CN114301657A - 一种账号登录的检测方法、装置、以及介质 - Google Patents

Abstract

本申请公开了一种账号登录的检测方法、装置、以及介质，应用于通信领域，该方法的服务端与客户端使用SSH协议进行通信，服务端与客户端连接成功后会向客户端发送返回数据包，判断当前的返回数据包与上一个返回数据包的长度是否相同，其中比较的是第一个之后的返回数据包，若否，则表征密码输入正确，停止比较；若是，则表征密码输入错误，继续下一次比较，并记录密码输入错误的次数，若错误次数大于第一阈值，则判定此次登录异常。本申请提供的方法能通过比较返回数据包的长度来判断密码是否输入成功，并根据输入错误的次数是否超过第一阈值来判断使用SSH协议的登录过程是否异常。

Description

一种账号登录的检测方法、装置、以及介质

技术领域

本申请涉及通信领域，特别是涉及一种账号登录的检测方法、装置、以及介质。

背景技术

进行远程登录会话时，需要在客户端进行账号与密码的输入，然后将账号与密码发送至服务端用于认证，但会有不法分子伪装成正常的客户端进行登录，所以需要在登录时对客户端进行检测。目前大部分检测登录异常的方法是通过流量分析的方式，针对非密流量，通过解析返回数据包中的内容来判定是否为异常登录。

然而通信时如果使用SSH协议进行通信，目前常用的检测方法将无法检测出登录中的异常；因为使用SSH协议的通信是通过openssh进行加密的，无法访问返回数据包中的内容，所以无法通过解析返回数据包中的内容来判定是否异常登录。

由此可见，如何判断使用SSH协议的登录过程是否异常，是本领域技术人员亟待解决的问题。

发明内容

本申请的目的是提供一种账号登录的检测方法、装置、以及介质，用于判断使用SSH协议的登录过程是否异常。

为解决上述技术问题，本申请提供一种账号登录的检测方法，服务端与客户端使用SSH协议进行通信，包括：

记录返回数据包的长度；

判断当前的所述返回数据包的长度与上一个所述返回数据包的长度是否相同，其中当前的所述返回数据包为第二个之后的所述返回数据包；

若否，则表征密码输入正确，停止所述返回数据包的长度比较；

若是，则表征密码输入错误，继续所述返回数据包的长度比较，并记录密码输入错误的次数；

若所述次数大于第一阈值，则判定此次登录异常。

优选地，所述服务端与所述客户端通过交换机通信，所述记录返回数据包的长度具体为：

从所述交换机中获取应用层流量；

从所述应用层流量中获取所述返回数据包并记录所述返回数据包的长度。

优选地，所述记录返回数据包的长度包括：

分析协议层的流量包；

若在所述流量包中解析到New Keys标识，则开始记录所述返回数据包的长度。

优选地，所述判定此次登录异常之后，还包括：

将此次访问的所述客户端的IP地址拉入黑名单。

优选地，所述若所述次数大于第一阈值，则判定此次登录异常包括：

若所述次数大于第二阈值，则暂停所述客户端的此次访问，其中所述第二阈值小于所述第一阈值；

在预设时间后允许所述客户端再次访问；

若所述次数大于所述第一阈值，则判定此次登录异常。

优选地，所述判定此次登录异常之后，还包括：

在所述服务端显示警告信息。

优选地，所述暂停所述客户端的此次访问之后，还包括：

记录所述客户端的IP地址、此次访问的开始时间、此次访问的结束时间。

为解决上述技术问题，本申请还提供一种账号登录的检测装置，服务端与客户端使用SSH协议进行通信，包括：

记录模块，用于记录返回数据包的长度；

第一判断模块，用于判断当前的所述返回数据包的长度与上一个所述返回数据包的长度是否相同，其中当前的所述返回数据包为第二个之后的所述返回数据包；若否，则表征密码输入正确，并触发停止模块；若是，则表征密码输入错误，并触发记录模块；

