CN115051819A

CN115051819A - 请求响应方法、装置、计算机设备和存储介质

Info

Publication number: CN115051819A
Application number: CN202210199074.7A
Authority: CN
Inventors: 马鹏飞; 万振华; 王颉; 董燕; 李华
Original assignee: Shenzhen Mainway Technology Co ltd; Seczone Technology Co Ltd
Current assignee: Shenzhen Mainway Technology Co ltd; Seczone Technology Co Ltd
Priority date: 2022-03-01
Filing date: 2022-03-01
Publication date: 2022-09-13

Abstract

本申请涉及一种请求响应方法、装置、计算机设备和存储介质。所述方法包括：在接收到用户访问请求时，确定所述用户访问请求对应的访问类型；所述访问类型用于指示所述用户访问请求的合法性；根据所述访问类型确定对应的目标响应模式；按照所述目标响应模式响应所述用户访问请求，生成对应的响应信息；发送所述响应信息至所述用户访问请求对应的终端。在接收到用户访问请求时判断请求的合法性，根据请求的合法性确定对应的响应模式，以针对不同访问类型的用户访问请求选择相对应的响应模式进行响应，以避免不同访问类型的用户访问请求均按照正常响应模式进行响应，从而避免将服务版本信息作为响应信息进行展示，确保版本信息不会被轻易泄露。

Description

请求响应方法、装置、计算机设备和存储介质

技术领域

本申请涉及计算机技术领域，尤其涉及一种请求响应方法、装置、计算机设备和存储介质。

背景技术

Tomcat是免费开源的web应用服务，由于其免费开源，越来越多的网民以及企业开始使用tomcat服务。Tomcat服务在响应非法访问请求时，存在Tomcat服务按照正常响应模式进行响应的情况，在该情况下会将当前版本信息显示出来，这样就造成了版本信息泄露的漏洞，在Tomcat报错页面中显示版本信息是不安全的，这会被攻击者获取到该版本信息，进而利用该版本信息中的漏洞对服务器进行攻击。

发明内容

为了解决上述技术问题，本申请提供了一种请求响应方法、装置、计算机设备和存储介质。

第一方面，本申请提供了一种请求响应方法，包括：

在接收到用户访问请求时，确定所述用户访问请求对应的访问类型；其中，所述访问类型用于指示所述用户访问请求的合法性；

根据所述访问类型确定对应的目标响应模式；

按照所述目标响应模式响应所述用户访问请求，生成对应的响应信息；

发送所述响应信息至所述用户访问请求对应的终端。

第二方面，本申请提供了一种请求响应装置，包括：

访问类型确定模块，用于在接收到用户访问请求时，确定所述用户访问请求对应的访问类型；其中，所述访问类型用于指示所述用户访问请求的合法性；

响应模式确定模块，用于根据所述访问类型确定对应的目标响应模式；

响应模块，用于按照所述目标响应模式响应所述用户访问请求，生成对应的响应信息；

发送模块，用于发送所述响应信息至所述用户访问请求对应的终端。

一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现以下步骤：

根据所述访问类型确定对应的目标响应模式；

发送所述响应信息至所述用户访问请求对应的终端。

一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现以下步骤：

根据所述访问类型确定对应的目标响应模式；

发送所述响应信息至所述用户访问请求对应的终端。

上述请求响应方法、装置、计算机设备和存储介质，所述方法包括：在接收到用户访问请求时，确定所述用户访问请求对应的访问类型；其中，所述访问类型用于指示所述用户访问请求的合法性；根据所述访问类型确定对应的目标响应模式；按照所述目标响应模式响应所述用户访问请求，生成对应的响应信息；发送所述响应信息至所述用户访问请求对应的终端。基于上述请求响应方法，在接收到用户访问请求时先判断请求的合法性，根据请求的合法性确定对应的响应模式，以针对不同访问类型的用户访问请求选择相对应的响应模式进行响应，以避免不同访问类型的用户访问请求均按照正常响应模式进行响应，出现有非法访问时则不会按照正常响应模式进行响应，从而避免将服务版本信息作为响应信息进行展示，确保版本信息不会被轻易泄露，提高了服务的安全性。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本发明的实施例，并与说明书一起用于解释本发明的原理。

