CN113923040B - 流量劫持点检测方法、装置、电子设备及存储介质 - Google Patents
流量劫持点检测方法、装置、电子设备及存储介质 Download PDFInfo
- Publication number
- CN113923040B CN113923040B CN202111228254.5A CN202111228254A CN113923040B CN 113923040 B CN113923040 B CN 113923040B CN 202111228254 A CN202111228254 A CN 202111228254A CN 113923040 B CN113923040 B CN 113923040B
- Authority
- CN
- China
- Prior art keywords
- hijacking
- flow
- test request
- routing device
- request packet
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
- 238000001514 detection method Methods 0.000 title claims description 26
- 238000012360 testing method Methods 0.000 claims abstract description 196
- 230000005540 biological transmission Effects 0.000 claims abstract description 57
- 238000000034 method Methods 0.000 claims abstract description 39
- 238000004401 flow injection analysis Methods 0.000 claims description 35
- 238000005206 flow analysis Methods 0.000 claims description 16
- 230000001965 increasing effect Effects 0.000 claims description 5
- 238000004590 computer program Methods 0.000 claims description 3
- 238000004458 analytical method Methods 0.000 claims description 2
- 230000004044 response Effects 0.000 description 10
- 238000010586 diagram Methods 0.000 description 8
- 238000012545 processing Methods 0.000 description 8
- 239000000243 solution Substances 0.000 description 3
- 230000006978 adaptation Effects 0.000 description 2
- 230000007423 decrease Effects 0.000 description 2
- 238000013507 mapping Methods 0.000 description 2
- 230000003287 optical effect Effects 0.000 description 2
- 239000013307 optical fiber Substances 0.000 description 2
- 230000000644 propagated effect Effects 0.000 description 2
- 230000009471 action Effects 0.000 description 1
- 238000003491 array Methods 0.000 description 1
- 238000004891 communication Methods 0.000 description 1
- 238000010276 construction Methods 0.000 description 1
- 230000002708 enhancing effect Effects 0.000 description 1
- 230000006870 function Effects 0.000 description 1
- 238000002347 injection Methods 0.000 description 1
- 239000007924 injection Substances 0.000 description 1
- 239000000463 material Substances 0.000 description 1
- 230000002093 peripheral effect Effects 0.000 description 1
- 230000009467 reduction Effects 0.000 description 1
- 230000003252 repetitive effect Effects 0.000 description 1
- 238000012546 transfer Methods 0.000 description 1
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1441—Countermeasures against malicious traffic
- H04L63/1466—Active attacks involving interception, injection, modification, spoofing of data unit addresses, e.g. hijacking, packet injection or TCP sequence number attacks
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
- H04L63/1416—Event detection, e.g. attack signature detection
-
- Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
- Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
- Y02D—CLIMATE CHANGE MITIGATION TECHNOLOGIES IN INFORMATION AND COMMUNICATION TECHNOLOGIES [ICT], I.E. INFORMATION AND COMMUNICATION TECHNOLOGIES AIMING AT THE REDUCTION OF THEIR OWN ENERGY USE
- Y02D30/00—Reducing energy consumption in communication networks
- Y02D30/50—Reducing energy consumption in communication networks in wire-line communication networks, e.g. low power modes or reduced link rate
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
Abstract
本公开提供了一种流量劫持点检测方法、装置、电子设备及存储介质，涉及网络安全技术领域。该方法包括：向业务服务器发送多个测试请求包，其中，每个测试请求包对应不同的TTL值，每个测试请求包的TTL值用于表征每个测试请求包被发送后所经过路由设备的跳数；在发送每个测试请求包后，采集传输路径上各个路由设备返回的流量信息，其中，所述传输路径用于将测试请求包路由至所述业务服务器；根据各个路由设备返回的流量信息，确定流量劫持点，其中，所述流量劫持点为所述传输路径上没有将测试请求包转发至下一跳路由设备或所述业务服务器的路由设备。本发明能快速定位流量劫持点的位置。
Description
技术领域
本公开涉及网络安全技术领域，尤其涉及一种流量劫持点检测方法、装置、电子设备及存储介质。
背景技术
网络中存在着大量的DN步骤S劫持、HTTP链路劫持等流量劫持，其原理是入侵者针对用户访问流量进行窃听，获取用户访问的目的ip后，然后以这个ip为步骤Source-ip发送流量给用户响应，劫持用户流量；流量劫持导致用户的使用感知质量下降，且容易引起投诉，对运营商网络造成安全隐患，且从运营商网络架构来看，可以对用户、服务器流量进行劫持的节点很多。
目前，相关技术中是利用路由追踪工具追踪被劫持网站，确定相应网站所采取的路由路径，在下一跳路由设备或者中间路由设备采用二分法再进行发送伪造包，继续进行测试，直到定位出劫持者的位置。然而该方法需要耗费大量的人力物力，效率低下。
需要说明的是，在上述背景技术部分公开的信息仅用于加强对本公开的背景的理解，因此可以包括不构成对本领域普通技术人员已知的现有技术的信息。
发明内容
本公开提供一种流量劫持点检测方法、装置、电子设备及存储介质，至少在一定程度上克服由于相关技术中不能快速检测流量劫持点及流量注入点的技术问题。
本公开的其他特性和优点将通过下面的详细描述变得显然，或部分地通过本公开的实践而习得。
根据本公开的一个方面，提供一种流量劫持点检测方法，应用于测试客户端，包括：
向业务服务器发送多个测试请求包，其中，每个测试请求包对应不同的TTL值，每个测试请求包的TTL值用于表征每个测试请求包被发送后所经过路由设备的跳数；
在发送每个测试请求包后，采集传输路径上各个路由设备返回的流量信息，其中，所述传输路径用于将测试请求包路由至所述业务服务器；
根据各个路由设备返回的流量信息，确定流量劫持点，其中，所述流量劫持点为所述传输路径上没有将测试请求包转发至下一跳路由设备或所述业务服务器的路由设备。
在本公开的一个实施例中，所述向业务服务器发送多个测试请求包包括：
获取预先配置的初始TTL值；
根据预先配置的初始TTL值，以TTL值递增的方式，每次向业务服务器发送一个不同TTL值的测试请求包。
在本公开的一个实施例中，根据各个路由设备返回的流量信息，确定流量劫持点，包括：
根据每次发送测试请求后相应路由设备返回的流量信息，判断路由设备的出接口地址是否为预设字符，其中，所述预设字符用于表征路由设备的出接口地址不存在；
当路由设备的出接口地址为预设字符的情况下，将该路由设备的所在位置确定为流量劫持点。
在本公开的一个实施例中，所述方法还包括：
获取预先配置的最大TTL值；
发送最大TTL值的测试请求包；
接收劫持服务器返回的流量劫持包；
从所述流量劫持包中提取劫持服务器的网络地址；
根据所述劫持服务器的网络地址，从各个路由设备返回的流量信息中定位流量注入点，其中，所述流量注入点为流量信息中入接口地址包含劫持服务器网络地址的路由设备。
在本公开的一个实施例中，通过流量分析平台Netflow采集传输路径上各个路由设备返回的流量信息。
根据本公开的另一个方面，还提供了一种流量劫持点检测方法，应用于流量分析平台，包括：
采集传输路径上各个路由设备返回的流量信息，其中，所述流量信息为各个路由设备在测试客户端向业务服务器发送多个测试请求包后返回的流量信息，每个测试请求包对应不同的TTL值，每个测试请求包的TTL值用于表征每个测试请求包被发送后所经过路由设备的跳数，所述传输路径用于将测试请求包路由至所述业务服务器；
根据各个路由设备返回的流量信息，确定流量劫持点，其中，所述流量劫持点为所述传输路径上没有将测试请求包转发至下一跳路由设备或所述业务服务器的路由设备。
在本公开的一个实施例中，还包括：
接收劫持服务器返回的流量劫持包，其中，所述流量劫持包为测试客户端获取预先配置的最大TTL值，发送最大TTL值的测试请求包后，劫持服务器返回的数据包；
从所述流量劫持包中提取劫持服务器的网络地址；
根据所述劫持服务器的网络地址，从各个路由设备返回的流量信息中定位流量注入点，其中，所述流量注入点为流量信息中入接口地址包含劫持服务器网络地址的路由设备。
根据本公开的另一个方面，还提供了一种流量劫持点检测装置，包括：
发送测试请求包模块，向业务服务器发送多个测试请求包，其中，每个测试请求包对应不同的TTL值，每个测试请求包的TTL值用于表征每个测试请求包被发送后所经过路由设备的跳数；
第一采集流量信息模块，在发送每个测试请求包后，采集传输路径上各个路由设备返回的流量信息，其中，所述传输路径用于将测试请求包路由至所述业务服务器；
第一确定流量劫持点模块，根据各个路由设备返回的流量信息，确定流量劫持点，其中，所述流量劫持点为所述传输路径上没有将测试请求包转发至下一跳路由设备或所述业务服务器的路由设备。
