WO2017124954A1 - 一种通过丢失账号定位恶意账号的方法和系统 - Google Patents

一种通过丢失账号定位恶意账号的方法和系统 Download PDF

Info

Publication number
WO2017124954A1
WO2017124954A1 PCT/CN2017/070907 CN2017070907W WO2017124954A1 WO 2017124954 A1 WO2017124954 A1 WO 2017124954A1 CN 2017070907 W CN2017070907 W CN 2017070907W WO 2017124954 A1 WO2017124954 A1 WO 2017124954A1
Authority
WO
WIPO (PCT)
Prior art keywords
account
user
client
lost
machine code
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/CN2017/070907
Other languages
English (en)
French (fr)
Inventor
范鑫
李华明
汤鑫
吴大瑞
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Alibaba Group Holding Ltd
Original Assignee
Alibaba Group Holding Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Alibaba Group Holding Ltd filed Critical Alibaba Group Holding Ltd
Publication of WO2017124954A1 publication Critical patent/WO2017124954A1/zh
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0815—Network architectures or network communication protocols for network security for authentication of entities providing single-sign-on or federations
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms

Definitions

  • the present application relates to the field of the Internet, and in particular, to a method and system for locating a malicious account by losing an account.
  • IP positioning is not accurate and cannot truly reflect the user's environmental information; and more and more hackers or criminals use proxy IP, which makes it more difficult to use IP positioning.
  • embodiments of the present application have been made in order to provide a method and system for locating a malicious account by losing an account to overcome the above problems or at least partially solve the above problems.
  • the present application discloses a positioning method for locating a malicious account by using a lost account, including:
  • each machine code query all user accounts that have been logged in on the corresponding client;
  • the embodiment of the present application further discloses a positioning system for locating a malicious account by using a lost account, including:
  • the machine code query module is configured to read the reported lost account, and query the machine code corresponding to each client that the reported lost account has logged in;
  • the user account query module is configured to query all user accounts that have been logged in on the corresponding client according to each machine code
  • An account analysis module is configured to analyze each of the user accounts and determine a malicious account.
  • the positioning method and the positioning system for locating a malicious account by using a lost account in the embodiment of the present application can query the machine code through the lost account, and then query each user account of the client corresponding to the machine code through the machine code query, and pass the machine.
  • the correspondence between the code and the user account analyzes and locates the malicious account, and locates the hacker or the criminal according to the source, and solves the problem that the hacker or the criminal cannot be tracked in the prior art.
  • FIG. 1 is a flowchart of a method for locating a malicious account by using a lost account in the first embodiment of the present application.
  • FIG. 2 is a flowchart of a method for locating a malicious account by using a lost account in the second embodiment of the present application.
  • FIG. 3 is a block diagram of a positioning system for locating a malicious account by a lost account corresponding to the positioning method of the first embodiment of the present application.
  • FIG. 4 is a malicious location by using a lost account corresponding to the positioning method of the second embodiment of the present application.
  • One of the core ideas of the present application is to read the machine code of each client that the lost account has logged in, to find all the user accounts that have been logged in on each client according to each machine code, and analyze each user account. Then determine the malicious account from all user accounts.
  • the first embodiment of the present application provides a method for locating a malicious account by using a lost account.
  • the malicious account described in the present application includes a hacker account and a junk account used by a criminal to attack the website, and is a relative user.
  • the account used normally is not particularly limited to a certain type of account.
  • FIG. 1 is a flowchart of a method for locating a malicious account by using a lost account according to the first embodiment of the present application.
  • the method for locating a malicious account by using a lost account according to the first embodiment of the present application includes the following steps:
  • the user can report the lost account from the appeal channel of the webpage.
  • the server reads the lost account reported by the user, and queries, for example, the database, the machine code corresponding to each client that the reported lost account has logged in.
  • Machine coding is the unique code that distinguishes each client from other clients, such as the client's Mac address.
  • the server queries all the user accounts that have been logged in on the client corresponding to each machine code according to each machine code queried in step S101.
  • step S101 five associated machine codes are queried, and each user account logged in on each client is queried according to each associated machine code.
  • step S101 one, two, three, four, and five user accounts have been logged in on the corresponding client code of the five associated machine codes, that is, 15 user accounts have been logged in on the five clients. .
  • the server can analyze the above 15 user accounts one by one, and determine which one or more accounts are malicious accounts through specific rules.
  • the machine code can be queried by losing the account, and then each user account corresponding to the machine coded client can be queried through the machine code query.
  • FIG. 2 is a flowchart of a method for locating a malicious account by using a lost account according to the second embodiment of the present application.
  • the method for locating a malicious account by using a lost account according to the second embodiment of the present application includes the following steps:
  • the information gathering tool is, for example, a script or a plug-in, and the script can be a JavaScript script.
  • the server for example, loads the JavaScript code on the web page.
  • the JavaScript code is loaded into the browser along with other scripts of the web page to extract the machine code of the client.
  • the information collection tool may not be limited to JavaScript code or plug-ins, and any webpage code that can upload the client's machine code to the server is feasible.
