CN1960246A - 过滤网络中终端与目的主机间传输的危害性数据的方法 - Google Patents

Abstract

本发明公开了一种过滤网络中终端与目的主机间传输的危害性数据的方法，包括：网络中的终端访问目的主机前先访问代理服务器；所述代理服务器代替所述终端访问所述目的主机；所述代理服务器过滤掉存在于所述目的主机的应答数据中的危害性数据；所述代理服务器将所述应答数据中的非危害性数据转发给所述终端。本发明采用的是在网络中通过代理服务器代替所述的终端访问网络中的目的主机，并且设置在所述代理服务器内的安全过滤程序检测所述目的主机的应答数据，代理服务器将存在于所述应答数据中的危害性数据过滤掉，将所述应答数据中的不具有危害性的数据转发给所述终端，保证了从网络进入所述终端的数据是不具有危害性的安全数据。

Description

过滤网络中终端与目的主机间传输的危害性数据的方法

技术领域

本发明涉及一种过滤网络中终端与目的主机间传输的危害性数据的方法，特别是涉及一种采用的是在网络中通过代理服务器代替所述的终端访问网络中的目的主机，并且设置在所述代理服务器内的安全过滤程序检测所述目的主机的应答数据信息，代理服务器将存在于所述应答数据中的危害性数据过滤掉，将所述应答数据中的不具有危害性的数据转发给所述终端，保证了从网络进入到所述终端的数据是不具有危害性的安全数据的方法。

背景技术

网络应用的发展已从办公领域扩展到家庭、生活和娱乐，而且渗透到更多的网络终端设备中，如笔记本电脑、PDA和智能手机等。终端设备用户开始习惯于网上银行、网上支付和网络休闲，并且网络已经成为一种主要的休闲娱乐方式和交易、勾通的平台。但是，与此同时，网络带给终端设备用户的安全威胁也随之到来，甚至已严重危害到终端设备用户的财产与正常的工作和生活。例如，信用卡号码失窃事件、已有病毒的恶性攻击和总在新出的病毒，不幸的是，现有的安全防护手段(防病毒软件与防火墙软件)根本无法完全的保护终端设备用户，每台终端设备安装的防病毒软件与防火墙软件应对新的技术应用和层出不穷的攻击手段已经越来越显得无力应对，无法为终端设备用户提供一个安全的网络应用环境。通常保护网络终端设备的安全是采用在每一台网络终端设备内安装防病毒软件、防火墙软件，或者一些企业还在网络终端设备的前端安装硬件的防火墙、防毒墙或者与之类似的网络安全设备，但是仍然还是无法避免遭到来自网络上的攻击、破坏。终端设备用户安装的防病毒软件与防火墙软件自身也只是一种辅助工具，它不可能完全的保护系统的安全。

终端设备用户安装了杀毒软件的情况下仍无法保障安全。例如：程序采用“浏览器劫持”的攻击手段是可以通过被系统认可的“合法途径”来进行的！杀毒软件只能通过“特征码”的形式来判断程序是否合法，但这是建立在人为定义以后的，而实施“浏览器劫持”的程序可以有很多，以至于防不胜防。因为大部分浏览器劫持的发起者，都是通过一种被称为BHO(“Browser Helper Object，浏览器辅助对象”)的技术手段植入系统的。它是一种可以让程序员使用简单代码进入浏览器领域的“交互接口”。通过BHO的接口，第三方程序员可以自己编写代码获取浏览器的一些行为和事件通知，如“后退”、“前进”、“当前页面”等，甚至可以获取浏览器的各个组件信息，像菜单、工具栏、坐标等。由于BHO的交互特性，程序员还可以使用代码去控制浏览器的行为，比如常见的修改替换浏览器工具栏、在浏览器界面上添加自己的程序按钮等操作，而这些操作都被视为“合法”的。“浏览器劫持”是一种不同于普通病毒木马感染途径的网络攻击手段，它的渗透途径很多，目前最常见的方式有通过BHO、DLL插件、Hook技术、Winsock LSP等载体达到对用户的浏览器进行篡改的目的。这些载体可以直接寄生于浏览器的模块里，成为浏览器的一部分，进而直接操纵浏览器的行为，轻者把终端设备用户带到自家门户网站，严重的则会在用户计算机中收集敏感信息，危及终端设备用户隐私安全。在网络上，类似于这样的终端设备用户只有在受到劫持后才会发现异常情况的现象和攻击手段还有很多。

终端设备用户安装了防火墙软件的情况下仍无法保障安全。例如：目前的防火墙一般只查网络协议的包头部分，不检查数据包内容。随着现在越来越多的病毒攻击都从针对网络协议的弱点的攻击转向针对特定的目标系统与软件应用的漏洞的攻击，而这些又都封装在网络协议内，所以防火墙根本抵挡不住这种类型病毒的攻击。另外，基于网络传播的病毒、携有攻击发起者的木马程序和间谍程序都是混杂的安全威胁的主要因素。

由此可见，许多的带有破坏性的数据信息一旦进入了终端设备，终端设备的防病毒软件和防火墙软件针对这些带有破坏性的数据信息是无法应对的，更不能完全的、有效的保护终端设备的安全。