根据本公开的另一个方面，还提供了一种流量劫持点检测装置，包括：
第二采集流量信息模块，采集传输路径上各个路由设备返回的流量信息，其中，所述流量信息为各个路由设备在测试客户端向业务服务器发送多个测试请求包后返回的流量信息，每个测试请求包对应不同的TTL值，每个测试请求包的TTL值用于表征每个测试请求包被发送后所经过路由设备的跳数，所述传输路径用于将测试请求包路由至所述业务服务器；
第二确定流量劫持点模块，根据各个路由设备返回的流量信息，确定流量劫持点，其中，所述流量劫持点为所述传输路径上没有将测试请求包转发至下一跳路由设备或所述业务服务器的路由设备。
根据本公开的另一个方面，还提供了一种电子设备，包括：
处理器；以及
存储器，用于存储所述处理器的可执行指令；
其中，所述处理器配置为经由执行所述可执行指令来执行任意一项所述的流量劫持点检测方法。
根据本公开的另一个方面，还提供了一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现上述任意一项所述的流量劫持点检测方法。
本公开的实施例所提供的流量劫持点检测方法、装置、电子设备及存储介质，通过向业务服务器发送多个测试请求包，其中，每个测试请求包对应不同的TTL值，每个测试请求包的TTL值用于表征每个测试请求包被发送后所经过路由设备的跳数；在发送每个测试请求包后，采集传输路径上各个路由设备返回的流量信息，其中，所述传输路径用于将测试请求包路由至所述业务服务器；根据各个路由设备返回的流量信息，确定流量劫持点，其中，所述流量劫持点为所述传输路径上没有将测试请求包转发至下一跳路由设备或所述业务服务器的路由设备。本公开实施例能够快速的检测流量劫持点。
进一步地，业务服务器获取预先配置的最大TTL值；发送最大TTL值的测试请求包；接收劫持服务器返回的流量劫持包；从所述流量劫持包中提取劫持服务器的网络地址；根据所述劫持服务器的网络地址，从各个路由设备返回的流量信息中定位流量注入点，其中，所述流量注入点为流量信息中入接口地址包含劫持服务器网络地址的路由设备，能够快速定位流量注入点。
应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本公开。
附图说明
此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本公开的实施例，并与说明书一起用于解释本公开的原理。显而易见地，下面描述中的附图仅仅是本公开的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1示出本公开实施例中一种流量劫持点检测方法流程图；
图2示出本公开实施例中一种发送测试请求包方法流程图；
图3示出本公开实施例中一种确定流量劫持点方法流程图；
图4示出本公开实施例中一种定位流量注入点方法流程图；
图5示出本公开实施例中一种应用于流量分析平台Netflow的流量劫持点检测方法流程图；
图6示出本公开实施例中一种应用于流量分析平台Netflow的定位流量注入点流程图；
图7示出本公开实施例中一种流量劫持点检测装置示意图；
图8示出本公开实施例中又一种流量劫持点检测装置示意图；
图9示出本公开实施例中一种流量劫持点检测系统示意图；
图10示出本公开实施例中一种基于流量分析平台Netflow的流量劫持的检测方法流程图；
图11示出本公开实施例中一种以TTL递增的方式发送测试请求包方法流程图；和
图12示出本公开实施例中一种电子设备的结构框图。
具体实施方式
现在将参考附图更全面地描述示例实施方式。然而，示例实施方式能够以多种形式实施，且不应被理解为限于在此阐述的范例；相反，提供这些实施方式使得本公开将更加全面和完整，并将示例实施方式的构思全面地传达给本领域的技术人员。所描述的特征、结构或特性可以以任何合适的方式结合在一个或更多实施方式中。
此外，附图仅为本公开的示意性图解，并非一定是按比例绘制。图中相同的附图标记表示相同或类似的部分，因而将省略对它们的重复描述。附图中所示的一些方框图是功能实体，不一定必须与物理或逻辑上独立的实体相对应。可以采用软件形式来实现这些功能实体，或在一个或多个硬件模块或集成电路中实现这些功能实体，或在不同网络和/或处理器装置和/或微控制器装置中实现这些功能实体。
为了便于理解，下面首先对本公开涉及到的几个名词进行解释如下：
TTL，全称为Time To Live，即生存时间值，是IP数据包在计算机网络中可以转发的最大跳数；TTL字段由IP数据包的发送者设置，在IP数据包从源到目的的整个转发路径上，每经过一个路由设备，路由设备都会修改这个TTL字段值，具体的做法是把该TTL的值减1，然后再将IP包转发出去；如果在IP包到达目的IP之前，TTL减少为0，路由设备将会丢弃收到的TTL＝0的IP包并向IP包的发送者发送ICMP time exceeded消息。
下面结合附图及实施例对本示例实施方式进行详细说明。
首先，本公开实施例中提供了一种流量劫持点检测方法，该方法可以由任意具备计算处理能力的电子设备执行。
图1示出本公开实施例中一种流量劫持点检测方法流程图，如图1所示，本公开实施例中提供的流量劫持点检测方法包括如下步骤：
步骤S102，向业务服务器发送多个测试请求包，其中，每个测试请求包对应不同的TTL值，每个测试请求包的TTL值用于表征每个测试请求包被发送后所经过路由设备的跳数；
步骤S104，在发送每个测试请求包后，采集传输路径上各个路由设备返回的流量信息，其中，传输路径用于将测试请求包路由至业务服务器；
步骤S106，根据各个路由设备返回的流量信息，确定流量劫持点，其中，流量劫持点为传输路径上没有将测试请求包转发至下一跳路由设备或业务服务器的路由设备。
需要说明的是，上述步骤S102～S106提供的方案，可以在测试客户端中执行，测试客户端通过将TTL值从0至N不断递增发送测试请求包，每个测试请求包的TTL值用于表征每个测试请求包被发送后所经过路由设备的跳数，测试请求包从源到目的的整个传输路径上，每经过一个路由设备，路由设备都会将TTL值减1，再传输至下一个路由设备，TTL值减为0，路由设备返回流量信息，测试客户端接收对应的路由设备返回的流量信息，采集传输路径上各个路由设备返回的流量信息，其中，传输路径用于将测试请求包路由至业务服务器；流量信息包括TTL超时状态、TTL数值、返回时间、路由设备网络地址；根据各个路由设备返回的流量信息，确定流量劫持点，其中，流量劫持点为传输路径上没有将测试请求包转发至下一跳路由设备或业务服务器的路由设备。
