CN114124489A - 防止流量攻击的方法、清洗装置、设备和介质 - Google Patents

Abstract

本公开提供了一种防止流量攻击方法，可以应用于通信技术领域。所述方法应用于清洗设备，包括：接收客户端发送的请求报文；记录接收客户端发送的请求报文的接收时刻，并丢弃所述请求报文；根据所述接收时刻，判断是否在规定时间内接收到所述客户端重传的请求报文；在规定时间内未接收到所述客户端重传的请求报文的情况下，不释放当前链接直至截止时刻以等待接收所述客户端重传的请求报文；在规定时间内接收到所述客户端重传的请求报文的情况下，放行所述重传的请求报文，以及基于协议栈建立与所述客户端的全连接关系，接收所述客户端发送的数据。本公开还提供了一种清洗装置、设备和介质。

Description

防止流量攻击的方法、清洗装置、设备和介质

技术领域

本公开涉及网络安全领域，具体涉及一种防止流量攻击的方法、清洗装置、设备和介质。

背景技术

清洗是常见的解决DDOS攻击的方式，部署简单，对已有网络影响较小。当某个IP受到攻击的时候，清洗设备向网管设备发布路由，把对应IP量牵引到清洗设备作清洗，清洗完之后，清洗设备再将正常的流量回注回网关设备。但网关设备只能根据目的IP做流量牵引，因此清洗的时候只能看见单向流量，不能准确清洗大量伪造源IP的TCP flood攻击。

因此，如何基于旁路设备防止流量攻击是本领域技术人员亟待解决的问题。

发明内容

鉴于上述问题，本公开的实施例提供了一种防止流量攻击方法、清洗装置、设备和介质。

根据本公开的第一个方面，提供了一种防止流量攻击的方法，所述方法应用于清洗装置，包括：接收客户端发送的请求报文；记录接收客户端发送的请求报文的接收时刻，并丢弃所述请求报文；根据所述接收时刻，判断是否在规定时间内接收到所述客户端重传的请求报文；在规定时间内未接收到所述客户端重传的请求报文的情况下，不释放当前链接直至截止时刻以等待接收所述客户端重传的请求报文；在规定时间内接收到所述客户端重传的请求报文的情况下，放行所述重传的请求报文，以及基于协议栈建立与所述客户端的全连接关系，接收所述客户端发送的数据。

根据本公开的实施例，还包括：根据与所述客户端的全连接关系，伪装成所述客户端并创建与服务器的连接关系；基于所述全连接关系接收并存储所述客户端发送的数据，将存储的所述客户端发送的数据发送至所述服务器；以及在与客户端数据传输稳定的情况下，对所述客户端的数据不进行存储，转发来自于所述客户端的数据至所述服务器。

根据本公开的实施例，所述在规定时间内未接收到所述客户端重传的请求报文的情况下，不释放当前链接直至截止时刻以等待接收所述客户端重传的请求报文，包括：在所述截止时刻前且在所述规定时间后接收到重传的请求报文的情况下，丢弃该重传的请求报文，并更新所述接收时刻。

根据本公开的实施例，还包括：在所述截止时刻前，在所述规定时间后接收到重传的请求报文的情况下，到达截止时刻时断开链接。

根据本公开的实施例，在所述接收客户端发送请求报文后，所述方法还包括，提取所述请求报文的四元组信息，所述四元组信息包括：源IP、目的IP、源端口和目的端口；判断所述四元组信息是否命中信任列表；对于上述四元组信息未命中所述信任列表时，设置所述截止时刻等于规定时间；对于所述四元组信息命中所述信任列表时，设置截止时刻大于规定时间。

根据本公开的实施例，所述在规定时间内接收到所述客户端重传的请求报文的情况下，放行所述重传的请求报文后，还包括：将所述客户端对应的所述四元组信息添加至所述信任列表。

根据本公开的实施例，所述信任列表包括哈希表，在所述提取所述请求报文的四元组信息后，还包括：将所述四元组信息转化为哈希值。

根据本公开的第二个方面，提供了一种清洗装置，包括：第一模块，用于接收客户端发送的请求报文；第二模块，用于记录接收客户端发送的请求报文的接收时刻，并丢弃所述请求报文；第三模块，用于根据所述接收时刻，判断是否在规定时间内接收到所述客户端重传的请求报文；第四模块，用于在规定时间未内接收到所述客户端重传的请求报文的情况下，不释放当前链接直至截止时刻以等待接收所述客户端重传的请求报文；第五模块，用于在规定时间内接收到所述客户端重传的请求报文的情况下，放行所述重传的请求报文，基于协议栈建立与所述客户端的全连接关系，接收所述客户端发送的数据。