  • the information collecting tool in step S201 can acquire the machine code of the client and transmit it to the server.
  • the server is provided with a database, and the machine code can be uploaded to the database.
  • the history record of the webpage accessed by the client is recorded in the server, and the record is, for example, a user access log, which records each login time, offline time, user account, user IP, and login location.
  • the server extracts relevant user information from the user access log, and extracts relevant user information from the user access log, for example, may be a “cleaning log”.
  • the user information includes one or more user accounts that the client has logged in. If multiple users log in with the same client, the user information recorded in the user access log includes multiple user accounts.
  • the server extracts all user accounts from the user information and associates all user accounts with the machine code of the client. That is, each user account extracted on the same client is matched with the machine code of the client, so that the machine code can be queried by the user account later, or the user account can be queried by machine coding.
  • the user information may also include, for example, a user IP, a login location, and a contact information reserved by the user. At least one of them.
  • the user account is associated with the machine code, for example, each item included in the user information can be associated with the machine code, that is, the user IP, the login location, and the like can be associated with the machine code to facilitate the passage of the machine.
  • the encoding can query any of the user information, and the machine encoding can be queried by any of the user information.
  • Each user account can correspond to multiple machine codes, and each machine code can also correspond to multiple user accounts.
  • step S101 through the matching of the machine code and the user account in the database, the corresponding at least one machine code can be queried through the reported lost account (ie, the user account).
  • step S102 all the user accounts that have logged in to the client are found according to the many-to-many correspondence between the user account and the machine code recorded in the server.
  • step S102 is the same as or similar to step S102 in the first embodiment, and details are not described herein again.
  • step S103 is the same as or similar to step S103 in the first embodiment, and details are not described herein again.
  • the step S207 that is, the analyzing each of the user accounts, and determining the malicious account includes:
  • a user account is always logged in to the client corresponding to the same machine code as other accounts that have been reported as lost accounts, the user account will have the same machine code as the lost accounts. In this case, if the user account corresponds to the lost account If the number of times the same machine is encoded exceeds a certain number, for example, 100 times, it can be determined that the user account is a malicious account.
  • the step of analyzing each of the user accounts and determining a malicious account further includes:
  • the threshold may be the maximum operating frequency of a real user within a fixed time, for example, the user account is detected.
  • the operation frequency is 100 times in each hour, and the number of times exceeds the maximum operating frequency (for example, 60 times) that the real user may perform, and the user account may be determined to be a malicious account.
  • the maximum operating frequency of the real user can be obtained through statistics, and will not be described here.
  • the positioning method further includes:
  • Each of the user accounts is analyzed to determine other lost accounts that have not been reported.
  • the user account is determined to be a lost account that is not reported.
  • the fixed login location of the user account is Hangzhou.
  • the user account is detected in this step, the user account is detected as corresponding to the malicious account.
  • the same login location, and the user's last login location is Beijing, you can determine that the user account is a lost account.
  • the account is a lost account. For example, after a user account and a malicious account are logged in on a client, the user account Stolen, usually the malicious account will only use the user account once and will not be used again. Therefore, in this case, the user account can be judged to be a lost account.
  • the method further includes:
  • the user who lost the account is notified by the contact information reserved by the user.
  • the above two steps can be considered as a step of alerting a malicious account and alerting a lost account, and the above steps can control the spread of risk.
  • attack malicious accounts and provide early warning and notification of lost accounts, which are not specifically described herein.
  • the second embodiment of the present application can query the machine code through the lost account, and then query each user of the client corresponding to the machine code through the machine code query.
  • the account analyzes and locates the malicious account through the correspondence between the machine code and the user account, locates the hacker or the criminal from the source, and can attack the hacker, and warns the user who lost the account, and solves the problem that the hacker cannot be tracked in the prior art. Or the problem of criminals, controlling the spread of risk.
  • FIG. 3 is a block diagram of a positioning system for locating a malicious account corresponding to the method for locating a malicious account according to the first embodiment of the present application.
  • the positioning system 300 includes:
  • the machine code query module 301 is configured to read the reported lost account, and query the machine code corresponding to each client that the reported lost account has logged in;
  • the user account querying module 302 is configured to query, according to each machine code, all user accounts that have been logged in on the corresponding client;
  • the account analysis module 303 is configured to analyze each of the user accounts and determine a malicious account.
  • the third embodiment of the present invention can analyze a malicious account by a correspondence between a machine code and a user account, and locate a hacker or a criminal from the source, thereby solving the problem that cannot be tracked in the prior art.
  • the problem of hackers or criminals can analyze a malicious account by a correspondence between a machine code and a user account, and locate a hacker or a criminal from the source, thereby solving the problem that cannot be tracked in the prior art. The problem of hackers or criminals.