在本公开的一个实施例中，图2示出本公开实施例中一种发送测试请求包方法流程图，如图2所示，上述步骤S102可以通过如下步骤来实现：
步骤S202，获取预先配置的初始TTL值；
步骤S204，根据预先配置的初始TTL值，以TTL值递增的方式，每次向业务服务器发送一个不同TTL值的测试请求包。
通过上述实施例，能够发送不同TTL值的测试请求包，对应的路由设备返回流量信息，需要说明的是，测试客户端通过将TTL值从0至N不断递增发送测试请求包，每个测试请求包的TTL值用于表征每个测试请求包被发送后所经过路由设备的跳数，测试请求包从测试客户端到业务服务器的整个传输路径上，每经过一个路由设备，路由设备都会将TTL值减1，再传输至下一个路由设备，TTL值减为0，路由设备返回流量信息；测试请求包为HTTP GET请求包，主要是请求URL，获取业务服务器或者劫持服务器的网址。
在本公开的一个实施例中，图3示出本公开实施例中一种确定流量劫持点方法流程图，如图3所示，上述步骤S106可以通过如下步骤来实现：
步骤S302，根据每次发送测试请求后相应路由设备返回的流量信息，判断路由设备的出接口地址是否为预设字符，其中，预设字符用于表征路由设备的出接口地址不存在；
步骤S304，当路由设备的出接口地址为预设字符的情况下，将该路由设备的所在位置确定为流量劫持点。
通过上述实施例，能够通过出接口地址快速定位流量劫持点，需要说明的是，根据每次发送测试请求后相应路由设备返回的流量信息，出接口地址不包括下一跳路由设备地址，显示预设字符，预设字符用于表征路由设备的出接口地址不存在，通过表征路由设备的出接口地址不存在的预设字符为0，即出接口地址为0，说明该路由设备收到测试请求包，但没有转到下一跳路由设备，则该路由设备为流量劫持点。
图4示出本公开实施例中一种定位流量注入点方法流程图，如图4所示，本公开实施例中提供的定位流量注入点流程具体包括如下步骤：
步骤S402，获取预先配置的最大TTL值；
步骤S404，发送最大TTL值的测试请求包；
步骤S406，接收劫持服务器返回的流量劫持包；
步骤S408，从流量劫持包中提取劫持服务器的网络地址；
步骤S410，根据劫持服务器的网络地址，从各个路由设备返回的流量信息中定位流量注入点，其中，流量注入点为流量信息中入接口地址包含劫持服务器网络地址的路由设备。
通过上述实施例，能够快速检测定位流量注入点，需要说明的是，TTL设置为最大时，即TTL设置为最大值255时，测试客户端会收到劫持服务器返回的流量劫持包，及业务服务器返回的正常回应包，且一般劫持服务器返回的流量劫持包会先于业务服务器返回的正常回应包到达测试客户端，从流量劫持包中提取劫持服务器的网络地址；根据劫持服务器的网络地址，从各个路由设备返回的流量信息中定位流量注入点，其中，流量注入点为流量信息中入接口地址包含劫持服务器网络地址的路由设备。
在本公开的一个实施例中，通过流量分析平台Netflow采集传输路径上各个路由设备返回的流量信息。
需要说明的是，流量分析平台Netflow采集传输路径上各个路由设备返回的流量信息，各个路由设备返回的流量信息定义为在一个源网络地址和目的网络地址间传输的单向数据包流，且所有数据包具有共同的传输层源、目的端口号。
基于同一发明构思，本公开实施例中还提供了一种应用于流量分析平台的流量劫持点检测方法，如下面的实施例。
图5示出本公开实施例中一种应用于流量分析平台的流量劫持点检测方法流程图，如图5所示，该方法包括如下步骤：
步骤S502，采集传输路径上各个路由设备返回的流量信息，其中，流量信息为各个路由设备在测试客户端向业务服务器发送多个测试请求包后返回的流量信息，每个测试请求包对应不同的TTL值，每个测试请求包的TTL值用于表征每个测试请求包被发送后所经过路由设备的跳数，传输路径用于将测试请求包路由至业务服务器；
步骤S504，根据各个路由设备返回的流量信息，确定流量劫持点，其中，流量劫持点为传输路径上没有将测试请求包转发至下一跳路由设备或业务服务器的路由设备。
通过上述实施例，能够根据对应的路由设备返回流量信息，快速确定流量劫持点，需要说明的是，测试请求包每经过一个路由设备，路由设备都会将TTL值减1，再传输至下一个路由设备，TTL值减为0，路由设备返回流量信息，测试客户端接收对应的路由设备返回的流量信息，采集传输路径上各个路由设备返回的流量信息，其中，传输路径用于将测试请求包路由至业务服务器；流量信息包括TTL超时状态、TTL数值、返回时间、路由设备网络地址；根据各个路由设备返回的流量信息，确定流量劫持点，其中，流量劫持点为传输路径上没有将测试请求包转发至下一跳路由设备或业务服务器的路由设备。
图6示出本公开实施例中一种应用于流量分析平台的定位流量注入点流程图，如图6所示，本公开实施例中提供的应用于流量分析平台的定位流量注入点流程具体包括如下步骤：
步骤S602，接收劫持服务器返回的流量劫持包，其中，流量劫持包为测试客户端获取预先配置的最大TTL值，发送最大TTL值的测试请求包后，劫持服务器返回的数据包；
步骤S604，从流量劫持包中提取劫持服务器的网络地址；
步骤S606，根据劫持服务器的网络地址，从各个路由设备返回的流量信息中定位流量注入点，其中，流量注入点为流量信息中入接口地址包含劫持服务器网络地址的路由设备。
通过上述实施例能够快速检测流量注入点的问题，需要说明的是，TTL设置为最大时，即TTL设置为最大值255时，测试客户端会收到劫持服务器返回的流量劫持包，及业务服务器返回的正常回应包，且一般劫持服务器返回的流量劫持包会先于业务服务器返回的正常回应包到达测试客户端，从流量劫持包中提取劫持服务器的网络地址；根据劫持服务器的网络地址，从各个路由设备返回的流量信息中定位流量注入点，其中，流量注入点为流量信息中入接口地址包含劫持服务器网络地址的路由设备。
基于同一发明构思，本公开实施例中还提供了一种流量劫持点检测装置，如下面的实施例。由于该装置解决问题的原理与流量劫持点检测方法相似，因此该装置的实施可以参见流量劫持点检测装置的实施，重复之处不再赘述。
图7示出本公开实施例中一种流量劫持点检测装置示意图，如图7所示，该装置包括：发送测试请求包模块71、第一采集流量信息模块72及第一确定流量劫持点模块73；
发送测试请求包模块71，向业务服务器发送多个测试请求包，其中，每个测试请求包对应不同的TTL值，每个测试请求包的TTL值用于表征每个测试请求包被发送后所经过路由设备的跳数；
第一采集流量信息模块72，在发送每个测试请求包后，采集传输路径上各个路由设备返回的流量信息，其中，传输路径用于将测试请求包路由至业务服务器；