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，对于本领域普通技术人员而言，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为一个实施例中请求响应方法的应用环境图；

图2为一个实施例中请求响应方法的流程示意图；

图3为一个实施例中请求响应装置的程序模块示意图；

图4为一个实施例中计算机设备的结构图。

具体实施方式

为使本申请实施例的目的、技术方案和优点更加清楚，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本申请的一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本申请保护的范围。

图1为一个实施例中请求响应方法的应用环境图。参照图1，该请求响应方法应用于请求响应系统。该请求响应系统包括终端110和服务器120。终端110和服务器120通过网络连接。终端110具体可以是台式终端或移动终端，移动终端具体可以为手机、平板电脑、笔记本电脑等中的至少一种。服务器120可以用独立的服务器或者是多个服务器组成的服务器集群来实现，在本实施例中，服务器120是指安装有Tomcat应用的服务器120，在下文中均称为Tomcat服务器120，并且在Tomcat应用中还插装有探针，探针用于实现IAST技术。

在一个实施例中，图2为一个实施例中一种请求响应方法的流程示意图，参照图2，提供了一种请求响应方法。本实施例主要以该方法应用于上述图1中的服务器120来举例说明，该请求响应方法具体包括如下步骤：

步骤S210，在接收到用户访问请求时，确定所述用户访问请求对应的访问类型。

其中，所述访问类型用于指示所述用户访问请求的合法性。

具体的，用户访问请求为用户通过终端110向Tomcat服务器120发送的请求，用户访问请求用于访问目标域名地址以获取目标数据，即用户访问请求包括请求访问的目标域名地址、目标数据以及终端110的设备信息，目标域名地址处存储有目标数据，终端110的设备信息具体包括终端110型号、终端110标签以及终端110的通信地址，终端110的通信地址即为IP地址。Tomcat服务器120中的探针用于接收用户访问请求，并对用户访问请求进行扫描，从而确定用户访问请求的访问类型，访问类型具体包括合法访问和非法访问。

步骤S220，根据所述访问类型确定对应的目标响应模式。

具体的，根据用户访问请求的合法性来确定对应的响应模式，即合法访问的用户访问请求和非法访问的用户访问请求对应不同的响应模式。

步骤S230，按照所述目标响应模式响应所述用户访问请求，生成对应的响应信息。

具体的，Tomcat服务器120按照用户访问请求相应的目标响应模式进行响应，响应信息为响应于用户访问请求的信息，在用户访问请求的访问类型为合法访问、且Tomcat服务器120查找到目标域名地址时，响应信息为用户访问请求所请求的目标数据。但在用户访问请求的访问类型为非法访问时，所生成的响应信息将不会包含用户访问请求所请求的目标数据。

步骤S240，发送所述响应信息至所述用户访问请求对应的终端110。

具体的，Tomcat服务器120按照用户访问请求中的IP地址将生成的响应信息返回至相应终端110，响应信息通过终端110进行显示，以告知用户Tomcat服务器120的响应结果。

基于上述请求响应方法，在接收到用户访问请求时先判断请求的合法性，根据请求的合法性确定对应的响应模式，以针对不同访问类型的用户访问请求选择相对应的响应模式进行响应，以避免不同访问类型的用户访问请求均按照正常响应模式进行响应，出现有非法访问时则不会按照正常响应模式进行响应，从而避免将服务版本信息作为响应信息进行展示，确保版本信息不会被轻易泄露，提高了服务的安全性。

