CN115664856A - 一种请求过滤方法、系统、设备及介质 - Google Patents

Abstract

本申请涉及一种请求过滤方法、系统、设备及介质，该方法包括以下步骤：接收过滤规则配置信息并根据过滤规则配置信息配置安全组件；接收原请求内容；通过安全组件对原请求内容进行过滤，生成已过滤请求内容；判断原请求内容与已过滤请求内容是否存在差异；若是，则拒绝接收原请求内容并返回错误信息；在通过安全组件对原请求内容进行过滤时，先对原请求内容中的Query值进行过滤，再对原请求内容中的Body值进行过滤，Query值与Body值均需要经过XSS攻击关键字与SQL注入关键字的过滤。本申请完成了对原请求内容中包含的恶意代码的识别与过滤，有效的防止了恶意攻击者通过请求对网站进行XSS攻击及SQL注入。

Description

一种请求过滤方法、系统、设备及介质

技术领域

本申请涉及信息过滤技术领域，尤其是涉及一种请求过滤方法、系统、设备及介质。

背景技术

XSS攻击（Cross Site Script为了区别于CSS简称为XSS），即跨站脚本攻击，是指恶意攻击者向Web页面中插入恶意的Html代码，当用户浏览该页面时，恶意的Html代码会被执行，从而对页面的展示造成影响；恶意攻击者能够通过XSS攻击对页面中的cookie值进行窃取，以及实现恶意页面跳转，从而对用户的个人隐私及财产安全造成危害。

SQL注入（SQL Injection）是指恶意攻击者向页面输入恶意的SQL查询语句，当这些恶意的SQL查询语句被发送至后台SQL服务器时，会导致后台SQL服务器返回的查询结果并不是按照常理出现的查询结果；恶意攻击者通过SQL注入攻击可以获取用户账户名、密码等用户隐私信息，甚至可以读取修改系统文件，对用户的网络安全造成危害。

由于网站开发者的能力参差不齐，在网站经过开发上线后，部分系统会存在XSS攻击与SQL注入漏洞，一旦恶意攻击者利用这些漏洞对网站进行攻击，会导致用户的网络安全无法得到保证。

发明内容

为了能够对恶意攻击者的恶意攻击进行防御，本申请提供一种请求过滤方法、系统、设备及介质。

第一方面，本申请提供的一种请求过滤方法采用如下的技术方案：

一种请求过滤方法，所述方法包括以下步骤：

接收原请求内容；

通过安全组件对所述原请求内容进行过滤，生成已过滤请求内容；

判断所述原请求内容与所述已过滤请求内容是否存在差异；

若是，则拒绝接收所述原请求内容。

通过采用上述技术方案，当接收到请求时，先通过安全组件对请求的内容进行过滤，对于判定为恶意攻击者发送的恶意请求，拒绝接收该请求内容，通过安全组件有效的对网站进行防护，保证了网站不会被恶意攻击者的恶意攻击影响，从而保证用户的网络安全。

