CN108476199A

CN108476199A - 一种基于令牌机制的检测和防御cc 攻击的***和方法

Info

Publication number: CN108476199A
Application number: CN201680062168.2A
Authority: CN
Inventors: 覃武权
Original assignee: Shenzhen Touzhijia Financial Information Services Co ltd
Current assignee: Shenzhen Touzhijia Financial Information Services Co ltd
Priority date: 2016-12-23
Filing date: 2016-12-23
Publication date: 2018-08-31
Also published as: WO2018112878A1

Abstract

本发明公开了一种基于令牌机制的检测和防御CC攻击的***和方法，包括令牌检测单元、令牌分配单元、防御配置单元和令牌管理单元，防御配置单元用于读取配置，向令牌检测单元下发配置指令；令牌分配单元用于向令牌管理单元申请令牌，分配给发出请求的用户，令牌分配单元分配的令牌包括令牌脚本代码；令牌检测单元用于响应防御配置单元下发的配置命令，决定是否启用检测功能；令牌管理单元用于响应令牌分配单元及令牌检测单元的请求。本发明能够在第一时间达到检测和防御CC攻击的目的。

Description

一种基于令牌机制的检测和防御CC攻击的***和方法

技术领域

本发明涉及网络安全技术领域，特别涉及用于实现web安全访问的一种基于令牌机制的检测和防御CC攻击的***和方法。

背景技术

现有技术中，通常无法抵挡在第一次抵挡住CC攻击，即，需要CC攻击产生了，防御***收集到了一些信息，***才会做出反应，第二次攻击才能被防御住。如果是基于行为统计的防御方法，需要承受的攻击就更多，即需要忍受多次攻击，防御***才会识别出攻击者。

发明内容

本发明提出一种基于令牌机制的检测和防御CC攻击的***和方法，能够在第一时间检测和防御CC攻击。

本发明的技术方案是这样实现的：

一种基于令牌机制的检测和防御CC攻击的***，包括令牌检测单元、令牌分配单元、防御配置单元和令牌管理单元，所述防御配置单元用于读取配置，向所述令牌检测单元下发配置指令；所述令牌分配单元用于向所述令牌管理单元申请令牌，分配给发出请求的用户，所述令牌分配单元分配的令牌包括令牌脚本代码；所述令牌检测单元用于响应所述防御配置单元下发的配置命令，决定是否启用检测功能；所述令牌管理单元用于响应令牌分配单元及令牌检测单元的请求。

进一步的，所述令牌包括令牌识别码和令牌脚本代码，所述令牌识别码为一组由数字或字母组成的字符串，所述令牌脚本代码是用于生成所述令牌识别码的脚本，用户访问终端可根据所述令牌脚本代码运算得到所述令牌识别码。

进一步的，还包括令牌信息数据库，所述令牌信息数据库用于为来访用户分配唯一的随机User ID，存储每一个User ID行对应的令牌的相关信息，包括令牌识别码、令牌脚本代码和令牌创建时间。

进一步的，所述防御配置单元读取的配置包括三种配置，分别为黑名单、白名单和是否开启检测，所述黑名单为检测一律不通过的用户访问IP的集合，所述白名单为检测一律通过的用户访问IP的集合，是否开启检测用于判断是否开启黑名单和白名单检测，若否，则将用户访问请求转发至受保护的业务***。

一种基于令牌机制的检测和防御CC攻击的方法，具体包括以下步骤：

步骤1，接收用户的HTTP请求，读取配置，判断是否启用检测功能，若是，则进入步骤2；

步骤2，判断用户访问IP是否属于白名单或黑名单，若否，判断CC防御是否开启，若否，允许用户访问，否则进入步骤3；

步骤3，判断HTTP请求数据包包头是否包含令牌，若是，验证令牌是否与登记的一致，若一致，允许用户访问，否则将用户的HTTP请求重新定向到原请求网址；若HTTP请求数据包包头不包含令牌，进入步骤4；