发明内容

鉴于上述问题，本发明的目的是提供一种能够过滤掉网络中终端与目的主机之间传输的危害性数据，并且能够完全、有效的保护终端安全访问网络资源的方法。

为解决上述技术问题，本发明的目的是通过以下技术方案实现的：

本发明提供了一种过滤网络中终端与目的主机间传输的危害性数据的方法，包括：网络中的终端访问目的主机前先访问代理服务器；所述代理服务器代替所述终端访问所述目的主机；所述代理服务器过滤掉存在于所述目的主机的应答数据中的危害性数据；所述代理服务器将所述应答数据中的正常的、合法的、不具有病毒性的安全数据转发给所述终端。

优选的，所述终端通过所述代理服务器向所述目的主机发送访问请求数据信息。

优选的，所述代理服务器在网络中是所述终端和所述目的主机之间的中间节点，所述代理服务器双向传递从所述终端到所述目的主机的数据和从所述目的主机到所述终端的数据。

优选的，所述的一种过滤网络中终端与目的主机间传输的危害性数据的方法，还包括：根据所述的终端编制对应的终端访问控制程序；根据所述的代理服务器编制对应的代理服务器访问控制程序；将所述的终端访问控制程序嵌入到所述的终端；将所述的代理服务器访问控制程序嵌入到所述的代理服务器；所述代理服务器访问控制程序是对应于终端访问控制程序。

优选的，所述的一种过滤网络中终端与目的主机间传输的危害性数据的方法，还包括：所述的终端调用所述的终端访问控制程序，通过所述的终端访问控制程序向所述的代理服务器发送访问目的主机的数据信息；所述的代理服务器访问控制程序根据接收到的所述访问目的主机的数据信息向所述目的主机发送访问请求；根据所述的目的主机的应答数据信息，所述代理服务器应答所述终端的访问请求。

优选的，在网络中，所述终端访问控制程序和所述代理服务器访问控制程序将所述代理服务器相对于所述终端逻辑上是透明的。

优选的，所述终端访问控制程序和代理服务器访问控制程序将代理服务器逻辑上成为终端的虚拟装置。

优选的，所述的一种过滤网络中终端与目的主机间传输的危害性数据的方法，还包括：所述的终端调用所述的终端访问控制程序，通过所述的终端访问控制程序向所述的代理服务器发送访问目的主机的数据信息；所述的代理服务器访问控制程序根据接收到的所述访问目的主机的数据信息向所述目的主机发送访问请求；根据所述的目的主机的应答数据信息，所述代理服务器应答所述终端的访问请求；根据所述的代理服务器编制安全过滤程序；将所述的安全过滤程序嵌入到所述的代理服务器。

优选的，所述代理服务器设置的所述安全过滤程序扫描所述目的主机的应答数据，并根据所述的扫描判断所述的应答数据是否存在危害性数据。

优选的，所述的一种过滤网络中终端与目的主机间传输的危害性数据的方法，还包括：建立访问信息数据库，所述访问信息数据库存储有非法的网络访问特征信息；所述安全过滤程序将获得的所述目的主机的应答数据与所述访问信息数据库中存储的信息进行比对，判断所述目的主机的应答数据是否存在异常的、非法的网络入侵。

优选的，所述的一种过滤网络中终端与目的主机间传输的危害性数据的方法，还包括：建立病毒信息数据库，所述病毒信息数据库存储有病毒的特征信息；所述安全过滤程序将获得的所述目的主机的应答数据与所述病毒信息数据库中存储的信息进行比对，判断所述目的主机的应答数据是否存在病毒性的不安全数据。

优选的，所述的一种过滤网络中终端与目的主机间传输的危害性数据的方法，还包括：所述代理服务器设置的所述安全过滤程序扫描所述目的主机的应答数据，并根据扫描判断所述的应答数据是否存在危害性数据；所述代理服务器设置的所述安全过滤程序过滤掉所述的应答数据中存在的危害性数据。

优选的，将所述应答数据中的正常的、合法的、不具有病毒性的安全数据通过所述代理服务器访问控制程序转发给所述终端。

优选的，所述的一种过滤网络中终端与目的主机间传输的危害性数据的方法，还包括：终端通过所述终端访问控制程序将提交给目的主机、目的设备的访问数据提交给所述代理服务器访问控制程序；所述代理服务器代替所述终端访问所述目的主机；所述代理服务器设置的所述安全过滤程序扫描所述目的主机的应答数据，并根据扫描判断所述的应答数据是否存在危害性数据；所述代理服务器设置的所述安全过滤程序过滤掉所述的应答数据中存在的危害性数据。

优选的，所述的一种过滤网络中终端与目的主机间传输的危害性数据的方法，还包括：终端通过所述终端访问控制程序将提交给目的主机、目的设备的访问数据提交给所述代理服务器访问控制程序；所述代理服务器代替所述终端访问所述目的主机；所述代理服务器设置的所述安全过滤程序扫描所述目的主机的应答数据，并根据扫描判断所述的应答数据是否存在危害性数据；所述代理服务器设置的所述安全过滤程序过滤掉所述的应答数据中存在的危害性数据；所述应答数据中的正常的、合法的、不具有病毒性的安全数据由所述代理服务器访问控制程序转发给所述终端；所述代理服务器将所述过滤掉的信息告知所述终端。