根据本公开的实施例，还包括：第六模块：用于根据与所述客户端的全连接关系，伪装成所述客户端并创建与服务器的连接关系；第七模块：用于基于所述全连接关系接收并存储所述客户端发送的数据，将存储的所述客户端发送的数据发送至所述服务器；第八模块：用于在与客户端数据传输稳定的情况下，对所述客户端的数据不进行存储，转发来自于所述客户端的数据至所述服务器。

根据本公开的第三方面，提供了一种电子设备，包括：一个或多个处理器；存储器，用于存储一个或多个程序，其中，当所述一个或多个程序被所述一个或多个处理器执行时，使得一个或多个处理器执行上述防止流量攻击的方法。

根据本公开的第四方面，还提供了一种计算机可读存储介质，其上存储有可执行指令，该指令被处理器执行时使处理器执行上述防止流量攻击的方法。

附图说明

通过以下参照附图对本公开实施例的描述，本公开的上述内容以及其他目的、特征和优点将更为清楚，在附图中：

图1示意性示出了根据本公开实施例的防止流量攻击方法、清洗装置、设备、介质和程序产品的应用场景图；

图2示意性示出了根据本公开实施例的与客户端建立连接的方法的流程图。

图3示意性示出了根据本公开实施例的转发客户端报文至服务器的方法的流程图。

图4示意性示出了根据本公开实施例的对于未在首个规定时间内接收到重传的报文情况的处理流程图。

图5示意性示出了根据本公开实施例的另一种防止流量攻击的方法的流程图。

图6示意性示出了根据本公开实施例的清洗装置的结构框图；以及

图7示意性示出了根据本公开实施例的适于实现防止流量攻击的方法的电子设备的方框图。

具体实施方式

以下，将参照附图来描述本公开的实施例。但是应该理解，这些描述只是示例性的，而并非要限制本公开的范围。在下面的详细描述中，为便于解释，阐述了许多具体的细节以提供对本公开实施例的全面理解。然而，明显地，一个或多个实施例在没有这些具体细节的情况也可以被实施。此外，在以下说明中，省略了对公知结构和技术的描述，以避免不必要地混淆本公开的概念。

在此使用的术语仅仅是为了描述具体实施例，而并非意在限制本公开。在此使用的术语“包括”、“包含”等表明了所述特征、步骤、操作和/或部件的存在，但是并不排除存在或添加一个或多个其他特征、步骤、操作或部件。

在此使用的所有术语(包括技术和科学术语)具有本领域技术人员通常所理解的含义，除非另外定义。应注意，这里使用的术语应解释为具有与本说明书的上下文相一致的含义，而不应以理想化或过于刻板的方式来解释。

在使用类似于“A、B和C等中至少一个”这样的表述的情况，一般来说应该按照本领域技术人员通常理解该表述的含义来予以解释(例如，“具有A、B和C中至少一个的系统”应包括但不限于单独具有A、单独具有B、单独具有C、具有A和B、具有A和C、具有B和C、和/或具有A、B、C的系统等)。

首先，对本公开的实施例中涉及的技术术语进行介绍。

TCP(Transmission Control Protocol，传输控制协议)：是一种面向连接的、可靠地、基于字节流的传输层通信协议。使用三次握手协议建立全连接，当主动方发出SYN(Synchronize，同步)报文连接请求后，等待对方回答SYN(Synchronize，同步)报文+ACK(Acknowledgment，应答)报文，并最终对对方的SYN执行ACK确认，最终完成三次握手以进行数据传输。

DDOS攻击(Distributed Denial of Service，分布式拒接服务)：一种可以造成大规模破坏的黑客武器，它通过制作伪造的流量，使得攻击的服务器、网络链路或是网络设备负载过高，从而最终导致系统崩溃，无法提供正常的服务。而DDOS攻击的种类多种多样，现在主流的DDOS攻击为流量型DDOS攻击，主要包括：SYN FLOOD、UDP FLOOD、ICMP FLOOD、ACKFLOOD等，这些大流量的攻击会拥塞网络带宽，抢占网络设备的处理能力，使得网络带宽的整体利用率下降，从而构成业务威胁。

