WO2014063520A1 - 一种判断钓鱼网站的方法及装置 - Google Patents

一种判断钓鱼网站的方法及装置 Download PDF

Info

Publication number
WO2014063520A1
WO2014063520A1 PCT/CN2013/081760 CN2013081760W WO2014063520A1 WO 2014063520 A1 WO2014063520 A1 WO 2014063520A1 CN 2013081760 W CN2013081760 W CN 2013081760W WO 2014063520 A1 WO2014063520 A1 WO 2014063520A1
Authority
WO
WIPO (PCT)
Prior art keywords
website
gray
phishing
client
server
Prior art date
Application number
PCT/CN2013/081760
Other languages
English (en)
French (fr)
Inventor
温铭
Original Assignee
北京奇虎科技有限公司
奇智软件（北京）有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 北京奇虎科技有限公司, 奇智软件（北京）有限公司 filed Critical 北京奇虎科技有限公司
Priority to US14/438,160 priority Critical patent/US9742774B2/en
Publication of WO2014063520A1 publication Critical patent/WO2014063520A1/zh
Priority to US15/664,745 priority patent/US10270779B2/en

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1483—Countermeasures against malicious traffic service impersonation, e.g. phishing, pharming or web spoofing
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/45—Network directories; Name-to-address mapping
    • H04L61/4505—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols
    • H04L61/4511—Network directories; Name-to-address mapping using standardised directories; using standardised directory access protocols using domain name system [DNS]