步骤4，为用户分配令牌，将用户的HTTP请求重新定向到原请求网址；令牌包括令牌脚本代码和令牌识别码。

进一步的，步骤2具体包括以下步骤：

步骤201，判断用户访问IP是否属于白名单，若是，允许用户访问，若否，进入步骤202；

步骤202，判断用户访问IP是否属于黑名单，若是，拒绝用户访问，若否，进入下一步；

步骤203，判断CC防御是否开启，若否，允许用户访问，否则进入步骤3。

进一步的，在步骤3中，若验证令牌与登记的不一致，判断验证次数是否超过阈值，若是，将该用户访问IP加入到黑名单中，否则将用户的HTTP请求重新定向到原请求网址。

进一步的，步骤4具体包括以下步骤：

步骤401，令牌分配单元向令牌管理单元发出请求，申请令牌，并将为来访用户分配唯一的随机User ID发送至所述令牌管理单元；

步骤402，令牌管理单元从令牌莫板块抽取令牌模板，根据随机User ID和令牌模板，生成相应的令牌脚本代码和令牌识别码；

步骤403，将令牌相关信息发送至令牌信息数据库中进行存储。

进一步的，令牌识别码为一组由数字或字母组成的字符串，令牌脚本代码是用于生成所述令牌识别码的脚本，用户访问终端可根据令牌脚本代码运算得到令牌识别码。

进一步的，步骤3中，验证令牌是否与登记的一致具体包括以下步骤：

从令牌信息数据库中提取令牌的相关信息，与用户的HTTP请求数据包头中的令牌进行对比。

本发明的有益效果在于：用户访问需携带令牌，令牌包含令牌脚本代码，即一段代码，CC攻击者不易获取，从而在第一时间达到检测和防御CC攻击的目的。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明一种基于令牌机制的检测和防御CC攻击的***的原理框图；

图2为本发明一种基于令牌机制的检测和防御CC攻击的方法的流程图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

如图1所示，本发明提出了一种基于令牌机制的检测和防御CC攻击的***，包括令牌检测单元、令牌分配单元、防御配置单元和令牌管理单元，防御配置单元用于读取配置，向令牌检测单元下发配置指令；令牌分配单元用于向令牌管理单元申请令牌，分配给发出请求的用户，令牌分配单元分配的令牌包括令牌脚本代码；令牌检测单元用于响应防御配置单元下发的配置命令，决定是否启用检测功能，如果不开启，则直接将用户请求转发到后端的受保护业务***；如果开启，则先判断用户来访IP，如果处于白名单中则可通行，如果处于黑名单中则直接拒绝，否则需要验证令牌。此时会先判断请求的HTTP包头中是否存在令牌，如果不存在，则将请求重定向到令牌分配单元，否则向令牌管理单元请求验证令牌是否合法，如果不合法则拒绝，否则将请求转发到后端受保护的业务***；令牌管理单元用于响应令牌分配单元及令牌检测单元的请求，当令牌分配单元向令牌管理单元申请令牌，则记录下令牌分配单元提交过来的来访用户的全局唯一的随机UserID，然后从实现准备好的令牌模板库抽取令牌模板，结合UserID和令牌模板，生成具体的令牌脚本代码与令牌识别码(类比于题目跟答案)，并记录到令牌信息数据库中备查。当令牌检测单元向令牌管理单元请求验证令牌是否合法，则根据UserID与令牌识别，在令牌信息数据库中，当初分配的令牌信息比对是否一致，并返回比对结果。

令牌包括令牌识别码和令牌脚本代码，令牌识别码为一组由数字或字母组成的字符串，令牌脚本代码是用于生成令牌识别码的脚本，用户访问终端可根据令牌脚本代码运算得到令牌识别码。令牌由令牌识别码和令牌脚本代码成对组成，而不是只有一个识别码，这样避免了令牌识别码直接在网路上传输，提高了防御CC攻击的有效性。

还包括令牌信息数据库，令牌信息数据库用于为来访用户分配唯一的随机User ID，存储每一个User ID行对应的令牌的相关信息，包括令牌识别码、令牌脚本代码和令牌创建时间。

