CN113098880A - 一种重放攻击识别的方法、系统、设备及可读存储介质 - Google Patents

Abstract

本申请公开了一种重放攻击识别的方法，包括：根据客户端发送的数据通信请求确定客户端的标识及第一流水号，第一流水号在客户端向服务器发送数据传输请求时自动加一；判断数据库中是否具有标识；若是，则获取数据库中标识对应的第二流水号，并判断第一流水号是否小于或等于第二流水号；若第一流水号小于或等于第二流水号，则将数据通信请求标记为重放攻击。本申请无需记录大量的随机数，减少了计算资源的消耗，也无需在节点之间保持准确的时间同步，极大的提高了重放攻击防御的效率及准确率。本申请同时还提供了一种重放攻击识别的系统、设备及可读存储介质，具有上述有益效果。

Description

一种重放攻击识别的方法、系统、设备及可读存储介质

技术领域

本申请涉及重放攻击识别领域，特别涉及一种重放攻击识别的方法、系统、设备及可读存储介质。

背景技术

重放攻击(Replay Attacks)又称重播攻击、回放攻击，是指攻击者发送一个目的主机已接收过的包，来达到欺骗系统的目的，主要用于身份认证过程，破坏认证的正确性。重放攻击可以由发起者，也可以由拦截并重发该数据的敌方进行。攻击者利用网络监听或者其他方式盗取认证凭据，之后再把它重新发给认证服务器。

重放攻击的基本原理就是把以前窃听到的数据原封不动地重新发送给接收方。很多时候，网络上传输的数据是加密过的，此时窃听者无法得到数据的准确意义。但如果他知道这些数据的作用，就可以在不知道数据内容的情况下通过再次发送这些数据达到愚弄接收端的目的。

现有的重放攻击防御方案要么内存开销较大，要么需要保持非常准确的时间同步，导致重放攻击防御的效率及准确率较低。

因此，如何提高重放攻击防御的效率及准确率是本领域技术人员目前需要解决的技术问题。

发明内容

本申请的目的是提供一种重放攻击识别的方法、系统、设备及可读存储介质，用于提高重放攻击防御的效率及准确率。

为解决上述技术问题，本申请提供一种重放攻击识别的方法，该方法包括：

根据客户端发送的数据通信请求确定所述客户端的标识及第一流水号，所述第一流水号在所述客户端向服务器发送数据传输请求时自动加一；

判断数据库中是否具有所述标识；

若是，则获取所述数据库中所述标识对应的第二流水号，并判断所述第一流水号是否小于或等于所述第二流水号；

若所述第一流水号小于或等于所述第二流水号，则将所述数据通信请求标记为重放攻击。

可选的，所述根据客户端发送的数据通信请求确定所述客户端的标识，包括：

根据所述数据通信请求确定所述客户端生成的随机数以及所述客户端与所述服务器首次建立连接的时间戳；

确定所述时间戳以及所述随机数的组合为所述客户端的标识。

可选的，还包括：

若所述数据库中不具有所述标识，则将所述标识添加到所述数据库中；

执行所述数据通信请求与所述客户端进行数据通信，并将所述第二流水号更新为所述第一流水号。

可选的，将所述标识添加到所述数据库中，包括：

将所述标识添加到所述数据库中的哈希表中，所述哈希表中的键为所述时间戳以及所述随机数的组合，所述哈希表中的值为所述客户端的第一流水号。

可选的，还包括：

按照预设检查周期定期检查每个客户端是否发送数据通信请求；

将未发送数据通信请求的次数超过阈值的客户端对应的标识从所述数据库中删除。

可选的，在按照预设检查周期定期检查每个客户端是否发送数据通信请求之前，还包括：

根据输入的防重放强度设置命令确定期望防重放强度；

根据所述期望防重放强度确定所述预设检查周期和所述阈值。

可选的，还包括：

若所述第一流水号大于所述第二流水号，则执行所述数据通信请求与所述客户端进行数据通信，并将所述第二流水号更新为所述第一流水号。

本申请还提供一种重放攻击识别的系统，该系统包括：

第一确定模块，用于根据客户端发送的数据通信请求确定所述客户端的标识及第一流水号，所述第一流水号在所述客户端向服务器发送数据传输请求时自动加一；

第一判断模块，用于判断数据库中是否具有所述标识；

第二判断模块，用于当所述数据库中具有所述标识时，获取所述数据库中所述标识对应的第二流水号，并判断所述第一流水号是否小于或等于所述第二流水号；

标记模块，用于若所述第一流水号小于或等于所述第二流水号，则将所述数据通信请求标记为重放攻击。

本申请还提供一种重放攻击识别设备，该重放攻击识别设备包括：

存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序时实现如上述任一项所述重放攻击识别的方法的步骤。

本申请还提供一种可读存储介质，所述可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如上述任一项所述重放攻击识别的方法的步骤。