Definitions

  • the present invention relates to the field of network security technologies, and in particular, to a method for judging a phishing website, and a device for judging a phishing website. Background technique
  • Phishing websites generally have these characteristics: 1. To win customers by winning (qq winning, microblogging, golden eggs, Avenue of Stars, etc.); 2. Defrauding users with low prices (air tickets, Taobao products); low cost. Phishing websites can be produced in batches and use free secondary domain names. The cost of phishing sites is negligible compared to the production and distribution of viruses. 4. The consequences are serious. Most phishing websites trick users into buying higher-priced items (such as airline tickets, SLR cameras, etc.), and some phishing websites can steal users' Alipay and bank accounts, which will cause great losses to users.
  • the identification methods of existing phishing websites are as follows: 1. Perform string matching on key content of web pages. For example, check whether the title and keywords of the webpage contain the words 'Taobao' and 'Zhongbao'. 2. Image recognition. Some phishing websites are counterfeit brand websites, and the pages look the same as the official website. Such as counterfeit airlines and Taobao. 3. Domain name information. The domain name registration time used by phishing websites is generally new, and free second-level domain names are often used. The above methods will be combined to identify phishing websites and finally form a blacklist. In addition to the blacklist, in order not to misreport, there will be a whitelisting mechanism to add a large number of websites that have been misreported to the whitelist.
  • the existing anti-virus software identifies the phishing website on the server side: When the client accesses a website, the anti-virus software sends a request to the server to check whether the website is a phishing website. If it is a phishing website, it is interception, if not, it will be released.
  • Such a technical solution has two obvious shortcomings: First, the newly generated phishing website server has no record, and the result of the client query is unknown; Second, when the technical failure of the server side causes the query time to be long, it is also possible An underreporting occurred.
  • the first drawback to intercepting phishing websites is that it is difficult to avoid, because phishing websites are very cheap to produce and often use free ones.
  • the second-level domain name after deceiving a few users, discards the original domain name, and after modifying the title and other content, it will apply for a new domain name and continue to defraud.
  • One of the urgent problems to be solved by the present invention is to provide a method and apparatus for judging a phishing website, which is used when the server cannot determine whether the website accessed by the client is a phishing website, or the server is faulty, and may be in the client side. Temporarily intercept the newly generated phishing website and intercept most phishing websites to ensure network security.
  • the present invention has been made in order to provide a method for judging a phishing website and a corresponding device for judging a phishing website that overcomes the above problems or at least partially solves or alleviates the above problems.
  • a method for determining a phishing website including: determining, by a server, whether a target website accessed by a client is a gray website, and the gray website is a website that is not in a preset blacklist and a white list;
  • the client obtains browsing information of the gray website in the local client, and determines whether the browsing information meets a preset condition;
  • the client obtains the domain name feature information of the gray website, and when the domain name feature information meets the preset rule, it is determined to be a phishing website.
  • an apparatus for determining a phishing website including: a gray website determining module located at a server, configured to determine whether a target website accessed by the client is a gray website, and the gray website is not in advance Set up a website in the blacklist and whitelist;
  • the phishing website judging module of the client is configured to obtain browsing information of the gray website in the local client, and determine whether the browsing information meets a preset condition;
  • a first determining module located at the client, configured to determine that it is a non-phishing website
  • the second determining module is located at the client, and is used to obtain the domain name feature information of the gray website.
  • the domain name feature information meets the preset rule, it is determined to be a phishing website.
  • a computer program comprising computer readable code causing the server to perform any of claims 1-8 when run on a server The method for judging a phishing website.
  • a computer readable medium wherein A computer program as claimed in claim 16.
  • a method and apparatus for judging a phishing website can determine whether it is a phishing website through a client, thereby solving the problem that when the server cannot determine whether the website accessed by the client is a phishing website, or the server fails,
  • the client can intercept the newly generated phishing website in the first time, intercept most of the phishing websites, and ensure the beneficial effects of network security.
  • FIG. 1 is a flow chart schematically showing a method of determining a phishing website according to an embodiment of the present invention
  • FIG. 2 is a block diagram schematically showing an apparatus for judging a phishing website according to an embodiment of the present invention
  • Figure 3 schematically shows a block diagram of a server for performing the method according to the invention
  • Fig. 4 schematically shows a memory unit for holding or carrying a program code implementing a method according to the invention. detailed description
  • One of the core concepts of the embodiment of the present invention is that when the server cannot determine whether the website accessed by the client is a phishing website, or the server fails, browsing according to the browsing information of the user and the domain name characteristic information of the website and browsing in the local client Information comparison, comprehensive judgment of whether the gray website is a phishing website.
  • 1 is a flow chart showing the steps of a method for determining a phishing website according to an embodiment of the present invention. Specifically, the method may include the following steps:
  • Step 101 The server determines whether the target website accessed by the client is a gray website, and the gray website is a website that is not in the preset blacklist and white list;
  • the blacklist of the known phishing website and the whitelist of the known non-phishing website may be set in the server.
  • the step 101 may specifically include the following sub-steps. :
  • Sub-step S1 1 the client accesses the target website, and sends a request to the server to query whether the target website is a phishing website;
  • Sub-step S12 The server receives the request, and checks whether the target website is in a blacklist or a whitelist. If the target website is neither in the blacklist nor in the whitelist, the target website is determined to be a gray website.
  • the server may simultaneously send a request to the server to query whether the target website is a phishing website. After receiving the query request, the server checks whether the target website is in the blacklist or white. In the list, if the target website is neither blacklisted nor whitelisted, the target website is determined to be a gray website. The server returns the result determined to be the gray website to the client, and the client initiates a heuristic decision.
  • Step 102 The client obtains browsing information of the gray website in the local client, and determines whether the browsing information meets a preset condition.
  • the browsing information may include a browsing amount and a browsing time
  • the step 102 may include the following steps:
  • two main APIs can be configured on the client, one is an API for passing the URL of the target website, and the API can be called when the user visits an unknown target website through a browser or security software;
  • the two are the APIs for the query, which can be passed to the target website to query whether it is a phishing website.
  • the API for invoking the URL of the target website is invoked, and the host, IP, website name, pageview amount, and browsing time of the gray website are recorded in the data cache, and sorted according to the pageview amount.
  • the sorting algorithm can be LRU (Last Recently Used), and the host of the frequently visited gray website will be saved.
  • the API of the query is invoked, and the client queries the sorted pageview data. If the record is found and the pageview is higher than the preset threshold, If the decision is a white website, the client is allowed to access this website. All gray site data is placed in the data cache, and the site is sorted by LRU, and sites that are not accessed within the preset time are cleared from the data cache. Judging the preset threshold of the phishing website can be adjusted according to the statistics of the server, and the range is about 10 or more.
  • Step 103 if yes, determining that the website is not a phishing website
  • the client When the gray website accessed by the user is determined to be a non-phishing website, the client allows access to the gray website.
  • Step 104 If no, the client obtains the domain name feature information of the gray website, and when the domain name feature information meets the preset rule, it is determined to be a phishing website.
  • the domain name characteristic information of the gray website includes an IP address, a domain name, and a website name.
  • the step 104 may be as follows:
  • the gray website uses the preset suspicious domain name, and the website name of the gray website contains the preset sensitive words, it is determined to be a phishing website.