  • FIG. 4 is a block diagram of a positioning system for locating a malicious account corresponding to the method for locating a malicious account according to the second embodiment of the present application.
  • the positioning system includes:
  • a loading module 401 configured to load an information collection tool for extracting a machine code of the client to the webpage end;
  • the machine code transmission module 402 is configured to: when the client logs in to the webpage end, acquire the machine code of the client, and transmit the machine code of the client to the server;
  • the user information extraction module 403 is configured to extract user information from a user access log corresponding to the client in the server;
  • the information matching module 404 is configured to extract all user accounts in the user information, and associate the user accounts with the machine code of the client.
  • the machine code query module 405 is configured to read the reported lost account, and query the machine code corresponding to each client that the reported lost account has logged in;
  • the user account querying module 406 is configured to query, according to each machine code, all user accounts that have been logged in on the corresponding client;
  • the account analysis module 407 is configured to analyze each of the user accounts and determine a malicious account.
  • the account analysis module 407 includes:
  • the malicious account determining sub-module is configured to: when one of the user accounts respectively has the same machine code as the plurality of lost accounts, determine that the user account is a malicious account.
  • the user information further includes at least one of a user IP, a login location, and a contact mode reserved by the user.
  • the account analysis module is further configured to analyze each of the user accounts and determine other lost accounts that are not reported.
  • the account analysis module further includes:
  • the lost account determination sub-module is configured to: when one of the user accounts corresponds to the same machine code as the malicious account, and the login location corresponding to the user account is not a fixed login location in a specific time in the past, determining the user The account number is a lost account that has not been reported.
  • system further comprises:
  • a malicious account strike module for canceling the malicious account
  • the lost account warning module is used to notify the user of the lost account by using the contact information reserved by the user.
  • the machine is encoded as the Mac address of the client.
  • the fourth embodiment of the present invention can analyze a malicious account by a correspondence between a machine code and a user account, locate a hacker or a criminal from the source, and can attack the hacker. Users who have lost their accounts are alerted, which solves the problem of not being able to track hackers or criminals in the prior art.
  • the description is relatively simple, and the relevant parts can be referred to the description of the method embodiment.
  • embodiments of the embodiments of the present application can be provided as a method, apparatus, or computer program product. Therefore, embodiments of the present application may adopt an entirely hardware embodiment, A fully software embodiment, or a combination of software and hardware aspects. Moreover, embodiments of the present application can take the form of a computer program product embodied on one or more computer-usable storage media (including but not limited to disk storage, CD-ROM, optical storage, etc.) including computer usable program code.
  • computer-usable storage media including but not limited to disk storage, CD-ROM, optical storage, etc.
  • the computer device includes one or more processors (CPUs), input/output interfaces, network interfaces, and memory.
  • the memory may include non-persistent memory, random access memory (RAM), and/or non-volatile memory in a computer readable medium, such as read only memory (ROM) or flash memory.
  • RAM random access memory
  • ROM read only memory
  • Memory is an example of a computer readable medium.
  • Computer readable media including both permanent and non-persistent, removable and non-removable media may be implemented by any method or technology for signal storage.
  • the signals can be computer readable instructions, data structures, modules of programs, or other data.
  • Examples of computer storage media include, but are not limited to, phase change memory (PRAM), static random access memory (SRAM), dynamic random access memory (DRAM), other types of random access memory (RAM), read only memory. (ROM), electrically erasable programmable read only memory (EEPROM), flash memory or other memory technology, compact disk read only memory (CD-ROM), digital versatile disk (DVD) or other optical storage,
  • PRAM phase change memory
  • SRAM static random access memory
  • DRAM dynamic random access memory
  • RAM random access memory
  • ROM read only memory
  • EEPROM electrically erasable programmable read only memory
  • flash memory or other memory technology
  • compact disk read only memory CD-ROM
  • DVD digital versatile disk
  • a magnetic tape cartridge, magnetic tape storage or other magnetic storage device or any other non-transporting medium can be used to store signals that can be accessed by a computing device.
  • computer readable media does not include non-persistent computer readable media, such as modulated data signals and carrier waves.
  • Embodiments of the present application are described with reference to flowcharts and/or block diagrams of methods, terminal devices (systems), and computer program products according to embodiments of the present application. It will be understood that each flow and/or block of the flowchart illustrations and/or FIG.
  • These computer program instructions can be provided to a processor of a general purpose computer, special purpose computer, embedded processor or other programmable data processing terminal device to produce a machine such that instructions are executed by a processor of a computer or other programmable data processing terminal device
  • Means are provided for implementing the functions specified in one or more of the flow or in one or more blocks of the flow chart.
  • These computer program instructions may also be stored in a computer readable memory that can direct a computer or other programmable data processing terminal device to operate in a particular manner such that the computer is stored in the computer
  • the instructions in the readable memory produce an article of manufacture comprising instruction means that implements the functions specified in a block or blocks of a flow or a flow and/or block diagram of the flowchart.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Information Transfer Between Computers (AREA)
  • Financial Or Insurance-Related Operations Such As Payment And Settlement (AREA)