SYN FLOOD(SYN报文流量攻击)：利用TCP建立连接时三次握手的漏洞，发送源地址虚假的提交，使其永远无法完成三次握手，而占满协议栈队列的资源得不到释放，进而拒绝服务。

在现有技术中，旁路单向流量的清洗一般采用以下两种方式：

(1)根据源IP流量大小进行清洗，如果某个源IP的流量超过一定的阈值，直接把这个IP的流量全部丢掉；

(2)创建cookie或session会话，根据会话状态清洗异常的数据包。

对于方案(1)，该方案只能清洗掉大流量的源IP的攻击，如果攻击者伪造大量随机源IP地址进行FLOOD攻击，这种方法就不能检测到攻击。

对于方案(2)，该方案可以清洗随机伪造源IP的攻击流量。但是由于旁路牵引，牵引到的流量有可能已经建立TCP连接，这种方法会造成已有TCP连接被清洗掉的情况。

本公开的实施例提供了一种防止流量攻击的方法，包括：接收客户端发送的请求报文；记录接收客户端发送的请求报文的接收时刻，并丢弃所述请求报文；根据所述接收时刻，判断是否在规定时间内接收到所述客户端重传的请求报文；在规定时间内未接收到所述客户端重传的请求报文的情况下，不释放当前链接直至截止时刻以等待接收所述客户端重传的请求报文；在规定时间内接收到所述客户端重传的请求报文的情况下，放行所述重传的请求报文，以及基于协议栈建立与所述客户端的全连接关系，接收所述客户端发送的数据。

在本公开的实施例中，在应对DDOS攻击时，基于首个请求报文丢弃并查看是否重传请求报文的方法，区分正常的TCP流量和随机伪造IP的TCP流量，有效地过滤了虚假的请求报文；同时，在针对一定时间内未重传的请求报文，选择不断开当前链接，避免了在接收相同IP的客户端的重传请求报文时创建链接与断开链接的开销。

图1示意性示出了根据本公开实施例的防止流量攻击的应用场景图。

如图1所示，根据该实施例的应用场景100可以包括终端设备101、102、103、网络104、服务器105和清洗装置106。网络104用以在终端设备101、102、103和清洗装置106之间提供通信链路的介质。网络104可以包括各种连接类型，例如有线、无线通信链路或者光纤电缆等等，也可以包括各种连接设备，例如：路由器或者清洗装置等等。

用户可以使用终端设备101、102、103通过网络104与清洗装置106交互，以接收或发送消息等。终端设备101、102、103上可以安装有各种通讯客户端应用，例如购物类应用、网页浏览器应用、搜索类应用、即时通信工具、邮箱客户端、社交平台软件等(仅为示例)。

终端设备101、102、103可以是具有显示屏并且支持网页浏览的各种电子设备，包括但不限于智能手机、平板电脑、膝上型便携计算机和台式计算机等等。

清洗装置106存储并转发来自终端设备101、102、103的数据至服务器105，或直接转发来自终端设备101、102、103的数据至服务器105。

服务器105可以是提供各种服务的服务器，例如对用户利用终端设备101、102、103所浏览的网站提供支持的后台管理服务器(仅为示例)。后台管理服务器可以对接收到的用户请求等数据进行分析等处理，并将处理结果(例如根据用户请求获取或生成的网页、信息、或数据等)反馈给终端设备。