  • the client when the user visits the gray website, the client queries the sorted page views in the data cache. If the record of the gray website is found, but the page view is lower than the preset threshold, or there is no record of the gray website, According to whether the IP address of the gray website is a foreign IP, whether the host uses the high-risk second-level domain name and the website name to include preset sensitive words to comprehensively determine whether it is a phishing website.
  • the IP address of the gray website is a foreign IP
  • the website uses the preset suspicious domain name (such as tk, co.cc, etc., it can be updated periodically from the server)
  • the website name contains preset sensitive words (such as Taobao, Tolls, sweepstakes, lottery tickets, etc., can be updated regularly from the server)
  • the gray website is considered a phishing website.
  • the client refuses to access the gray website.
  • the client allows or denies access to the gray website, or generates a log of the processing result of the target website for the suspected phishing website and returns it to the server.
  • the client intercepts the phishing website and allows access if it is not a phishing website.
  • the client allows or denies access to the gray website, or generates a log of the target website's information for the suspected phishing website, and generates a log and returns it to the server. If there is a false positive, you can add a whitelist from the server.
  • the server may be an intranet control server
  • the client may be an intranet client.
  • the embodiment of the present invention can be applied to the phishing website identification of the intranet to enhance the security of the enterprise network. Specifically, in the application of the intranet, the embodiment of the present invention may include the following steps:
  • Step S1 The intranet control server determines whether the target website accessed by the intranet client is a gray website, and the gray website is a website that is not in the default blacklist and white list;
  • Step S2 The intranet client obtains the browsing information of the gray website in the local enterprise intranet client, and determines whether the browsing information meets the preset condition;
  • Step S3 if yes, determining that it is a non-phishing website
  • Step S4 If no, the intranet client obtains the domain name feature information of the gray website, and when the domain name feature information meets the preset rule, it is determined to be a phishing website.
  • FIG. 2 a structural block diagram of an apparatus for determining a phishing website according to an embodiment of the present invention is shown. Specifically, the following modules may be included:
  • the gray website determining module 201 of the client is configured to determine whether the target website accessed by the client is a gray website, and the gray website is a website that is not in the preset blacklist and white list;
  • the server includes storing a known fishing network.
  • a blacklist of stations and a whitelist storing known non-phishing websites, the gray website determining module 201 may include the following sub-modules:
  • the determining sub-module of the server is configured to receive the request, and check whether the target website is in a blacklist or a whitelist. If the target website is neither in the blacklist nor in the whitelist, the target website is determined to be a gray website.
  • the phishing website judging module 202 of the client is configured to obtain browsing information of the gray website in the local client, and determine whether the browsing information meets a preset condition;
  • the phishing website determining module 202 may be: a browsing information determining module, configured to determine whether the browsing amount is higher than a preset threshold, and whether the browsing time is preset Within the time range.
  • a first determining module 203 located at the client, configured to determine that it is a non-phishing website
  • the client allows access to the module, and if it is a non-phishing website, the client allows access to the gray website.
  • the second determining module 204 is located at the client, and is used to obtain the domain name feature information of the gray website. When the domain name feature information meets the preset rule, it is determined to be a phishing website.
  • the domain name feature information of the gray website includes an IP address, a domain name, and a website name
  • the second determining module 204 may be:
  • a domain name feature information judging module configured to: when the IP address of the gray website is a foreign IP, and the gray website uses a preset suspicious domain name, and the website name of the gray website includes a preset sensitive vocabulary, Determined to be a phishing website.
  • the client denies access to the module, and if it is a phishing website, the client refuses to access the gray website;
  • the device further includes:
  • the suspected phishing website prompt information module is configured to: when the domain name characteristic information of the gray website meets the IP address of the gray website as a foreign IP, or the gray website uses a preset suspicious domain name, or the website name of the gray website includes a preset When any two of the sensitive vocabulary are used, the prompt information of the target website is suspected to be a phishing website.
  • the processing result returning module is configured to enable the client to allow or deny access to the gray website, or generate a log of the processing result of the target website for the suspected phishing website and return to the service crying.
  • the description is relatively simple, and the relevant parts can be referred to the description of the method embodiment.
  • the server may be an intranet control server
  • the client may be an intranet client.
  • the embodiment of the present invention can also be applied to the phishing website identification of the intranet to enhance the security of the enterprise network.
  • the embodiment of the present invention may include the following modules:
  • the gray website determining module of the intranet control server is configured to determine whether the target website accessed by the intranet client is a gray website, and the gray website is a website that is not in the default blacklist and white list;
  • the phishing website judging module of the intranet client is configured to obtain browsing information of the gray website in the local intranet client, and determine whether the browsing information satisfies a preset condition;
  • the first determining module is located in the intranet client, and is used to determine the non-phishing website; the second determining module is located in the intranet client, and is used to obtain the domain name feature information of the gray website, and the domain name feature information meets the preset rule. When it is determined, it is determined to be a phishing website.
  • DSP digital signal processor
  • the various component embodiments of the present invention may be implemented in hardware, or in a software module running on one or more processors, or in a combination thereof.
  • a microprocessor or digital signal processor may be used in practice to implement some or all of the functionality of some or all of the components of the device for determining a phishing website in accordance with an embodiment of the present invention.
  • DSP digital signal processor
  • the invention can also be implemented as a device or device program (e.g., a computer program and a computer program product) for performing some or all of the methods described herein.
  • Such a program implementing the invention may be stored on a computer readable medium or may be in the form of one or more signals. Such signals may be downloaded from an Internet website, provided on a carrier signal, or provided in any other form.
  • Server such as an application server.
  • the server traditionally includes a processor 310 and a computer program product or computer readable medium in the form of a memory 320.
  • the memory 320 can be, for example, a flash memory, an EEPROM (Electrically Erasable Programmable Read Only Memory), an EPROM, a hard disk, or a ROM. Electronic storage such as this.
  • the memory 320 has a memory space 330 for program code 331 for performing any of the method steps described above.
  • storage space 330 for program code may include various program code 331 for implementing various steps in the above methods, respectively.
  • the program code can be read from or written to one or more computer program products.
  • These computer program products include program code carriers such as hard disks, compact disks (CDs), memory cards or floppy disks.
  • Such computer program products are typically portable or fixed storage units as described with reference to FIG.
  • the storage unit may have a storage section, a storage space, and the like arranged similarly to the storage 320 in the server of FIG.
  • the program code can be compressed, for example, in an appropriate form.
  • the storage unit includes computer readable code 33, i.e., code that can be read by a processor, such as 310, which, when executed by a server, causes the server to perform various steps in the methods described above.
  • an embodiment or “one or more embodiments” as used herein means that the particular features, structures, or characteristics described in connection with the embodiments are included in at least one embodiment of the invention.
  • the phrase “in one embodiment” herein does not necessarily refer to the same embodiment.
  • any reference signs placed between parentheses shall not be construed as a limitation.
  • the word “comprising” does not exclude the presence of the elements or steps that are not in the claims.
  • the word “a” or “an” preceding a component does not exclude the presence of a plurality of such elements.
  • the invention can be implemented by means of hardware comprising several distinct elements and by means of a suitably programmed computer. In the unit claims enumerating several means, several of these means can be embodied by the same hardware item.
  • the use of the words first, second, and third does not indicate any order. These words can be interpreted as names.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Information Transfer Between Computers (AREA)