优选的，在通过所述安全组件对所述原请求内容进行过滤，生成已过滤请求内容中，具体包括以下步骤：

提取所述原请求内容中的Query值；

根据所述安全组件的过滤规则判断所述Query值中是否包含攻击关键字，所述攻击关键字包括XSS攻击关键字及SQL注入关键字；

若是，则移除所述攻击关键字。

通过采用上述技术方案，通过安全组件对XSS攻击关键字及SQL注入关键字完成过滤，完成对Query值的过滤，保证请求中带的参数值的安全，不包含攻击关键字。

优选的，在判断所述Query值中是否包含攻击关键字后，还包括以下步骤：

若否，则提取所述原请求内容中的Body值；

根据所述安全组件的所述过滤规则判断所述Body值中是否包含所述攻击关键字；

若是，则移除所述攻击关键字。

通过采用上述技术方案，完成对请求中的Body值的过滤，保证Body值不包含XSS攻击关键字及SQL注入关键字，保证请求中带的请求体内容在发送至服务器时的安全。

优选的，在通过所述安全组件对所述原请求内容进行过滤，生成已过滤请求内容前，还包括以下步骤：

接收白名单配置信息，所述白名单配置信息包括安全关键字；

根据所述白名单配置信息建立白名单；

根据所述白名单对所述过滤规则中的过滤条件进行更改。

通过采用上述技术方案，通过设置白名单，使得部分攻击关键字不会被过滤，能够让用户根据自身需求对过滤规则进行更改。

优选的，在根据所述白名单对所述过滤规则的过滤条件进行更改中，具体包括以下步骤：

获取所述原请求内容的URL；

所述白名单配置信息还包括白名单的URL标签，根据所述URL标签匹配所述原请求内容与对应的所述白名单；

对所述原请求内容中与所述安全关键字相同的所述攻击关键字不进行过滤。

通过采用上述技术方案，完成请求的URL与白名单的对应，使得不同的页面能够使用不同的白名单进行过滤规则更改，组成针对该URL独有的过滤规则进行安全校验。

优选的，在拒绝接收所述原请求内容并返回错误信息后，还包括以下步骤：

获取所述原请求内容对应的IP地址；

对所述原请求内容、与所述原请求内容对应的所述IP地址及被所述安全组件过滤的所述攻击关键字进行记录，生成攻击报表。

通过采用上述技术方案，在完成请求过滤后，对恶意攻击者发送恶意请求的IP地址进行记录，同时记录过滤掉的攻击关键字、原请求内容等等信息，便于网站管理者后续查看，并针对记录的相关信息采取对应策略进一步保障网站安全。

第二方面，本申请提供的一种请求过滤系统采用如下的技术方案：

安全组件配置模块，用于根据所述过滤规则配置信息配置安全组件；

原请求内容接收模块，用于接收原请求内容；

原请求内容过滤模块，用于对所述原请求内容进行过滤，生成已过滤请求内容；

请求内容差异判断模块，用于判断所述原请求内容与所述已过滤请求内容是否存在差异；

请求内容拒绝模块，用于拒绝接收所述原请求内容。

优选的，所述原请求内容过滤模块包括第一过滤单元与第二过滤单元，所述第一过滤单元通过HtmlSanitizer组件对XSS攻击关键字进行过滤，所述第二过滤单元通过正则表达式对SQL注入关键字进行过滤。

第三方面，本申请提供一种计算机设备，采用如下技术方案：包括存储器和处理器，所述存储器上存储有能够被处理器加载并执行如上述任一种请求过滤方法的计算机程序。

第四方面，本申请提供一种计算机可读存储介质，采用如下技术方案：存储有能够被处理器加载并执行上述任一种请求过滤方法程序。

综上所述，本申请包括以下至少一种有益技术效果：

1.完成对请求内容的过滤，保证发送至服务器端的请求内容中不包含XSS攻击关键字及SQL注入关键字，从而避免恶意攻击者通过发送恶意请求对服务器端进行攻击，保证了用户的网络安全；

2.添加白名单，通过白名单实现过滤规则的自定义，使得网站管理人员能够对过滤规则进行自由配置；

3.请求过滤方法逻辑简单，资源占用低，处理效率高；构建投入、维护成本低，在不改变代码逻辑前提下，能够适应各种应用场景需求，简单便捷的实现网站安全防控，通过安全组件实现不依赖于第三方平台。

附图说明

图1是本申请实施例的一种请求过滤方法的方法流程图。

图2是本申请实施例的一种请求过滤系统的系统框图。

图3是本申请实施例的一种请求过滤设备的结构示意图。

附图标记说明：210、原请求内容接收模块；220、原请求内容过滤模块；221、第一过滤单元；222、第二过滤单元；230、请求内容差异判断模块；240、请求内容拒绝模块；300、电子设备；301、处理器；302、通信总线；303、用户接口；304、网络接口；305、存储器。

具体实施方式

为了使本技术领域的人员更好地理解本说明书中的技术方案，下面将结合本说明书实施例中的附图，对本说明书实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅是本申请一部分实施例，而不是全部的实施例。

本申请实施例公开一种请求过滤方法。

参照图1，一种请求过滤方法包括以下步骤：

S10：接收过滤规则配置信息并根据过滤规则配置信息完成对安全组件的配置；

具体的，在接收请求前，在代码中添加安全组件的引用，并完成对安全组件的过滤规则的配置；过滤规则即当请求经过第一过滤单元及第二过滤单元时，过滤单元检测到请求中包含何种关键字时，将这些关键字判定为攻击关键字并予以剔除。

