CN114793171B - 访问请求的拦截方法、装置、存储介质及电子装置 - Google Patents

Abstract

本申请公开了一种访问请求的拦截方法、装置、存储介质及电子装置。该方法包括：解析访问请求对应的超文本传输协议，获取超文本传输协议的头部信息与内容信息；从头部信息中获取多个第一目标特征，从内容信息中获取第二目标特征，将多个第一目标特征和第二目标特征与预设规则进行匹配，得到匹配结果，其中，预设规则用于判断头部信息与内容信息中是否存在风险特征；根据匹配结果确定是否对访问请求进行拦截。通过本申请，解决了相关技术中部分存在安全风险的访问请求无法被有效拦截，导致服务器被恶意攻击的问题。

Description

访问请求的拦截方法、装置、存储介质及电子装置

技术领域

本申请涉及网络安全领域，具体而言，涉及一种访问请求的拦截方法、装置、存储介质及电子装置。

背景技术

随着互联网技术的快速发展，网络环境日益复杂，服务器被恶意访问的情况也逐渐增多。这些恶意的访问请求不是真正的访问者，而是机器人（bot）自动化程序或者是漏扫仪器以及某些逻辑存在异常的应用程序死循环的请求等。这些恶意访问请求并不是有效的请求。发出这些恶意访问请求的攻击者通过对系统发起漏洞扫描探测请求，从而得知系统存在的漏洞，利用已知漏洞对服务器发起攻击。恶意访问请求给用户、企业等造成了困扰与经济损失。

相关技术中拦截恶意访问的方法为：通过Web应用防火墙对访问服务器的IP进行统计访问请求次数，在一段时间内IP的访问次数超过阈值后，将封禁该IP一段时间，此举可以拦截自动化扫描。然而，这种拦截恶意访问的方法通常存在拦截滞后并且不能完全拦截自动化扫描的问题，自动化扫描由于包含非Web的访问请求，这种拦截恶意访问的方法对非Web的访问请求做不到识别与统计。此外，自动化扫描的Web请求访问的次数和频率受到访问次数的阈值的限制，从而无法限制与封禁IP造成遗漏。

针对相关技术中部分存在安全风险的访问请求无法被有效拦截，导致服务器被恶意攻击的问题，目前尚未提出有效的解决方案。

发明内容

本申请提供一种访问请求的拦截方法、装置、存储介质及电子装置，以解决相关技术中存在安全风险的访问请求由于访问次数未达到阈值无法被拦截的问题。

根据本申请的一个方面，提供了一种访问请求的拦截方法。该方法包括：解析访问请求对应的超文本传输协议，获取超文本传输协议的头部信息与内容信息；从头部信息中获取多个第一目标特征，从内容信息中获取第二目标特征，将多个第一目标特征和第二目标特征与预设规则进行匹配，得到匹配结果，其中，预设规则用于判断头部信息与内容信息中是否存在风险特征；根据匹配结果确定是否对访问请求进行拦截。

可选地，根据匹配结果确定是否对访问请求进行拦截包括：在匹配结果指示匹配成功的情况下，对访问请求进行拦截；在匹配结果指示匹配失败的情况下，判断访问请求的访问次数是否超过阈值；在访问请求的访问次数超过阈值的情况下，对访问请求进行拦截。

可选地，将多个第一目标特征和第二目标特征与预设规则进行匹配包括：确定多个第一目标特征的权重和第二目标特征的权重；根据权重对多个第一目标特征和第二目标特征进行排序，得到排序结果；按照排序结果依次将第一目标特征或第二目标特征与预设规则进行匹配，在存在一次匹配成功的情况下，确定多个第一目标特征和第二目标特征与预设规则匹配成功。

可选地，第一目标特征至少包括用户代理、统一资源定位器、本地数据、形式参数，第二目标特征至少包括主体信息，将多个第一目标特征和第二目标特征与预设规则进行匹配包括：将本地数据中的字段与第一预设字段集合中的风险字段进行匹配，在本地数据中任意一个字段与第一预设字段集合中的风险字段匹配的情况下，确认本地数据和第一预设字段集合匹配成功；在本地数据和第一预设字段集合匹配失败的情况下，将形式参数中的字段与第二预设字段集合中的风险字段进行匹配，在形式参数中任意一个字段与第二预设字段集合中的风险字段匹配的情况下，确认形式参数和第二预设字段集合匹配成功；在形式参数和第二预设字段集合匹配失败的情况下，将统一资源定位器中的字段与第三预设字段集合中的风险字段进行匹配，在统一资源定位器中任意一个字段与第三预设字段集合中的风险字段匹配的情况下，确认统一资源定位器和第三预设字段集合匹配成功；在统一资源定位器和第三预设字段集合匹配失败的情况下，将用户代理中的字段与第四预设字段集合中的风险字段进行匹配，在用户代理中任意一个字段与第四预设字段集合中的风险字段匹配的情况下，确认用户代理和第四预设字段集合匹配成功；在用户代理和第四预设字段集合匹配失败的情况下，将主体信息中的字段与第五预设字段集合中的风险字段进行匹配，在主体信息中任意一个字段与第五预设字段集合中的风险字段匹配的情况下，确认主体信息和第五预设字段集合匹配成功；在主体信息和第五预设字段集合匹配失败的情况下，确认主体信息和第五预设字段集合匹配失败。