与现有的技术相比，本发明具有至少以下的优点：

本发明采用的是在网络中通过代理服务器代替所述的终端访问网络中的目的主机，并且设置在所述代理服务器内的安全过滤程序检测所述目的主机的应答数据，所述代理服务器过滤掉存在于所述目的主机的应答数据中的危害性数据，将所述应答数据中的正常的、合法的、不具有病毒性的安全数据转发给所述终端，从根本上保证了从网络进入到终端的数据均是正常的、合法的、不具有病毒性的安全数据。保护了网络终端在访问网络资源的时候不被网络中的病毒程序感染，并且免遭采用非法入侵等手段的网络攻击，即使没有任何安全措施保护的网络终端和没有安装安全防护程序的终端也能够被有效的保护。并且从构架上就已经克服、避免了现有的安全防护技术一旦出现不能处理的情况，只能任由危害性数据对所述的终端设备进行危害性操作，所以本发明能够完全的、有效的保护终端的网络安全。

附图说明

下面结合附图和具体实施方式对本发明作进一步详细的说明。

图1是本发明所述的过滤网络中终端与目的主机间传输的危害性数据的方法的第一实施例的步骤流程图；

图2是本发明所述的过滤网络中终端与目的主机间传输的危害性数据的方法的第一实施例的步骤流程图；

图3是本发明所述的过滤网络中终端与目的主机间传输的危害性数据的方法，所述终端发送到所述代理服务器的数据包模型图。

图4、图5和图6是本发明所述的过滤网络中终端与目的主机间传输的危害性数据的方法，所述终端发送到所述代理服务器的不同层数据的详细模型图。

图7是本发明所述的过滤网络中终端与目的主机间传输的危害性数据的方法，在网络中，所述终端、所述代理服务器、所述目的主机，之间在网络中的相对位置。

图8和图9是本发明所述的过滤网络中终端与目的主机间传输的危害性数据的方法，数据传递的方式。

图10是本发明所述的过滤网络中终端与目的主机间传输的危害性数据的方法，描述本发明的主要流程图。

图11是本发明所述的过滤网络中终端与目的主机间传输的危害性数据的方法，描述本发明针对识别应答数据的类型属性。

具体实施方式

本发明的核心思想：在网络中的终端通过代理服务器代替所述的终端访问网络中的目的主机，并且设置在所述代理服务器内的安全过滤程序检测所述目的主机的应答数据信息，代理服务器将存在于所述应答数据中的危害性数据过滤掉，将所述应答数据中的不具有危害性的数据转发给所述终端，从根本上保证了从网络进入到所述终端的数据是不具有危害性的安全数据，所以本发明不仅可以完全的、有效的保护设置有安全防护程序的终端，也可以完全的、有效的保护没有设置安全防护程序的终端。

参照图1，是本发明所述的过滤网络中终端与目的主机间传输的危害性数据的方法的第一实施例的步骤流程图，包括以下步骤：

步骤S1，网络中的终端访问目的主机前先访问代理服务器。

所述的终端，其实质就是在网络中的计算机、移动技术的计算机、个人终端系统、智能移动电话等；

所述的目的主机其实质就是在网络中提供某一项或多项网络服务的计算机、网络服务器、带有独立运算能力的电子设备；

所述的网络其实质就是，包括：有线网络、无线网络或者有线网络和无线网络组成的网络。

参照图7，所述的代理服务器其实质就是网络中所述终端和所述目的主机之间的中间节点，所述代理服务器双向传递从所述终端到所述目的主机的数据和从所述目的主机到所述终端的数据。终端向网络中的某一台主机发送访问请求信息，实质上所述的访问请求信息并没有直接发送到所述的目的主机，而是所述的访问请求信息的内容通过内置在所述终端系统里的终端访问控制程序处理后发送到了已经预先设定好的代理服务器上(参照图8)，所述的代理服务器接收到了所述终端向所述目的主机发送的访问请求信息。

一般技术人员完成这个功能，主要采用转换网络数据包的方法。参照图3和图4，所述目的主机的地址被所述代理服务器的地址所替换。当所述终端的应用程序与所述的目的主机通信时，所述终端访问控制程序将打开与终端的源地址、源端口、目标主机的地址、目标主机的端口及网络协议相关联的套接字，这样就能够判别出通信的两个端点，当应用程序用套接字传输信息时，数据包的目标字段将包含目标主机的地址和目标主机的端口，所以所述的终端将把该数据包转发给预先设置好的代理服务器。

现有技术中的技术人员可以通过使用工具对数据包的目的地址修改成所述代理服务器的地址，然后发送被修改后的数据包，就可以实现将终端发给目的主机的请求数据进行上述处理后发送给所述的代理服务器。在这个阶段，代理服务器就代替所述终端成为网络访问请求的发起方。

在实际过程中，技术人员在进行上述转换网络数据包前，先要记录原始的数据包信息，所述的原始的数据包信息就是没有进行转换数据包操作的、最初的所述终端发送给目的主机的数据包的信息(如：目的主机的地址信息和目的端口)。将记录下来的所述原始的数据包信息可以采用数据库的方式存储，并且也要发送给所述的代理服务器，以便让所述代理服务器知道目的主机的地址和对应的应用程序端口。

步骤S2，所述代理服务器代替所述终端访问所述目的主机。根据步骤S1，网络中的终端访问目的主机前先访问代理服务器。由于步骤S1已经将原本所述终端要发送到目的主机的请求数据包经过修改处理后发送到了所述代理服务器，实质上也就等同于所述终端向所述的代理服务器发起的访问请求，所以所述代理服务器收到了来自所述终端的访问请求数据包。