在一个实施例中，所述在接收到用户访问请求时，确定所述用户访问请求对应的访问类型，包括：在接收到用户访问请求时，确定所述用户访问请求所请求的数据类型；根据所述数据类型确定对应的访问类型。

具体的，在接收用户访问请求之前，提前将指定数据写入探针，以对指定数据进行屏蔽保护，指定数据包括Tomcat应用版本信息对应的数据以及其他需要保护的自定义数据，探针在接收到用户访问请求时对用户访问请求相应代码进行扫描，将扫描得到的目标数据与探针中存储的指定数据进行比对，以确定用户访问请求所请求的目标数据是否为需要屏蔽保护的指定数据，若目标数据与指定数据相匹配，表示用户访问请求用于请求探针所保护屏蔽的数据，则确定用户访问请求的数据类型为屏蔽类型；若目标数据与指定数据不匹配，表示用户访问请求并非请求探针所保护屏蔽的数据，则确定用户访问请求的数据类型为非屏蔽类型。

在一个实施例中，所述根据所述数据类型确定对应的访问类型，包括：在所述数据类型为屏蔽类型时，确定所述用户访问请求对应的访问类型为非法访问；在所述数据类型为非屏蔽类型时，确定所述用户访问请求对应的访问类型为合法访问。

具体的，用户访问请求的数据类型为屏蔽类型，表示用户访问请求用于请求的目标数据为探针所保护屏蔽的指定数据，而探针保护屏蔽的指定数据较为隐私和重要，由此确定用户访问请求的访问目的不单纯，以此确定用户访问请求的访问类型为非法访问。在用户访问请求的数据类型为非屏蔽类型，表示用户访问请求用于请求的目标数据并非是探针所保护的指定数据，确定用户访问请求的访问类型为合法访问，即合法访问的用户访问请求用于正常请求网页数据。

在一个实施例中，所述根据所述访问类型确定对应的目标响应模式，包括：在所述访问类型为非法访问时，将第一模式作为所述目标响应模式；在所述访问类型为合法访问时，将第二模式作为所述目标响应模式。

其中，所述第一模式用于停止响应所述用户访问请求，所述第二模式用于正常响应所述用户访问请求。

具体的，在访问类型为非法访问时，表示用户访问请求所请求的目标数据为探针所保护的指定数据，用户访问请求访问目的不单纯，此时探针无法将指定数据作为响应返回至用户访问请求对应的终端110，则出于对指定数据的保护，将用于停止响应用户访问请求的第一模式作为目标响应模式，后续按照第一模式响应用户访问请求，即停止响应用户访问请求，生成的响应信息用于指示拒绝响应该用户访问请求。

在访问类型为合法访问时，表示用户访问请求所请求的目标数据并发探针所保护的指定数据，则可将用于正常响应用户访问请求的第二模式作为目标响应模式，后续按照第二模式响应用户访问请求，生成的响应信息包括用户访问请求所请求的目标数据。

在一个实施例中，所述在所述访问类型为非法访问时，将第一模式作为所述目标响应模式之后，所述方法还包括：根据所述访问类型为非法访问的所述用户访问请求，生成漏洞上报日志。

具体的，在用户访问请求的访问类型为非法访问时，还将本次访问记录写入漏洞上报日志中，用于提示开发人员存在非法访问记录，也便于后续开发人员查阅用户请求的访问情况，根据非法访问记录便于进行后续的服务维护。

在一个实施例中，所述在所述访问类型为合法访问时，将第二模式作为所述目标响应模式之后，所述方法还包括：在所述访问类型为合法访问时，按照所述第二模式响应所述用户访问请求，生成对应的响应信息；确定所述响应信息的响应状态；在所述响应状态为响应成功时，执行所述发送所述响应信息至所述用户访问请求对应的终端110的步骤。