需要说明的是，本公开实施例所提供的防止流量攻击的方法一般可以由清洗装置106执行。相应地，本公开实施例所提供的清洗装置106一般可以设置于应用场景100中。

应该理解，图1中的终端设备、网络、清洗装置和服务器的数目仅仅是示意性的。根据实现需要，可以具有任意数目的终端设备、网络、清洗装置和服务器。

以下将基于图1描述的场景，通过图2～图5对公开实施例的防止流量攻击的方法进行详细描述。

图2示意性示出了根据本公开实施例的与客户端建立连接的方法的流程图。

如图2所示，该实施例的防止流量攻击的方法包括操作S210～操作S250，该防止流量攻击的方法可以由清洗装置106执行。

在操作S210，接收客户端发送的请求报文。

在操作S220，记录接收客户端发送的请求报文的接收时刻，并丢弃所述请求报文。

在操作S230，根据所述接收时刻，判断是否在规定时间内接收到所述客户端重传的请求报文。

根据本公开的实施例，客户端的请求报文包括TCP协议中的SYN报文，接收客户端的第一个SYN报文后记录当前的接受时刻后进行丢弃。

根据本公开的实施例，上述规定时间是指一个时间段，用以判断该时间段内是否接收到重传的请求报文。

根据本公开的实施例，从接收时刻开始计时，判断从该时刻往后的规定时间内是否接收到上述请求报文。

其中，规定时间可以根据具体情况自行设置。例如，将规定时间设置为1s。又例如，规定时间可以是第一次重传为1s，第二次重传为2s，第三次重传为4s。以此类推。而规定时间的起始计时点在接收到重传的请求报文后进行计时。例如，在截止时刻前，在第一个规定时间截止时未收到重传的请求报文，并不重新计时以更新规定时间，而是在接收到重传的请求报文之后将该报文丢弃并重新计时，同时更新到第二个规定时间。上述所列举的规定时间设置规则，仅是为了更好地说明本发明，并不构成对本发明的不当限定，是一种示例性描述。

由于TCP协议栈有重传机制，正常的TCP连接，在一定时间内未收到回复的报文时，会重传SYN报文。而随机伪造源IP的SYNFLOOD(即本申请中的请求报文)攻击的连接数量极大，如果按照源IP、目的IP、源端口、目的端口的四元组创建连接，对于通信对端的内存消耗巨大，所以这样的SYN FLOOD攻击在一般情况只发送请求报文，不会进行报文重传。

在操作S240，在规定时间内未接收到所述客户端重传的请求报文的情况下，不释放当前链接直至截止时刻以等待接收所述客户端重传的请求报文。

根据本公开的实施例，上述截止时刻是相对值，包括从第一次接收请求报文时算起。

也就是从上述第一次接收到请求报文时所记录的接收时刻算起的一定时间内会保持当前的链接并不释放相关资源。上述截止时刻可以根据具体情况进行设置。在此不做限定。

根据本公开的实施例，在截止时刻前只要未收到规定时间内的重传SYN报文，都会保持当前的链接状态，紧接着到截止时刻到达时释放链接。

理想情况下，当规定时间截止且未接收到客户端重传的请求报文时，清洗设备会断开与该客户端的链接并释放处理资源，并判定该客户端为DDOS攻击发布者。而客户端重传SYN报文后，受网络状况的影响，可能导致该重传的报文数据处于在一个高时延的情况才被清洗设备接收。所以，本公开在未接收到规定时间内的重传的请求报文时，清洗设备先不释放链接，等待接收下次报文，减少客户端和清洗设备之间链接释放以及创建时资源的消耗。

在操作S250，在规定时间内接收到所述客户端重传的请求报文的情况下，放行所述重传的请求报文，以及基于协议栈建立与所述客户端的全连接关系，接收所述客户端发送的数据。

根据本公开的实施例，当收到规定时间内的重传SYN报文改变当前链接为半连接状态，上述半连接状态表示清洗装置进入SYN_RECV状态并针对客户端开辟内存资源以及相应的处理资源。

根据本公开的实施例，在清洗装置处于半连接状态时，清洗设备向客户端发送相应的SYN-ACK报文。并在一定时间内接收所述客户端的响应报文，进而进入全连接状态，上述全连接状态表示清洗装置针对客户端开辟存储资源和相应的处理资源，用以接收客户端的数据。

在本公开的实施例中，在应对DDOS攻击时，基于首个请求报文丢弃并查看是否重传请求报文的方法，区分正常的TCP流量和随机伪造IP的TCP流量，有效地过滤了虚假的请求报文；同时，在针对一定时间内未重传的请求报文，选择不断开当前链接，避免了在接收相同IP的客户端的重传请求报文时创建链接与断开链接的开销。

图3示意性示出了根据本公开实施例的转发客户端报文至服务器的方法的流程图。

如图3所示，该实施例的防止流量攻击的方法包括操作S310～操作S330。

在操作S310，根据与所述客户端的全连接关系，伪装成所述客户端并创建与服务器的连接关系。

根据本公开的实施例，基于在全连接过程中客户端发送的重传请求报文与响应报文，清洗装置伪造成上述客户端与服务器之间实现协议栈以建立全连接关系。

在操作S320，基于所述全连接关系接收并存储所述客户端发送的数据。

根据本公开的实施例，创建轻量级连接上述存储可基于轻量级的TCP连接。

例如，清洗装置伪造成上述客户端与服务器之间实现协议栈以建立全连接关系中，上述协议栈可以采用Light Weight IP协议，该协议实现的重点在保持TCP协议主要功能的基础上减少对RAM的占用，简化处理过程和内存要求，并对API进行了裁剪。当然，同样能达到该效果的轻量级连接的方式亦可，在此不多做赘述。