一般技术人员可以将接收到的来自所述终端的网络数据包进行拆包操作，例如：参照图5和图6，从IP数据包拆出TCP、UDP数据包或其他的数据包。获得数据包的内容，也就是获得了最初所述终端要发送给所述目的主机的访问请求内容，根据获得的所述数据包的内容和收到的原始数据包的信息，所述代理服务器向所述目的主机发送访问请求数据。

依据网络原理，所述目的主机根据所述代理服务器发送的访问请求数据的内容或类型，向所述的代理服务器返回应答数据；所述的应答数据的内容、类型与所述的访问请求数据的内容、类型是相对应的。

例如：所述代理服务器向所述目的主机发送下载某一文件的请求数据，那么所述目的主机向所述代理服务器应答相关的下载数据或其他的数据。

又例如：所述代理服务器向所述目的主机发送请求访问WEB页面的请求数据，那么所述目的主机向所述代理服务器应答相关WEB页面的数据信息或其他的数据(例：返回的错误信息等)。

具体的应答数据的内容和类型是由所述目的主机根据网络访问请求的发起方发送的请求数据的内容或类型而预先设置好的。

步骤S3，建立存储有非法的网络访问特征信息的访问信息数据库，所述访问信息数据库存储有非法的网络访问特征信息；建立存储有病毒的特征信息的病毒信息数据库，所述病毒信息数据库存储有病毒的特征信息。

一般从事网络安全或反病毒的技术人员可以总结或分析出非的法网络入侵手段和病毒的特征信息。

非法的网络入侵手段主要是利用系统的漏洞并针对于系统的漏洞进行相应的非法网络操作，以达到非法的控制系统、盗取信息或者使系统无法正常工作等非法网络操作的手段。技术人员可以根据被非法的网络入侵手段攻击过的系统的相应日志记录分析得出所述的非法网络操作手段，也可以在平时的工作中总结得出。将所述的非法的网络访问特征信息(非法网络操作手段)采用数据库的方式进行存储，以便于识别、判断所述目的主机的应答数据是否存在异常的、非法的网络入侵的过程时使用。

以下具体的列举部分非法的网络访问特征信息(非法网络操作手段)：A.拒绝服务攻击：一般情况下，拒绝服务攻击是通过使被攻击对象的系统关键资源过载，从而使被攻击对象停止部分或全部服务。目前已知的拒绝服务攻击就有几百种，它是最基本的入侵攻击手段，也是最难对付的入侵攻击之一，典型示例有SYN Flood攻击、Ping Flood攻击、Land攻击、WinNuke攻击等；B.非授权访问尝试：是攻击者对被保护文件进行读、写或执行的尝试，也包括为获得被保护访问权限所做的尝试；C.预探测攻击：在连续的非授权访问尝试过程中，攻击者为了获得网络内部的信息及网络周围的信息，通常使用这种攻击尝试，典型示例包括SATAN扫描、端口扫描和IP半途扫描等；D.可疑活动：是通常定义的“标准”网络通信范畴之外的活动，也可以指网络上不希望有的活动，如IP Unknown Protocol和Duplicate IP Address事件等；E.协议解码：协议解码可用于以上任何一种非期望的方法中，网络或安全管理员需要进行解码工作，并获得相应的结果，解码后的协议信息可能表明期望的活动，如FTU User和Portmapper Proxy等解码方式；F.系统代理攻击：这种攻击通常是针对单个主机发起的，而并非整个网络，通过RealSecure系统代理可以对它们进行监视。

技术人员可以使用DEBUG、PROVIEW等工具程序和在专用的试验用的系统分析病毒的特征信息。之所以在专用的试验用的系统上，就是因为分析的对象有可能是病毒，很有可能在被分析的阶段继续传播甚至发作。技术人员可以利用DEBUG或其他的反汇编工具程序将病毒的代码打印成反汇编后的程序清单，分析出病毒具有特征信息的代码段，还可以采用动态分析病毒的组成部分，使用了对系统的哪些调用或操作，以及采用了何种操作方式和流程，并分析出病毒的一系列操作行为。将上述病毒的特征信息或者病毒的操作行为采用数据库的方式进行存储，以便于识别、判断所述目的主机的应答数据是否存在病毒性的不安全数据的过程时使用。

以下具体的列举一种常用的分析病毒的特征信息的规则及过程：G1.短小的病毒只有一百多个字节，病毒代码长的有上10KB字节的或者更大字节，如果随意从某个病毒体内选一段作为代表该病毒的特征信息，可能在不同的环境中，该特征码并不是真正具有代表性，不能将该特征信息所对应的病毒检查出来，因此随意的从某个病毒体内选择特征信息是不可取的；G2.病毒特征信息不应含有病毒的数据区，因为某些病毒的数据区是会经常变化的；G3.在保持唯一性的前提下，应尽量使病毒特征信息的长度短些；G4.病毒特征信息一定要在仔细分析了病毒体后才能选出最具代表性的，足以将该病毒区别于其他病毒和该病毒的其他变种的病毒特征信息；G5.一般情况下，病毒特征信息是连续的若干个字节组成的代码串，在病毒特征信息中包含有一个到几个“模糊”字节。遇到这种病毒特征信息时，只要除“模糊”字节之外的字串都能完好匹配，则也能判别出病毒，例如：给定特征信息串：“E9 7C 00 10？37 CB”则“E9 7C 00 10 27 37 CB”和“E9 7C 00 10 9C 37 CB”都能被识别出来，又例如：“E9 7C 37 CB”可以匹配“E9 7C 00 37 CB”，“E9 7C 00 11 37 CB”和“E9 7C 00 11 22 37 CB”，但不匹配“E9 7C 00 11 22 33 44 37 CB”，因为7C和37之间的子串已超过4个字节；G6.病毒特征信息必须能将病毒与正常的非病毒文件或程序区分开，避免将非病毒文件或程序当成病毒处理。