Abstract

本申请公开一种通过丢失账号定位恶意账号的方法和系统，该方法包括：读取上报的丢失账号，并查询该上报的丢失账号登陆过的每一个客户端对应的机器编码；根据每一个机器编码，查询对应的客户端上登陆过的所有用户账号；分析每一个所述用户账号，确定恶意账号和其他丢失账号。本申请实施例提出的通过丢失账号定位恶意账号的定位方法和系统中，能够通过机器编码和用户账号的对应关系分析恶意账号，从源头上打击黑客或不法分子，解决了现有技术中无法跟踪黑客或不法分子的问题。

Description

一种通过丢失账号定位恶意账号的方法和系统 技术领域
本申请涉及互联网领域，尤其涉及一种通过丢失账号定位恶意账号的方法和系统。
背景技术
随着互联网的发展，黑客盗用正常用户账号、不法分子通过黑色产业大量购买垃圾账号到目标网站实施破坏行为的事情屡见不鲜。
由于目前自然人实名认证的成本比较高，网站上注册的相当数量的账号均没有经过实名认证。一旦这些没有经过实名认证的账户被盗，或者被购买以作为攻击网站之用，只能基于某一账号从事的攻击网站的行为将该账号查封，并不能定位到该账号背后真正盗号的黑客或攻击网站的不法分子。因此不法分子即使攻击网站的行为被追踪到，也只损失一个或数个账号，基本不存在违法成本，这样变相助长了不法分子的恶意行为。
现有技术可以采用追踪IP的方式追踪账户背后的黑客或不法分子的身份。然而IP定位不准确，无法真实反映用户的环境信息；并且越来越多的黑客或不法分子使用代理IP，为使用IP定位增加了难度。
因此，需要提出一种能够对恶意账号进行定位和追踪的方案，对潜在风险进行预判和预警，从源头上打击黑客或不法分子。
发明内容
鉴于上述问题，提出了本申请实施例以便提供一种克服上述问题或者至少部分地解决上述问题的通过丢失账号定位恶意账号的方法和系统。
为解决上述问题，本申请公开一种通过丢失账号定位恶意账号的定位方法，包括：
读取上报的丢失账号，并查询所述上报的丢失账号登陆过的每一个客 户端对应的机器编码；
根据每一个机器编码，查询对应的客户端上登陆过的所有用户账号；
分析每一个所述用户账号，并确定恶意账号。
本申请实施例还公开一种通过丢失账号定位恶意账号的定位系统，包括：
机器编码查询模块，用于读取上报的丢失账号，并查询所述上报的丢失账号登陆过的每一个客户端对应的机器编码；
用户账号查询模块，用于根据每一个机器编码，查询对应的客户端上登陆过的所有用户账号；
账号分析模块，用于分析每一个所述用户账号，并确定恶意账号。
本申请实施例至少具有以下优点：
本申请实施例提出的通过丢失账号定位恶意账号的定位方法和定位系统中，能够通过丢失账号查询到机器编码，再通过机器编码查询到登陆对应于机器编码的客户端的每一个用户账号，通过机器编码和用户账号的对应关系分析和定位恶意账号，从源头上定位黑客或不法分子，解决了现有技术中无法跟踪黑客或不法分子的问题。
附图说明
图1是本申请第一实施例的通过丢失账号定位恶意账号的定位方法的流程图。
图2是本申请第二实施例的通过丢失账号定位恶意账号的定位方法的流程图。
图3是对应于本申请第一实施例的定位方法的通过丢失账号定位恶意账号的定位系统的方框图。
图4是对应于本申请第二实施例的定位方法的通过丢失账号定位恶意 账号的定位系统的方框图。
具体实施方式
下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员所获得的所有其他实施例，都属于本申请保护的范围。
本申请的核心思想之一在于，读取丢失账号登陆过的每一台客户端的机器编码，根据每一个机器编码查找对应的每一个客户端上登陆过的所有用户账号，分析每一个用户账号，进而从所有的用户账号里确定恶意账号。
第一实施例
本申请第一实施例提出一种通过丢失账号定位恶意账号的定位方法，值得说明的是，本申请所述的恶意账号包括黑客账号，以及不法分子用来攻击网站的垃圾账号等，是相对用户正常使用的账号而言，并不特别限定为某一类账号。
如图1所示为本申请第一实施例的通过丢失账号定位恶意账号的定位方法的流程图。本申请第一实施例提出的通过丢失账号定位恶意账号的定位方法包括如下步骤：
S101，读取上报的丢失账号，并查询所述上报的丢失账号登陆过的每一个客户端对应的机器编码；
在这一步骤中，若某一用户发觉账号丢失，例如输入用户名或密码后账户无法开启，或者发觉账户有被其他人使用的痕迹，该用户可以从网页的申诉通道上报丢失的账号。服务器读取用户上报的丢失账号，并从例如数据库中查询所述上报的丢失账号登陆过的每一个客户端对应的机器编码。
举例来说，服务器从数据库中查询到用户上报的丢失账号分别关联五个机器编码，则可以判断该丢失账号分别在5个客户端上登陆过。机器编码是每一个客户端区别于其他客户端的唯一编码，例如可以为客户端的Mac地址。
S102，根据每一个机器编码，查询对应的客户端上登陆过的所有用户账号；
在这一步骤中，服务器根据步骤S101中查询到的每一个机器编码查询每一个机器编码对应的客户端上登陆过的所有用户账号。例如在步骤S101中查询到5个关联的机器编码，再根据每一个关联的机器编码查询每一个客户端上登陆过的用户账号。举例来说，5个关联的机器编码对应的客户端上分别有1个、2个、3个、4个、5个用户账号登陆过，即在5个客户端上共有15个用户账号登陆过。
S103，分析每一个所述用户账号，并确定恶意账号；
在这一步骤中，以上述15个用户账号为例，服务器可以逐一分析上述的15个用户账号，通过特定的规则确定哪一个或多个账号为恶意账号。
由上述可知，本申请第一实施例提出的通过丢失账号定位恶意账号的定位方法中，能够通过丢失账号查询到机器编码，再通过机器编码查询到登陆对应于机器编码的客户端的每一个用户账号，通过机器编码和用户账号的对应关系分析和定位恶意账号，从源头上定位黑客或不法分子，解决了现有技术中无法跟踪黑客或不法分子的问题。
第二实施例
本申请第二实施例提出一种通过丢失账号定位恶意账号的定位方法，如图2所示为本申请第二实施例的通过丢失账号定位恶意账号的方法的流程图。本申请第二实施例提出的通过丢失账号定位恶意账号的定位方法包括如下步骤：
S201，将用以提取客户端的机器编码的信息采集工具加载至网页端；