本申请所提供重放攻击识别的方法，包括：根据客户端发送的数据通信请求确定客户端的标识及第一流水号，第一流水号在客户端向服务器发送数据传输请求时自动加一；判断数据库中是否具有标识；若是，则获取数据库中标识对应的第二流水号，并判断第一流水号是否小于或等于第二流水号；若第一流水号小于或等于第二流水号，则将数据通信请求标记为重放攻击。

本申请所提供的技术方案，通过根据客户端发送的数据通信请求确定客户端的标识及第一流水号，并根据第一流水号与数据库中标识对应的第二流水号的大小关系来判定当前数据通信请求是否为重放攻击，无需记录大量的随机数，减少了计算资源的消耗，也无需在节点之间保持准确的时间同步，采用简单的请求和应答模式，只需一个回合即可完成通信，降低了通信过程复杂度，极大的提高了重放攻击防御的效率及准确率。本申请同时还提供了一种重放攻击识别的系统、设备及可读存储介质，具有上述有益效果，在此不再赘述。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为本申请实施例所提供的一种重放攻击识别的方法的流程图；

图2为本申请实施例所提供的一种客户端与服务器通信时序图；

图3为本申请实施例所提供的一种标识及流水号的保存图；

图4为本申请实施例所提供的一种重放攻击识别的系统的结构图；

图5为本申请实施例所提供的一种重放攻击识别设备的结构图。

具体实施方式

本申请的核心是提供一种重放攻击识别的方法、系统、设备及可读存储介质，用于提高重放攻击防御的效率及准确率。

为使本申请实施例的目的、技术方案和优点更加清楚，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

重放攻击的基本原理就是把以前窃听到的数据原封不动地重新发送给接收方。很多时候，网络上传输的数据是加密过的，此时窃听者无法得到数据的准确意义。但如果他知道这些数据的作用，就可以在不知道数据内容的情况下通过再次发送这些数据达到愚弄接收端的目的。

现有的重放攻击防御方案大致包括以下两种：

1)在客户端和服务器之间维护一个随机数缓冲池。客户端给服务器发送数据时，增加一个随机数，如果服务器发现数据包中的随机数已在缓冲池中出现过，那么认为发生了重放攻击。

2)客户端在发送数据包时增加时间戳，如果服务器发现数据包中的时间戳比服务器本地的时间戳早，那么认为发生了重放攻击。

然而，当采用随机数方案时，客户端和服务器需要同时记录最近一段时间已经使用过的随机数。如果需要预防较长时间的重放攻击，那么客户端和服务器需要记录大量的随机数。当客户端和服务器之间的吞吐量较大时，产生不重复随机数的难度会增加，保存这些随机数的内存开销也会很大。

当采用时间戳方案时，客户端和服务器需要保持非常准确的时间同步，若二者之间的时间不同步，很可能会造成服务器拒绝响应客户端的请求。DCS系统节点众多，且节点之间的地域分布可能不同，节点之间出现时间不同步的概率是比较大的，因此这种方案的副作用较大。故本申请提供了供一种重放攻击识别的方法，用于解决上述问题。

请参考图1，图1为本申请实施例所提供的一种重放攻击识别的方法的流程图。

其具体包括如下步骤：

S101：根据客户端发送的数据通信请求确定客户端的标识及第一流水号；

这里提到的第一流水号用于记录客户端发起数据通信请求的次数，在本申请中客户端和服务器之间采用请求和应答的方式进行通信，客户端每次向服务器发起一次数据通信请求时，就将第一流水号自动加一，能够准确的记录客户端发起数据通信请求的次数，进而在第一流水号小于或等于数据库中标识对应的第二流水号时能够判定当前数据通信请求为重放攻击，提高了重放攻击防御的效率及准确率。