在操作S330，在与客户端数据传输稳定的情况下，对所述客户端的数据不进行存储，转发来自于所述客户端的数据至所述服务器。

根据本公开的实施例，可以在成功存储并转发所述客户端若干次后直接转发所述客户端的数据。或者，也可以在成功存储并转发所述客户端预设的一段时间后直接转发所述客户端的数据。

在本公开的实施例中，基于上述清洗装置与服务器建立连接的情况，完成了服务器对数据存储空间的开辟，接着，接收报文至该存储空间，完成报文的接收。

图4示意性示出了对于未在首个规定时间内接收到重传的报文情况的处理。

如图4所示，该实施例的防止流量攻击的方法包括操作S410～操作S420。

在操作S410，在所述截止时刻前且在所述规定时间后接收到重传的请求报文的情况下，丢弃该重传的请求报文，并更新所述接收时刻。

在操作S420，在所述截止时刻前，在所述规定时间后接收到重传的请求报文的情况下，到达截止时刻时断开链接。

根据本公开的实施例，丢弃该重传的请求报文并更新所述接收时间，基于丢弃后的接收时间再判断下一次重传的请求报文是否超时，直到截止时刻时终止。

根据本公开的实施例，操作S410～操作S420并不存在先后关系，仅表示针对不同情况的不同处理方法。

优选地，若在截止时刻前出现接收到超时的请求报文的次数达到预设次数时，放行该重传的请求报文。

在第一次未在规定时间内接收到重传的报文的情况，之后会出现两种情况。第一个情况，直至截止时刻仍未出现重传报文，在这个情况，表明有极大可能通信的客户端为DDOS攻击的客户端，释放链接后不做处理即可；第二个情况，截止时刻以内出现重传报文，这个重传报文可以是第一次重传就在规定时间内接收的，也可以是多次重传后在规定时间内接收的，而本实施例针对多次超时接收的情况下，有很大原因是在网络通信中个别包丢失，可适当放宽该客户端的准入条件，从而避免到达截止时刻断开链接后仍然受到同一客户端发送的重传请求。

而对于操作S410，并不仅限定为一轮，可以是重复多个轮次进行接收。也即在所述截止时刻前且在所述规定时间后至接收重传的请求报文的情况，重复该操作多轮直至截止时刻。

图5示意性示出了根据本公开另一些实施例的防止流量攻击的方法的流程图。

如图5所示，该实施例的另一种防止流量攻击的方法包括操作S510～操作S530。

在操作S510，提取所述请求报文的四元组信息，所述四元组信息包括：源IP、目的IP、源端口和目的端口。

根据本公开的实施例，提取出上述第一个SYN报文中的四元组信息用以确定客户端的身份，通过上述四元组信息：源IP、目的IP、源端口和目的端口计算哈希值用以压缩数据量和\或保证上述关键信息的数据安全。

根据本公开的实施例，信任列表为预先设定的哈希表，记录的是历史上客户端的连接状态。

优选地，哈希表立的连接状态包括PASS状态和CHECK状态。PASS状态包括历史上收到该客户端在规定时间内重传的请求报文，也即存在于信任列表中，用以判定客户端是否命中信任列表；CHECK状态包括在已经标记为PASS状态的基础上，该客户端在第一个规定时间内并未接收到重传的请求报文，上述CHECK状态属于临时状态，在超过截止时刻或重传的报文被放行之后CHECK状态变为空白。使用标记PASS状态和CHECK状态便于本端对海量的客户端进行管理。

当出现SYN FLOOD攻击时，接收的请求报文量是巨大的，若仅以简单的Key-Value等数据结构进行存储，对清洗设备的处理要求极高。因此，计算四元组的哈希值不仅压缩了数据，还为了对齐数据以核对是否在该哈希值在由哈希表构成的信任列表中。