具体的，在Tomcat服务器120按照第二模式正常响应用户访问请求后，由于网络因素以及其他多维度因素的影响，会得到不同响应状态的响应信息，响应状态包括响应成功和响应报错，响应成功是指Tomcat服务器120成功找到了目标域名地址并获取到了目标数据，并将目标数据打包成响应信息返回至用户访问请求对应的终端110，即Tomcat服务器120对于用户访问请求响应成功。

在一个实施例中，所述确定所述响应信息的响应状态之后，所述方法还包括：在所述响应状态为响应报错时，将所述响应信息中与指定数据相匹配的数据作为待屏蔽数据；屏蔽所述响应信息中的所述待屏蔽数据，生成屏蔽后的所述响应信息；发送屏蔽后的所述响应信息至所述用户访问请求对应的终端110。

具体的，响应状态为响应报错，表示Tomcat服务器120获取用户访问请求所请求的目标数据失败，在Tomcat服务器120响应报错时会生成用于指示报错类型的报错信息，常见的响应报错类型包括路径匹配错误、路径端口错误或IP错误、数据格式错误、字段数据类型不一致、前后台媒体类型不一致、后台代码执行错误等，报错信息通常为报错码，如路径匹配错误对应的报错码为404、数据格式错误或字段数据类型不一致对应的报错码为400、前后台媒体类型不一致对应的报错码为415、网络错误对应的报错码为320、后台代码执行错误对应的报错码为500。

由于Tomcat服务在出现响应报错时会将Tomcat应用的版本信息反馈至终端110进行显示，即此时的响应信息包括报错信息以及Tomcat应用的版本信息，因此为了避免将版本信息返回至终端110进行显示，造成版本信息泄露的漏洞，需要探针将响应信息返回至终端110之前，将生成的响应信息中的数据与指定数据进行比对，从而判断响应信息中是否包含探针所保护的指定数据，将响应信息中与指定数据相匹配的数据作为待屏蔽数据，待屏蔽数据用于指示指定数据中Tomcat应用对应的版本信息，但由于无法将版本信息返回至终端110进行显示，则将响应信息中的待屏蔽数据进行屏蔽处理，即删除响应信息中的待屏蔽数据，得到屏蔽后的响应信息，将屏蔽后的响应信息发送至用户访问请求对应的终端110进行显示，但此时终端110将不会显示Tomcat应用对应的版本信息，以达到保护服务版本信息的目的。

现有技术为了解决Tomcat服务出现响应报错时将Tomcat应用对应的版本信息进行显示的问题，是通过修改展示层的代码或是修改Tomcat应用中的文件包，文件包即为JAR包，但对展示层进行修改的方式需要写代码针对性的修改或删除程序对象中的数据，并且代码维护复杂、迁移性较差；对Tomcat应用中文件包进行修改的方式存在误删风险，且会破坏文件包的数据结构，在需要获取版本信息时无法进行复现。

但上述实施例中，仅通过在Tomcat应用中插装探针，通过探针对包含有版本信息的响应信息进行屏蔽处理，以确保发送至终端110的响应信息中不存在涉及私密性的关键信息，例如Tomcat应用的版本信息等，并未对Tomcat应用自身代码进行修改，也并未破坏文件包的数据结构，通过探针来屏蔽版本泄露的漏洞实现方法还可应用于装载有不同版本Tomcat应用的服务器120，该方法具有通用性，即可在不同的Tomcat应用中进行复用而不需要修改应用代码，对Tomcat应用没有依赖性，降低了开发难度和维护成本，解决了现有技术中代码维护复杂、迁移性较差以及存在误删风险等技术问题，并且通过探针检测用户访问请求的合法性，如果是恶意应用通过非法访问方式访问探针所保护的指定数据，探针会生成漏洞上报日志进行警报提示。