无论是分析非法的网络访问特征信息，或是分析病毒的特征信息，其分析的方法和过程存在多种，并且分析得出的特征信息的属性或种类也存在多种方式，所述的分析过程可以由人工或者计算机来完成。技术人员可以根据实际情况和需求任选甚至还可以直接调用已有的存储有非法的网络访问特征信息的访问信息数据库、存储有病毒的特征信息的病毒信息数据库或者是两者都被调用。但是由于篇幅有限，在此就不再赘述。

步骤S4，将目的主机的应答数据与访问信息数据库中存储的信息进行比对，判断是否是异常的，非法的网络入侵；将目的主机的应答数据与病毒信息数据库中存储的信息进行比对，判断是否存在病毒性的不安全数据。

根据步骤S1和S2，逻辑上网络终端访问网络中的目的主机，但实际上所述终端内置的终端访问控制程序将所述终端发送到所数目的主机的访问请求数据截获并对所述的访问请求数据修改处理后转发到了预先设定好的代理服务器上，由所述代理服务器代替所述终端成为网络访问请求的发起方，并代替所述终端向所述的目的主机发送访问请求数据和接收所述目的主机的应答数据。

所述的代理服务器扫描并检测来自所述目的主机的应答数据，将所述的应答数据根据数据的类型属性与步骤S3所描述的存储有非法的网络访问特征信息的访问信息数据库或存储有病毒的特征信息的病毒信息数据库中存储的信息进行比对从而判断所述的应答数据是否存在危害性数据(包括：异常的，非法的网络入侵类型的数据和病毒性的不安全数据)。此过程可以由技术人员人工完成，也可以由计算机自动的完成。具体的应答数据的类型属性包括，但不限于：WEB页面信息；加载在WEB页面中的脚本程序；FTP数据的回应，包括上传FTP回应与下载FTP回应；MAIL邮件；以及其他类型的文件传输和网络应用服务等。具体的参照图11，本领域内的一般技术人员可以使用SNIFER等工具程序分析应答数据的数据包，从而确定应答数据的类型属性。

判断情况AA1：根据应答数据的类型属性，将所述的应答数据与所述访问信息数据库进行比对，判断所述目的主机的应答数据是否存在异常的、非法的网络入侵。具体的，在一个实施例中，通过多种角度和多种情况进行描述：

A1.攻击类型：Land攻击是一种拒绝服务攻击，用于Land攻击的数据包中的源地址和目标地址是相同的，因为当操作系统接收到这类数据包时，不知道该如何处理堆栈中通信源地址和目的地址相同的这种情况，或者循环发送和接收该数据包，消耗大量的系统资源，从而有可能造成系统崩溃或死机等现象；

针对A1检测方法：判断网络数据包的源地址和目标地址是否相同。

A2.攻击类型：TCP SYN攻击是一种拒绝服务攻击，它是利用TCP客户机与服务器之间三次握手过程的缺陷来进行的；攻击者通过伪造源IP地址向被攻击者发送大量的SYN数据包，当被攻击主机接收到大量的SYN数据包时，需要使用大量的缓存来处理这些连接，并将SYN ACK数据包发送回错误的IP地址，并一直等待ACK数据包的回应，最终导致缓存用完，不能再处理其它合法的SYN连接，即不能对外提供正常服务；

针对A2检测方法：检查单位时间内收到的SYN连接否收超过系统设定的值。

A3.攻击类型：Ping Of Death攻击是一种拒绝服务攻击，该攻击数据包大于65535个字节；由于部分操作系统接收到长度大于65535字节的数据包时，就会造成内存溢出、系统崩溃、重启、内核失败等后果，从而达到攻击的目的；

针对A3.检测方法：判断数据包的大小是否大于65535个字节。

A4.攻击类型：WinNuke攻击是一种拒绝服务攻击，WinNuke攻击又称带外传输攻击，它的特征是攻击目标端口，被攻击的目标端口通常是139、138、137、113、53，而且URG位设为“1”，即紧急模式；

针对A4检测方法：判断数据包目标端口是否为139、138、137等，并判断URG位是否为“1”。

A5.攻击类型：Teardrop攻击是一种拒绝服务攻击，Teardrop是基于UDP的病态分片数据包的攻击方法，其工作原理是向被攻击者发送多个分片的IP包(IP分片数据包中包括该分片数据包属于哪个数据包以及在数据包中的位置等信息)，某些操作系统收到含有重叠偏移的伪造分片数据包时将会出现系统崩溃、重启等现象；

针对A5检测方法：对接收到的分片数据包进行分析，计算数据包的片偏

移量(Offset)是否有误。

A6.攻击类型：TCP/UDP端口扫描是一种预探测攻击，对被攻击主机的不同端口发送TCP或UDP连接请求，探测被攻击对象运行的服务类型；

针对A6检测方法：统计外界对系统端口的连接请求，特别是对21、23、25、53、80、8000、8080等以外的非常用端口的连接请求。

技术人员可以使用工具程序或由计算机分析出以上所述的检测方法对应的特征网络数据包中的特征数据，技术人员可以使用工具程序或由计算机分析出以上所述的检测方法对应的特征行为。