值得一提的是，上述预设的哈希表仅是一个数组，不处理哈希冲突，数组每个元素之间记录连接的状态，不记录连接的其他信息。这样，使用固定大小的内存，可以记录更多的连接。并且没有内存申请释放的流程，拥有处理性能高等诸多优势。

在操作S520，对于上述四元组信息未命中所述信任列表时，设置所述截止时刻等于规定时间。

根据本公开的实施例，将截止时刻设置为上述规定时间，也可以看做等待一次重传的请求报文，若并未在规定时间内出现重传的请求报文则释放链接，不必多等。

优选地，还可将截止时刻设置为0，即意味着丢弃首包后不再接受重传报文。该方法针对于流量处理能力较弱的系统或是收到的攻击的流量过大时，对未命中信任列表的客户端进行首包丢弃并释放链接，并在之后不再接收非信任列表中ip对应的对端。

在操作S530，对于所述四元组信息命中所述信任列表时，设置截止时刻大于规定时间。

根据本公开的实施例，在命中信任列表的情况，设置截止时刻可自定义且必须大于规定时刻。截止时刻的具体数值可以根据具体情况进行具体设置，在此不多做赘述。

对于命中信任列表的客户端给予其较高信任度，保持一定时间的链接状态，判定上述客户端有极高概率再发送重传的请求报文，避免多次断开/建立链接的开销。

优选地，将上述命中哈希列表，但未接收到第一次规定时间内重传的请求报文的客户端标记为CHECK状态。

基于上述防止流量攻击的方法，本公开还提供了一种清洗装置。以下将结合图6对该装置进行详细描述。

图6示意性示出了根据本公开实施例的清洗装置的结构框图。

如图6所示，该实施例的清洗装置600包括第一模块610、第二模块820、第三模块630、第四模块640和第五模块650。

第一模块，用于接收客户端发送的请求报文；在一实施例中，第一模块610可以用于执行前文描述的操作S210，在此不再赘述。

第二模块，用于记录接收客户端发送的请求报文的接收时刻，并丢弃所述请求报文；在一实施例中，第二模块620可以用于执行前文描述的操作S220，在此不再赘述。

第三模块630，用于根据所述接收时刻，判断是否在规定时间内接收到所述客户端重传的请求报文；在一实施例中，第三模块630可以用于执行前文描述的操作S230，在此不再赘述。

第四模块640，用于在规定时间未内接收到所述客户端重传的请求报文的情况下，不释放当前链接直至截止时刻以等待接收所述客户端重传的请求报文。在一实施例中，第四模块640可以用于执行前文描述的操作S240，在此不再赘述。

第五模块650，用于在规定时间内接收到所述客户端重传的请求报文的情况下，放行所述重传的请求报文，基于协议栈建立与所述客户端的全连接关系，接收所述客户端发送的数据。在一实施例中，第四模块640可以用于执行前文描述的操作S250，在此不再赘述。

根据本公开的实施例，第一模块610、第二模块620、第三模块630、第四模块640和第五模块650中的任意多个模块可以合并在一个模块中实现，或者其中的任意一个模块可以被拆分成多个模块。或者，这些模块中的一个或多个模块的至少部分功能可以与其他模块的至少部分功能相结合，并在一个模块中实现。根据本公开的实施例，第一模块610、第二模块620、第三模块630、第四模块640和第五模块中的至少一个可以至少被部分地实现为硬件电路，例如现场可编程门阵列(FPGA)、可编程逻辑阵列(PLA)、片上系统、基板上的系统、封装上的系统、专用集成电路(ASIC)，或可以通过对电路进行集成或封装的任何其他的合理方式等硬件或固件来实现，或以软件、硬件以及固件三种实现方式中任意一种或以其中任意几种的适当组合来实现。或者，第一模块610、第二模块620、第三模块630、第四模块640和第五模块650中的至少一个可以至少被部分地实现为计算机程序模块，当该计算机程序模块被运行时，可以执行相应的功能。

图7示意性示出了根据本公开实施例的适于实现防止流量攻击方法的电子设备的方框图。

如图7所示，根据本公开实施例的电子设备700包括处理器701，其可以根据存储在只读存储器(ROM)702中的程序或者从存储部分708加载到随机访问存储器(RAM)703中的程序而执行各种适当的动作和处理。处理器701例如可以包括通用微处理器(例如CPU)、指令集处理器和/或相关芯片组和/或专用微处理器(例如，专用集成电路(ASIC))等等。处理器701还可以包括用于存储用途的板载存储器。处理器701可以包括用于执行根据本公开实施例的方法流程的不同动作的单一处理单元或者是多个处理单元。