Abstract

本发明公开了一种判断钓鱼网站的方法和装置，其中，所述方法包括：服务器判断客户端访问的目标网站是否为灰网站，所述灰网站为未在预设黑名单及白名单中的网站；客户端获取所述灰网站在本地客户端中的浏览信息，并判断所述浏览信息是否满足预设条件；若是，则判定为非钓鱼网站；若否，则客户端获取所述灰网站的域名特征信息，当域名特征信息符合预置规则时，则判定为钓鱼网站。本发明用以当服务器不能确定客户端访问的网站否为钓鱼网站，或者服务端故障时，可以在客户端第一时间拦截到最新生成的钓鱼网站，拦截大部分的钓鱼网站，以保证网络安全。

Description

一种判断钓鱼网站的方法及装置 技术领域
本发明涉及网络安全技术领域， 尤其涉及一种判断钓鱼网站的方法， 以及， 一种判断钓鱼网站的装置。 背景技术
钓鱼网站一般具有这些特征： 1、 以中奖（qq中奖、 微博中奖、 砸金 蛋、 星光大道等） 来诱骗用户； 2、 以低价（飞机票、 淘宝商品） 来诱骗 用户； 3、 制作成本低。 钓鱼网站可以批量制作， 并且使用免费的二级域 名， 相比病毒的制作和传播， 钓鱼网站的成本可以忽略不计。 4、 后果严 重。 钓鱼网站大都诱骗用户购买价格比较高的商品 （比如飞机票、 单反 相机等） ， 并且有些钓鱼网站会窃取用户的支付宝和银行账户， 会给用 户造成很大的损失。
现有钓鱼网站的识别技术， 主要方法有： 1、 对网页关键内容进行字 符串匹配。 比如检测网页 title和 keywords中是否含有'淘宝'、 '中奖 '等字 样。 2、 图像识别。 有些钓鱼网站是仿冒品牌官方网站的， 页面看上去和 官网一样。 比如仿冒航空公司和淘宝。 3、 域名信息。 钓鱼网站所使用的 域名注册时间一般比较新， 并且常常使用免费的二级域名。 以上几种方 法会综合起来识别钓鱼网站， 最后形成黑名单。 除了黑名单之外， 为了 不误报， 还会有一个白名单机制， 将访问量大， 曾经误报过的网站加入 白名单。
现有杀毒软件对钓鱼网站的识别都是在服务端进行的： 当客户端访 问一个网站时， 杀毒软件同时向服务端发送一个请求， 来查询这个网站 是否是钓鱼网站。 如果是钓鱼网站， 就是进行拦截， 如果不是就放行。 这样的技术方案有两个明显的缺点： 一是新产生的钓鱼网站服务端没有 记录， 客户端查询的结果都是未知； 二是当服务端出现技术故障等导致 查询时间较长时， 也可能出现漏报。 对于拦截钓鱼网站来说， 第一个缺 点是很难避免的， 因为钓鱼网站的制作成本非常低， 往往会釆用免费的 二级域名， 欺骗几个用户后就废弃原有的域名， 修改标题等内容后就再 去申请一个新的域名， 继续行骗。
本发明的迫切需要解决的问题之一在于， 提出一种判断钓鱼网站的 方法及装置， 用以当服务器不能确定客户端访问的网站否为钓鱼网站， 或者服务端故障时， 可以在客户端第一时间拦截到最新生成的钓鱼网站， 拦截大部分的钓鱼网站， 以保证网络安全。 发明内容
鉴于上述问题， 提出了本发明以便提供一种克服上述问题或者至少 部分地解决或者减緩上述问题的一种判断钓鱼网站的方法和相应的判断 钓鱼网站的装置。
根据本发明的一个方面， 提供了一种判断钓鱼网站的方法， 包括： 服务器判断客户端访问的目标网站是否为灰网站， 所述灰网站为未 在预设黑名单及白名单中的网站；
客户端获取所述灰网站在本地客户端中的浏览信息， 并判断所述浏 览信息是否满足预设条件；
若是， 则判定为非钓鱼网站；
若否， 则客户端获取所述灰网站的域名特征信息， 当域名特征信息 符合预置规则时， 则判定为钓鱼网站。
根据本发明的另一个方面， 提供了一种判断钓鱼网站的装置， 包括： 位于服务器的灰网站判断模块， 用于判断客户端访问的目标网站是 否为灰网站， 所述灰网站为未在预设黑名单及白名单中的网站；
位于客户端的钓鱼网站判断模块， 用于获取所述灰网站在本地客户 端中的浏览信息， 并判断所述浏览信息是否满足预设条件；
位于客户端的第一判定模块， 用于判定为非钓鱼网站；
位于客户端的第二判定模块， 用于获取所述灰网站的域名特征信息， 当域名特征信息符合预置规则时， 则判定为钓鱼网站。
根据本发明的又一个方面， 提供了一种计算机程序， 其包括计算机 可读代码， 当所述计算机可读代码在服务器上运行时， 导致所述服务器 执行根据权利要求 1 -8中的任一个所述的判断钓鱼网站的方法。
根据本发明的再一个方面， 提供了一种计算机可读介质， 其中存储 了如权利要求 16所述的计算机程序。
本发明的有益效果为：
根据本发明的一种判断钓鱼网站的方法及装置可以通过客户端来判 断是否为钓鱼网站， 由此解决了当服务器不能确定客户端访问的网站否 为钓鱼网站， 或者服务端故障时， 取得了可以在客户端第一时间拦截到 最新生成的钓鱼网站， 拦截大部分的钓鱼网站， 保证网络安全的有益效 果。
上述说明仅是本发明技术方案的概述， 为了能够更清楚了解本发明 的技术手段， 而可依照说明书的内容予以实施， 并且为了让本发明的上 述和其它目的、 特征和优点能够更明显易懂， 以下特举本发明的具体实 施方式。 附图说明
通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于 本领域普通技术人员将变得清楚明了。 附图仅用于示出优选实施方式的 目的， 而并不认为是对本发明的限制。 而且在整个附图中， 用相同的参 考符号表示相同的部件。 在附图中：
图 1 示意性示出了根据本发明一个实施例的判断钓鱼网站的方法的 流程图；
图 2 示意性示出了根据本发明一个实施例的判断钓鱼网站的装置的 框图；
图 3 示意性地示出了用于执行根据本发明的方法的服务器的框图； 以及
图 4 示意性地示出了用于保持或者携带实现根据本发明的方法的程 序代码的存储单元。 具体实施方式
下面结合附图和具体的实施方式对本发明作进一步的描述。
本发明实施例的核心构思之一在于， 当服务器不能确定客户端访问 的网站否为钓鱼网站， 或者服务端故障时， 根据用户的浏览信息和网站 的域名特征信息与在本地客户端中的浏览信息对比， 综合判断灰网站是 否为钓鱼网站。 参照图 1 ,示出了根据本发明一个实施例的判断钓鱼网站的方法实施 例的步骤流程图， 具体可以包括以下步骤：
步骤 101 , 服务器判断客户端访问的目标网站是否为灰网站， 所述灰 网站为未在预设黑名单及白名单中的网站；
在具体实现中， 可以在服务器中设置存储已知钓鱼网站的黑名单以 及存储已知非钓鱼网站的白名单， 在本发明的一种优选实施例中， 所述 步骤 101具体可以包括如下子步骤：
子步骤 S1 1 , 客户端访问目标网站， 并向服务器发送查询所述目标网 站是否为钓鱼网站的请求；
子步骤 S12, 服务器接收所述请求， 查看所述目标网站是否在黑名单 或白名单中， 若目标网站既不在黑名单也不在白名单中， 则判定目标网 站为灰网站。
在实际中， 当客户端访问目标网站时， 可以同时向服务端发送查询 所述目标网站是否为钓鱼网站的请求， 服务器接收到查询请求后， 查看 所述目标网站是否存于在黑名单或白名单中， 若目标网站既不在黑名单 也不在白名单中， 则判定目标网站为灰网站。 服务端将判定为灰网站的 结果返回至客户端， 则客户端启动启发式判断。
步骤 102 , 客户端获取所述灰网站在本地客户端中的浏览信息， 并判 断所述浏览信息是否满足预设条件；
作为本发明实施例具体应用的一种示例， 所述浏览信息可以包括浏 览量和浏览时间， 所述步骤 102可以包括如下步骤：
判断所述浏览量是否高于预设阈值， 并且， 所述浏览时间是否在预 设的时间范围内。
在具体实现中， 可以在客户端配置两个主要的 API , —个是将目标网 站的 URL传入的 API , 可以通过浏览器或者安全软件， 在用户访问未知 目标网站时， 调用这个 API; 第二个是查询的 API , 可以传入目标网站来 查询是否为钓鱼网站。当客户端启动启发式判断时，调用将目标网站 URL 传入的 API , 将灰网站的 host、 IP、 网站名、 浏览量， 浏览时间记录在数 据緩存中， 并根据浏览量进行排序。 作为一种示例， 排序的算法可以为 LRU ( Least Recently Used ) , 最近经常访问的灰网站的 host会被保存起 来。 当用户访问的网站为灰网站时， 调用查询的 API , 则客户端对排序的 浏览量数据进行查询， 如果发现有记录， 并且浏览量高于预置阈值， 就 判定是白网站， 则客户端允许访问此网站。 所有的灰网站的数据都放入 数据緩存中， 并将网站通过 LRU排序， 对于在预置时间内没有被访问的 网站会从数据緩存中清除。 判断钓鱼网站的预置阈值可以根据服务端的 统计做调整， 范围大概在 10以上。
步骤 103 , 若是， 则判定为非钓鱼网站；
当用户访问的灰网站判定为非钓鱼网站， 则客户端允许访问所述灰 网站。
步骤 104, 若否， 则客户端获取所述灰网站的域名特征信息， 当域名 特征信息符合预置规则时， 则判定为钓鱼网站。
在本发明的一种优选实施例中， 所述灰网站的域名特征信息包括 IP 地址， 域名和网站名， 所述步骤 104可以为如下步骤：
当所述灰网站的 IP地址为国外 IP, 并且， 所述灰网站釆用了预置的 可疑域名， 以及， 灰网站的网站名包含预置的敏感词汇时， 判定为钓鱼 网站。
在具体实现中， 当用户访问灰网站时， 客户端对数据緩存中排序的 浏览量进行查询， 如果发现有灰网站的记录， 但浏览量低于预置阈值， 或者没有灰网站的记录， 就会根据灰网站的 IP地址是否为国外 IP, host 是否使用高危二级域名和网站名是否包含预置敏感词汇来综合判断是否 为钓鱼网站。