停止模块，用于停止所述返回数据包的长度比较；

记录模块，用于继续所述返回数据包的长度比较，并记录密码输入错误的次数以及触发第二判断模块；

第二判断模块，用于判断所述次数是否大于第一阈值，若是，则进入判定模块；

判定模块，用于若所述次数大于第一阈值，则判定此次登录异常。

为解决上述技术问题，本申请还提供一种账号登录的检测装置，包括：存储器，用于存储计算机程序；

处理器，用于执行计算机程序时实现上述账号登录的检测方法的步骤。

为解决上述技术问题，本申请还提供一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现上述账号登录的检测方法的步骤。

本申请所提供的一种账号登录的检测方法，服务端与客户端使用SSH协议进行通信，服务端与客户端连接成功后会向客户端发送返回数据包，其中第一个返回数据包为账号输入提示包，第二个返回数据包为密码输入提示包，若此次密码输入错误，则下一个返回数据包仍为密码输入提示包，记录返回数据包的长度，并判断当前的返回数据包与上一个返回数据包的长度是否相同，其中比较的是第一个之后的返回数据包，若否，则表征密码输入正确，停止比较；若是，则表征密码输入错误，继续下一次比较，并记录密码输入错误的次数，若错误次数大于第一阈值，则说明密码多次输入错误，并判定此次登录异常。本申请提供的方法能通过比较返回数据包的长度来判断密码是否输入成功，并根据输入错误的次数是否超过第一阈值来判断使用SSH协议的登录过程是否异常。

本申请还提供了一种账号登录的检测装置、以及计算机可读存储介质，与上述方法对应，故具有与上述方法相同的有益效果。

附图说明

为了更清楚地说明本申请实施例，下面将对实施例中所需要使用的附图做简单的介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本申请实施例提供的一种账号登录的检测方法的流程图；

图2为服务端与客户端连接的结构示意图；

图3为本申请实施例提供的账号登录的检测装置的结构图；

图4为本申请另一实施例提供的账号登录的检测装置的结构图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下，所获得的所有其他实施例，都属于本申请保护范围。

本申请的核心是提供一种账号登录的检测方法、装置、以及介质。

为了使本技术领域的人员更好地理解本申请方案，下面结合附图和具体实施方式对本申请作进一步的详细说明。

图1为本申请实施例提供的一种账号登录的检测方法的流程图，其中服务端与客户端使用SSH协议进行通信，服务端与客户端连接成功后会向客户端发送返回数据包，其中第一个返回数据包为账号输入提示包，用于提示目标对象输入账号，在目标对象输入账号之后，服务端发送的第二个返回数据包为密码输入提示包，提示目标对象输入密码，若此次密码输入错误，则下一个返回数据包仍为密码输入提示包，该方法的步骤包括：

S10：记录返回数据包的长度；

S11：判断当前的返回数据包的长度与上一个返回数据包的长度是否相同，其中当前的返回数据包为第二个之后的返回数据包；若否，则表征密码输入正确，并进入步骤S12；若是，则表征密码输入错误，并进入步骤S13；

S12：停止返回数据包的长度比较；

S13：继续返回数据包的长度比较，并记录密码输入错误的次数，并进行步骤S14；

S14：判断密码输入错误的次数是否大于第一阈值，若是，则进入步骤S15；

S15：判定此次登录异常。

可以从旁路获取服务站点流量，若服务端和客户端通过交换机进行通信，则可以从交换机中获取访问流量，其中访问流量包括协议层流量、应用层流量、以及传输层流量。从协议层的流量包中解析到New Keys标识，则表示协商完成，即服务端与客户端双方连接成功，服务端会向客户端发送一个账号输入提示包，在客户端输入账号之后，客户端可以将账号信息发送至服务端，服务端则会再发送一个密码输入提示包，若此次密码输入正确，服务端和客户端会连接成功；若此次密码输入错误，则服务端会继续发送密码输入提示包至客户端直至密码输入正确或者连接断开。可以在应用层流量中得到上述返回数据包，并记录各个返回数据包的长度，因为每个密码输入提示包的长度是一样的，所以判断当前的返回数据包的长度与上一个返回数据包的长度是否相同，由于第一个返回数据包是账号输入提示包，不能作为比较的返回数据包，所以比较的当前的返回数据包为第二个之后的返回数据包；若当前的返回数据包的长度与上一个返回数据包的长度不同，则表征当前的返回数据包不是密码输入提示包，即密码输入正确，停止返回数据包的长度比较；若当前的返回数据包的长度与上一个返回数据包的长度相同，则表征当前的返回数据包仍然是密码输入提示包，即上一次密码输入错误，需要继续返回数据包的长度比较，并记录密码输入错误的次数。若错误的次数大于第一阈值，则判定此次登录异常，这里第一阈值的大小不作要求。另外，本申请实施例对于如何获取的返回数据包也不作要求，可以从服务端进行获取，若通过交换机进行通信，也可以从交换机中获取。