可选地，在匹配成功的情况下，对访问请求进行拦截包括：获取访问请求对应的IP；判断IP是否存储于第一字典，在IP存储于第一字典的情况下，对访问请求进行拦截，其中，第一字典用于记录存在风险的访问请求对应的IP；在IP未存储于第一字典的情况下，将IP添加至第一字典中，并对访问请求进行拦截。

可选地，在IP存储于第一字典的情况下，对访问请求进行拦截包括：将IP在第一字典中对应的访问时间更新为最新访问的时间，并依据IP对应的防火墙策略对访问请求进行拦截；在依据IP对应的防火墙策略对访问请求进行拦截的过程中，轮询第一字典中的各个IP对应的访问时间，并在被轮询到的IP对应的访问时间与轮询时间的差值超过预设时长的情况下，确认被轮询到的IP为目标IP，在第一字典中删除目标IP，并删除目标IP对应的防火墙策略。

可选地，在IP未存储于第一字典的情况下，将IP添加至第一字典中，并对访问请求进行拦截包括：将IP对应的访问时间添加到第一字典中，并创建IP对应的防火墙策略；依据防火墙策略对访问请求进行拦截。

可选地，在匹配失败的情况下，在判断访问请求的访问次数是否超过阈值之后，方法还包括：获取访问请求对应的IP和IP对应的统一资源定位器，依据IP和统一资源定位器确定访问站点；判断访问站点是否存储于第二字典，在访问站点存储于第二字典的情况下，执行判断访问请求的访问次数是否超过阈值的步骤，并更新访问站点的访问次数，其中，第二字典用于记录访问请求的访问次数；在访问站点未存储于第二字典的情况下，在第二字典中添加访问站点，并记录访问站点的访问次数，得到初始访问次数。

可选地，在将多个第一目标特征和第二目标特征与预设规则进行匹配之前，方法还包括：获取访问请求对应的IP；判断IP是否存储于白名单，在IP未存储于白名单的情况下，判断IP是否存储于黑名单，其中，白名单中存储有不存在风险的IP，黑名单中存储有存在风险的IP；在IP存储于黑名单的情况下，对访问请求进行拦截；在IP未存储于黑名单的情况下，发出提示信息，并执行将多个第一目标特征和第二目标特征与预设规则进行匹配的步骤，其中，提示信息用于表征访问请求存在安全风险。

根据本申请的另一方面，提供了一种访问请求的拦截装置。该装置包括：获取单元，用于解析访问请求对应的超文本传输协议，获取超文本传输协议的头部信息与内容信息；匹配单元，用于从头部信息中获取多个第一目标特征，从内容信息中获取第二目标特征，将多个第一目标特征和第二目标特征与预设规则进行匹配，其中，预设规则用于判断头部信息与内容信息中是否存在风险特征；第一拦截单元，用于在匹配成功的情况下，对访问请求进行拦截；判断单元，用于在匹配失败的情况下，判断访问请求的访问次数是否超过阈值；第二拦截单元，用于在访问请求的访问次数超过阈值的情况下，对访问请求进行拦截。

根据本发明实施例的另一方面，还提供了一种非易失性存储介质，非易失性存储介质包括存储的程序，其中，程序运行时控制非易失性存储介质所在的设备执行一种访问请求的拦截方法。

根据本发明实施例的另一方面，还提供了一种电子装置，包含处理器和存储器；存储器中存储有计算机可读指令，处理器用于运行计算机可读指令，其中，计算机可读指令运行时执行一种访问请求的拦截方法。

通过本申请，采用以下步骤：解析访问请求对应的超文本传输协议，获取超文本传输协议的头部信息与内容信息；从头部信息中获取多个第一目标特征，从内容信息中获取第二目标特征，将多个第一目标特征和第二目标特征与预设规则进行匹配，其中，预设规则用于判断头部信息与内容信息中是否存在风险特征；在匹配成功的情况下，对访问请求进行拦截；在匹配失败的情况下，判断访问请求的访问次数是否超过阈值；在访问请求的访问次数超过阈值的情况下，对访问请求进行拦截，解决了相关技术中部分存在安全风险的访问请求无法被有效拦截，导致服务器被恶意攻击的问题。通过对超文本传输协议的头部信息与内容信息进行匹配风险特征，判断访问请求是否存在风险，进而达到了有效拦截存在安全风险的访问请求，避免访问次数低于阈值或访问方式未通过网络的风险访问请求无法被拦截的效果。

附图说明

构成本申请的一部分的附图用来提供对本申请的进一步理解，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1是根据本申请实施例提供的访问请求的拦截方法的流程图；

图2是根据本申请实施例提供的访问请求的拦截装置的示意图。

具体实施方式

需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。下面将参考附图并结合实施例来详细说明本申请。

为了使本技术领域的人员更好地理解本申请方案，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分的实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本申请保护的范围。

需要说明的是，本申请的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本申请的实施例。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

为了便于描述，以下对本申请实施例涉及的部分名词或术语进行说明：

HTTP：Hyper Text Transfer Protocol，超文本传输协议，是一种用于分布式、协作式和超媒体信息系统的应用层协议，是因特网上应用最为广泛的一种网络传输协议，所有的 WWW 文件都必须遵守这个标准。

SSL：Security Socket Layer，安全套接口层，因特网上使用的一种安全数据传输标准。它使用加密的技术在因特网上传输数据，保证数 据不被窃听，不被修改。