如果灰网站的 IP地址为国外 IP,并且网站釆用了预置的可疑域名（比 如 tk, co.cc等， 可以定期从服务端更新） ， 并且网站名含有预置的敏感 词汇 （比如淘宝、 话费、 抽奖、 彩票等， 可以定期从服务端更新） ， 就 认为灰网站是钓鱼网站。 当用户访问的灰网站判定为钓鱼网站时， 则客 户端拒绝访问所述灰网站。
在本发明的一种优选实施例中， 还可以包括如下步骤：
当所述灰网站的域名特征信息符合灰网站的 IP地址为国外 IP, 或灰 网站釆用了预置的可疑域名， 或灰网站的网站名包含预置的敏感词汇中 任意两项时， 则生成目标网站为疑似钓鱼网站的提示信息。
如果灰网站的 IP地址为国外 IP, 或网站釆用预置的可疑域名， 或网 站名含有预置的敏感词汇， 符合以上两个条件的灰网站的会提示疑似钓 鱼网站， 这种做法是为了减少误报， 因为在实际中， 由于一些小网站会 使用免费的二级域名搭建服务， 可能会都命中这三个规则。 在具体实现中， 会将客户端允许或拒绝访问所述灰网站， 或生成目 标网站为疑似钓鱼网站的信息的处理结果生成日志并返回给服务器。 客 户端针对钓鱼网站进行拦截， 如果不是钓鱼网站就允许继续访问。 客户 端允许或拒绝访问所述灰网站， 或生成目标网站为疑似钓鱼网站的信息 的处理结果会生成日志并返回给服务器。 如果其中有误报， 可从服务端 加入白名单。
在本发明的一种优选实施例中， 所述服务器可以为企业内网控制服 务器， 所述客户端可以为企业内网客户端。 作为一种具体应用的示例， 本发明实施例可应用企业内网的钓鱼网站识别中， 以增强企业网络的安 全性。 具体而言， 在企业内网的应用中， 本发明实施例可以包括如下步 骤：
步骤 S 1 , 企业内网控制服务器判断企业内网客户端访问的目标网站 是否为灰网站， 所述灰网站为未在预设黑名单及白名单中的网站；
步骤 S2 , 企业内网客户端获取所述灰网站在本地企业内网客户端客 户端中的浏览信息， 并判断所述浏览信息是否满足预设条件；
步骤 S3 , 若是， 则判定为非钓鱼网站；
步骤 S4 , 若否， 则企业内网客户端获取所述灰网站的域名特征信息， 当域名特征信息符合预置规则时， 则判定为钓鱼网站。
对于上述的示例而言， 由于其图 1 的方法实施例基本相似， 故本示 例的描述中未详尽之处， 可以参见方法实施例中的相关说明， 在此就不 赘述了。
需要说明的是， 对于方法实施例， 为了简单描述， 故将其都表述为 一系列的动作组合， 但是本领域技术人员应该知悉， 本发明并不受所描 述的动作顺序的限制， 因为依据本发明， 某些步骤可以釆用其他顺序或 者同时进行。 其次， 本领域技术人员也应该知悉， 说明书中所描述的实 施例均属于优选实施例， 所涉及的动作和模块并不一定是本发明所必须 的。
参照图 2 ,示出了根据本发明一个实施例的判断钓鱼网站的装置实施 例的结构框图， 具体可以包括以下模块：
位于客户端的灰网站判断模块 201 ,用于判断客户端访问的目标网站 是否为灰网站， 所述灰网站为未在预设黑名单及白名单中的网站；
在本发明的一种优选实施例中， 所述服务器中包括存储已知钓鱼网 站的黑名单以及存储已知非钓鱼网站的白名单，所述灰网站判断模块 201 可以包括如下子模块：
位于客户端的访问子模块， 用于访问目标网站， 并向服务器发送查 询所述目标网站是否为钓鱼网站的请求；
位于服务器的判断子模块， 用于接收所述请求， 查看所述目标网站 是否在黑名单或白名单中， 若目标网站既不在黑名单也不在白名单中， 则判定目标网站为灰网站。
位于客户端的钓鱼网站判断模块 202 ,用于获取所述灰网站在本地客 户端中的浏览信息， 并判断所述浏览信息是否满足预设条件；
在本发明的一种优选实施例中， 所述钓鱼网站判断模块 202可以为： 浏览信息判断模块， 用于判断所述浏览量是否高于预设阈值， 并且， 所述浏览时间是否在预设的时间范围内。
位于客户端的第一判定模块 203 , 用于判定为非钓鱼网站；
客户端允许访问模块， 用于若为非钓鱼网站， 则客户端允许访问所 述灰网站。
位于客户端的第二判定模块 204 ,用于获取所述灰网站的域名特征信 息， 当域名特征信息符合预置规则时， 则判定为钓鱼网站。
在本发明的一种优选实施例中， 所述灰网站的域名特征信息包括 IP 地址， 域名和网站名， 所述第二判定模块 204可以为：
域名特征信息判断模块， 用于当所述灰网站的 IP地址为国外 IP, 并 且， 所述灰网站釆用了预置的可疑域名， 以及， 灰网站的网站名包含预 置的敏感词汇时， 判定为钓鱼网站。
客户端拒绝访问模块， 用于若为钓鱼网站， 则客户端拒绝访问所述 灰网站；
在本发明的一种优选实施例中， 所述装置还包括：
疑似钓鱼网站提示信息模块， 用于当所述灰网站的域名特征信息符 合灰网站的 IP地址为国外 IP, 或灰网站釆用了预置的可疑域名， 或灰网 站的网站名包含预置的敏感词汇中任意两项时， 则生成目标网站为疑似 钓鱼网站的提示信息。
处理结果返回模块， 用于将客户端允许或拒绝访问所述灰网站， 或 生成目标网站为疑似钓鱼网站的信息的处理结果生成日志并返回给服务 哭口 。 对于图 2的装置实施例而言， 由于其与图 1的方法实施例基本相似， 所以描述的比较简单， 相关之处参见方法实施例的部分说明即可。
在本发明的一种优选实施例中， 所述服务器可以为企业内网控制服 务器， 所述客户端可以为企业内网客户端。 作为一种具体应用的示例， 本发明实施例还可应用企业内网的钓鱼网站识别中， 以增强企业网络的 安全性。 具体而言， 在企业内网的应用环境中， 本发明实施例可以包括 如下模块：
位于企业内网控制服务器的灰网站判断模块， 用于判断企业内网客 户端访问的目标网站是否为灰网站， 所述灰网站为未在预设黑名单及白 名单中的网站；
位于企业内网客户端的钓鱼网站判断模块， 用于获取所述灰网站在 本地企业内网客户端中的浏览信息， 并判断所述浏览信息是否满足预设 条件；
位于企业内网客户端的第一判定模块， 用于判定为非钓鱼网站； 位于企业内网客户端的第二判定模块， 用于获取所述灰网站的域名 特征信息， 当域名特征信息符合预置规则时， 则判定为钓鱼网站。
对于上述的示例而言， 其中描述未详尽之处， 可以参见方法实施例 中的相关说明， 在此就不赘述了。 本发明的各个部件实施例可以以硬件实现， 或者以在一个或者多个 处理器上运行的软件模块实现， 或者以它们的组合实现。 本领域的技术 人员应当理解， 可以在实践中使用微处理器或者数字信号处理器 （DSP ) 来实现根据本发明实施例的判断钓鱼网站的装置中的一些或者全部部件 的一些或者全部功能。 本发明还可以实现为用于执行这里所描述的方法 的一部分或者全部的设备或者装置程序 （例如， 计算机程序和计算机程 序产品） 。 这样的实现本发明的程序可以存储在计算机可读介质上， 或 者可以具有一个或者多个信号的形式。 这样的信号可以从因特网网站上 下载得到， 或者在载体信号上提供， 或者以任何其他形式提供。 务器， 例如应用服务器。 该服务器传统上包括处理器 310和以存储器 320 形式的计算机程序产品或者计算机可读介质。 存储器 320 可以是诸如闪 存、 EEPROM (电可擦除可编程只读存储器） 、 EPROM、 硬盘或者 ROM 之类的电子存储器。 存储器 320 具有用于执行上述方法中的任何方法步 骤的程序代码 331的存储空间 330。 例如， 用于程序代码的存储空间 330 可以包括分别用于实现上面的方法中的各种步骤的各个程序代码 331。这 些程序代码可以从一个或者多个计算机程序产品中读出或者写入到这一 个或者多个计算机程序产品中。 这些计算机程序产品包括诸如硬盘， 紧 致盘 （CD ) 、 存储卡或者软盘之类的程序代码载体。 这样的计算机程序 产品通常为如参考图 4 所述的便携式或者固定存储单元。 该存储单元可 以具有与图 3的服务器中的存储器 320类似布置的存储段、 存储空间等。 程序代码可以例如以适当形式进行压缩。 通常， 存储单元包括计算机可 读代码 33 Γ , 即可以由例如诸如 310之类的处理器读取的代码， 这些代 码当由服务器运行时， 导致该服务器执行上面所描述的方法中的各个步 骤。
本文中所称的 "一个实施例"、 "实施例"或者"一个或者多个实施例 "意 味着， 结合实施例描述的特定特征、 结构或者特性包括在本发明的至少 一个实施例中。 此外， 请注意， 这里"在一个实施例中"的词语例子不一定 全指同一个实施例。
在此处所提供的说明书中， 说明了大量具体细节。 然而， 能够理解， 中， 并未详细示出公知的方法、 结构和技术， 以便不模糊对本说明书的 理解。
应该注意的是上述实施例对本发明进行说明而不是对本发明进行限 制， 并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计 出替换实施例。 在权利要求中， 不应将位于括号之间的任何参考符号构 造成对权利要求的限制。单词"包含"不排除存在未列在权利要求中的元件 或步骤。 位于元件之前的单词 "一"或"一个"不排除存在多个这样的元件。 本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计 算机来实现。 在列举了若干装置的单元权利要求中， 这些装置中的若干 个可以是通过同一个硬件项来具体体现。 单词第一、 第二、 以及第三等 的使用不表示任何顺序。 可将这些单词解释为名称。
此外， 还应当注意， 本说明书中使用的语言主要是为了可读性和教 导的目的而选择的， 而不是为了解释或者限定本发明的主题而选择的。 因此， 在不偏离所附权利要求书的范围和精神的情况下， 对于本技术领 域的普通技术人员来说许多修改和变更都是显而易见的。 对于本发明的 范围， 对本发明所做的公开是说明性的， 而非限制性的， 本发明的范围 由所附权利要求书限定。