本申请实施例提供的账号登录的检测方法中，服务端与客户端使用SSH协议进行通信，服务端与客户端连接成功后会向客户端发送返回数据包，其中第一个返回数据包为账号输入提示包，第二个返回数据包为密码输入提示包，若此次密码输入错误，则下一个返回数据包仍为密码输入提示包，记录返回数据包的长度，并判断当前的返回数据包与上一个返回数据包的长度是否相同，其中比较的是第一个之后的返回数据包，若否，则表征密码输入正确，停止比较；若是，则表征密码输入错误，继续下一次比较，并记录密码输入错误的次数，若错误次数大于第一阈值，则判定此次登录异常。本申请提供的方法能通过比较返回数据包的长度来判断密码是否输入成功，并根据输入错误的次数是否超过第一阈值来判断使用SSH协议的登录过程是否异常。

在实际应用中，服务端与客户端可能通过交换机进行通信，由于交换机中可以获取到所有设备的流量，故记录返回数据包的长度具体为：从交换机中获取应用层流量；从应用层流量中获取返回数据包并记录返回数据包的长度。图2为服务端与客户端连接的结构示意图，图中给出的结构只是本申请中的一种方式，不对其他方式造成限定。如图2所示，包括：客户端10、交换机11、服务端12、流量分析系统13。其中客户端10一般是多个，服务端12一般为一个，客户端10与服务端12通过交换机11进行通信，流量分析系统13从交换机11中获取访问流量，即获取到返回数据包。本申请实施例给出的方案不对其他方案造成限定。由于交换机11中包含了通信时所涉及的所有流量数据，所以从交换机中可以很方便的获取到所有数据。

记录返回数据包的长度包括：分析协议层的流量包；若在流量包中解析到NewKeys标识，则开始记录返回数据包的长度。当协议层的流量包中出现New Keys标识，则表征服务端与客户端已经连接成功，服务端开始向客户端发送返回数据包，即可以开始记录返回数据包的长度。

若错误的次数大于第一阈值，则判定此次登录异常包括：若错误的次数大于第二阈值，则暂停客户端的此次访问，在暂停客户端的此次访问之后，还包括：记录客户端的IP地址、此次访问的开始时间、此次访问的结束时间。其中第二阈值小于第一阈值，在预设时间后允许客户端再次访问；若次数大于第一阈值，则判定此次登录异常。在判定客户端此次登录异常之后，还包括：将此次访问的客户端的IP地址拉入黑名单，并在服务端显示警告信息。其中第一阈值、第二阈值的大小不作限定，预设时间的长短不作限定。

当密码输入错误次数达到第二阈值时，可以先暂停客户端的此次访问，但并不判定此次登录异常，此时记录下客户端的IP地址、此次访问的开始时间、此次访问的结束时间，在预设时间之后再允许该客户端重新访问服务端。若次数大于第一阈值，则判定此次登录异常，将客户端的IP地址拉入黑名单，并在服务端显示警告信息以告知工作人员该客户端出现异常，注意防范。具体的实施方法可以是，在当日密码输入错误次数达到第二阈值时，可以先暂停客户端的此次访问，若连续几天均输入错误密码，次数达到了第一阈值，则说明该客户端有异常，需要禁止该客户端继续访问。其中每个返回数据包中都有源IP和目的IP，传输层流量中第一个包是SYN请求包。SYN请求包的源IP就是客户端的IP地址，SYN请求包的目的IP就是服务端的IP地址。