上述请求响应方法，利用请求响应方法独权的技术特征进行推导，实现能够解决背景技术中所提出技术问题的有益效果。

图2为一个实施例中请求响应方法的流程示意图。应该理解的是，虽然图2的流程图中的各个步骤按照箭头的指示依次显示，但是这些步骤并不是必然按照箭头指示的顺序依次执行。除非本文中有明确的说明，这些步骤的执行并没有严格的顺序限制，这些步骤可以以其它的顺序执行。而且，图2中的至少一部分步骤可以包括多个子步骤或者多个阶段，这些子步骤或者阶段并不必然是在同一时刻执行完成，而是可以在不同的时刻执行，这些子步骤或者阶段的执行顺序也不必然是依次进行，而是可以与其它步骤或者其它步骤的子步骤或者阶段的至少一部分轮流或者交替地执行。

在一个实施例中，如图3所示，提供了一种请求响应装置，包括：

访问类型确定模块310，用于在接收到用户访问请求时，确定所述用户访问请求对应的访问类型；其中，所述访问类型用于指示所述用户访问请求的合法性；

响应模式确定模块320，用于根据所述访问类型确定对应的目标响应模式；

响应模块330，用于按照所述目标响应模式响应所述用户访问请求，生成对应的响应信息；

发送模块340，用于发送所述响应信息至所述用户访问请求对应的终端110。

在一个实施例中，所述访问类型确定模块310还用于：

在接收到用户访问请求时，确定所述用户访问请求所请求的数据类型；

根据所述数据类型确定对应的访问类型。

在一个实施例中，所述访问类型确定模块310还用于：

在所述数据类型为屏蔽类型时，确定所述用户访问请求对应的访问类型为非法访问；

在所述数据类型为非屏蔽类型时，确定所述用户访问请求对应的访问类型为合法访问。

在一个实施例中，所述响应模式确定模块320还用于：

在所述访问类型为非法访问时，将第一模式作为所述目标响应模式；其中，所述第一模式用于停止响应所述用户访问请求；

在所述访问类型为合法访问时，将第二模式作为所述目标响应模式；其中，所述第二模式用于正常响应所述用户访问请求。

在一个实施例中，所述装置还包括日志生成模块，用于：

根据所述访问类型为非法访问的所述用户访问请求，生成漏洞上报日志。

在一个实施例中，所述响应模块330还用于：

在所述访问类型为合法访问时，按照所述第二模式响应所述用户访问请求，生成对应的响应信息；

确定所述响应信息的响应状态；

发送模块340还用于：在所述响应状态为响应成功时，执行所述发送所述响应信息至所述用户访问请求对应的终端110的步骤。

在一个实施例中，所述装置还包括屏蔽模块，用于：

在所述响应状态为响应报错时，将所述响应信息中与指定数据相匹配的数据作为待屏蔽数据；

屏蔽所述响应信息中的所述待屏蔽数据，生成屏蔽后的所述响应信息；

发送模块340还用于：发送屏蔽后的所述响应信息至所述用户访问请求对应的终端110。

图4示出了一个实施例中计算机设备的内部结构图。该计算机设备具体可以是图1中的服务器120。如图4所示，该计算机设备包括该计算机设备包括通过系统总线连接的处理器、存储器、网络接口、输入装置和显示屏。其中，存储器包括非易失性存储介质和内存储器。该计算机设备的非易失性存储介质存储有操作系统，还可存储有计算机程序，该计算机程序被处理器执行时，可使得处理器实现请求响应方法。该内存储器中也可储存有计算机程序，该计算机程序被处理器执行时，可使得处理器执行请求响应方法。本领域技术人员可以理解，图4中示出的结构，仅仅是与本申请方案相关的部分结构的框图，并不构成对本申请方案所应用于其上的计算机设备的限定，具体的计算机设备可以包括比图中所示更多或更少的部件，或者组合某些部件，或者具有不同的部件布置。