Claims

权 利 要 求
1、 一种判断钓鱼网站的方法， 包括：
服务器判断客户端访问的目标网站是否为灰网站， 所述灰网站为未 在预设黑名单及白名单中的网站；
客户端获取所述灰网站在本地客户端中的浏览信息， 并判断所述浏 览信息是否满足预设条件；
若是， 则判定为非钓鱼网站；
若否， 则客户端获取所述灰网站的域名特征信息， 当域名特征信息 符合预置规则时， 则判定为钓鱼网站。
2、 如权利要求 1所述的方法， 所述服务器中包括存储已知钓鱼网站 的黑名单以及存储已知非钓鱼网站的白名单， 所述服务器判断客户端访 问的目标网站是否为灰网站的步骤包括：
客户端访问目标网站， 并向服务器发送查询所述目标网站是否为钓 鱼网站的请求；
服务器接收所述请求， 查看所述目标网站是否在黑名单或白名单中， 若目标网站既不在黑名单也不在白名单中， 则判定目标网站为灰网站。
3、 如权利要求 1或 2所述的方法， 所述浏览信息包括浏览量和浏览 时间， 所述判断浏览信息是否满足预设条件的步骤为：
判断所述浏览量是否高于预设阈值， 并且， 所述浏览时间是否在预 设的时间范围内。
4、 如权利要求 1所述的方法， 所述灰网站的域名特征信息包括 IP 地址， 域名和网站名， 所述客户端获取所述灰网站的域名特征信息， 当 域名特征信息符合预置规则时， 则判定为钓鱼网站的步骤为：
当所述灰网站的 IP地址为国外 IP, 并且， 所述灰网站釆用了预置的 可疑域名， 以及， 灰网站的网站名包含预置的敏感词汇时， 判定为钓鱼 网站。
5、 如权利要求 4所述的方法， 还包括：
当所述灰网站的域名特征信息符合灰网站的 IP地址为国外 IP, 或灰 网站釆用了预置的可疑域名， 或灰网站的网站名包含预置的敏感词汇中 任意两项时， 则生成目标网站为疑似钓鱼网站的提示信息。
6、 如权利要求 1或 4所述的方法， 还包括： 若为钓鱼网站， 则客户端允许访问所述灰网站；
若为非钓鱼网站， 则客户端拒绝访问所述灰网站。
7、 如权利要求 5或 6所述的方法， 还包括：
将客户端允许或拒绝访问所述灰网站， 或生成目标网站为疑似钓鱼 网站的信息的处理结果生成日志并返回给服务器。
8、 如权利要求 1所述的方法， 所述服务器为企业内网控制服务器， 所述客户端为企业内网客户端。
9、 一种判断钓鱼网站的装置， 包括：
位于服务器的灰网站判断模块， 用于判断客户端访问的目标网站是 否为灰网站， 所述灰网站为未在预设黑名单及白名单中的网站；
位于客户端的钓鱼网站判断模块， 用于获取所述灰网站在本地客户 端中的浏览信息， 并判断所述浏览信息是否满足预设条件；
位于客户端的第一判定模块， 用于判定为非钓鱼网站；
位于客户端的第二判定模块， 用于获取所述灰网站的域名特征信息， 当域名特征信息符合预置规则时， 则判定为钓鱼网站。
10、 如权利要求 9所述的装置， 所述服务器中包括存储已知钓鱼网 站的黑名单以及存储已知非钓鱼网站的白名单， 所述灰网站判断模块包 括：
位于客户端的访问子模块， 用于访问目标网站， 并向服务器发送查 询所述目标网站是否为钓鱼网站的请求；
位于服务器的服务器判断子模块， 用于接收所述请求， 查看所述目 标网站是否在黑名单或白名单中， 若目标网站既不在黑名单也不在白名 单中， 则判定目标网站为灰网站。
11、 如权利要求 9或 10所述的装置， 所述钓鱼网站判断模块为： 浏览信息判断模块， 用于判断所述浏览量是否高于预设阈值， 并且， 所述浏览时间是否在预设的时间范围内。
12、 如权利要求 9所述的装置， 所述灰网站的域名特征信息包括 IP 地址， 域名和网站名， 所述第二判定模块为：
域名特征信息判断模块， 用于当所述灰网站的 IP地址为国外 IP, 并 且， 所述灰网站釆用了预置的可疑域名， 以及， 灰网站的网站名包含预 置的敏感词汇时， 判定为钓鱼网站。
13、 如权利要求 12所述的装置， 还包括： 疑似钓鱼网站提示信息模块， 用于当所述灰网站的域名特征信息符 合灰网站的 IP地址为国外 IP, 或灰网站釆用了预置的可疑域名， 或灰网 站的网站名包含预置的敏感词汇中任意两项时， 则生成目标网站为疑似 钓鱼网站的提示信息。
14、 如权利要求 9或 12所述的装置， 还包括：
客户端拒绝访问模块， 用于若为钓鱼网站， 则客户端拒绝访问所述 灰网站；
客户端允许访问模块， 用于若为非钓鱼网站， 则客户端允许访问所 述灰网站。
15、 如权利要求 12或 13所述的装置， 还包括：
处理结果返回模块， 用于将客户端允许或拒绝访问所述灰网站， 或 生成目标网站为疑似钓鱼网站的信息的处理结果生成日志并返回给服务 哭口。
16、 一种计算机程序， 包括计算机可读代码， 当所述计算机可读代 码在服务器上运行时，导致所述服务器执行根据权利要求 1-8中的任一个 所述的判断钓鱼网站的方法。
17、 一种计算机可读介质， 其中存储了如权利要求 16所述的计算机 程序。
PCT/CN2013/081760 2012-10-25 2013-08-19 一种判断钓鱼网站的方法及装置 WO2014063520A1 (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
US14/438,160 US9742774B2 (en) 2012-10-25 2013-08-19 Method and apparatus for determining phishing website
US15/664,745 US10270779B2 (en) 2012-10-25 2017-07-31 Method and apparatus for determining phishing website