将所述目的主机的应答数据与分析出的所述特征数据进行比对，判断所述目的主机的应答数据是否存在异常的、非法的网络入侵，或者也可以根据上述所提供的攻击类型和相应检测方法，技术人员或计算机可以将所述目的主机的应答数据与以上所述的检测方法对应的特征行为进行比对，判断所述目的主机的应答数据是否存在异常的、非法的网络入侵。

判断情况BB1：根据应答数据的类型属性，将所述的应答数据与所述病毒信息数据库进行比对，判断所述目的主机的应答数据是否存在病毒性的不安全数据。

技术人员或计算机可以根据步骤S3所述的分析病毒的特征信息的规则及过程提取出病毒的特征信息，将所述目的主机的应答数据与所述的病毒的特征信息进行比对，判断所述目的主机的应答数据是否存在病毒性的不安全数据。现有的防病毒技术的实现方式存在多种。但是由于篇幅有限，在此就不再赘述。

步骤S5，过滤掉目的主机的应答数据中存在的危害数据。

根据步骤S1、S2、S3和S4所描述的，所述代理服务器代替所述终端访问所述目的主机。根据步骤S1，网络中的终端访问目的主机前先访问代理服务器。由于步骤S1已经将原本所述终端要发送到目的主机的请求数据包经过修改处理后发送到了所述代理服务器，实质上也就等同于所述终端向所述的代理服务器发起的访问请求，所以所述代理服务器收到了来自所述终端的访问请求数据包。根据步骤S3和S4，建立存储有非法的网络访问特征信息的访问信息数据库，所述访问信息数据库存储有非法的网络访问特征信息，根据应答数据的类型属性，将目的主机的应答数据与访问信息数据库中存储的信息进行比对，判断是否是异常的，非法的网络入侵；建立存储有病毒的特征信息的病毒信息数据库，所述病毒信息数据库存储有病毒的特征信息，根据应答数据的类型属性，将目的主机的应答数据与病毒信息数据库中存储的信息进行比对，判断是否存在病毒性的不安全数据。

根据步骤S4、步骤S5，具体的，在一个实例中进行说明。

案例的情况描述：通过地址和端口重新定向的非法手段，移植木马程序。在网络中，表面上看，目的主机A是一台提供WEB服务的主机，攻击者入侵了目的主机A，并且在所述目的主机A的网页文件中隐蔽的加入了从定向指令(redir--lport＝80--laddr＝--cport＝80--caddr＝XXX.XXX.XXX.XXX)，造成凡是访问所述目的主机A的终端，都被从定向到另一台主机(目的主机B)上并通过目的主机B的WEB页面给终端移植了木马程序。

情况AA2的实例过程：

所述代理服务器接收到了目的主机A的应答数据，所述应答数据中包含重定向指令(redir--lport＝80--laddr＝--cport＝80--caddr＝XXX.XXX.XXX.XXX)；

通过设置在所述代理服务器内的安全过滤程序扫描、检测来自目的主机A的应答数据，并根据所述根据应答数据的类型属性将所述应答数据与访问信息数据库中存储的信息进行比对；

(如果，所述访问信息数据库中存储的信息包括所述重定向指令)

判断来自目的主机A的应答数据存在异常的、非法的网络入侵；

所述安全过滤程序拦截所述重定向指令。

情况BB2的实例过程：

所述代理服务器接收到了目的主机A的应答数据，所述应答数据中包含数据串(E9 7C 00 10 27 37 CB)；

通过设置在所述代理服务器内的安全过滤程序扫描、检测来自目的主机A的应答数据，并根据所述根据应答数据的类型属性将所述应答数据与病毒信息数据库中存储的信息进行比对；

<如果，所述病毒信息数据库中存储的某一木马病毒的特征信息(E9 7C 0010？37 CB)>

判断来自目的主机A的应答数据存在病毒性的不安全数据；

所述安全过滤程序删除所述木马病毒。

情况AA2的实例过程和情况BB2的实例过程以及步骤S4描述的判断情况AA1和判断情况BB1，说明了所述代理服务器设置的所述安全过滤程序过滤掉所述的应答数据中存在的危害性数据的过程与方式。

步骤S6，代理服务器将应答数据中正常的、合法的、不具有病毒性的安全数据转发给终端。参照图9，逻辑上，所述步骤S6实质上是步骤S1的一个逆向过程。

在步骤S1中，网络终端将要发送给目的主机的访问请求数据发送给了代理服务器，由所述代理服务器根据收到的所述访问请求数据的内容，代替所述终端访问所述目的主机。

根据步骤S2所描述的：所述代理服务器代替所述终端访问所述目的主机。所述终端向所述的代理服务器发起的访问请求，所以所述代理服务器收到了来自所述终端的访问请求数据包。由所述代理服务器根据收到的所述访问请求数据的内容向所述目的主机发送访问请求数据，依据网络原理，所述目的主机根据所述代理服务器发送的访问请求数据的内容或类型，向所述的代理服务器返回应答数据。所述的应答数据的内容和类型和所述的访问请求数据的内容或类型是相对应的。

根据步骤S3所描述的：建立存储有非法的网络访问特征信息的访问信息数据库，所述访问信息数据库存储有非法的网络访问特征信息；建立存储有病毒的特征信息的病毒信息数据库，所述病毒信息数据库存储有病毒的特征信息。