在这一步骤中，信息采集工具例如为脚本或插件，脚本可以为JavaScript脚本。服务器例如将JavaScript代码加载在网页端，当通过客户端的浏览器访问该网页时，该JavaScript代码随着网页的其他脚本一起加载在浏览器中，用以提取客户端的机器编码。当然，该信息采集工具可以不限于JavaScript代码或插件，任何能够实现将客户端的机器编码上传至服务器的网页代码均是可行的。
S202，当通过所述客户端登陆所述网页端时，获取所述客户端的机器编码，并将该机器编码传送至服务器；
在这一步骤中，当用户通过客户端登陆所述网页端时，步骤S201中的信息采集工具可以获取该客户端的机器编码，并传送至服务器。优选地，该服务器设置有数据库，该机器编码可以被上传至数据库中。
S203，从服务器中对应所述客户端的用户访问日志中提取用户信息；
在这一步骤中，服务器中记录有每一次该客户端访问该网页端的历史记录，这一记录例如为用户访问日志，记载有每次登录时间、下线时间、用户账号、用户IP、登陆地点等内容，服务器从用户访问日志中提取相关的用户信息，从用户访问日志中提取相关的用户信息例如可以为“清洗日志”。
S204，提取所述用户信息中的所有用户账号，并将所有用户账号分别与所述客户端的机器编码关联；
用户信息中包括该客户端登录过的一个或多个用户账号，如果有多个用户用同一个客户端登陆，则该用户访问日志中记录的用户信息中包含多个用户账号。在这一步骤中，服务器从用户信息中提取所有的用户账号，并将所有用户账号分别与该客户端的机器编码对应。即，在同一客户端上提取到的每一个用户账号均与该客户端的机器编码对应匹配，以利于后续通过该用户账号能够查询到该机器编码，或者通过机器编码能够查询到该用户账号。
用户信息中例如还可以包括用户IP、登录地点、用户预留的联系方式 中的至少一项。在这一步骤中，将用户账号与机器编码关联，例如可以为将用户信息中包含的每一项与机器编码关联，即，可以将用户IP、登陆地点等与机器编码关联，以利于通过机器编码能够查询到用户信息中的任一项，并且通过用户信息中的任一项能够查询到机器编码。
在这一步骤之后，服务器中可以形成一个为多对多的映射，每一个用户账号可以对应多个机器编码，每一个机器编码也可以对应多个用户账号。
S205，读取上报的丢失账号，并查询所述上报的丢失账号登陆过的每一个客户端对应的机器编码；
在这一步骤中，通过数据库中的机器编码和用户账号的匹配，可以通过该上报的丢失账号(即用户账号)查询到对应的至少一个机器编码。这一步骤与第一实施例中的步骤S101相同或相似，在此不再赘述。
S206，根据每一个机器编码，查询对应的客户端上登陆过的所有用户账号；
在这一步骤中，根据服务器中记录的用户账号和机器编码的多对多的对应关系，查找所有的登陆过该客户端的所有用户账号。这一步骤与第一实施例中的步骤S102相同或相似，在此不再赘述。
S207，分析每一个所述用户账号，并确定恶意账号。
这一步骤与第一实施例中的步骤S103相同或相似，在此不再赘述。
在一优选实施例中，步骤S207即所述分析每一个所述用户账号，确定恶意账号的步骤包括：
当其中一个用户账号分别与多个丢失账号对应相同的机器编码，确定该用户账号为恶意账号。
在这一步骤中，假设某一个用户账号总是与其他已上报为丢失账号的账号先后登陆同一机器编码对应的客户端，则该用户账号将与这些丢失账号对应相同的机器编码。在这一情况下，如果该用户账号与丢失账号对应 同一机器编码的次数超过特定数目，例如100次，可以确定此用户账号为恶意账号。
或者，所述分析每一个所述用户账号，确定恶意账号的步骤还包括：
当其中一个用户账号的操作频度超过了阈值，则确定该用户账号为恶意账号。
由于恶意账号通常是很活跃的，假设某一用户账号有频繁的操作，例如已经超过了某一阈值，该阈值可以为一个真实用户在固定时间内的最大操作频度，例如检测到该用户账号的操作频度为每一小时内操作100次，这个次数超过了真实用户可能进行的最大操作频度(例如60次)，则可以确定该用户账号为恶意账号。该真实用户的最大操作频度可以通过统计获得，在此不再赘述。
在一优选实施例中，所述分析每一个所述用户账号，并确定恶意账号之后，所述定位方法还包括：
分析每一个所述用户账号，确定未上报的其他丢失账号。
在这一步骤中，由于已经可以确定哪一个或哪一些账号为恶意账号，则可以同时确定哪一个或哪些账号为其他未上报的丢失账号。
例如，当其中一个用户账号与所确定出的恶意账号对应同一个机器编码，且该用户账号所对应的登录地点不是过去特定时间内的固定登录地点，确定所述用户账号为未上报的丢失账号。举例来说，某一个用户账号在2015年间90％的时间内的固定登陆地点为杭州，则可以判定该用户账号的固定登陆地点为杭州，当在此步骤中检测到该用户账号与恶意账号对应同一个登陆地点，同时该用户账号最近一次登陆地点为北京，则可以判定该用户账号为丢失账号。
再例如，当其中一个用户账号与所确定出的恶意账号对应同一个机器编码，并且该用户账号在与该恶意账号对应同一个机器编码所在的时间节点之后的特定时间段内只登陆过一次，可以判定该账号为丢失账号。举例来说，某一用户账号与恶意账号同在一个客户端上登陆之后，该用户账号 被盗，通常恶意账号只会使用一次该用户账号就不会再使用了，因此这种情况下可以判断该用户账号为丢失账号。
正如本领域技术人员可知，本领域有多种判断是否为恶意账号和丢失账号的方法，以上仅为举例说明，并非对本申请的限制。
在一优选实施例中，分析每一个所述用户账号，并确定未上报的其他丢失账号之后，所述方法还包括：
注销所述恶意账号；和/或
通过用户预留的联系方式通知该丢失账号的用户。
上述两个步骤可以认为对恶意账号打、对丢失账号预警的步骤，通过上述步骤可以控制风险的蔓延。本领域还有其他多种对恶意账号进行打击、对丢失账号进行预警和通知的方法，在此并不特别说明。
由上述可知，本申请第二实施例提出的通过丢失账号定位恶意账号的定位方法中，，能够通过丢失账号查询到机器编码，再通过机器编码查询到登陆对应于机器编码的客户端的每一个用户账号，通过机器编码和用户账号的对应关系分析和定位恶意账号，从源头上定位黑客或不法分子，并能够对黑客进行打击，对丢失账号的用户进行预警，解决了现有技术中无法跟踪黑客或不法分子的问题，控制了风险蔓延。
第三实施例
本申请实施例还提出一种通过丢失账号定位恶意账号的定位系统，如图3所示为对应于本申请第一实施例的定位恶意账号的方法的定位恶意账号的定位系统的方框图。该定位系统300包括：