HTTPS ：Hyper Text Transfer Protocol over Secure Socket Layer，是以安全为目标的 HTTP 通道，在HTTP的基础上通过传输加密和身份认证保证了传输过程的安全性。

根据本申请的实施例，提供了一种访问请求的拦截方法。

图1是根据本申请实施例提供的访问请求的拦截方法的流程图。如图1所示，该方法包括以下步骤：

步骤S102，解析访问请求对应的超文本传输协议，获取超文本传输协议的头部信息与内容信息。

具体地，访问请求是访问人访问本地服务器时发出的访问申请，访问申请中包含HTTP，也即超文本传输协议，头部信息是HTTP中的头部字段信息，内容信息是HTTP中的主体字段信息。

步骤S104，从头部信息中获取多个第一目标特征，从内容信息中获取第二目标特征，将多个第一目标特征和第二目标特征与预设规则进行匹配，得到匹配结果，其中，预设规则用于判断头部信息与内容信息中是否存在风险特征。

具体地，第一目标特征可以为用户代理（User Agent，简称UA）、统一资源定位器（Uniform Resource Locator，简称URL）、本地数据（COOKIE）、形式参数（Arguments，简称ARGS）等特征，第二目标特征可以为主体信息（BODY），预设规则包括多个风险字段集合，UA、URL、COOKIE、ARGS和BODY各自对应一个风险字段集合，通过判断UA、URL、COOKIE、ARGS和BODY中的字段是否包含风险字段集合中的风险字段来判断是否匹配成功。

步骤S106，根据匹配结果确定是否对访问请求进行拦截。

具体地，通过UA、URL、COOKIE、ARGS和BODY与预设规则的匹配结果判断访问请求是否存在安全风险，从而判断是否需要对该访问请求进行拦截。在匹配成功的情况下，说明该访问请求中存在风险字段会对服务器造成恶意攻击，需要对该访问请求进行拦截，在匹配失败的情况下，需要判断该访问请求在一定时间内的访问次数是否超过阈值，在超过阈值的情况下，说明该访问请求可能是恶意访问机器人的访问，存在安全风险，需要对该访问请求进行拦截，在访问次数未超过阈值的情况下，说明该访问请求没有安全风险，可以允许该访问请求访问本地服务器。

本申请实施例提供的访问请求的拦截方法，通过解析访问请求对应的超文本传输协议，获取超文本传输协议的头部信息与内容信息；从头部信息中获取多个第一目标特征，从内容信息中获取第二目标特征，将多个第一目标特征和第二目标特征与预设规则进行匹配，其中，预设规则用于判断头部信息与内容信息中是否存在风险特征；在匹配成功的情况下，对访问请求进行拦截；在匹配失败的情况下，判断访问请求的访问次数是否超过阈值；在访问请求的访问次数超过阈值的情况下，对访问请求进行拦截，解决了相关技术中部分存在安全风险的访问请求无法被有效拦截，导致服务器被恶意攻击的问题。通过对超文本传输协议的头部信息与内容信息进行匹配风险特征，判断访问请求是否存在风险，进而达到了有效拦截存在安全风险的访问请求，避免访问次数低于阈值或访问方式未通过网络的风险访问请求无法被拦截的效果。

获得匹配结果后需要确定是否需要对访问请求进行拦截，可选地，根据匹配结果确定是否对访问请求进行拦截包括：在匹配结果指示匹配成功的情况下，对访问请求进行拦截；在匹配结果指示匹配失败的情况下，判断访问请求的访问次数是否超过阈值；在访问请求的访问次数超过阈值的情况下，对访问请求进行拦截。

具体地，UA、URL、COOKIE、ARGS和BODY中的字段只要存在和风险字段集合匹配的字段，就说明匹配成功，也就说明访问本地服务器的IP存在风险，需要对该IP进行拦截。UA、URL、COOKIE、ARGS和BODY中的字段如果没有和风险字段集合匹配的字段，就说明匹配失败，此时需要监控访问本地服务器的IP在一段时间内的访问次数，以此来判断该IP是否存在风险。当访问本地服务器的IP在一段时间内的访问次数超过阈值的情况下，说明该IP存在风险，需要进行拦截。通过匹配结果判断访问请求是否需要进行拦截，可以有效拦截一些存在安全风险的访问请求

通过将第一目标特征和第二目标特征与预设规则进行匹配，来判断访问请求是否存在风险，可选地，将多个第一目标特征和第二目标特征与预设规则进行匹配包括：确定多个第一目标特征的权重和第二目标特征的权重；根据权重对多个第一目标特征和第二目标特征进行排序，得到排序结果；按照排序结果依次将第一目标特征或第二目标特征与预设规则进行匹配，在存在一次匹配成功的情况下，确定多个第一目标特征和第二目标特征与预设规则匹配成功。

具体地，权重可以为UA、URL、COOKIE、ARGS和BODY的风险等级，排序结果可以为最先匹配COOKIE，接下来匹配ARGS，然后再匹配URL，接下来匹配UA，最后匹配BODY。通过依据UA、URL、COOKIE、ARGS和BODY的风险等级确定匹配顺序，可以更高效的拦截存在安全风险的访问请求。