第一确定流量劫持点模块73，根据各个路由设备返回的流量信息，确定流量劫持点，其中，流量劫持点为传输路径上没有将测试请求包转发至下一跳路由设备或业务服务器的路由设备。
图8示出本公开实施例中一种流量劫持点检测装置示意图，如图8所示，该装置包括：第二采集流量信息模块81及第二确定流量劫持点模块82；
第二采集流量信息模块81，采集传输路径上各个路由设备返回的流量信息，其中，流量信息为各个路由设备在测试客户端向业务服务器发送多个测试请求包后返回的流量信息，每个测试请求包对应不同的TTL值，每个测试请求包的TTL值用于表征每个测试请求包被发送后所经过路由设备的跳数，传输路径用于将测试请求包路由至业务服务器；
第二确定流量劫持点模块82，根据各个路由设备返回的流量信息，确定流量劫持点，其中，流量劫持点为传输路径上没有将测试请求包转发至下一跳路由设备或业务服务器的路由设备。
图9示出本公开实施例中一种流量劫持点检测系统示意图，如图9所示，该系统包括：流量分析平台Netflow91、劫持服务器92、业务服务器93、测试客户端94及路由设备95；
流量分析平台Netflow91，采集传输路径上各个路由设备返回的流量信息、业务服务器返回的正常回应包及劫持服务器返回的流量劫持包；
劫持服务器92，向测试客户端返回流量劫持包；
业务服务器93，向测试客户端返回正常劫持包；
测试客户端94，以TTL值递增的方式向业务服务器发送大量的测试请求包，采集传输路径上各个路由设备返回的流量信息、业务服务器返回的正常回应包及劫持服务器返回的流量劫持包；
路由设备95，转发测试请求包，将TTL值减1，再传输至下一个路由设备，TTL值减为0，路由设备返回流量信息。
图10示出本公开实施例中一种基于流量分析平台Netflow的流量劫持的检测方法流程图，如图10所示，本公开实施例中提供的基于Netflow的流量劫持的检测方法流程图具体包括如下步骤：
步骤S1002，数据构建包工具以TTL递增的方式模拟大量客户请求，向业务服务器发送多个测试请求包，各个路由设备返回流量信息，触发劫持服务器返回流量劫持包；
步骤S1004：通过流量分析平台Netflow采集流量信息定位流量劫持点；
步骤S1006：通过流量分析平台Netflow采集流量信息定位流量注入点。
在本公开的一个实施例中，图11示出本公开实施例中一种以TTL递增的方式发送测试请求包方法流程图，如图11所示，上述步骤S1002可以通过如下步骤来实现：
步骤S1102：测试客户端和业务服务器端建立TCP连接；
步骤S1104：测试客户端发起URL请求，并将IP包头TTL设置为1，发送TTL为1的测试请求包；
步骤S1106：测试客户端只收到第一跳路由设备返回的流量信息；
步骤S1108：测试客户端发起URL请求，并将IP包头TTL设置为N-1，发送TTL为N-1的测试请求包；
步骤S1110：测试客户端只收到第N-1跳路由设备返回的流量信息；
步骤S1112：测试客户端发起URL请求，并将IP包头TTL设置为N，发送TTL为N的测试请求包；
步骤S1114：测试客户端收到第N跳路由设备返回的流量信息，同时收到劫持服务器返回的流量劫持包；
步骤S1116：测试客户端发起URL请求，并将IP包头TTL设置为max；
步骤S1118：测试客户端收到劫持服务器返回的流量劫持包，及业务服务器返回的正常回应包。
需要说明的是，TTL值从0至N不断递增发送测试请求包，测试请求包为HTTP GET请求包，主要是请求URL，获取业务服务器或者劫持服务器的网址；每个测试请求包的TTL值用于表征每个测试请求包被发送后所经过路由设备的跳数；对应的路由设备向测试客户端返回流量信息，测试客户端接收对应的路由设备返回的流量信息，流量信息包括TTL超时状态、TTL数值、返回时间、路由设备网络地址；TTL设置为最大时，即TTL设置为最大值255时，测试客户端会收到劫持服务器返回的流量劫持包，及业务服务器返回的正常回应包，且一般劫持服务器返回的流量劫持包会先于业务服务器返回的正常回应包到达测试客户端。
在本公开的一个实施例中，上述步骤S1004可以通过如下步骤来实现：流量分析平台Netflow基于源网络地址为测试客户端网络地址、目的网络地址为业务服务器网络地址、流量时间为TTL为N的测试时间段等条件检索流量信息，检索对应测试请求包，出接口地址不包括下一跳路由设备地址，说明该路由设备收到测试请求包，但没有转到下一跳路由设备；基于源网络地址为测试客户端网络地址、目的网络地址为业务服务器网络地址、流量时间为TTL为N+1的测试时间段等条件检索流量信息，检索对应测试请求包，出接口地址包括下一跳路由设备地址，说明收到测试请求包，并转发到下一跳路由设备；则判断第N跳路由设备为流量劫持点。
需要说明的是，如果路由设备没有将测试请求包转到下一跳路由设备，说明在进入这个路由设备时TTL值为1，流量劫持点是在该路由设备链路上；每次发送测试请求后相应路由设备返回的流量信息，判断路由设备的出接口地址是否为预设字符，其中，预设字符用于表征路由设备的出接口地址不存在；当路由设备的出接口地址为预设字符的情况下，将该路由设备的所在位置确定为流量劫持点。
在本公开的一个实施例中，上述步骤S1006可以通过如下步骤来实现：基于源网络地址为劫持服务器网络地址、目的网络地址为测试客户端网络地址等检索流量信息，流量注入点为流量信息中入接口地址包含劫持服务器网络地址的路由设备。
需要说明的是，接收劫持服务器返回的流量劫持包；从流量劫持包中提取劫持服务器的网络地址；根据劫持服务器的网络地址，从各个路由设备返回的流量信息中定位流量注入点，其中，流量注入点为流量信息中入接口地址包含劫持服务器网络地址的路由设备。
所属技术领域的技术人员能够理解，本公开的各个方面可以实现为系统、方法或程序产品。因此，本公开的各个方面可以具体实现为以下形式，即：完全的硬件实施方式、完全的软件实施方式(包括固件、微代码等)，或硬件和软件方面结合的实施方式，这里可以统称为“电路”、“模块”或“系统”。
下面参照图12来描述根据本公开的这种实施方式的电子设备1200。图12显示的电子设备1200仅仅是一个示例，不应对本公开实施例的功能和使用范围带来任何限制。
如图12所示，电子设备1200以通用计算设备的形式表现。电子设备1200的组件可以包括但不限于：上述至少一个处理单元1210、上述至少一个存储单元1220、连接不同系统组件(包括存储单元1220和处理单元1210)的总线1230。