机器编码查询模块301，用于读取上报的丢失账号，并查询所述上报的丢失账号登陆过的每一个客户端对应的机器编码；
用户账号查询模块302，用于根据每一个机器编码，查询对应的客户端上登陆过的所有用户账号；
账号分析模块303，用于分析每一个所述用户账号，确定恶意账号。
本申请第三实施例提出的通过丢失账号定位恶意账号的定位系统中，能够通过机器编码和用户账号的对应关系分析恶意账号，从源头上定位黑客或不法分子，解决了现有技术中无法跟踪黑客或不法分子的问题。
第四实施例
本申请实施例还提出一种通过丢失账号定位恶意账号的定位系统，如图4所示为对应于本申请第二实施例的定位恶意账号的方法的定位恶意账号的定位系统的方框图。该定位系统包括：
加载模块401，用于将用以提取客户端的机器编码的信息采集工具加载至网页端；
机器编码传送模块402，用于当通过所述客户端登陆所述网页端时，获取所述客户端的机器编码，并将该客户端的机器编码传送至服务器；
用户信息提取模块403，用于从服务器中对应所述客户端的用户访问日志中提取用户信息；
信息匹配模块404，用于提取所述用户信息中的所有用户账号，并将所述所有用户账号分别与所述客户端的机器编码关联。
机器编码查询模块405，用于读取上报的丢失账号，并查询所述上报的丢失账号登陆过的每一个客户端对应的机器编码；
用户账号查询模块406，用于根据每一个机器编码，查询对应的客户端上登陆过的所有用户账号；
账号分析模块407，用于分析每一个所述用户账号，确定恶意账号。
在一实施例中，所述账号分析模块407包括：
恶意账号确定子模块，用于当其中一个用户账号分别与多个丢失账号对应相同的机器编码，确定该用户账号为恶意账号。
在一实施例中，所述用户信息还包括用户IP、登陆地点、用户预留的联系方式中的至少一者。
所述账号分析模块还用于分析每一个所述用户账号，确定未上报的其他丢失账号。
在一优选实施例中，所述账号分析模块还包括：
未上报丢失账号确定子模块，用于当其中一个用户账号与所述恶意账号对应同一个机器编码，且所述用户账号所对应的登录地点不是过去特定时间内的固定登录地点，确定所述用户账号为未上报的丢失账号。
在一优选实施例中，所述系统进一步包括：
恶意账号打击模块，用于注销所述恶意账号，和/或
丢失账号预警模块，用于通过用户预留的联系方式通知该丢失账号的用户。
在一优选实施例中，所述机器编码为所述客户端的Mac地址。
本申请第四实施例提出的通过丢失账号定位恶意账号的定位系统中，能够通过机器编码和用户账号的对应关系分析恶意账号，从源头上定位黑客或不法分子，并能够对黑客进行打击，对丢失账号的用户进行预警，解决了现有技术中无法跟踪黑客或不法分子的问题。
对于装置实施例而言，由于其与方法实施例基本相似，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。
本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。
本领域内的技术人员应明白，本申请实施例的实施例可提供为方法、装置、或计算机程序产品。因此，本申请实施例可采用完全硬件实施例、 完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请实施例可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。
在一个典型的配置中，所述计算机设备包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。内存是计算机可读介质的示例。计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信号存储。信号可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信号。按照本文中的界定，计算机可读介质不包括非持续性的电脑可读媒体(transitory media)，如调制的数据信号和载波。
本申请实施例是参照根据本申请实施例的方法、终端设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理终端设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理终端设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理终端设备以特定方式工作的计算机可读存储器中，使得存储在该计算机 可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
这些计算机程序指令也可装载到计算机或其他可编程数据处理终端设备上，使得在计算机或其他可编程终端设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程终端设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
尽管已描述了本申请实施例的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例做出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本申请实施例范围的所有变更和修改。
最后，还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者终端设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者终端设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者终端设备中还存在另外的相同要素。
以上对本申请所提供的一种通过丢失账号定位恶意账号的定位方法和系统，进行了详细介绍，本文中应用了具体个例对本申请的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本申请的方法及其核心思想；同时，对于本领域的一般技术人员，依据本申请的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本申请的限制。