在一个实施例中，本申请提供的请求响应装置可以实现为一种计算机程序的形式，计算机程序可在如图4所示的计算机设备上运行。计算机设备的存储器中可存储组成该请求响应装置的各个程序模块，比如，图3所示的访问类型确定模块310、响应模式确定模块320、响应模块330和发送模块340。各个程序模块构成的计算机程序使得处理器执行本说明书中描述的本申请各个实施例的请求响应方法中的步骤。

图4所示的计算机设备可以通过如图3所示的请求响应装置中的访问类型确定模块310执行在接收到用户访问请求时，确定所述用户访问请求对应的访问类型；其中，所述访问类型用于指示所述用户访问请求的合法性。计算机设备可通过响应模式确定模块320执行根据所述访问类型确定对应的目标响应模式。计算机设备可通过响应模块330执行按照所述目标响应模式响应所述用户访问请求，生成对应的响应信息。计算机设备可通过发送模块340执行发送所述响应信息至所述用户访问请求对应的终端110。

在一个实施例中，提供了一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，处理器执行计算机程序时实现上述任一项实施例所述的方法。

在一个实施例中，提供了一种计算机可读存储介质，其上存储有计算机程序，计算机程序被处理器执行时实现上述任一项实施例所述的方法。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指示相关的硬件来完成，所述的程序可存储于一非易失性计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，本申请所提供的各实施例中所使用的对存储器、存储、数据库或其它介质的任何引用，均可包括非易失性和/或易失性存储器。非易失性存储器可包括只读存储器(ROM)、可编程ROM(PROM)、电可编程ROM(EPROM)、电可擦除可编程ROM(EEPROM)或闪存。易失性存储器可包括随机存取存储器(RAM)或者外部高速缓冲存储器。作为说明而非局限，RAM以多种形式可得，诸如静态RAM(SRAM)、动态RAM(DRAM)、同步DRAM(SDRAM)、双倍速率SDRAM(DDRSDRAM)、增强型SDRAM(ESDRAM)、同步链路(Synchlink)DRAM(SLDRAM)、存储器总线(Rambus)直接RAM(RDRAM)、直接存储器总线动态RAM(DRDRAM)、以及存储器总线动态RAM(RDRAM)等。

需要说明的是，在本文中，诸如“第一”和“第二”等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

以上所述仅是本发明的具体实施方式，使本领域技术人员能够理解或实现本发明。对这些实施例的多种修改对本领域的技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本发明的精神或范围的情况下，在其它实施例中实现。因此，本发明将不会被限制于本文所示的这些实施例，而是要符合与本文所申请的原理和新颖特点相一致的最宽的范围。

Claims

1.一种请求响应方法，其特征在于，所述方法包括：

根据所述访问类型确定对应的目标响应模式；

发送所述响应信息至所述用户访问请求对应的终端。

2.根据权利要求1所述的方法，其特征在于，所述在接收到用户访问请求时，确定所述用户访问请求对应的访问类型，包括：

根据所述数据类型确定对应的访问类型。

3.根据权利要求2所述的方法，其特征在于，所述根据所述数据类型确定对应的访问类型，包括：

4.根据权利要求3所述的方法，其特征在于，所述根据所述访问类型确定对应的目标响应模式，包括：

5.根据权利要求4所述的方法，其特征在于，所述在所述访问类型为非法访问时，将第一模式作为所述目标响应模式之后，所述方法还包括：

6.根据权利要求4所述的方法，其特征在于，所述在所述访问类型为合法访问时，将第二模式作为所述目标响应模式之后，所述方法还包括：

确定所述响应信息的响应状态；

在所述响应状态为响应成功时，执行所述发送所述响应信息至所述用户访问请求对应的终端的步骤。

7.根据权利要求6所述的方法，其特征在于，所述确定所述响应信息的响应状态之后，所述方法还包括：

发送屏蔽后的所述响应信息至所述用户访问请求对应的终端。

8.一种请求响应装置，其特征在于，所述装置包括：

9.一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现权利要求1至7中任一项所述方法的步骤。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1至7中任一项所述方法的步骤。