通常而言，过滤规则是基于XSS攻击与SQL注入本身的特性决定的，例如对于XSS攻击而言，恶意攻击者通过网页向服务器输入类似于<script>alert("您的账号存在危险，请致电官方客服XXXX")</script>此类的Html代码语句，此时对于部分存在XSS漏洞的网站会将该内容不加甄别的原样又输出到了页面中，在其他用户的页面上显示对话框，对话框中的内容即为“您的账号存在危险，请致电官方客服XXXX”，因此在设置过滤规则时，可以将部分与XSS攻击相关的标签、字符划定为攻击关键字，例如<script>标签、onload事件等，在请求通过过滤单元时对这些攻击关键字进行剔除。

对于SQL注入，恶意攻击者通过向数据库发送恶意的SQL代码，在数据库后端进行查询时，由于恶意攻击者发送的SQL代码在原查询代码的基础上产生作用，导致页面返回不符合常理的数据，因此对于常用的SQL代码关键字，例如select、update等，将这些SQL代码常用的关键字划定为攻击关键字。

S20：接收原请求内容；

具体的，在完成安全组件的过滤规则的配置后，接收原请求内容，该原请求内容的请求方法可以是POST也可以是GET，原请求内容被接收后，先经过安全组件的过滤再传输至服务器。

S30：通过安全组件对原请求内容进行过滤，生成已过滤请求内容；

具体的，接收到原请求内容后，安全组件将对该原请求内容根据已设置的过滤规则进行过滤，对原请求内容的过滤通过第一过滤单元与第二过滤单元进行，第一过滤单元通过HtmlSanitizer组件对XSS攻击关键字进行过滤，第二过滤单元通过正则表达式对SQL注入关键字进行过滤。

对原请求内容的过滤的具体步骤为：从原请求内容中提取出原请求内容的Query值，通过第一滤器与第二过滤单元分别对该Query值进行XSS攻击关键字过滤与SQL注入关键字过滤，Query值是客户端向服务器端请求中带有的参数值，在GET请求方法中，Query值拼接在请求地址上；在完成对Query值的过滤后，提取出原请求内容中的Body值，同样的，通过第一过滤单元与第二过滤单元分别对该Query值进行XSS攻击关键字过滤与SQL注入关键字过滤，Body值即客户端向服务器端请求中带的请求体内容；在Query值与Body值经过两个过滤单元进行过滤时，一旦发现存在攻击关键字，则对识别到的攻击关键字进行剔除，得到已过滤请求内容。

在本申请一实施例中，在进行对原请求内容的过滤前，会判断是否接收到白名单配置信息，该白名单配置信息用于对白名单进行配置，白名单配置信息包括白名单的URL标签及安全关键字；若判断接收到白名单配置信息，则说明存在白名单，若存在白名单，则在对原请求内容的过滤前会获取该原请求内容的URL，通过白名单的URL标签在已配置好的白名单中查找是否存在有与该原请求内容的URL对应的白名单，当查找到对应的白名单后，将白名单中的安全关键字作为过滤条件引入配置的过滤规则中，即当第一过滤单元与第二过滤单元在进行攻击关键字的过滤时，如果发现某个攻击关键字与白名单中的安全关键字相同，那么对于该攻击关键字第一过滤单元与第二过滤单元会予以忽略，不对其进行过滤，例如针对于XSS攻击过滤的白名单，该白名单的结构可以如下所示：

{ //数组形式

"UrlWhiteList":

[

{ "Name": "xsstest", //规则名称

"PageUrl": "/home/xss", //需要验证的页面地址，其他未配置的地址都会执行xss验证，即URL标签

"WhiteParams": [ "*" ] //允许xss代码的参数，数组形式 },...

],//全局白名单标签列表

"AllWhiteKeyList": ["select",...]

}...

S40：判断原请求内容与已过滤请求内容是否存在差异；

具体的，在原请求内容的Query值与Body值均经过第一过滤单元及第二过滤单元的攻击关键字过滤后，若原请求内容中包含攻击关键字，那么这些攻击关键字会被第一过滤单元及第二过滤单元剔除，生成的已过滤请求内容相较于原请求内容会变短，与原请求内容产生差异。

S50：若判断原请求内容与已过滤请求内容存在差异，则拒绝接收原请求内容并返回错误信息；

具体的，当发现原请求内容与已过滤请求内容存在差异时，说明原请求内容中包含SQL注入关键字和/或XSS攻击关键字，该原请求内容可能是由恶意攻击者发送以进行SQL注入或/和XSS攻击，对于此类请求，拒绝接收并返回自定义的错误信息。