对风险访问请求进行拦截需要首先判断访问请求是否存在风险，可选地，在本申请实施例提供的访问请求的拦截方法中，第一目标特征至少包括用户代理、统一资源定位器、本地数据、形式参数，第二目标特征至少包括主体信息，将多个第一目标特征和第二目标特征与预设规则进行匹配包括：将本地数据中的字段与第一预设字段集合中的风险字段进行匹配，在本地数据中任意一个字段与第一预设字段集合中的风险字段匹配的情况下，确认本地数据和第一预设字段集合匹配成功；在本地数据和第一预设字段集合匹配失败的情况下，将形式参数中的字段与第二预设字段集合中的风险字段进行匹配，在形式参数中任意一个字段与第二预设字段集合中的风险字段匹配的情况下，确认形式参数和第二预设字段集合匹配成功。

在形式参数和第二预设字段集合匹配失败的情况下，将统一资源定位器中的字段与第三预设字段集合中的风险字段进行匹配，在统一资源定位器中任意一个字段与第三预设字段集合中的风险字段匹配的情况下，确认统一资源定位器和第三预设字段集合匹配成功；在统一资源定位器和第三预设字段集合匹配失败的情况下，将用户代理中的字段与第四预设字段集合中的风险字段进行匹配，在用户代理中任意一个字段与第四预设字段集合中的风险字段匹配的情况下，确认用户代理和第四预设字段集合匹配成功；在用户代理和第四预设字段集合匹配失败的情况下，将主体信息中的字段与第五预设字段集合中的风险字段进行匹配，在主体信息中任意一个字段与第五预设字段集合中的风险字段匹配的情况下，确认主体信息和第五预设字段集合匹配成功；在主体信息和第五预设字段集合匹配失败的情况下，确认主体信息和第五预设字段集合匹配失败。

具体地，用户代理为UA，统一资源定位器为URL，本地数据为COOKIE，形式参数为ARGS，主体信息为BODY，第一预设字段集合中的风险字段可以为passwd、shell_exec、echo、./，这些风险字段也可以自定义设置，如果COOKIE中的字段包含passwd、shell_exec、echo、./中的任意一个字段，说明COOKIE和第一预设字段集合匹配成功；第二预设字段集合中的风险字段可以为passwd、shell_exec、echo、./，这些风险字段也可以自定义设置，如果ARGS中的字段包含passwd、shell_exec、echo、./中的任意一个字段，说明ARGS和第二预设字段集合匹配成功。

第三预设字段集合中的风险字段可以为.svn、.htaccess、.java、.sql，这些风险字段也可以自定义设置，如果URL中的字段包含.svn、.htaccess、.java、.sql中的任意一个字段，说明URL和第三预设字段集合匹配成功；第四预设字段集合中的风险字段可以为漏洞扫描，无用蜘蛛，采集爬虫，cc攻击，sq注入，这些风险字段也可以自定义设置，如果UA中的字段包含漏洞扫描，无用蜘蛛，采集爬虫，cc攻击，sq注入中的任意一个字段，说明UA和第四预设字段集合匹配成功；第五预设字段集合中的风险字段可以为Content-Disposition:form-data; name=“”; filename=“”，这些风险字段也可以自定义设置，如果BODY中的字段包含Content-Disposition: form-data; name=“”; filename=“”中的任意一个字段，说明BODY和第五预设字段集合匹配成功。在UA、URL、COOKIE、ARGS和BODY中的字段没有和风险字段集合匹配的字段的情况下，说明匹配失败。通过对风险字段的匹配识别，可以筛选出访问次数低于阈值或访问方式未通过网络的风险访问请求，从而对风险访问请求进行拦截。

判断出存在风险的访问请求后就可以对风险访问请求进行拦截了，可选地，在本申请实施例提供的访问请求的拦截方法中，在匹配成功的情况下，对访问请求进行拦截包括：获取访问请求对应的IP；判断IP是否存储于第一字典，在IP存储于第一字典的情况下，对访问请求进行拦截，其中，第一字典用于记录存在风险的访问请求对应的IP；在IP未存储于第一字典的情况下，将IP添加至第一字典中，并对访问请求进行拦截。

具体地，第一字典可以为恶意请求字典，在匹配通过的情况下，通过远程字典服务频道发布恶意访问请求消息，拦截系统通过远程字典服务频道订阅消息，执行消息解析，根据IP查找恶意请求字典中是否存在该IP对应的节点，如果恶意请求字典中不存在该IP对应的节点，根据IP与访问请求时间插入新节点到恶意请求字典中，同时下发防火墙策略，进行网络层拦截，如果恶意请求字典中存在该IP对应的节点，对该IP进行网络层拦截。通过拦截恶意请求字典中IP对应的访问请求，可以有效拦截恶意访问请求。

恶意请求字典中的IP需要定时轮询，可选地，在本申请实施例提供的访问请求的拦截方法中，在IP存储于第一字典的情况下，对访问请求进行拦截包括：将IP在第一字典中对应的访问时间更新为最新访问的时间，并依据IP对应的防火墙策略对访问请求进行拦截；在依据IP对应的防火墙策略对访问请求进行拦截的过程中，轮询第一字典中的各个IP对应的访问时间，并在被轮询到的IP对应的访问时间与轮询时间的差值超过预设时长的情况下，确认被轮询到的IP为目标IP，在第一字典中删除目标IP，并删除目标IP对应的防火墙策略。

具体地，如果恶意请求字典中存在IP对应的节点，将该IP对应的节点的请求时间更新新为最新访问时间，同时依据IP对应的防火墙策略对访问请求进行拦截。拦截系统开启恶意请求拦截过期线程，线程定时轮询恶意请求字典，判断每个节点的访问时间与轮询时间的差值是否超过预设时长，在超过预设时长的情况下，说明拦截恶意请求超时，删除恶意请求字典中被轮询到的节点，下发该节点对应IP的防火墙失效策略。通过删除拦截超时的节点可以节省存储空间，提高拦截系统的工作效率。