本申请实施例提供的方法能避免对正常的客户端造成误判，即给客户端几次密码输入错误的机会，当客户端一直输入错误密码，则认为该客户端出现异常，需要禁止该客户端的访问行为。

在上述实施例中，对于账号登录的检测方法进行了详细描述，本申请还提供账号登录的检测装置对应的实施例。需要说明的是，本申请从两个角度对装置部分的实施例进行描述，一种是基于功能模块的角度，另一种是基于硬件的角度。

基于功能模块的角度，本实施例提供一种账号登录的检测装置，图3为本申请实施例提供的账号登录的检测装置的结构图，如图3所示，该装置包括：

记录模块20，用于记录返回数据包的长度；

第一判断模块21，用于判断当前的返回数据包的长度与上一个返回数据包的长度是否相同，其中当前的返回数据包为第二个之后的返回数据包；若否，则表征密码输入正确，并触发停止模块；若是，则表征密码输入错误，并触发记录模块；

停止模块22，用于停止返回数据包的长度比较；

记录模块23，用于继续返回数据包的长度比较，并记录密码输入错误的次数以及触发第二判断模块；

第二判断模块24，用于判断次数是否大于第一阈值，若是，则进入判定模块；

判定模块25，用于若次数大于第一阈值，则判定此次登录异常。

由于装置部分的实施例与方法部分的实施例相互对应，因此装置部分的实施例请参见方法部分的实施例的描述，这里暂不赘述。

本实施例提供的账号登录的检测装置，与上述方法对应，故具有与上述方法相同的有益效果。

基于硬件的角度，本实施例提供了另一种账号登录的检测装置，图4为本申请另一实施例提供的账号登录的检测装置的结构图，如图4所示，账号登录的检测装置包括：存储器30，用于存储计算机程序；

处理器31，用于执行计算机程序时实现如上述实施例中所提到的账号登录的检测方法的步骤。

本实施例提供的账号登录的检测装置可以包括但不限于智能手机、平板电脑、笔记本电脑或台式电脑等。

其中，处理器31可以包括一个或多个处理核心，比如4核心处理器、8核心处理器等。处理器31可以采用数字信号处理器(Digital Signal Processor，DSP)、现场可编程门阵列(Field－Programmable Gate Array，FPGA)、可编程逻辑阵列(Programmable LogicArray，PLA)中的至少一种硬件形式来实现。处理器31也可以包括主处理器和协处理器，主处理器是用于对在唤醒状态下的数据进行处理的处理器，也称中央处理器(CentralProcessing Unit，CPU)；协处理器是用于对在待机状态下的数据进行处理的低功耗处理器。在一些实施例中，处理器31可以在集成有图像处理器(Graphics Processing Unit，GPU)，GPU用于负责显示屏所需要显示的内容的渲染和绘制。一些实施例中，处理器31还可以包括人工智能(Artificial Intelligence，AI)处理器，该AI处理器用于处理有关机器学习的计算操作。

存储器30可以包括一个或多个计算机可读存储介质，该计算机可读存储介质可以是非暂态的。存储器30还可包括高速随机存取存储器，以及非易失性存储器，比如一个或多个磁盘存储设备、闪存存储设备。本实施例中，存储器30至少用于存储以下计算机程序301，其中，该计算机程序被处理器31加载并执行之后，能够实现前述任一实施例公开的账号登录的检测方法的相关步骤。另外，存储器30所存储的资源还可以包括操作系统302和数据303等，存储方式可以是短暂存储或者永久存储。其中，操作系统302可以包括Windows、Unix、Linux等。数据303可以包括但不限于账号登录的检测方法涉及到的数据等。