防御配置单元读取的配置包括三种配置，分别为黑名单、白名单和是否开启检测，黑名单为检测一律不通过的用户访问IP的集合(比如已经确认是攻击源的IP)，白名单为检测一律通过的用户访问IP的集合(比如对搜索引擎爬虫进行免检、对信任IP进行免检)，是否开启检测用于判断是否开启黑名单和白名单检测，若否，则将用户访问请求转发至受保护的业务***，即同意用户的访问。

本发明能做到在第一时间防御CC攻击，原因是在防御***中引入了浏览器跳转的思路，首次访问，未携带令牌识别码，令牌检测单元会让用户终端执行302跳转到令牌分配单元，得到令牌脚本代码后，再次执行302跳转回到令牌检测单元

令牌脚本代码是一段代码(更具体的说，是一段javascript代码)，需要运算才能得到令牌识别码，这个运算过程对对攻击程序来说很复杂，但是浏览器来说非常简单，达到了防御攻击者的目的。

如图2所示，本发明还提出了一种基于令牌机制的检测和防御CC攻击的方法，具体包括以下步骤：

步骤2具体包括以下步骤：

步骤3，判断HTTP请求数据包包头是否包含令牌，若是，验证令牌是否与登记的一致，若一致，允许用户访问，否则将用户的HTTP请求重新定向到原请求网址；若HTTP请求数据包包头不包含令牌，进入步骤4；在步骤3中，若验证令牌与登记的不一致，判断验证次数是否超过阈值，若是，将该用户访问IP加入到黑名单中，否则将用户的HTTP请求重新定向到原请求网址。

步骤3中，验证令牌是否与登记的一致具体包括以下步骤：

步骤4具体包括以下步骤：

步骤401，令牌分配单元向令牌管理单元发出请求，申请令牌，并将为来访用户分配唯一的随机User ID发送至令牌管理单元；

令牌识别码为一组由数字或字母组成的字符串，是防御***在server端为访问终端随机分配的随机码，该随机码与令牌脚本代码是一对，它可以根据令牌脚本代码计算得到；令牌脚本代码是用于生成令牌识别码的脚本，用户访问终端可根据令牌脚本代码运算得到令牌识别码。令牌脚本代码，是用于生成令牌识别码的一段脚本，由防御***为访问终端分配的脚本，访问终端根据该脚本可以运算得到令牌识别码。在访问过程中，防御***下发的是令牌脚本代码。访问终端根据令牌脚本代码运算得到令牌识别码，然后在访问的http包头中携带令牌识别码，防御***判断提交过来的令牌识别码是否与期望的一致，从而决定是否允许访问终端继续访问。

给用户提供一段脚本代码，成功运行得到的结果才是令牌识别码，通过这种方式来区分访问的是一台浏览器，还是一段攻击程序。这样设计的意图是为了确认访问受保护网站的客户端是一个正常的浏览器用户，而不是一段具有攻击指令的程序。对于正常的浏览器用户，通过浏览器来访问网站，浏览器可以轻易执行令牌脚本代码(因为这就是浏览器的功能)，运算得到令牌识别码。而对于攻击程序而言，要研发一套软件来运行下发的脚本代码，这个成本对攻击者而言是极高的。因此，达到了防御攻击者的目的。

对于令牌脚本代码，一个具体的例子如下：

var codeTable＝"1234567890"；

var token＝(parseInt(codeTable.substr(1,2))*2000+((10+parseInt(codeTable.substr(7,1)))*54))*3+20000000；

该脚本代码是javascript的语法，浏览器终端运算得到的结果为令牌识别码：

20140916

以用户首次访问网站为例，经过若干次交互才能访问到受保护站点。

(1)首次访问，向令牌检测单元发起请求，此时没有携带令牌识别码，http请求如下：

GET/HTTP/1.1

Host:www.example.com

User-Agent:Mozilla/5.0(Windows NT 10.0；WOW64；rv:47.0)Gecko/20100101Firefox/47.0

Accept:text/html,application/xhtml+xml,application/xml；q＝0.9,*/*；q＝0.8

Accept-Language:zh-CN,zh；q＝0.8,en-US；q＝0.5,en；q＝0.3

Accept-Encoding:gzip,deflate

Connection:keep-alive

Cache-Control:max-age＝0

令牌检测单元没有在http请求包中检测有期望的令牌识别码，返回302跳转，让用户终端请求令牌分配单元http://www.example.com/cc_code_assign，http响应包如下：