Claims (16)

  1. 一种通过丢失账号定位恶意账号的定位方法，其特征在于，包括：
    读取上报的丢失账号，并查询所述上报的丢失账号登陆过的每一个客户端对应的机器编码；
    根据每一个所述机器编码，查询对应的所述客户端上登陆过的所有用户账号；
    分析每一个所述用户账号，并确定恶意账号。
  2. 如权利要求1所述的定位方法，其特征在于，所述分析每一个所述用户账号，并确定恶意账号的步骤包括：
    当其中一个用户账号分别与多个丢失账号对应相同的机器编码，确定该用户账号为恶意账号；或
    当其中一个用户账号的操作频度超过了阈值，确定该用户账号为恶意账号。
  3. 如权利要求1所述的定位方法，其特征在于，在读取上报的丢失账号，并查询所述上报的丢失账号登陆过的每一个客户端对应的机器编码之前，所述方法还包括：
    将用以提取客户端的机器编码的信息采集工具加载至网页端；
    当通过所述客户端登陆所述网页端时，获取所述客户端的机器编码，并将该客户端的机器编码传送至服务器；
    从服务器中对应所述客户端的用户访问日志中提取用户信息；
    提取所述用户信息中的所有用户账号，并将所述所有用户账号分别与所述客户端的机器编码关联。
  4. 如权利要求3所述的定位方法，其特征在于，所述用户信息还包括用户IP、登录地点、用户预留的联系方式中的至少一者。
  5. 如权利要求4所述的定位方法，其特征在于，所述分析每一个所述 用户账号，并确定恶意账号之后，所述定位方法还包括：
    分析每一个所述用户账号，确定未上报的其他丢失账号。
  6. 如权利要求5所述的定位方法，其特征在于，所述分析每一个所述用户账号，确定未上报的其他丢失账号的步骤包括：
    当其中一个用户账号与所述恶意账号对应同一个机器编码，且所述用户账号所对应的登录地点不是特定时间内的固定登录地点，确定所述用户账号为未上报的丢失账号。
  7. 如权利要求6所述的定位方法，其特征在于，分析每一个所述用户账号，确定未上报的其他丢失账号之后，所述方法还包括：
    注销所述恶意账号；和/或
    通过用户预留的联系方式通知该丢失账号的用户。
  8. 如权利要求1所述的定位方法，其特征在于，所述机器编码为所述客户端的Mac地址。
  9. 一种通过丢失账号定位恶意账号的定位系统，其特征在于，包括：
    机器编码查询模块，用于读取上报的丢失账号，并查询所述上报的丢失账号登陆过的每一个客户端对应的机器编码；
    用户账号查询模块，用于根据每一个机器编码，查询对应的客户端上登陆过的所有用户账号；
    账号分析模块，用于分析每一个所述用户账号，并确定恶意账号。
  10. 如权利要求9所述的定位系统，所述账号分析模块包括恶意账号确定子模块，所述恶意账号确定子模块用于：
    当其中一个用户账号分别与多个丢失账号对应相同的机器编码，确定该用户账号为恶意账号；或
    当其中一个用户账号的操作频度超过了阈值，确定该用户账号为恶意账号。
  11. 如权利要求9所述的定位系统，所述系统还包括：
    加载模块，用于将用以提取客户端的机器编码的信息采集工具加载至网页端；
    机器编码传送模块，用于当通过所述客户端登陆所述网页端时，获取所述客户端的机器编码，并将该客户端的机器编码传送至服务器；
    用户信息提取模块，从服务器中对应所述客户端的用户访问日志中提取用户信息；
    信息匹配模块，用于提取所述用户信息中的所有用户账号，并将所述所有用户账号分别与所述客户端的机器编码关联。
  12. 如权利要求11所述的定位系统，其特征在于，所述用户信息还包括用户IP、登陆地点、用户预留的联系方式中的至少一者。
  13. 如权利要求12所述的定位系统，其特征在于，所述账号分析模块还用于分析每一个所述用户账号，确定未上报的其他丢失账号。
  14. 如权利要求13所述的定位系统，其特征在于，所述账号分析模块还包括：
    未上报丢失账号确定子模块，用于当其中一个用户账号与所述恶意账号对应同一个机器编码，且所述用户账号所对应的登录地点不是过去特定时间内的固定登录地点，确定所述用户账号为未上报的丢失账号。
  15. 如权利要求14所述的定位系统，其特征在于，所述系统还包括：
    恶意账号打击模块，用于注销所述恶意账号，和/或
    丢失账号预警模块，用于通过用户预留的联系方式通知该丢失账号的用户。
  16. 如权利要求9所述的定位系统，其特征在于，所述机器编码为所述客户端的Mac地址。
PCT/CN2017/070907 2016-01-21 2017-01-11 一种通过丢失账号定位恶意账号的方法和系统 Ceased WO2017124954A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201610041698.0A CN106992958B (zh) 2016-01-21 2016-01-21 一种通过丢失账号定位恶意账号的方法和系统
CN201610041698.0 2016-01-21