可选的，为提高客户端标识的可信度，降低其被破解的概率，可以结合时间戳以及随机数的组合为客户端的标识，即这里提到的根据客户端发送的数据通信请求确定客户端的标识，其具体可以为：

根据数据通信请求确定客户端生成的随机数以及客户端与服务器首次建立连接的时间戳；

确定时间戳以及随机数的组合为客户端的标识。

请参考图2，图2为本申请实施例所提供的一种客户端与服务器通信时序图，在一个具体实施例中，每个客户端在与服务器首次建立连接时记录一个时间戳，并且生成一个随机数。当客户端需要与服务器通信时，将时间戳和随机数填至数据包，并且在数据包中附加第一流水号。客户端每次向服务器发起一次数据通信请求时，就将第一流水号自增，此处的时间戳和随机数并不会在后续的通信过程中发生变化，而是作为服务器区分不同客户端的标识。因为在DCS系统中，有较多的客户端同时与服务器通信，但各个节点与服务器首次建立连接的时间一般是不相同的，因此通过将时间戳以及随机数的组合作为标识，服务器就可以区分出不同的客户端。

S102：判断数据库中是否具有标识；

若是，则进入步骤S103；

当数据库中具有该标识时，则表明此客户端曾与服务器通信过，此时执行步骤S103获取数据库中标识对应的第二流水号，并判断第一流水号是否小于或等于第二流水号，进而判定该数据通信请求是否为重放攻击。

在一个具体实施例中，当服务器收到客户端的请求后，检查数据包中的时间戳和随机数组合，若服务器没有此组合，表明此客户端还未曾与服务器通信过，此时还可以执行如下步骤完成此次数据通信：

若数据库中不具有标识，则将标识添加到数据库中；

执行数据通信请求与客户端进行数据通信，并将第二流水号更新为第一流水号。

在一个具体实施例中，请参考图3，图3为本申请实施例所提供的一种标识及流水号的保存图，服务器在接收到客户端的请求后，将请求中填充的时间戳、随机数、流水号以图3的形式组织起来。图3中，t1_r1表示将第一个客户端的时间戳和随机数结合起来，在时刻1时，t1_r1的ID＝1，表示第一个客户端当前向服务器仅发送了一个请求，也就是第一个客户端当前的第二流水号是1。在时刻3时，t1_r1的ID＝3，表示第一个客户端已经向服务器发送了3次请求。t2_r2的ID＝2，表示第二个客户端向服务器发送了2次请求，图中的ID表明服务端当前数据库中记录的每个客户端标识以及各自的当前第二流水号。

在此基础上，这里提到的将标识添加到数据库中，其具体可以为：

将标识添加到数据库中的哈希表中，哈希表中的键为时间戳以及随机数的组合，哈希表中的值为客户端的第一流水号。

因为分布式控制系统中有大量的客户端与服务器进行数据通信，有的客户端可能只与服务器进行一次通信就销毁了，因此服务器在运行一段时间后，n的值会越来越大，也就是图3中的行数会越来越多。因为正常通信过程中创建客户端的次数远比发送数据通信请求的次数少，为了减小服务器检索某个客户端当前流水号的开销，本申请实施例采用了哈希表保存上述结构。

S103：获取数据库中标识对应的第二流水号，并判断第一流水号是否小于或等于第二流水号；

若是，则进入步骤S104；

当第一流水号小于或等于第二流水号时，则证明发生了重放攻击，此时执行步骤S104，将该数据通信请求标记为重放攻击。

若第一流水号大于第二流水号，则还可以执行数据通信请求与客户端进行数据通信，并将第二流水号更新为第一流水号。

在一个具体实施例中，为了节省存储空间，还可以执行如下步骤将标识从数据库中删除：

按照预设检查周期定期检查每个客户端是否发送数据通信请求；

将未发送数据通信请求的次数超过阈值的客户端对应的标识从数据库中删除。

在此基础上，还可以根据输入的防重放强度设置命令对预设检查周期和阈值进行设定，在按照预设检查周期定期检查每个客户端是否发送数据通信请求之前，还可以执行如下步骤：

根据输入的防重放强度设置命令确定期望防重放强度；

根据期望防重放强度确定预设检查周期和阈值。

服务器每隔一段时间会检查一次tn_rn对应的客户端最近有没有发起请求，若某个客户端连续多次都未向服务器发起新的数据通信请求，服务器会将这个客户端标识从哈希表中删除。检查周期与检查次数与期望的防重放强度相关。期望的防重放强度越大，检查的次数就应该越少，服务器为了保存这些客户端标识所需的资源也就越多。