在RAM 703中，存储有电子设备700操作所需的各种程序和数据。处理器701、ROM702以及RAM 703通过总线704彼此相连。处理器701通过执行ROM 702和/或RAM 703中的程序来执行根据本公开实施例的方法流程的各种操作。需要注意，所述程序也可以存储在除ROM 702和RAM 703以外的一个或多个存储器中。处理器701也可以通过执行存储在所述一个或多个存储器中的程序来执行根据本公开实施例的方法流程的各种操作。

根据本公开的实施例，电子设备700还可以包括输入/输出(I/O)接口705，输入/输出(I/O)接口705也连接至总线704。电子设备700还可以包括连接至I/O接口705的以下部件中的一项或多项：包括键盘、鼠标等的输入部分706；包括诸如阴极射线管(CRT)、液晶显示器(LCD)等以及扬声器等的输出部分707；包括硬盘等的存储部分708；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分709。通信部分709经由诸如因特网的网络执行通信处理。驱动器710也根据需要连接至I/O接口705。可拆卸介质711，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器710上，以便于从其上读出的计算机程序根据需要被安装入存储部分708。

本公开还提供了一种计算机可读存储介质，该计算机可读存储介质可以是上述实施例中描述的设备/装置/系统中所包含的；也可以是单独存在，而未装配入该设备/装置/系统中。上述计算机可读存储介质承载有一个或者多个程序，当上述一个或者多个程序被执行时，实现根据本公开实施例的方法。

根据本公开的实施例，计算机可读存储介质可以是非易失性的计算机可读存储介质，例如可以包括但不限于：便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本公开中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。例如，根据本公开的实施例，计算机可读存储介质可以包括上文描述的ROM 702和/或RAM 703和/或ROM 702和RAM 703以外的一个或多个存储器。

本公开的实施例还提供一种计算机程序产品，其包括计算机程序，该计算机程序包含用于执行流程图所示的方法的程序代码。当计算机程序产品在计算机系统中运行时，该程序代码用于使计算机系统实现本公开实施例所提供的物品推荐方法。

在该计算机程序被处理器701执行时执行本公开实施例的系统/装置中限定的上述功能。根据本公开的实施例，上文描述的系统、装置、模块、单元等可以通过计算机程序模块来实现。

在一种实施例中，该计算机程序可以依托于光存储器件、磁存储器件等有形存储介质。在另一种实施例中，该计算机程序也可以在网络介质上以信号的形式进行传输、分发，并通过通信部分709被下载和安装，和/或从可拆卸介质711被安装。该计算机程序包含的程序代码可以用任何适当的网络介质传输，包括但不限于：无线、有线等等，或者上述的任意合适的组合。

在这样的实施例中，该计算机程序可以通过通信部分709从网络上被下载和安装，和/或从可拆卸介质711被安装。在该计算机程序被处理器701执行时，执行本公开实施例的系统中限定的上述功能。根据本公开的实施例，上文描述的系统、设备、装置、模块、单元等可以通过计算机程序模块来实现。

根据本公开的实施例，可以以一种或多种程序设计语言的任意组合来编写用于执行本公开实施例提供的计算机程序的程序代码，具体地，可以利用高级过程和/或面向对象的编程语言、和/或汇编/机器语言来实施这些计算程序。程序设计语言包括但不限于诸如Java，C++，python，“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。在涉及远程计算设备的情形中，远程计算设备可以通过任意种类的网络，包括局域网(LAN)或广域网(WAN)，连接到用户计算设备，或者，可以连接到外部计算设备(例如利用因特网服务提供商来通过因特网连接)。

附图中的流程图和框图，图示了按照本公开各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，上述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图或流程图中的每个方框、以及框图或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

本领域技术人员可以理解，本公开的各个实施例和/或权利要求中记载的特征可以进行多种组合或/或结合，即使这样的组合或结合没有明确记载于本公开中。特别地，在不脱离本公开精神和教导的情况，本公开的各个实施例和/或权利要求中记载的特征可以进行多种组合和/或结合。所有这些组合和/或结合均落入本公开的范围。