在完成请求过滤的全过程后，对于识别到的包含SQL注入关键字和/或XSS攻击关键字的原请求内容，获取该原请求内容的对应的IP地址及被过滤的攻击关键字，将该原请求内容及其相关信息予以记录，生成攻击报表，以便于网站管理者进行管理，对于后续相同IP地址的请求，可以不进行接收。

S51：若判断原请求内容与已过滤请求内容不存在差异，则同意接收原请求内容；

具体的，若判断原请求内容与已过滤请求内容不存在差异，说明该请求为正常用户的正常请求，则服务器端接收请求，根据请求内容返回对应的服务。

本申请实施例一种请求过滤方法的实施原理为：对于获取的原请求内容，先对原请求内容中的Query值进行过滤，完成过滤后对原请求内容中的Body值进行过滤，Query值与Body值均需要通过第一过滤单元与第二过滤单元分别进行XSS攻击关键字过滤及SQL注入关键字过滤，若第一过滤单元与第二过滤单元识别到攻击关键字后，对攻击关键字进行剔除，原请求内容经过安全组件后生成已过滤请求内容，判断原请求内容与已过滤请求内容是否存在差异，若存在则说明原请求内容中包含XSS攻击关键字和/或SQL注入关键字，为恶意攻击者发送的恶意请求，对于此类请求内容，拒绝接收并返回自定义的错误信息。

本申请实施例还公开一种请求过滤系统。

参照图2，一种请求过滤系统包括以下模块：

原请求内容接收模块210，用于接收原请求内容；

原请求内容过滤模块220，用于对原请求内容进行过滤，生成已过滤请求内容；

请求内容差异判断模块230，用于判断原请求内容与已过滤请求内容是否存在差异；

请求内容拒绝模块240，用于拒绝接收原请求内容。

具体的，原请求内容过滤模块220包括第一过滤单元221与第二过滤单元222，第一过滤单元221通过HtmlSanitizer组件对XSS攻击关键字进行过滤，第二过滤单元222通过正则表达式对SQL注入关键字进行过滤。

本申请实施例还公开一种请求过滤设备。

请参见图3，为本申请实施例提供了一种电子设备300的结构示意图。如图3所示，所述电子设备300可以包括：至少一个处理器301，至少一个网络接口304，用户接口303，存储器305，至少一个通信总线302。

其中，通信总线302用于实现这些组件之间的连接通信。

其中，用户接口303可以包括显示屏（Display）、摄像头（Camera），可选用户接口303还可以包括标准的有线接口、无线接口。

其中，网络接口304可选的可以包括标准的有线接口、无线接口（如WI-FI接口）。

其中，处理器301可以包括一个或者多个处理核心。处理器301利用各种接口和线路连接整个服务器内的各个部分，通过运行或执行存储在存储器305内的指令、程序、代码集或指令集，以及调用存储在存储器305内的数据，执行服务器的各种功能和处理数据。可选的，处理器301可以采用数字信号处理（Digital Signal Processing，DSP）、现场可编程门阵列（Field-Programmable Gate Array，FPGA）、可编程逻辑阵列（Programmable LogicArray，PLA）中的至少一种硬件形式来实现。处理器301可集成中央处理器（CentralProcessing Unit，CPU）、图像处理器（Graphics Processing Unit，GPU）和调制解调器等中的一种或几种的组合。其中，CPU主要处理操作系统、用户界面和应用程序等；GPU用于负责显示屏所需要显示的内容的渲染和绘制；调制解调器用于处理无线通信。可以理解的是，上述调制解调器也可以不集成到处理器301中，单独通过一块芯片进行实现。

其中，存储器305可以包括随机存储器（Random Access Memory，RAM），也可以包括只读存储器（Read-Only Memory）。可选的，该存储器305包括非瞬时性计算机可读介质（non-transitory computer-readable storage medium）。存储器305可用于存储指令、程序、代码、代码集或指令集。存储器305可包括存储程序区和存储数据区，其中，存储程序区可存储用于实现操作系统的指令、用于至少一个功能的指令（比如触控功能、声音播放功能、图像播放功能等）、用于实现上述各个方法实施例的指令等；存储数据区可存储上面各个方法实施例中涉及的数据等。存储器305可选的还可以是至少一个位于远离前述处理器301的存储装置。如图3所示，作为一种计算机存储介质的存储器305中可以包括操作系统、网络通信模块、用户接口模块以及一种请求过滤方法的应用程序。