S104：将数据通信请求标记为重放攻击。

基于上述技术方案，本申请所提供的一种重放攻击识别的方法，通过根据客户端发送的数据通信请求确定客户端的标识及第一流水号，并根据第一流水号与数据库中标识对应的第二流水号的大小关系来判定当前数据通信请求是否为重放攻击，无需记录大量的随机数，减少了计算资源的消耗，也无需在节点之间保持准确的时间同步，采用简单的请求和应答模式，只需一个回合即可完成通信，降低了通信过程复杂度，极大的提高了重放攻击防御的效率及准确率。

请参考图4，图4为本申请实施例所提供的一种重放攻击识别的系统的结构图。

该系统可以包括：

第一确定模块100，用于根据客户端发送的数据通信请求确定客户端的标识及第一流水号，第一流水号在客户端向服务器发送数据传输请求时自动加一；

第一判断模块200，用于判断数据库中是否具有标识；

第二判断模块300，用于当数据库中具有标识时，获取数据库中标识对应的第二流水号，并判断第一流水号是否小于或等于第二流水号；

标记模块400，用于若第一流水号小于或等于第二流水号，则将数据通信请求标记为重放攻击。

在上述实施例的基础上，在一个具体实施例中，该第一确定模块100可以包括：

第一确定子模块，用于根据数据通信请求确定客户端生成的随机数以及客户端与服务器首次建立连接的时间戳；

第二确定子模块，用于确定时间戳以及随机数的组合为客户端的标识。

在上述实施例的基础上，在一个具体实施例中，该系统还可以包括：

添加模块，用于若数据库中不具有标识，则将标识添加到数据库中；

第一执行模块，用于执行数据通信请求与客户端进行数据通信，并将第二流水号更新为第一流水号。

在上述实施例的基础上，在一个具体实施例中，该添加模块可以包括：

添加子模块，用于将标识添加到数据库中的哈希表中，哈希表中的键为时间戳以及随机数的组合，哈希表中的值为客户端的第一流水号。

在上述实施例的基础上，在一个具体实施例中，该系统还可以包括：

检查模块，用于按照预设检查周期定期检查每个客户端是否发送数据通信请求；

删除模块，用于将未发送数据通信请求的次数超过阈值的客户端对应的标识从数据库中删除。

在上述实施例的基础上，在一个具体实施例中，该系统还可以包括：

第二确定模块，用于根据输入的防重放强度设置命令确定期望防重放强度；

第三确定模块，用于根据期望防重放强度确定预设检查周期和阈值。

在上述实施例的基础上，在一个具体实施例中，该系统还可以包括：

第二执行模块，用于若第一流水号大于第二流水号，则执行数据通信请求与客户端进行数据通信，并将第二流水号更新为第一流水号。

由于系统部分的实施例与方法部分的实施例相互对应，因此系统部分的实施例请参见方法部分的实施例的描述，这里暂不赘述。

请参考图5，图5为本申请实施例所提供的一种重放攻击识别设备的结构图。

该重放攻击识别设备500可因配置或性能不同而产生比较大的差异，可以包括一个或一个以上处理器(central processing units，CPU)522(例如，一个或一个以上处理器)和存储器532，一个或一个以上存储应用程序542或数据544的存储介质530(例如一个或一个以上海量存储设备)。其中，存储器532和存储介质530可以是短暂存储或持久存储。存储在存储介质530的程序可以包括一个或一个以上模块(图示没标出)，每个模块可以包括对装置中的一系列指令操作。更进一步地，处理器522可以设置为与存储介质530通信，在重放攻击识别设备500上执行存储介质530中的一系列指令操作。

重放攻击识别设备500还可以包括一个或一个以上电源525，一个或一个以上有线或无线网络接口550，一个或一个以上输入输出接口558，和/或，一个或一个以上操作系统541，例如Windows ServerTM，Mac OS XTM，UnixTM,LinuxTM，FreeBSDTM等等。