在一些实施例中，账号登录的检测装置还可包括有显示屏32、输入输出接口33、通信接口34、电源35以及通信总线36。

本领域技术人员可以理解，图4中示出的结构并不构成对账号登录的检测装置的限定，可以包括比图示更多或更少的组件。

本申请实施例提供的账号登录的检测装置，包括存储器和处理器，处理器在执行存储器存储的程序时，能够实现如下方法：账号登录的检测方法。

本实施例提供的账号登录的检测装置，与上述方法对应，故具有与上述方法相同的有益效果。

最后，本申请还提供一种计算机可读存储介质对应的实施例。计算机可读存储介质上存储有计算机程序，计算机程序被处理器执行时实现如上述方法实施例中记载的步骤。

可以理解的是，如果上述实施例中的方法以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，执行本申请各个实施例描述的方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(Read-Only Memory，ROM)、随机存取存储器(Random Access Memory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。

本实施例提供的计算机可读存储介质，与上述方法对应，故具有与上述方法相同的有益效果。

以上对本申请所提供的一种账号登录的检测方法、装置、以及介质进行了详细介绍。说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例公开的装置而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。应当指出，对于本技术领域的普通技术人员来说，在不脱离本申请原理的前提下，还可以对本申请进行若干改进和修饰，这些改进和修饰也落入本申请权利要求的保护范围内。

还需要说明的是，在本说明书中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括上述要素的过程、方法、物品或者设备中还存在另外的相同要素。

Claims (10)

1.一种账号登录的检测方法，服务端与客户端使用SSH协议进行通信，其特征在于，包括：

记录返回数据包的长度；

判断当前的所述返回数据包的长度与上一个所述返回数据包的长度是否相同，其中当前的所述返回数据包为第二个之后的所述返回数据包；

若否，则表征密码输入正确，停止所述返回数据包的长度比较；

若是，则表征密码输入错误，继续所述返回数据包的长度比较，并记录密码输入错误的次数；

若所述次数大于第一阈值，则判定此次登录异常。

2.根据权利要求1所述的账号登录的检测方法，其特征在于，所述服务端与所述客户端通过交换机通信，所述记录返回数据包的长度具体为：

从所述交换机中获取应用层流量；

从所述应用层流量中获取所述返回数据包并记录所述返回数据包的长度。

3.根据权利要求1所述的账号登录的检测方法，其特征在于，所述记录返回数据包的长度包括：

分析协议层的流量包；

若在所述流量包中解析到New Keys标识，则开始记录所述返回数据包的长度。

4.根据权利要求1所述的账号登录的检测方法，其特征在于，所述判定此次登录异常之后，还包括：

将此次访问的所述客户端的IP地址拉入黑名单。

5.根据权利要求1至4任意一项所述的账号登录的检测方法，其特征在于，所述若所述次数大于第一阈值，则判定此次登录异常包括：

若所述次数大于第二阈值，则暂停所述客户端的此次访问，其中所述第二阈值小于所述第一阈值；

在预设时间后允许所述客户端再次访问；

若所述次数大于所述第一阈值，则判定此次登录异常。

6.根据权利要求1所述的账号登录的检测方法，其特征在于，所述判定此次登录异常之后，还包括：

在所述服务端显示警告信息。

7.根据权利要求5所述的账号登录的检测方法，其特征在于，所述暂停所述客户端的此次访问之后，还包括：

记录所述客户端的IP地址、此次访问的开始时间、此次访问的结束时间。

8.一种账号登录的检测装置，服务端与客户端使用SSH协议进行通信，其特征在于，包括：

记录模块，用于记录返回数据包的长度；

第一判断模块，用于判断当前的所述返回数据包的长度与上一个所述返回数据包的长度是否相同，其中当前的所述返回数据包为第二个之后的所述返回数据包；若否，则表征密码输入正确，并触发停止模块；若是，则表征密码输入错误，并触发记录模块；

停止模块，用于停止所述返回数据包的长度比较；

记录模块，用于继续所述返回数据包的长度比较，并记录密码输入错误的次数以及触发第二判断模块；

第二判断模块，用于判断所述次数是否大于第一阈值，若是，则进入判定模块；

判定模块，用于若所述次数大于第一阈值，则判定此次登录异常。

9.一种账号登录的检测装置，其特征在于，包括存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序时实现如权利要求1至7任一项所述的账号登录的检测方法的步骤。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1至7任一项所述的账号登录的检测方法的步骤。

Images