以上对本公开的实施例进行了描述。但是，这些实施例仅仅是为了说明的目的，而并非为了限制本公开的范围。尽管在以上分别描述了各实施例，但是这并不意味着各个实施例中的措施不能有利地结合使用。本公开的范围由所附权利要求及其等同物限定。不脱离本公开的范围，本领域技术人员可以做出多种替代和修改，这些替代和修改都应落在本公开的范围之内。

Claims (11)

1.一种防止流量攻击的方法，所述方法应用于清洗装置，其特征在于，包括：

接收客户端发送的请求报文；

记录接收客户端发送的请求报文的接收时刻，并丢弃所述请求报文；

根据所述接收时刻，判断是否在规定时间内接收到所述客户端重传的请求报文；

在规定时间内未接收到所述客户端重传的请求报文的情况下，不释放当前链接直至截止时刻以等待接收所述客户端重传的请求报文；

在规定时间内接收到所述客户端重传的请求报文的情况下，放行所述重传的请求报文，以及基于协议栈建立与所述客户端的全连接关系，接收所述客户端发送的数据。

2.根据权利要求1所述的方法，其特征在于，还包括：

根据与所述客户端的全连接关系，伪装成所述客户端并创建与服务器的连接关系；

基于所述全连接关系接收并存储所述客户端发送的数据，将存储的所述客户端发送的数据发送至所述服务器；以及

在与客户端数据传输稳定的情况下，对所述客户端的数据不进行存储，转发来自于所述客户端的数据至所述服务器。

3.根据权利要求1所述的方法，其特征在于，所述在规定时间内未接收到所述客户端重传的请求报文的情况下，不释放当前链接直至截止时刻以等待接收所述客户端重传的请求报文，包括：

在所述截止时刻前且在所述规定时间后接收到重传的请求报文的情况下，丢弃该重传的请求报文，并更新所述接收时刻。

4.根据权利要求3所述的方法，其特征在于，还包括：在所述截止时刻前，在所述规定时间后接收到重传的请求报文的情况下，到达截止时刻时断开链接。

5.根据权利要求1至4任一项所述的方法，其特征在于，在所述接收客户端发送请求报文后，所述方法还包括：

提取所述请求报文的四元组信息，所述四元组信息包括：源IP、目的IP、源端口和目的端口；

判断所述四元组信息是否命中信任列表；

对于上述四元组信息未命中所述信任列表时，设置所述截止时刻等于规定时间；

对于所述四元组信息命中所述信任列表时，设置截止时刻大于规定时间。

6.根据权利要求5所述的方法，其特征在于，在规定时间内接收到的重传的请求报文的情况下，放行所述重传的请求报文后，所述方法还包括：将所述客户端对应的四元组信息添加至所述信任列表。

7.根据权利要求5所述的方法，其特征在于，所述信任列表包括哈希表，在所述提取所述请求报文的四元组信息后，所述方法还包括：将所述四元组信息转化为哈希值。

8.一种清洗装置，其特征在于，包括：

第一模块，用于接收客户端发送的请求报文；

第二模块，用于记录接收客户端发送的请求报文的接收时刻，并丢弃所述请求报文；

第三模块，用于根据所述接收时刻，判断是否在规定时间内接收到所述客户端重传的请求报文；

第四模块，用于在规定时间未内接收到所述客户端重传的请求报文的情况下，不释放当前链接直至截止时刻以等待接收所述客户端重传的请求报文；

第五模块，用于在规定时间内接收到所述客户端重传的请求报文的情况下，放行所述重传的请求报文，基于协议栈建立与所述客户端的全连接关系，接收所述客户端发送的数据。

9.根据权利要求8所述的装置，其特征在于，还包括：

第六模块，用于根据与所述客户端的全连接关系，伪装成所述客户端并创建与服务器的连接关系；

第七模块，用于基于所述全连接关系接收并存储所述客户端发送的数据，将存储的所述客户端发送的数据发送至所述服务器；

第八模块，用于在与客户端数据传输稳定的情况下，对所述客户端的数据不进行存储，转发来自于所述客户端的数据至所述服务器。

10.一种电子设备，其特征在于，包括：

一个或多个处理器；

存储装置，用于存储一个或多个程序，

其中，当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器执行根据权利要求1～7中任一项所述的方法。

11.一种计算机可读存储介质，其上存储有可执行指令，该指令被处理器执行时使处理器执行根据权利要求1～7中任一项所述的方法。

Images