上述图1至图3所描述的重放攻击识别的方法中的步骤由重放攻击识别设备基于该图5所示的结构实现。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统，装置和模块的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在本申请所提供的几个实施例中，应该理解到，所揭露的装置、设备和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，模块的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个模块或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或模块的间接耦合或通信连接，可以是电性，机械或其它的形式。

作为分离部件说明的模块可以是或者也可以不是物理上分开的，作为模块显示的部件可以是或者也可以不是物理模块，即可以位于一个地方，或者也可以分布到多个网络模块上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。

另外，在本申请各个实施例中的各功能模块可以集成在一个处理模块中，也可以是各个模块单独物理存在，也可以两个或两个以上模块集成在一个模块中。上述集成的模块既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。

集成的模块如果以软件功能模块的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，功能调用装置，或者网络设备等)执行本申请各个实施例方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(Read-Only Memory，ROM)、随机存取存储器(Random Access Memory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。

以上对本申请所提供的一种重放攻击识别的方法、系统、设备及可读存储介质进行了详细介绍。本文中应用了具体个例对本申请的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本申请的方法及其核心思想。应当指出，对于本技术领域的普通技术人员来说，在不脱离本申请原理的前提下，还可以对本申请进行若干改进和修饰，这些改进和修饰也落入本申请权利要求的保护范围内。

还需要说明的是，在本说明书中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括要素的过程、方法、物品或者设备中还存在另外的相同要素。

Claims (10)

1.一种重放攻击识别的方法，其特征在于，包括：

根据客户端发送的数据通信请求确定所述客户端的标识及第一流水号，所述第一流水号在所述客户端向服务器发送数据传输请求时自动加一；

判断数据库中是否具有所述标识；

若是，则获取所述数据库中所述标识对应的第二流水号，并判断所述第一流水号是否小于或等于所述第二流水号；

若所述第一流水号小于或等于所述第二流水号，则将所述数据通信请求标记为重放攻击。

2.根据权利要求1所述的方法，其特征在于，所述根据客户端发送的数据通信请求确定所述客户端的标识，包括：

根据所述数据通信请求确定所述客户端生成的随机数以及所述客户端与所述服务器首次建立连接的时间戳；

确定所述时间戳以及所述随机数的组合为所述客户端的标识。

3.根据权利要求2所述的方法，其特征在于，还包括：

若所述数据库中不具有所述标识，则将所述标识添加到所述数据库中；

执行所述数据通信请求与所述客户端进行数据通信，并将所述第二流水号更新为所述第一流水号。

4.根据权利要求3所述的方法，其特征在于，将所述标识添加到所述数据库中，包括：

将所述标识添加到所述数据库中的哈希表中，所述哈希表中的键为所述时间戳以及所述随机数的组合，所述哈希表中的值为所述客户端的第一流水号。

5.根据权利要求1所述的方法，其特征在于，还包括：

按照预设检查周期定期检查每个客户端是否发送数据通信请求；

将未发送数据通信请求的次数超过阈值的客户端对应的标识从所述数据库中删除。

6.根据权利要求5所述的方法，其特征在于，在按照预设检查周期定期检查每个客户端是否发送数据通信请求之前，还包括：

根据输入的防重放强度设置命令确定期望防重放强度；

根据所述期望防重放强度确定所述预设检查周期和所述阈值。

7.根据权利要求1所述的方法，其特征在于，还包括：

若所述第一流水号大于所述第二流水号，则执行所述数据通信请求与所述客户端进行数据通信，并将所述第二流水号更新为所述第一流水号。

8.一种重放攻击识别的系统，其特征在于，包括：

第一确定模块，用于根据客户端发送的数据通信请求确定所述客户端的标识及第一流水号，所述第一流水号在所述客户端向服务器发送数据传输请求时自动加一；

第一判断模块，用于判断数据库中是否具有所述标识；

第二判断模块，用于当所述数据库中具有所述标识时，获取所述数据库中所述标识对应的第二流水号，并判断所述第一流水号是否小于或等于所述第二流水号；

标记模块，用于若所述第一流水号小于或等于所述第二流水号，则将所述数据通信请求标记为重放攻击。

9.一种重放攻击识别设备，其特征在于，包括：

存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序时实现如权利要求1至7任一项所述重放攻击识别的方法的步骤。

10.一种可读存储介质，其特征在于，所述可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1至7任一项所述重放攻击识别的方法的步骤。

Images