其中，存储单元存储有程序代码，程序代码可以被处理单元1210执行，使得处理单元1210执行本说明书上述“示例性方法”部分中描述的根据本公开各种示例性实施方式的步骤。例如，处理单元1210可以执行上述方法实施例的如下步骤：接收到来自SRv6网络的SRv6报文，其中，SRv6报文携带有SRv6设备的SID或MPLS设备的伪SID；当SRv6报文携带有伪SID的情况下，基于预先配置的MPLS标签与伪SID的映射关系，将SRv6报文转换为MPLS报文；以及将转换后的MPLS报文发送到MPLS网络；或者，接收到来自MPLS网络的MPLS报文，其中，MPLS报文携带有MPLS设备的MPLS标签或SRv6设备的伪MPLS标签；当MPLS报文携带有伪MPLS标签的情况下，基于预先配置的SID与伪MPLS标签的映射关系，将MPLS报文转换为SRv6报文；以及将转换后的SRv6报文发送到SRv6网络。
存储单元1220可以包括易失性存储单元形式的可读介质，例如随机存取存储单元(RAM)12201和/或高速缓存存储单元12202，还可以进一步包括只读存储单元(ROM)12203。
存储单元1220还可以包括具有一组(至少一个)程序模块12205的程序/实用工具12204，这样的程序模块12205包括但不限于：操作系统、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。
总线1230可以为表示几类总线结构中的一种或多种，包括存储单元总线或者存储单元控制器、外围总线、图形加速端口、处理单元或者使用多种总线结构中的任意总线结构的局域总线。
电子设备1200也可以与一个或多个外部设备1240(例如键盘、指向设备、蓝牙设备等)通信，还可与一个或者多个使得用户能与该电子设备1200交互的设备通信，和/或与使得该电子设备1200能与一个或多个其它计算设备进行通信的任何设备(例如路由设备、调制解调器等等)通信。这种通信可以通过输入/输出(I/O)接口1250进行。并且，电子设备1200还可以通过网络适配器1260与一个或者多个网络(例如局域网(LAN)，广域网(WAN)和/或公共网络，例如因特网)通信。如图所示，网络适配器1260通过总线1230与电子设备1200的其它模块通信。应当明白，尽管图中未示出，可以结合电子设备1200使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理单元、外部磁盘驱动阵列、RAID系统、磁带驱动器以及数据备份存储系统等。
通过以上的实施方式的描述，本领域的技术人员易于理解，这里描述的示例实施方式可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。因此，根据本公开实施方式的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中或网络上，包括若干指令以使得一台计算设备(可以是个人计算机、服务器、终端装置、或者网络设备等)执行根据本公开实施方式的方法。
在本公开的示例性实施例中，还提供了一种计算机可读存储介质，该计算机可读存储介质可以是可读信号介质或者可读存储介质。其上存储有能够实现本公开上述方法的程序产品。在一些可能的实施方式中，本公开的各个方面还可以实现为一种程序产品的形式，其包括程序代码，当程序产品在终端设备上运行时，程序代码用于使终端设备执行本说明书上述“示例性方法”部分中描述的根据本公开各种示例性实施方式的步骤。
本公开中的计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。
在本公开中，计算机可读存储介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了可读程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。可读信号介质还可以是可读存储介质以外的任何可读介质，该可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。
可选地，计算机可读存储介质上包含的程序代码可以用任何适当的介质传输，包括但不限于无线、有线、光缆、RF等等，或者上述的任意合适的组合。
在具体实施时，可以以一种或多种程序设计语言的任意组合来编写用于执行本公开操作的程序代码，程序设计语言包括面向对象的程序设计语言—诸如Java、C++等，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、作为一个独立的软件包执行、部分在用户计算设备上部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。在涉及远程计算设备的情形中，远程计算设备可以通过任意种类的网络，包括局域网(LAN)或广域网(WAN)，连接到用户计算设备，或者，可以连接到外部计算设备(例如利用因特网服务提供商来通过因特网连接)。
应当注意，尽管在上文详细描述中提及了用于动作执行的设备的若干模块或者单元，但是这种划分并非强制性的。实际上，根据本公开的实施方式，上文描述的两个或更多模块或者单元的特征和功能可以在一个模块或者单元中具体化。反之，上文描述的一个模块或者单元的特征和功能可以进一步划分为由多个模块或者单元来具体化。
此外，尽管在附图中以特定顺序描述了本公开中方法的各个步骤，但是，这并非要求或者暗示必须按照该特定顺序来执行这些步骤，或是必须执行全部所示的步骤才能实现期望的结果。附加的或备选的，可以省略某些步骤，将多个步骤合并为一个步骤执行，以及/或者将一个步骤分解为多个步骤执行等。
通过以上实施方式的描述，本领域的技术人员易于理解，这里描述的示例实施方式可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。因此，根据本公开实施方式的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中或网络上，包括若干指令以使得一台计算设备(可以是个人计算机、服务器、移动终端、或者网络设备等)执行根据本公开实施方式的方法。
本领域技术人员在考虑说明书及实践这里公开的发明后，将容易想到本公开的其它实施方案。本公开旨在涵盖本公开的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本公开的一般性原理并包括本公开未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本公开的真正范围和精神由所附的权利要求指出。