匹配和成功的访问请求对应的IP也可能未存储在第一字典中，可选地，在本申请实施例提供的访问请求的拦截方法中，在IP未存储于第一字典的情况下，将IP添加至第一字典中，并对访问请求进行拦截包括：将IP对应的访问时间添加到第一字典中，并创建IP对应的防火墙策略；依据防火墙策略对访问请求进行拦截。

具体地，将未存储在恶意请求字典中的访问请求的IP添加到恶意请求字典，同时下发该IP对应的防火墙策略，依据防火墙策略对该IP的访问请求进行拦截。通过及时在第一字典中添加匹配成功的未存储在第一字典中的IP，可以高效的完成对恶意访问请求的拦截。

如果匹配失败还需要另外一种监控机制判断访问请求是否存在风险，可选地，在本申请实施例提供的访问请求的拦截方法中，在匹配失败的情况下，在判断访问请求的访问次数是否超过阈值之后，该方法还包括：获取访问请求对应的IP和IP对应的统一资源定位器，依据IP和统一资源定位器确定访问站点；判断访问站点是否存储于第二字典，在访问站点存储于第二字典的情况下，执行判断访问请求的访问次数是否超过阈值的步骤，并更新访问站点的访问次数，其中，第二字典用于记录访问请求的访问次数；在访问站点未存储于第二字典的情况下，在第二字典中添加访问站点，并记录访问站点的访问次数，得到初始访问次数。

具体地，第二字典可以为限速字典，在匹配失败的情况下，根据IP与URL查找限速字典是否存在IP对应的节点，如果不存在，插入该IP对应的新节点到限速字典中，并记录该IP对应的请求次数为1，访问时间为当前时间。如果限速字典中存在该IP对应的节点，判断该IP在一段时间内的请求次数是否达到限速阈值，如果达到限速阈值，拦截该IP对应的访问请求。如果没有达到限速阈值，将该IP对应的节点请求次数加1。通过对匹配失败的IP监控访问次数，对访问次数超过阈值的访问请求进行拦截，可以更全面的拦截恶意访问请求。

拦截恶意访问前可以设置允许访问服务器的白名单和直接拦截的黑名单，可选地，在本申请实施例提供的访问请求的拦截方法中，在将多个第一目标特征和第二目标特征与预设规则进行匹配之前，该方法还包括：获取访问请求对应的IP；判断IP是否存储于白名单，在IP未存储于白名单的情况下，判断IP是否存储于黑名单，其中，白名单中存储有不存在风险的IP，黑名单中存储有存在风险的IP；在IP存储于黑名单的情况下，对访问请求进行拦截；在IP未存储于黑名单的情况下，发出提示信息，并执行将多个第一目标特征和第二目标特征与预设规则进行匹配的步骤，其中，提示信息用于表征访问请求存在安全风险。

具体地，白名单中存储的是可以证明安全无风险的访问请求对应的IP，黑名单中存储的是已被证明是恶意访问请求对应的IP，当服务器接收到访问请求时，如果该访问请求对应的IP在白名单中，可以不进行匹配直接允许访问，如果该访问请求对应的IP在黑名单中，可以不进行匹配直接对该访问请求进行拦截，如果该访问请求对应的IP既不在白名单中也不在黑名单中，对该访问请求执行对访问请求中的UA、URL、COOKIE、ARGS和BODY中的字段匹配风险字段的操作。通过设定白名单和黑名单可以减少拦截系统的工作量，提高拦截系统的工作效率。

需要说明的是，在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

本申请实施例还提供了一种访问请求的拦截装置，需要说明的是，本申请实施例的访问请求的拦截装置可以用于执行本申请实施例所提供的用于访问请求的拦截方法。以下对本申请实施例提供的访问请求的拦截装置进行介绍。

图2是根据本申请实施例提供的访问请求的拦截装置的示意图。如图2所示，该装置包括：

获取单元10，用于解析访问请求对应的超文本传输协议，获取超文本传输协议的头部信息与内容信息；

匹配单元20，用于从头部信息中获取多个第一目标特征，从内容信息中获取第二目标特征，将多个第一目标特征和第二目标特征与预设规则进行匹配，得到匹配结果，其中，预设规则用于判断头部信息与内容信息中是否存在风险特征；

拦截单元30，用于根据匹配结果确定是否对访问请求进行拦截。

本申请实施例提供的访问请求的拦截装置，通过获取单元10，解析访问请求对应的超文本传输协议，获取超文本传输协议的头部信息与内容信息；匹配单元20，从头部信息中获取多个第一目标特征，从内容信息中获取第二目标特征，将多个第一目标特征和第二目标特征与预设规则进行匹配，得到匹配结果，其中，预设规则用于判断头部信息与内容信息中是否存在风险特征；拦截单元30，根据匹配结果确定是否对访问请求进行拦截，解决了相关技术中部分存在安全风险的访问请求无法被拦截的问题。通过对超文本传输协议的头部信息与内容信息进行匹配风险特征，判断访问请求是否存在风险，进而达到了有效拦截存在安全风险的访问请求，避免访问次数低于阈值或访问方式未通过网络的风险访问请求无法被拦截的效果。