根据步骤S4所描述的：根据应答数据的类型属性，将目的主机的应答数据与访问信息数据库中存储的信息进行比对，判断是否是异常的，非法的网络入侵；根据应答数据的类型属性，将目的主机的应答数据与病毒信息数据库中存储的信息进行比对，判断是否存在病毒性的不安全数据。

根据步骤S5所描述的：所述代理服务器设置的所述安全过滤程序过滤掉所述的应答数据中存在的危害性数据。根据步骤S6所描述的，代理服务器将应答数据中正常的、合法的、不具有病毒性的安全数据转发给终端。

现有本技术领域的技术人员要完成上述描述的步骤S1到步骤S6，还要对一些技术的实施细节加以注意和处理，当然还可以使用本领域内技术人员所熟悉的方法。

情况注意ABC：如果终端向代理服务器发出的是TCP数据，技术人员还要修改一下协议的相关延时的参数，也可以使用虚拟回应的技术方式或者其他的技术手段，防止由于等待回应的时间过长，超出了协议设定的等待确认信号的时间，而出现网络中断错误。由于处理这种问题能采用的技术方式存在多种，技术人员可以根据需要和实际情况任选。但是由于篇幅有限，在此就不再赘述。

当然，本领域内技术人员还可以使用所熟悉的方法。无论采用哪一种实施方法，只要采用了终端通过代理服务器代替所述终端去访问网络中的目的主机，从而防止所述终端被来自网络具有危害性的数据所危害的方式，则就属于本发明的构思之一。

参照图2，是本发明过滤网络中终端与目的主机间传输的危害性数据的方法的第二实施例的步骤流程图，图2与图1所示的大部分方法中的步骤类似，在此就不再赘述。图2所示的方法与图1所示的方法主要区别就在于具体实施方式上的略微改变。现有本技术领域的技术人员还可以按照以下流程实现本发明。

具体的，在一个实例中进行说明。

实例过程部分-步骤21：

网络中的终端目的是要访问网络中的某一目的主机；

终端的网络系统向所述目的主机发送访问请求数据；

根据步骤S1所描述的方法，内置于所述终端内的终端访问控制程序截获来了所述终端的网络系统向所述目的主机发送访问请求数据的数据包；

根据先前描述的步骤S1所描述的方法，修改所述请求数据的数据包的信息，并将修改后的访问请求数据的数据包发送到预先设定的代理服务器。

实例过程部分-步骤22：

内置于所述代理服务器内的服务器访问控制程序接收到了来自所述终端访问控制程序发送的访问请求数据；

所述代理服务器获知了所述访问请求数据的内容，并依据所述访问请求数据的内容代替所述终端向所述目的主机发送访问请求数据。

实例过程部分-步骤23：

根据步骤S3所描述的：建立存储有非法的网络访问特征信息的访问信息数据库，所述访问信息数据库存储有非法的网络访问特征信息；建立存储有病毒的特征信息的病毒信息数据库，所述病毒信息数据库存储有病毒的特征信息。

实例过程部分-步骤24：

根据网络原理，所述目的主机应答所述代理服务器的访问请求，将应答数据发送给所述代理服务器；

根据先前描述的步骤S4所描述的方法，判断应答数据的类型属性，并根据应答数据的类型属性与所述访问信息数据库或病毒信息数据库进行对比；

判断是否存在异常的，非法的网络入侵或者病毒性的不安全数据。

实例过程部分-步骤25：

过滤掉所述目的主机应答数据中存在的危害性数据。

实例过程部分-步骤26：

代理服务器将应答数据中正常的、合法的、不具有病毒性的安全数据转发给终端；

所述代理服务器将所述过滤掉的信息告知所述终端。

以上实例中所涉及到的实现方法和过程大部分都类似于先前所描述的方法，本领域内技术人员可以根据具体的实际情况选择实施方式或者使用所熟悉的方法。在此就不再赘述。

实例过程部分-步骤24所涉及的识别应答数据的类型属性，本领域内的一般技术人员可以使用SNIFER等工具程序或者使用熟悉的方法分析应答数据的数据包，并且获得：

确定应答数据的类型属性；

数据包内容的代码信息，并且打印数据包内容的代码；

通过先前叙述的比对的过程，判断应答数据中是否存在不安全性的数据。

技术人员还可以使用其他熟悉的方法或由计算机自动获得实例过程部分-步骤24所涉及的识别应答数据的类型属性。具体的方法存在很多种，在此就不再赘述。

本领域的一般技术人员实施本发明具体的实例可以依照图10来完成实施，实施步骤可以参照图1和图2，并结合前面所说明的情况注意ABC。

以上对本发明所提供的过滤网络中终端与目的主机间传输的危害性数据的方法进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (15)

1、一种过滤网络中终端与目的主机间传输的危害性数据的方法，其特征在于，包括：

网络中的终端访问目的主机前先访问代理服务器；

所述代理服务器代替所述终端访问所述目的主机；

所述代理服务器过滤掉存在于所述目的主机的应答数据中的危害性数据；

所述代理服务器将所述应答数据中的正常的、合法的、不具有病毒性的安

全数据转发给所述终端。

2、根据权利要求1所述的过滤网络中终端与目的主机间传输的危害性数据的方法，其特征在于：所述终端通过所述代理服务器向所述目的主机发送访问请求数据信息。

3、根据权利要求1所述的过滤网络中终端与目的主机间传输的危害性数据的方法，其特征在于：所述代理服务器在网络中是所述终端和所述目的主机之间的中间节点，所述代理服务器双向传递从所述终端到所述目的主机的数据和从所述目的主机到所述终端的数据。