HTTP/1.1302Moved Temporarily

Server:TZJ/1.0

Date:Mon,18Jul 201614:09:37GMT

Content-Type:text/html；charset＝UTF-8

Transfer-Encoding:chunked

Connection:keep-alive

Vary:Accept-Encoding

X-Powered-By:PHP/7.0.3

Content-Encoding:gzip

Location:http://www.example.com/cc_code_assign

(2)客户端转向请求令牌分配单元，http请求为：

GET/cc_code_assign HTTP/1.1

Host:www.example.com

Accept:text/html,application/xhtml+xml,application/xml；q＝0.9,*/*；q＝0.8

Accept-Language:zh-CN,zh；q＝0.8,en-US；q＝0.5,en；q＝0.3

Accept-Encoding:gzip,deflate

Connection:keep-alive

Cache-Control:max-age＝0

令牌分配单元接到请求后准备好{令牌识别码，令牌脚本代码}，其中

●令牌识别码＝20140916

●令牌脚本代码＝

var+codeTable+％3d+％26quot％3b1234567890％26quot％3b％3bvar+token+％3d+(parseInt(codeTable.substr(1％2c+2))*2000+％2b+((10％2bparseInt(codeTable.substr(7％2c+1)))*54))*3％2b20000000％3b

这个pair存入令牌信息数据库，并将令牌脚本代码，通过返回给客户端的响应包。返回的http请求也是一个302跳转，指示终端要访问令牌检测单元，http包头为：

HTTP/1.1302Moved Temporarily

Server:TZJ/1.0

Date:Mon,18Jul 201614:09:37GMT

Content-Type:text/html；charset＝UTF-8

Transfer-Encoding:chunked

Connection:keep-alive

Vary:Accept-Encoding

X-Powered-By:PHP/7.0.3

Content-Encoding:gzip

Location:http://www.example.com/

Cookie:CC_TOKEN_SCRIPT＝

var+codeTable+％3d+％26quot％3b1234567890％26quot％3b％3bvar+token+％3d+(parseInt(

codeTable.substr(1％2c+2))*2000+％2b+((10％2bparseInt(codeTable.substr(7％2c+1)))

*54))*3％2b20000000％3b

注：Cookie:CC_TOKEN_SCRIPT这一行就是下发的令牌脚本代码一行

(3)用户终端从令牌分配单元获得的http请求包中获得CC_TOKEN_SCRIPT，这个为防御***分配的令牌脚本代码，通过urlcode之后得到代码：

var codeTable＝"1234567890"；

这是一段javascript代码，运行得到结果：20140916，然后将该结果作为令牌识别码，携带在http请求包中，向防御***请求：

GET/HTTP/1.1

Host:www.example.com

Accept:text/html,application/xhtml+xml,application/xml；q＝0.9,*/*；q＝0.8

Accept-Language:zh-CN,zh；q＝0.8,en-US；q＝0.5,en；q＝0.3

Accept-Encoding:gzip,deflate

Connection:keep-alive

Cache-Control:max-age＝0

Cookie:CC_TOKEN_CODE＝20140916

防御检测单元从http请求包中获得CC_TOKEN_CODE一项，对比与之前分配的值一致，于是准许访问后端的受保护***。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims

一种基于令牌机制的检测和防御CC攻击的***，其特征在于：包括令牌检测单元、令牌分配单元、防御配置单元和令牌管理单元，所述防御配置单元用于读取配置，向所述令牌检测单元下发配置指令；所述令牌分配单元用于向所述令牌管理单元申请令牌，分配给发出请求的用户，所述令牌分配单元分配的令牌包括令牌脚本代码；所述令牌检测单元用于响应所述防御配置单元下发的配置命令，决定是否启用检测功能；所述令牌管理单元用于响应令牌分配单元及令牌检测单元的请求。
根据权利要求1所述的一种基于令牌机制的检测和防御CC攻击的***，其特征在于：所述令牌包括令牌识别码和令牌脚本代码，所述令牌识别码为一组由数字或字母组成的字符串，所述令牌脚本代码是用于生成所述令牌识别码的脚本，用户访问终端可根据所述令牌脚本代码运算得到所述令牌识别码。
根据权利要求2所述的一种基于令牌机制的检测和防御CC攻击的***，其特征在于：还包括令牌信息数据库，所述令牌信息数据库用于为来访用户分配唯一的随机User ID，存储每一个User ID行对应的令牌的相关信息，包括令牌识别码、令牌脚本代码和令牌创建时间。
根据权利要求1所述的一种基于令牌机制的检测和防御CC攻击的***，其特征在于：所述防御配置单元读取的配置包括三种配置，分别为黑名单、白名单和是否开启检测，所述黑名单为检测一律不通过的用户访问IP的集合，所述白名单为检测一律通过的用户访问IP的集合，是否开启检测用于判断是否开启黑名单和白名单检测，若否，则将用户访问请求转发至受保护的业务***。
一种基于令牌机制的检测和防御CC攻击的方法，其特征在于，具体包括以下步骤：

步骤1，接收用户的HTTP请求，读取配置，判断是否启用检测功能，若是，则进入步骤2；

步骤2，判断用户访问IP是否属于白名单或黑名单，若否，判断CC防御是否开启，若否，允许用户访问，否则进入步骤3；

步骤3，判断HTTP请求数据包包头是否包含令牌，若是，验证令牌是否与登记的一致，若一致，允许用户访问，否则将用户的HTTP请求重新定向到原请求网址；若HTTP请求数据包包头不包含令牌，进入步骤4；

步骤4，为用户分配令牌，将用户的HTTP请求重新定向到原请求网址；令牌包括令牌脚本代码和令牌识别码。
根据权利要求5所述的一种基于令牌机制的检测和防御CC攻击的方法，其特征在于，步骤2具体包括以下步骤：

步骤201，判断用户访问IP是否属于白名单，若是，允许用户访问，若否，进入步骤202；

步骤202，判断用户访问IP是否属于黑名单，若是，拒绝用户访问，若否，进入下一步；

步骤203，判断CC防御是否开启，若否，允许用户访问，否则进入步骤3。
根据权利要求5所述的一种基于令牌机制的检测和防御CC攻击的方法，其特征在于：在步骤3中，若验证令牌与登记的不一致，判断验证次数是否超过阈值，若是，将该用户访问IP加入到黑名单中，否则将用户的HTTP请求重新定向到原请求网址。
根据权利要求5所述的一种基于令牌机制的检测和防御CC攻击的方法，其特征在于：步骤4具体包括以下步骤：

步骤401，令牌分配单元向令牌管理单元发出请求，申请令牌，并将为来访用户分配唯一的随机User ID发送至所述令牌管理单元；

步骤402，令牌管理单元从令牌莫板块抽取令牌模板，根据随机User ID和令牌模板，生成相应的令牌脚本代码和令牌识别码；

步骤403，将令牌相关信息发送至令牌信息数据库中进行存储。
根据权利要求8所述的一种基于令牌机制的检测和防御CC攻击的方法，其特征在于：令牌识别码为一组由数字或字母组成的字符串，令牌脚本代码是用于生成所述令牌识别码的脚本，用户访问终端可根据令牌脚本代码运算得到令牌识别码。
根据权利要求8所述的一种基于令牌机制的检测和防御CC攻击的方法，其特征在于：步骤3中，验证令牌是否与登记的一致具体包括以下步骤：

从令牌信息数据库中提取令牌的相关信息，与用户的HTTP请求数据包头中的令牌进行对比。