口号，协议号与网站内容。如果未建站，则结束任务。如已建站且可访问，则根据页面内容进行分析，如判定存在诈骗关键词或者页面内容语义上接近诈骗，则生成简易截图任务，发送到MQ。如判断分析结果存在争议，则标注为继续分析的截图任务，发送到MQ。domain-info-collector接收到截图任务，如果为简易截图，则截图，并将结果通过MQ发送到domain-analysisor进行保存。如果为继续分析的截图任务，则截图后获取截图时刻的网站内容，进行一次关键词匹配或者内容语义分析，然后将结果通过MQ发送到domain-analysisor进行保存。

5.所有欺诈域名分析任务结束之后，由control-platform生成报告，并将截图打包，供管理员下载使用。

本发明通过域名采集器定时获取新增的域名列表，然后解析得到IP地址，控制管理器将诈骗域名列表发给域名分析器各节点，域名分析器通过获取欺诈域名的IP，并和之前保存在搜索引擎数据库中的数据源查询与本欺诈域名具有相同IP的域名，生成域名详细内容分析任务，下发给域名信息收集器的各节点进行处理，并由域名信息收集器进行一系列有序的收集任务，包括判断是否建站，能否访问页面，页面内容截图等，通过系统内置的关键词和语义分析对页面内容进行分析，如果关键词精确匹配或者在内容上具有诈骗含义的语义，则标记此网站为此分类的欺诈类网站。

上述说明示出并描述了本发明的若干优选实施例，但如前所述，应当理解本发明并非局限于本文所披露的形式，不应看作是对其他实施例的排除，而可用于各种其他组合、修改和环境，并能够在本文所述发明构想范围内，通过上述教导或相关领域的技术或知识进行改动。而本领域人员所进行的改动和变化不脱离本发明的精神和范围，则都应在本发明所附权利要求的保护范围内。

Claims

1.一种诈骗网站的分析方法，其特征在于，所述方法包括：

获取某域名的IP地址并保存；

对所述域名对应的网站及网站内容进行分析并判定是否属于欺诈类网站。

2.根据权利要求1所述的分析方法，其特征在于，收到分析任务后，先判断该域名是否建站，如未建站则结束任务；如已建站，则访问页面，根据页面内容进行进一步分析，如判定页面内容存在匹配到的诈骗类关键词或语义内容上存在诈骗含义，则标记为欺诈类网站，同时生成简易的截图任务。

3.根据权利要求2所述的分析方法，其特征在于，如无法匹配，则标记为继续分析的截图任务，并根据截图时刻的网站内容再进行一次或多次诈骗类关键词匹配或内容语义分析，并将分析结果保存。

4.根据权利要求2或3所述的分析方法，其特征在于，针对动态网站，通过webdriver技术动态加载网站内容来获取网站内容，并且同时截图保留。

5.根据权利要求1所述的分析方法，其特征在于，获取某域名的IP地址的方法包括：通过集中化区数据服务定时获取指定的某些顶级域名的区数据，并进行解析，获取到域名列表及域名IP，或者，通过递归查询，解析递归日志内容获取域名IP。

6.根据权利要求3所述的分析方法，其特征在于，域名分析器定时遍历分析任务，对生成的分析任务下发到消息队列，然后分配给各域名信息收集器的节点进行处理，域名信息收集器返回判定结果再次发送到消息队列，域名分析器从消息队列中接收该判定结果。

7.根据权利要求6所述的分析方法，其特征在于，所有分析任务结束后，由域名分析器生成完整的报告。

8.根据权利要求3所述的分析方法，其特征在于，针对部分域名查询whois，根据注册人信息是否一致来判断是否可能属于欺诈域名。

9.一种诈骗网站的分析系统，其特征在于，所述系统包括：域名采集器、控制管理器、域名分析器和域名信息收集器，其中，

10.根据权利要求9所述的诈骗网站的分析系统，其特征在于，所述控制管理器包括web页面展示模块、配置模块以及任务队列控制模块。