4、根据权利要求1、2或3所述的过滤网络中终端与目的主机间传输的危害性数据的方法，其特征在于，还包括：

根据所述的终端编制对应的终端访问控制程序；

根据所述的代理服务器编制对应的代理服务器访问控制程序；

将所述的终端访问控制程序嵌入到所述的终端；

将所述的代理服务器访问控制程序嵌入到所述的代理服务器；

所述代理服务器访问控制程序是对应于终端访问控制程序。

5、根据权利要求1、2或3所述的过滤网络中终端与目的主机间传输的危害性数据的方法，其特征在于，还包括：

所述的终端调用所述的终端访问控制程序，通过所述的终端访问控制程序向所述的代理服务器发送访问目的主机的数据信息；

所述的代理服务器访问控制程序根据接收到的所述访问目的主机的数据信息向所述目的主机发送访问请求；

根据所述的目的主机的应答数据信息，所述代理服务器应答所述终端的访问请求。

6、根据权利要求1、2或3所述的过滤网络中终端与目的主机间传输的危害性数据的方法，其特征在于：在网络中，所述终端访问控制程序和所述代理服务器访问控制程序将所述代理服务器相对于所述终端逻辑上是透明的。

7、根据权利要求1、2或3所述的过滤网络中终端与目的主机间传输的危害性数据的方法，其特征在于：所述终端访问控制程序和代理服务器访问控制程序将代理服务器逻辑上成为终端的虚拟装置。

8、根据权利要求1所述的过滤网络中终端与目的主机间传输的危害性数据的方法，其特征在于，还包括：

所述的终端调用所述的终端访问控制程序，通过所述的终端访问控制程序向所述的代理服务器发送访问目的主机的数据信息；

所述的代理服务器访问控制程序根据接收到的所述访问目的主机的数据信息向所述目的主机发送访问请求；

根据所述的目的主机的应答数据信息，所述代理服务器应答所述终端的访问请求；

根据所述的代理服务器编制安全过滤程序；

将所述的安全过滤程序嵌入到所述的代理服务器。

9、根据权利要求1、2、3或8所述的过滤网络中终端与目的主机间传输的危害性数据的方法，其特征在于：所述代理服务器设置的所述安全过滤程序扫描所述目的主机的应答数据，并根据所述的扫描判断所述的应答数据是否存在危害性数据。

10、根据权利要求1、2、3或8所述的过滤网络中终端与目的主机间传输的危害性数据的方法，其特征在于，还包括：

建立访问信息数据库，所述访问信息数据库存储有非法的网络访问特征信息；

所述安全过滤程序将获得的所述目的主机的应答数据与所述访问信息数据库中存储的信息进行比对，判断所述目的主机的应答数据是否存在异常的、非法的网络入侵。

11、根据权利要求1、2、3或8所述的过滤网络中终端与目的主机间传输的危害性数据的方法，其特征在于，还包括：

建立病毒信息数据库，所述病毒信息数据库存储有病毒的特征信息；

所述安全过滤程序将获得的所述目的主机的应答数据与所述病毒信息数据库中存储的信息进行比对，判断所述目的主机的应答数据是否存在病毒性的不安全数据。

12、根据权利要求1、2、3或8所述的过滤网络中终端与目的主机间传输的危害性数据的方法，其特征在于，还包括：

所述代理服务器设置的所述安全过滤程序扫描所述目的主机的应答数据，并根据扫描判断所述的应答数据是否存在危害性数据；

所述代理服务器设置的所述安全过滤程序过滤掉所述的应答数据中存在的危害性数据。

13、根据权利要求1、2、3或8所述的过滤网络中终端与目的主机间传输的危害性数据的方法，其特征在于：将所述应答数据中的正常的、合法的、不具有病毒性的安全数据通过所述代理服务器访问控制程序转发给所述终端。

14、根据权利要求1、2、3或8所述的过滤网络中终端与目的主机间传输的危害性数据的方法，其特征在于，还包括：

终端通过所述终端访问控制程序将提交给目的主机、目的设备的访问数据提交给所述代理服务器访问控制程序；

所述代理服务器代替所述终端访问所述目的主机；

所述代理服务器设置的所述安全过滤程序扫描所述目的主机的应答数据，并根据扫描判断所述的应答数据是否存在危害性数据；

所述代理服务器设置的所述安全过滤程序过滤掉所述的应答数据中存在的危害性数据。

15、根据权利要求1、2、3或8所述的过滤网络中终端与目的主机间传输的危害性数据的方法，其特征在于，还包括：

终端通过所述终端访问控制程序将提交给目的主机、目的设备的访问数据提交给所述代理服务器访问控制程序；

所述代理服务器代替所述终端访问所述目的主机；

所述代理服务器设置的所述安全过滤程序扫描所述目的主机的应答数据，并根据扫描判断所述的应答数据是否存在危害性数据；

所述代理服务器设置的所述安全过滤程序过滤掉所述的应答数据中存在的危害性数据；

所述应答数据中的正常的、合法的、不具有病毒性的安全数据由所述代理服务器访问控制程序转发给所述终端；

所述代理服务器将所述过滤掉的信息告知所述终端。

Images