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201210413907.1A CN102957694B (zh) 2012-10-25 2012-10-25 一种判断钓鱼网站的方法及装置
CN201210413907.1 2012-10-25

Related Child Applications (2)

Application Number Title Priority Date Filing Date
US14/438,160 A-371-Of-International US9742774B2 (en) 2012-10-25 2013-08-19 Method and apparatus for determining phishing website
US15/664,745 Continuation US10270779B2 (en) 2012-10-25 2017-07-31 Method and apparatus for determining phishing website

Publications (1)

Publication Number Publication Date
WO2014063520A1 true WO2014063520A1 (zh) 2014-05-01

Family

ID=47765919

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2013/081760 WO2014063520A1 (zh) 2012-10-25 2013-08-19 一种判断钓鱼网站的方法及装置

Country Status (3)

Country Link
US (2) US9742774B2 (zh)
CN (1) CN102957694B (zh)
WO (1) WO2014063520A1 (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10375091B2 (en) 2017-07-11 2019-08-06 Horizon Healthcare Services, Inc. Method, device and assembly operable to enhance security of networks
CN110929129A (zh) * 2018-08-31 2020-03-27 阿里巴巴集团控股有限公司 一种信息检测方法、设备及机器可读存储介质

Families Citing this family (27)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102957693B (zh) * 2012-10-25 2015-09-30 北京奇虎科技有限公司 钓鱼网站判断方法及装置
CN102957694B (zh) * 2012-10-25 2016-08-31 北京奇虎科技有限公司 一种判断钓鱼网站的方法及装置
CN103152355A (zh) * 2013-03-19 2013-06-12 北京奇虎科技有限公司 对危险网站进行提示的方法、系统及客户端设备
CN104283840B (zh) * 2013-07-02 2019-02-26 深圳市腾讯计算机系统有限公司 提高网络访问安全性的方法、客户端及系统
CN103546470A (zh) * 2013-10-24 2014-01-29 腾讯科技（武汉）有限公司 安全访问方法、系统及装置
US9578057B1 (en) * 2013-12-19 2017-02-21 Symantec Corporation Techniques for detecting an intranet spoofing attack
CN103685289B (zh) * 2013-12-19 2017-02-08 北京奇虎科技有限公司 一种检测钓鱼网站的方法及装置
CN103701804A (zh) * 2013-12-26 2014-04-02 北京奇虎科技有限公司 网络购物环境安全性检测方法及装置
RU2685994C1 (ru) * 2015-07-15 2019-04-23 Гуанчжоу Уквеб Компьютер Текнолоджи Ко., Лтд. Способ оценки сетевой атаки, способ безопасной передачи данных сети и соответствующее устройство
US10680893B2 (en) * 2015-10-27 2020-06-09 Alaxala Networks Corporation Communication device, system, and method
US9935970B2 (en) 2015-10-29 2018-04-03 Duo Security, Inc. Methods and systems for implementing a phishing assessment
WO2017086992A1 (en) * 2015-11-20 2017-05-26 Hewlett Packard Enterprise Development Lp Malicious web content discovery through graphical model inference
US10193923B2 (en) 2016-07-20 2019-01-29 Duo Security, Inc. Methods for preventing cyber intrusions and phishing activity
CN107360197B (zh) * 2017-09-08 2020-12-25 杭州安恒信息技术股份有限公司 一种基于dns日志的网络钓鱼分析方法及装置
US10645117B2 (en) * 2017-10-26 2020-05-05 Easy Solutions Enterprises Corp. Systems and methods to detect and notify victims of phishing activities
US11470113B1 (en) * 2018-02-15 2022-10-11 Comodo Security Solutions, Inc. Method to eliminate data theft through a phishing website
CN108683631B (zh) * 2018-03-30 2019-12-20 厦门白山耘科技有限公司 一种防止扫描权限文件的方法和系统
CN109246074A (zh) * 2018-07-23 2019-01-18 北京奇虎科技有限公司 识别可疑域名的方法、装置、服务器及可读存储介质
CN109474575B (zh) * 2018-09-11 2022-04-12 奇安信科技集团股份有限公司 一种dns隧道的检测方法及装置
CN110691083B (zh) * 2019-09-26 2021-07-23 杭州安恒信息技术股份有限公司 一种基于进程的外联阻断方法
CN111010458B (zh) * 2019-12-04 2022-07-01 北京奇虎科技有限公司 域名规则的生成方法、设备及计算机可读存储介质
CN111092881B (zh) * 2019-12-12 2022-08-02 杭州安恒信息技术股份有限公司 一种访问拦截方法、装置、设备及可读存储介质
CN111147490A (zh) * 2019-12-26 2020-05-12 中国科学院信息工程研究所 一种定向钓鱼攻击事件发现方法及装置
US20210367918A1 (en) * 2020-05-22 2021-11-25 Nvidia Corporation User perceptible indicia for web address identifiers
CN113609493A (zh) * 2021-08-05 2021-11-05 工银科技有限公司 钓鱼网站的识别方法、装置、设备及介质
CN114095252B (zh) * 2021-11-22 2023-09-05 安天科技集团股份有限公司 Fqdn域名检测方法、装置、计算设备及存储介质
CN114363039A (zh) * 2021-12-30 2022-04-15 恒安嘉新（北京）科技股份公司 一种诈骗网站的识别方法、装置、设备及存储介质