Claims (9)
1.一种流量劫持点检测方法，其特征在于，应用于测试客户端，包括：
向业务服务器发送多个测试请求包，其中，每个测试请求包对应不同的TTL值，每个测试请求包的TTL值用于表征每个测试请求包被发送后所经过路由设备的跳数；
在发送每个测试请求包后，采集传输路径上各个路由设备返回的流量信息，其中，所述传输路径用于将测试请求包路由至所述业务服务器；
根据各个路由设备返回的流量信息，确定流量劫持点，其中，所述流量劫持点为所述传输路径上没有将测试请求包转发至下一跳路由设备或所述业务服务器的路由设备；
其中，所述方法还包括：获取预先配置的最大TTL值；发送最大TTL值的测试请求包；接收劫持服务器返回的流量劫持包；从所述流量劫持包中提取劫持服务器的网络地址；根据所述劫持服务器的网络地址，从各个路由设备返回的流量信息中定位流量注入点，其中，所述流量注入点为流量信息中入接口地址包含劫持服务器网络地址的路由设备。
2.根据权利要求1所述的流量劫持点检测方法，其特征在于，所述向业务服务器发送多个测试请求包包括：
获取预先配置的初始TTL值；
根据预先配置的初始TTL值，以TTL值递增的方式，每次向业务服务器发送一个不同TTL值的测试请求包。
3.根据权利要求2所述的流量劫持点检测方法，其特征在于，根据各个路由设备返回的流量信息，确定流量劫持点，包括：
根据每次发送测试请求后相应路由设备返回的流量信息，判断路由设备的出接口地址是否为预设字符，其中，所述预设字符用于表征路由设备的出接口地址不存在；
当路由设备的出接口地址为预设字符的情况下，将该路由设备的所在位置确定为流量劫持点。
4.根据权利要求1至3任一项所述的流量劫持点检测方法，其特征在于，通过流量分析平台Netflow采集传输路径上各个路由设备返回的流量信息。
5.一种流量劫持点检测方法，其特征在于，应用于流量分析平台，包括：
采集传输路径上各个路由设备返回的流量信息，其中，所述流量信息为各个路由设备在测试客户端向业务服务器发送多个测试请求包后返回的流量信息，每个测试请求包对应不同的TTL值，每个测试请求包的TTL值用于表征每个测试请求包被发送后所经过路由设备的跳数，所述传输路径用于将测试请求包路由至所述业务服务器；
根据各个路由设备返回的流量信息，确定流量劫持点，其中，所述流量劫持点为所述传输路径上没有将测试请求包转发至下一跳路由设备或所述业务服务器的路由设备；
其中，所述方法还包括：接收劫持服务器返回的流量劫持包，其中，所述流量劫持包为测试客户端获取预先配置的最大TTL值，发送最大TTL值的测试请求包后，劫持服务器返回的数据包；从所述流量劫持包中提取劫持服务器的网络地址；根据所述劫持服务器的网络地址，从各个路由设备返回的流量信息中定位流量注入点，其中，所述流量注入点为流量信息中入接口地址包含劫持服务器网络地址的路由设备。
6.一种流量劫持点检测装置，其特征在于，包括：
发送测试请求包模块，向业务服务器发送多个测试请求包，其中，每个测试请求包对应不同的TTL值，每个测试请求包的TTL值用于表征每个测试请求包被发送后所经过路由设备的跳数；
第一采集流量信息模块，在发送每个测试请求包后，采集传输路径上各个路由设备返回的流量信息，其中，所述传输路径用于将测试请求包路由至所述业务服务器；
第一确定流量劫持点模块，根据各个路由设备返回的流量信息，确定流量劫持点，其中，所述流量劫持点为所述传输路径上没有将测试请求包转发至下一跳路由设备或所述业务服务器的路由设备；
其中，所述第一确定流量劫持点模块还用于：获取预先配置的最大TTL值；发送最大TTL值的测试请求包；接收劫持服务器返回的流量劫持包；从所述流量劫持包中提取劫持服务器的网络地址；根据所述劫持服务器的网络地址，从各个路由设备返回的流量信息中定位流量注入点，其中，所述流量注入点为流量信息中入接口地址包含劫持服务器网络地址的路由设备。
7.一种流量劫持点检测装置，其特征在于，包括：
第二采集流量信息模块，采集传输路径上各个路由设备返回的流量信息，其中，所述流量信息为各个路由设备在测试客户端向业务服务器发送多个测试请求包后返回的流量信息，每个测试请求包对应不同的TTL值，每个测试请求包的TTL值用于表征每个测试请求包被发送后所经过路由设备的跳数，所述传输路径用于将测试请求包路由至所述业务服务器；
第二确定流量劫持点模块，根据各个路由设备返回的流量信息，确定流量劫持点，其中，所述流量劫持点为所述传输路径上没有将测试请求包转发至下一跳路由设备或所述业务服务器的路由设备；
其中，所述第二确定流量劫持点模块还用于：接收劫持服务器返回的流量劫持包，其中，所述流量劫持包为测试客户端获取预先配置的最大TTL值，发送最大TTL值的测试请求包后，劫持服务器返回的数据包；从所述流量劫持包中提取劫持服务器的网络地址；根据所述劫持服务器的网络地址，从各个路由设备返回的流量信息中定位流量注入点，其中，所述流量注入点为流量信息中入接口地址包含劫持服务器网络地址的路由设备。
8. 一种电子设备，其特征在于，包括：
处理器；以及
存储器，用于存储所述处理器的可执行指令；
其中，所述处理器配置为经由执行所述可执行指令来执行权利要求 1～5中任意一项所述的流量劫持点检测方法。
9.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1～5中任意一项所述的流量劫持点检测方法。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202111228254.5A CN113923040B (zh) | 2021-10-21 | 2021-10-21 | 流量劫持点检测方法、装置、电子设备及存储介质 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202111228254.5A CN113923040B (zh) | 2021-10-21 | 2021-10-21 | 流量劫持点检测方法、装置、电子设备及存储介质 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN113923040A CN113923040A (zh) | 2022-01-11 |
| CN113923040B true CN113923040B (zh) | 2024-03-01 |
Family
ID=79242146