可选地，在本申请实施例提供的访问请求的拦截装置中，拦截单元30包括：第一拦截模块，用于在匹配结果指示匹配成功的情况下，对访问请求进行拦截；判断模块，用于在匹配结果指示匹配失败的情况下，判断访问请求的访问次数是否超过阈值；第二拦截模块在访问请求的访问次数超过阈值的情况下，对访问请求进行拦截。

可选地，在本申请实施例提供的访问请求的拦截装置中，匹配单元20包括：权重确定模块，用于确定多个第一目标特征的权重和第二目标特征的权重；排序模块，用于根据权重对多个第一目标特征和第二目标特征进行排序，得到排序结果；匹配模块，用于按照排序结果依次将第一目标特征或第二目标特征与预设规则进行匹配，在存在一次匹配成功的情况下，确定多个第一目标特征和第二目标特征与预设规则匹配成功。

可选地，在本申请实施例提供的访问请求的拦截装置中，匹配模块包括：第一匹配子模块，用于将本地数据中的字段与第一预设字段集合中的风险字段进行匹配，在本地数据中任意一个字段与第一预设字段集合中的风险字段匹配的情况下，确认本地数据和第一预设字段集合匹配成功；第二匹配子模块，用于在本地数据和第一预设字段集合匹配失败的情况下，将形式参数中的字段与第二预设字段集合中的风险字段进行匹配，在形式参数中任意一个字段与第二预设字段集合中的风险字段匹配的情况下，确认形式参数和第二预设字段集合匹配成功；第三匹配子模块，用于在形式参数和第二预设字段集合匹配失败的情况下，将统一资源定位器中的字段与第三预设字段集合中的风险字段进行匹配，在统一资源定位器中任意一个字段与第三预设字段集合中的风险字段匹配的情况下，确认统一资源定位器和第三预设字段集合匹配成功；第四匹配子模块，用于在统一资源定位器和第三预设字段集合匹配失败的情况下，将用户代理中的字段与第四预设字段集合中的风险字段进行匹配，在用户代理中任意一个字段与第四预设字段集合中的风险字段匹配的情况下，确认用户代理和第四预设字段集合匹配成功；第五匹配子模块，用于在用户代理和第四预设字段集合匹配失败的情况下，将主体信息中的字段与第五预设字段集合中的风险字段进行匹配，在主体信息中任意一个字段与第五预设字段集合中的风险字段匹配的情况下，确认主体信息和第五预设字段集合匹配成功；确认模块，用于在主体信息和第五预设字段集合匹配失败的情况下，确认主体信息和第五预设字段集合匹配失败。

可选地，在本申请实施例提供的访问请求的拦截装置中，第一拦截单元30包括：获取模块，用于获取访问请求对应的IP；拦截模块，用于判断IP是否存储于第一字典，在IP存储于第一字典的情况下，对访问请求进行拦截，其中，第一字典用于记录存在风险的访问请求对应的IP；添加模块，用于在IP未存储于第一字典的情况下，将IP添加至第一字典中，并对访问请求进行拦截。

可选地，在本申请实施例提供的访问请求的拦截装置中，第一拦截模块包括：更新子模块，用于将IP在第一字典中对应的访问时间更新为最新访问的时间，并依据IP对应的防火墙策略对访问请求进行拦截；轮询子模块，用于在依据IP对应的防火墙策略对访问请求进行拦截的过程中，轮询第一字典中的各个IP对应的访问时间，并在被轮询到的IP对应的访问时间与轮询时间的差值超过预设时长的情况下，确认被轮询到的IP为目标IP，在第一字典中删除目标IP，并删除目标IP对应的防火墙策略。

可选地，在本申请实施例提供的访问请求的拦截装置中，添加模块包括：添加子模块，用于将IP对应的访问时间添加到第一字典中，并创建IP对应的防火墙策略；拦截子模块，用于依据防火墙策略对访问请求进行拦截。

可选地，在本申请实施例提供的访问请求的拦截装置中，该装置还包括：第一IP获取单元，用于获取访问请求对应的IP和IP对应的统一资源定位器，依据IP和统一资源定位器确定访问站点；更新单元，用于判断访问站点是否存储于第二字典，在访问站点存储于第二字典的情况下，执行判断访问请求的访问次数是否超过阈值的步骤，并更新访问站点的访问次数，其中，第二字典用于记录访问请求的访问次数；添加单元，用于在访问站点未存储于第二字典的情况下，在第二字典中添加访问站点，并记录访问站点的访问次数，得到初始访问次数。

可选地，在本申请实施例提供的访问请求的拦截装置中，该装置还包括：第二IP获取单元，用于获取访问请求对应的IP；名单判断单元，用于判断IP是否存储于白名单，在IP未存储于白名单的情况下，判断IP是否存储于黑名单，其中，白名单中存储有不存在风险的IP，黑名单中存储有存在风险的IP；第三拦截单元，用于在IP存储于黑名单的情况下，对访问请求进行拦截；提示单元，用于在IP未存储于黑名单的情况下，发出提示信息，并执行将多个第一目标特征和第二目标特征与预设规则进行匹配的步骤，其中，提示信息用于表征访问请求存在安全风险。

上述访问请求的拦截装置包括处理器和存储器，上述获取单元10、匹配单元20、第一拦截单元30、判断单元40和第二拦截单元50等均作为程序单元存储在存储器中，由处理器执行存储在存储器中的上述程序单元来实现相应的功能。