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102638448A (zh) * 2012-02-27 2012-08-15 珠海市君天电子科技有限公司 一种基于非内容分析的判断钓鱼网站的方法
CN102710646A (zh) * 2012-06-06 2012-10-03 珠海市君天电子科技有限公司 一种钓鱼网站的收集方法和系统
CN102957694A (zh) * 2012-10-25 2013-03-06 北京奇虎科技有限公司 一种判断钓鱼网站的方法及装置
CN102957693A (zh) * 2012-10-25 2013-03-06 北京奇虎科技有限公司 钓鱼网站判断方法及装置

Family Cites Families (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7457823B2 (en) * 2004-05-02 2008-11-25 Markmonitor Inc. Methods and systems for analyzing data related to possible online fraud
US7634810B2 (en) * 2004-12-02 2009-12-15 Microsoft Corporation Phishing detection, prevention, and notification
US20090089859A1 (en) * 2007-09-28 2009-04-02 Cook Debra L Method and apparatus for detecting phishing attempts solicited by electronic mail
US9172706B2 (en) * 2009-11-23 2015-10-27 At&T Intellectual Property I, L.P. Tailored protection of personally identifiable information
US9083733B2 (en) * 2011-08-01 2015-07-14 Visicom Media Inc. Anti-phishing domain advisor and method thereof
US8935750B2 (en) * 2011-10-03 2015-01-13 Kaspersky Lab Zao System and method for restricting pathways to harmful hosts in computer networks
US8631498B1 (en) * 2011-12-23 2014-01-14 Symantec Corporation Techniques for identifying potential malware domain names
CN102647408A (zh) * 2012-02-27 2012-08-22 珠海市君天电子科技有限公司 一种基于内容分析的判断钓鱼网站的方法
CN102710645B (zh) * 2012-06-06 2015-10-21 珠海市君天电子科技有限公司 一种钓鱼网站检测方法及其检测系统
CN102724186B (zh) * 2012-06-06 2015-10-21 珠海市君天电子科技有限公司 一种钓鱼网站检测系统和检测方法
US8813228B2 (en) * 2012-06-29 2014-08-19 Deloitte Development Llc Collective threat intelligence gathering system

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102638448A (zh) * 2012-02-27 2012-08-15 珠海市君天电子科技有限公司 一种基于非内容分析的判断钓鱼网站的方法
CN102710646A (zh) * 2012-06-06 2012-10-03 珠海市君天电子科技有限公司 一种钓鱼网站的收集方法和系统
CN102957694A (zh) * 2012-10-25 2013-03-06 北京奇虎科技有限公司 一种判断钓鱼网站的方法及装置
CN102957693A (zh) * 2012-10-25 2013-03-06 北京奇虎科技有限公司 钓鱼网站判断方法及装置

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10375091B2 (en) 2017-07-11 2019-08-06 Horizon Healthcare Services, Inc. Method, device and assembly operable to enhance security of networks
CN110929129A (zh) * 2018-08-31 2020-03-27 阿里巴巴集团控股有限公司 一种信息检测方法、设备及机器可读存储介质
CN110929129B (zh) * 2018-08-31 2023-12-26 阿里巴巴集团控股有限公司 一种信息检测方法、设备及机器可读存储介质

Also Published As

Publication number Publication date
US20150281244A1 (en) 2015-10-01
CN102957694A (zh) 2013-03-06
US20170331830A1 (en) 2017-11-16
US10270779B2 (en) 2019-04-23
US9742774B2 (en) 2017-08-22
CN102957694B (zh) 2016-08-31

Similar Documents

Publication Publication Date Title
WO2014063520A1 (zh) 一种判断钓鱼网站的方法及装置
US11388193B2 (en) Systems and methods for detecting online fraud
US10951636B2 (en) Dynamic phishing detection methods and apparatus
US10484424B2 (en) Method and system for security protection of account information
US9832210B2 (en) Multi-core browser and method for intercepting malicious network address in multi-core browser
WO2015096528A1 (zh) 网络购物环境安全性检测方法及装置
US8776196B1 (en) Systems and methods for automatically detecting and preventing phishing attacks
CN103268442B (zh) 一种实现安全访问视频网站的方法和装置
WO2015188788A1 (zh) 保护移动终端支付安全的方法、装置以及移动终端
US20130263263A1 (en) Web element spoofing prevention system and method
US20220030029A1 (en) Phishing Protection Methods and Systems
Chorghe et al. A survey on anti-phishing techniques in mobile phones
WO2016201994A1 (zh) 域名可信度确定的方法及装置
EP3451223B1 (en) Systems and methods for detecting fraudulent use of a serial code for accessing an associated value stored on a network
Abiodun et al. Linkcalculator—An efficient link-based phishing detection tool
US11496510B1 (en) Fully automated target identification of a phishing web site
Singh et al. Phishing: A computer security threat
Gupta et al. Phishing website detection using machine learning
Liu et al. Financial websites oriented heuristic anti-phishing research
Orunsolu et al. A Middleware based Anti-Phishing Architecture
Jeoung et al. Systematic website verification for privacy protection
Wang Verilogo: proactive phishing detection via logo recognition
BR102013030941A2 (pt) método automatizado para a detecção de bankers

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 13849094

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 14438160

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 13849094

Country of ref document: EP

Kind code of ref document: A1