在图3所示的电子设备300中，用户接口303主要用于为用户提供输入的接口，获取用户输入的数据；而处理器301可以用于调用存储器305中存储的一种请求过滤方法的应用程序，当由一个或多个处理器301执行时，使得电子设备300执行如上述实施例中一个或多个所述的方法。

本申请实施例还公开一种请求过滤介质。

一种电子设备可读存储介质，所述电子设备300可读存储介质存储有指令。当由一个或多个处理器301执行时，使得电子设备300执行如上述实施例中一个或多个所述的方法。

本申请实施例还公开一种计算机可读存储介质。

具体来说，该计算机可读存储介质，其存储有能够被处理器301加载并执行如上述一种请求过滤方法的计算机程序，该计算机可读存储介质例如包括：U盘、移动硬盘、只读存储器 (Read-Only Memory，ROM)、随机存取存储器 (Random Access Memory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。

以上均为本申请的较佳实施例，并非依此限制本申请的保护范围，故：凡依本申请的结构、形状、原理所做的等效变化，均应涵盖于本申请的保护范围之内。

Claims (10)

1.一种请求过滤方法，其特征在于，所述方法包括以下步骤：

接收原请求内容；

通过安全组件对所述原请求内容进行过滤，生成已过滤请求内容；

判断所述原请求内容与所述已过滤请求内容是否存在差异；

若是，则拒绝接收所述原请求内容。

2.根据权利要求1所述的一种请求过滤方法，其特征在于，在通过所述安全组件对所述原请求内容进行过滤，生成已过滤请求内容中，具体包括以下步骤：

提取所述原请求内容中的Query值；

根据所述安全组件的过滤规则判断所述Query值中是否包含攻击关键字，所述攻击关键字包括XSS攻击关键字及SQL注入关键字；

若是，则移除所述攻击关键字。

3.根据权利要求2所述的一种请求过滤方法，其特征在于，在判断所述Query值中是否包含攻击关键字后，还包括以下步骤：

若否，则提取所述原请求内容中的Body值；

根据所述安全组件的所述过滤规则判断所述Body值中是否包含所述攻击关键字；

若是，则移除所述攻击关键字。

4.根据权利要求2所述的一种请求过滤方法，其特征在于，在通过所述安全组件对所述原请求内容进行过滤，生成已过滤请求内容前，还包括以下步骤：

接收白名单配置信息，所述白名单配置信息包括安全关键字；

根据所述白名单配置信息建立白名单；

根据所述白名单对所述过滤规则中的过滤条件进行更改。

5.根据权利要求4所述的一种请求过滤方法，其特征在于，在根据所述白名单对所述过滤规则的过滤条件进行更改中，具体包括以下步骤：

获取所述原请求内容的URL；

所述白名单配置信息还包括白名单的URL标签，根据所述URL标签匹配所述原请求内容与对应的所述白名单；

对所述原请求内容中与所述安全关键字相同的所述攻击关键字不进行过滤。

6.根据权利要求2所述的一种请求过滤方法，其特征在于，在拒绝接收所述原请求内容并返回错误信息后，还包括以下步骤：

获取所述原请求内容对应的IP地址；

对所述原请求内容、与所述原请求内容对应的所述IP地址及被所述安全组件过滤的所述攻击关键字进行记录，生成攻击报表。

7.一种请求过滤系统，所述系统包括以下模块：

原请求内容接收模块(210)，用于接收原请求内容；

原请求内容过滤模块(220)，用于对所述原请求内容进行过滤，生成已过滤请求内容；

请求内容差异判断模块(230)，用于判断所述原请求内容与所述已过滤请求内容是否存在差异；

请求内容拒绝模块(240)，用于拒绝接收所述原请求内容。

8.根据权利要求7所述的一种请求过滤系统，其特征在于：

所述原请求内容过滤模块(220)包括第一过滤单元(221)与第二过滤单元(222)，所述第一过滤单元(221)通过HtmlSanitizer组件对XSS攻击关键字进行过滤，所述第二过滤单元(222)通过正则表达式对SQL注入关键字进行过滤。

9.一种计算机设备，其特征在于，包括存储器(305)和处理器(301)，所述存储器(305)上存储有能够被处理器(301)加载并执行如权利要求1至6中任一种方法的计算机程序。

10.一种计算机可读存储介质，其特征在于，存储有能够被处理器(301)加载并执行如权利要求1至6中任一种方法的计算机程序。

Images