处理器中包含内核，由内核去存储器中调取相应的程序单元。内核可以设置一个或以上，通过调整内核参数来有效拦截存在安全风险的访问请求，避免访问次数低于阈值或访问方式未通过网络的风险访问请求无法被拦截。

存储器可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)，存储器包括至少一个存储芯片。

本申请实施例还提供了一种非易失性存储介质，非易失性存储介质包括存储的程序，其中，程序运行时控制非易失性存储介质所在的设备执行一种访问请求的拦截方法。

本申请实施例还提供了一种电子装置，包含处理器和存储器；存储器中存储有计算机可读指令，处理器用于运行计算机可读指令，其中，计算机可读指令运行时执行一种访问请求的拦截方法。本文中的电子装置可以是服务器、PC、PAD、手机等。

本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质（包括但不限于磁盘存储器、CD-ROM、光学存储器等）上实施的计算机程序产品的形式。

本申请是参照根据本申请实施例的方法、设备（系统）、和计算机程序产品的流程图和／或方框图来描述的。应理解可由计算机程序指令实现流程图和／或方框图中的每一流程和／或方框、以及流程图和／或方框图中的流程和／或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能的步骤。

在一个典型的配置中，计算设备包括一个或多个处理器 (CPU)、输入/输出接口、网络接口和内存。

存储器可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。存储器是计算机可读介质的示例。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存 (PRAM)、静态随机存取存储器 (SRAM)、动态随机存取存储器 (DRAM)、其他类型的随机存取存储器 (RAM)、只读存储器 (ROM)、电可擦除可编程只读存储器 (EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘 (DVD) 或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体 (transitory media)，如调制的数据信号和载波。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括要素的过程、方法、商品或者设备中还存在另外的相同要素。

以上仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims (11)

1.一种访问请求的拦截方法，其特征在于，包括：

解析访问请求对应的超文本传输协议，获取所述超文本传输协议的头部信息与内容信息；

从所述头部信息中获取多个第一目标特征，从所述内容信息中获取第二目标特征，将所述多个第一目标特征和所述第二目标特征与预设规则进行匹配，得到匹配结果，其中，所述预设规则用于判断所述头部信息与所述内容信息中是否存在风险特征，所述第一目标特征至少包括用户代理、统一资源定位器、本地数据、形式参数，所述第二目标特征至少包括主体信息；

根据所述匹配结果确定是否对所述访问请求进行拦截；

其中，根据所述匹配结果确定是否对所述访问请求进行拦截包括：

在所述匹配结果指示匹配成功的情况下，对所述访问请求进行拦截；

在所述匹配结果指示匹配失败的情况下，判断所述访问请求的访问次数是否超过阈值；

在所述访问请求的访问次数超过所述阈值的情况下，对所述访问请求进行拦截；

其中，匹配成功的情况下，对所述访问请求进行拦截包括：获取所述访问请求对应的IP；判断所述IP是否存储于第一字典，在所述IP存储于所述第一字典的情况下，对所述访问请求进行拦截，其中，所述第一字典用于记录存在风险的访问请求对应的IP，对所述访问请求进行拦截是指依据所述IP对应的防火墙策略对所述访问请求进行拦截；

其中，在匹配失败的情况下，获取所述访问请求对应的IP和所述IP对应的统一资源定位器，依据所述IP和所述统一资源定位器确定访问站点；判断所述访问站点是否存储于第二字典，在所述访问站点存储于所述第二字典的情况下，执行判断所述访问请求的访问次数是否超过阈值的步骤，并更新所述访问站点的访问次数，其中，所述第二字典用于记录所述访问请求的访问次数，所述第二字典为限速字典。

2.根据权利要求1所述的方法，其特征在于，将所述多个第一目标特征和所述第二目标特征与预设规则进行匹配包括：

确定所述多个第一目标特征的权重和所述第二目标特征的权重；

根据权重对多个所述第一目标特征和所述第二目标特征进行排序，得到排序结果；

按照所述排序结果依次将所述第一目标特征或所述第二目标特征与所述预设规则进行匹配，在存在一次匹配成功的情况下，确定所述多个第一目标特征和所述第二目标特征与所述预设规则匹配成功。

3.根据权利要求2所述的方法，其特征在于，将所述多个第一目标特征和所述第二目标特征与预设规则进行匹配包括：

将所述本地数据中的字段与第一预设字段集合中的风险字段进行匹配，在所述本地数据中任意一个字段与所述第一预设字段集合中的风险字段匹配的情况下，确认所述本地数据和所述第一预设字段集合匹配成功；

在所述本地数据和所述第一预设字段集合匹配失败的情况下，将所述形式参数中的字段与第二预设字段集合中的风险字段进行匹配，在所述形式参数中任意一个字段与所述第二预设字段集合中的风险字段匹配的情况下，确认所述形式参数和所述第二预设字段集合匹配成功；

在所述形式参数和所述第二预设字段集合匹配失败的情况下，将所述统一资源定位器中的字段与第三预设字段集合中的风险字段进行匹配，在所述统一资源定位器中任意一个字段与所述第三预设字段集合中的风险字段匹配的情况下，确认所述统一资源定位器和所述第三预设字段集合匹配成功；

在所述统一资源定位器和所述第三预设字段集合匹配失败的情况下，将所述用户代理中的字段与第四预设字段集合中的风险字段进行匹配，在所述用户代理中任意一个字段与所述第四预设字段集合中的风险字段匹配的情况下，确认所述用户代理和所述第四预设字段集合匹配成功；