Publications (1)

Publication Number Publication Date
WO2017124954A1 true WO2017124954A1 (zh) 2017-07-27

Family

ID=59361506

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2017/070907 Ceased WO2017124954A1 (zh) 2016-01-21 2017-01-11 一种通过丢失账号定位恶意账号的方法和系统

Country Status (3)

Country Link
CN (1) CN106992958B (zh)
TW (1) TW201733388A (zh)
WO (1) WO2017124954A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112351030A (zh) * 2020-11-04 2021-02-09 腾讯科技（深圳）有限公司 一种数据处理方法和计算机设备

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104426885A (zh) * 2013-09-03 2015-03-18 深圳市腾讯计算机系统有限公司 异常账号提供方法及装置
WO2015043491A1 (zh) * 2013-09-30 2015-04-02 腾讯科技（深圳）有限公司 一种用于对互联网账号的登录进行安全验证的方法及系统
CN104852886A (zh) * 2014-02-14 2015-08-19 腾讯科技（深圳）有限公司 用户帐号的保护方法及装置
CN104917643A (zh) * 2014-03-11 2015-09-16 腾讯科技（深圳）有限公司 异常账号检测方法及装置
CN105227532A (zh) * 2014-06-30 2016-01-06 阿里巴巴集团控股有限公司 一种恶意行为的阻断方法及装置

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101977383A (zh) * 2010-08-03 2011-02-16 北京星网锐捷网络技术有限公司 网络接入的认证处理方法、系统、客户端和服务器
CN103220288B (zh) * 2013-04-12 2015-01-28 江苏通付盾信息科技有限公司 一种社交平台的安全运行方法
CN104967587B (zh) * 2014-05-12 2018-07-06 腾讯科技（深圳）有限公司 一种恶意账号的识别方法，及装置
US9396332B2 (en) * 2014-05-21 2016-07-19 Microsoft Technology Licensing, Llc Risk assessment modeling
CN104901850B (zh) * 2015-06-12 2018-08-31 国家计算机网络与信息安全管理中心广东分中心 一种恶意代码终端感染机器网络定位方法

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104426885A (zh) * 2013-09-03 2015-03-18 深圳市腾讯计算机系统有限公司 异常账号提供方法及装置
WO2015043491A1 (zh) * 2013-09-30 2015-04-02 腾讯科技（深圳）有限公司 一种用于对互联网账号的登录进行安全验证的方法及系统
CN104852886A (zh) * 2014-02-14 2015-08-19 腾讯科技（深圳）有限公司 用户帐号的保护方法及装置
CN104917643A (zh) * 2014-03-11 2015-09-16 腾讯科技（深圳）有限公司 异常账号检测方法及装置
CN105227532A (zh) * 2014-06-30 2016-01-06 阿里巴巴集团控股有限公司 一种恶意行为的阻断方法及装置

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112351030A (zh) * 2020-11-04 2021-02-09 腾讯科技（深圳）有限公司 一种数据处理方法和计算机设备
CN112351030B (zh) * 2020-11-04 2024-01-05 广州腾讯科技有限公司 一种数据处理方法和计算机设备

Also Published As

Publication number Publication date
CN106992958B (zh) 2020-11-06
CN106992958A (zh) 2017-07-28
TW201733388A (zh) 2017-09-16

Similar Documents

Publication Publication Date Title
US10505986B1 (en) Sensor based rules for responding to malicious activity
US9462009B1 (en) Detecting risky domains
CN108768943B (zh) 一种检测异常账号的方法、装置及服务器
CN114003903B (zh) 一种网络攻击追踪溯源方法及装置
KR101530941B1 (ko) 피싱 웹사이트들을 검출하기 위한 방법, 시스템 및 클라이언트 단말기
CN107332804B (zh) 网页漏洞的检测方法及装置
CN108881294A (zh) 基于网络攻击行为的攻击源ip画像生成方法以及装置
WO2015096528A1 (zh) 网络购物环境安全性检测方法及装置
EP2691848A1 (en) Determining machine behavior
CN108156131A (zh) Webshell检测方法、电子设备和计算机存储介质
CN108881271B (zh) 一种代理主机的反向追踪溯源方法及装置
CN107241292B (zh) 漏洞检测方法及装置
CN107426196B (zh) 一种识别web入侵的方法及系统
CN112954043B (zh) 基于网站访问日志识别用户的方法及计算机设备
CN108292408A (zh) 检测web跟踪服务的方法
WO2017063274A1 (zh) 一种恶意跳转及恶意嵌套类不良网站的自动判定方法
CN106911636B (zh) 一种检测网站是否存在后门程序的方法及装置
CN106911635B (zh) 一种检测网站是否存在后门程序的方法及装置
CN105227532B (zh) 一种恶意行为的阻断方法及装置
CN106992958B (zh) 一种通过丢失账号定位恶意账号的方法和系统
JP7069090B2 (ja) 解析装置、検出装置、システム及びプログラム
CN113312671A (zh) 应用于大数据挖掘的数字化业务操作安全处理方法及系统
TWI750252B (zh) 記錄網站存取日誌的方法和裝置
CN107229865B (zh) 一种解析Webshell入侵原因的方法及装置
CN107306252B (zh) 一种数据分析方法和系统

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 17740985

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 17740985

Country of ref document: EP

Kind code of ref document: A1