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202111228254.5A Active CN113923040B (zh) | 2021-10-21 | 2021-10-21 | 流量劫持点检测方法、装置、电子设备及存储介质 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN113923040B (zh) |
Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN108512816A (zh) * | 2017-02-28 | 2018-09-07 | 中国移动通信集团广东有限公司 | 一种流量劫持的检测方法及装置 |
| CN109474587A (zh) * | 2018-11-01 | 2019-03-15 | 北京亚鸿世纪科技发展有限公司 | 基于信安系统的http劫持监测分析及定位的方法 |
| CN112311724A (zh) * | 2019-07-26 | 2021-02-02 | 贵州白山云科技股份有限公司 | 一种定位http劫持的方法、装置、介质及设备 |
Family Cites Families (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US10735461B2 (en) * | 2015-10-21 | 2020-08-04 | Verisign, Inc. | Method for minimizing the risk and exposure duration of improper or hijacked DNS records |
-
2021
- 2021-10-21 CN CN202111228254.5A patent/CN113923040B/zh active Active
Patent Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN108512816A (zh) * | 2017-02-28 | 2018-09-07 | 中国移动通信集团广东有限公司 | 一种流量劫持的检测方法及装置 |
| CN109474587A (zh) * | 2018-11-01 | 2019-03-15 | 北京亚鸿世纪科技发展有限公司 | 基于信安系统的http劫持监测分析及定位的方法 |
| CN112311724A (zh) * | 2019-07-26 | 2021-02-02 | 贵州白山云科技股份有限公司 | 一种定位http劫持的方法、装置、介质及设备 |
Also Published As
| Publication number | Publication date |
|---|---|
| CN113923040A (zh) | 2022-01-11 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US8010100B2 (en) | System and method for monitoring and measuring end-to-end performance using wireless devices | |
| US7904080B2 (en) | Mobile communications network monitoring systems | |
| CN102638407B (zh) | 报文转发方法、装置及网络设备 | |
| CN104717186B (zh) | 一种在网络系统中传输数据的方法、装置及数据传输系统 | |
| CN112738791B (zh) | 基于5g核心网的用户信息关联回填方法、装置、设备和介质 | |
| EP2610767A1 (en) | Web page download time analysis | |
| CN112039796B (zh) | 数据包传输方法和装置、存储介质和电子设备 | |
| US9825855B2 (en) | Information processing apparatus and route setting method | |
| CN111934936B (zh) | 网络状态检测方法、装置、电子设备及存储介质 | |
| CN108809769B (zh) | 一种检测IPv6活跃度的方法和电子设备 | |
| US20230239375A1 (en) | Deriving proxy stability without network inspection | |
| CN111800501A (zh) | 处理业务请求的方法及装置、存储介质、电子设备 | |
| RU2668394C2 (ru) | Способ и система для сбора пакетов, сетевое устройство и центр управления сетью | |
| CN114071544B (zh) | 网络测试方法、装置和电子设备 | |
| CN112887289B (zh) | 一种网络数据处理方法、装置、计算机设备及存储介质 | |
| CN113923040B (zh) | 流量劫持点检测方法、装置、电子设备及存储介质 | |
| KR20100024723A (ko) | 정책기반 라우팅을 이용한 선택적인 인터넷 트래픽 분석 시스템 및 그 방법 | |
| CN112087532A (zh) | 信息获取方法、装置、设备及存储介质 | |
| CN114980064B (zh) | 信息关联方法、装置、电子设备及存储介质 | |
| CN113672416B (zh) | 硬buffer泄漏的原因定位方法及装置 | |
| CN113055291B (zh) | 一种数据包发送方法、路由器、数据包传输系统 | |
| JP2006253794A (ja) | 通信品質試験システム、通信品質試験方法及び通信品質試験プログラム | |
| CN115391770A (zh) | 程序监测方法、装置、电子设备及计算机可读存储介质 | |
| CN111078477A (zh) | 接口测试的方法、装置、存储介质和电子设备 | |
| CN106412968B (zh) | 一种无线链路信息的收集方法、装置及终端 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| GR01 | Patent grant | ||
| GR01 | Patent grant |