在所述用户代理和所述第四预设字段集合匹配失败的情况下，将所述主体信息中的字段与第五预设字段集合中的风险字段进行匹配，在所述主体信息中任意一个字段与所述第五预设字段集合中的风险字段匹配的情况下，确认所述主体信息和所述第五预设字段集合匹配成功；

在所述主体信息和所述第五预设字段集合匹配失败的情况下，确认所述主体信息和所述第五预设字段集合匹配失败。

4.根据权利要求1所述的方法，其特征在于， 在所述IP未存储于所述第一字典的情况下，将所述IP添加至所述第一字典中，并对所述访问请求进行拦截。

5.根据权利要求4所述的方法，其特征在于，在所述IP存储于所述第一字典的情况下，对所述访问请求进行拦截包括：

将所述IP在所述第一字典中对应的访问时间更新为最新访问的时间，并依据所述IP对应的防火墙策略对所述访问请求进行拦截；

在依据所述IP对应的防火墙策略对所述访问请求进行拦截的过程中，轮询所述第一字典中的各个IP对应的访问时间，并在被轮询到的IP对应的所述访问时间与轮询时间的差值超过预设时长的情况下，确认所述被轮询到的IP为目标IP，在所述第一字典中删除所述目标IP，并删除所述目标IP对应的防火墙策略。

6.根据权利要求4所述的方法，其特征在于，在所述IP未存储于所述第一字典的情况下，将所述IP添加至所述第一字典中，并对所述访问请求进行拦截包括：

将所述IP对应的访问时间添加到所述第一字典中，并创建所述IP对应的防火墙策略；

依据所述防火墙策略对所述访问请求进行拦截。

7.根据权利要求1所述的方法，其特征在于，

在所述访问站点未存储于所述第二字典的情况下，在所述第二字典中添加所述访问站点，并记录所述访问站点的访问次数，得到初始访问次数。

8.根据权利要求1所述的方法，其特征在于，在将所述多个第一目标特征和所述第二目标特征与预设规则进行匹配之前，所述方法还包括：

获取所述访问请求对应的IP；

判断所述IP是否存储于白名单，

在所述IP未存储于所述白名单的情况下，判断所述IP是否存储于黑名单，其中，所述白名单中存储有不存在风险的IP，所述黑名单中存储有存在风险的IP；

在所述IP存储于黑名单的情况下，对所述访问请求进行拦截；

在所述IP未存储于黑名单的情况下，发出提示信息，并执行将所述多个第一目标特征和所述第二目标特征与预设规则进行匹配的步骤，其中，所述提示信息用于表征所述访问请求存在安全风险。

9.一种访问请求的拦截装置，其特征在于，包括：

获取单元，用于解析访问请求对应的超文本传输协议，获取所述超文本传输协议的头部信息与内容信息；

匹配单元，用于从所述头部信息中获取多个第一目标特征，从所述内容信息中获取第二目标特征，将所述多个第一目标特征和所述第二目标特征与预设规则进行匹配，其中，所述预设规则用于判断所述头部信息与所述内容信息中是否存在风险特征，所述第一目标特征至少包括用户代理、统一资源定位器、本地数据、形式参数，所述第二目标特征至少包括主体信息；

第一拦截单元，用于在匹配成功的情况下，对所述访问请求进行拦截；

判断单元，用于在匹配失败的情况下，判断所述访问请求的访问次数是否超过阈值；

第二拦截单元，用于在所述访问请求的访问次数超过所述阈值的情况下，对所述访问请求进行拦截；

所述拦截单元包括：

第一拦截模块，用于在所述匹配结果指示匹配成功的情况下，对所述访问请求进行拦截；

判断模块，用于在所述匹配结果指示匹配失败的情况下，判断所述访问请求的访问次数是否超过阈值；

第二拦截模块，用于在所述访问请求的访问次数超过所述阈值的情况下，对所述访问请求进行拦截；

其中，所述第一拦截单元包括：获取模块，用于获取所述访问请求对应的IP；拦截模块，用于判断所述IP是否存储于第一字典，在所述IP存储于所述第一字典的情况下，对所述访问请求进行拦截，其中，所述第一字典用于记录存在风险的访问请求对应的IP，对所述访问请求进行拦截是指依据所述IP对应的防火墙策略对所述访问请求进行拦截；

其中，所述装置还包括第一IP获取单元，用于获取所述访问请求对应的IP和所述IP对应的统一资源定位器，依据所述IP和所述统一资源定位器确定访问站点；更新单元，用于判断所述访问站点是否存储于第二字典，在所述访问站点存储于所述第二字典的情况下，执行判断所述访问请求的访问次数是否超过阈值的步骤，并更新所述访问站点的访问次数，其中，所述第二字典用于记录所述访问请求的访问次数，所述第二字典为限速字典。

10.一种非易失性存储介质，其特征在于，所非易失性存储介质包括存储的程序，其中，所述程序运行时控制所述非易失性存储介质所在的设备执行权利要求1至8中任意一项所述的访问请求的拦截方法。

11.一种电子装置，其特征在于，包含处理器和存储器，所述存储器中存储有计算机可读指令，所述处理器用于运行所述计算机可读指令，其中，所述计算机可读指令运行时执行权利要求1至8中任意一项所述的访问请求的拦截方法。