CN114095245A - 网络攻击的溯源方法、装置、设备和介质 - Google Patents

Abstract

本公开涉及互联网技术领域，公开了一种网络攻击的溯源方法、装置、设备和介质。该方法包括：接收目标用户访问目标网站而生成的溯源脚本获取请求；响应于溯源脚本获取请求，基于脚本状态信息，从初始溯源脚本集合中确定目标溯源脚本集合；将所述目标溯源脚本集合发送至所述目标网站对应的客户端，以使所述客户端基于所述目标溯源脚本集合对所述目标用户进行溯源。通过上述技术方案，实现了动态地调整用于网络攻击溯源的目标溯源脚本集合，提升了溯源脚本的扩展性和稳定性，且极大提升了追踪溯源的时效性。

Description

网络攻击的溯源方法、装置、设备和介质

技术领域

本公开涉及互联网技术领域，尤其涉及一种网络攻击的溯源方法、装置、设备和介质。

背景技术

现如今随着蜜罐领域的发展，蜜罐技术逐渐成熟。在众多蜜罐中，WEB蜜罐已然成为了一种常见和常用的蜜罐，主要用于构建针对防御网站的诱导性虚拟网页，以收集想要攻击防御网站的攻击者的相关信息，进行攻击者追踪溯源。

在现在技术中，已有一种WEB蜜罐方法，其通过在网页模板中嵌套多个溯源脚本，来收集攻击者的各种个人信息。

但是，该现有方案只能通过嵌入的多个溯源脚本进行信息收集，会导致如下问题：一方面，当某些溯源脚本失效后，其收集的信息的数量和质量将会下降，使得该方案的溯源稳定性较差；另一方面，当需要变更(如增加、删除、修改)溯源脚本时，必须人工修改服务器一侧的各脚本文件，耗时耗力，使得溯源脚本的扩展性较差。

发明内容

为了解决上述技术问题或者至少部分地解决上述技术问题，本公开提供了一种网络攻击的溯源方法、装置、设备和介质。

第一方面，本公开提供了一种网络攻击的溯源方法，包括：

接收目标用户访问目标网站而生成的溯源脚本获取请求；

响应于溯源脚本获取请求，基于脚本状态信息，从初始溯源脚本集合中确定目标溯源脚本集合；

将目标溯源脚本集合发送至目标网站对应的客户端，以使客户端基于目标溯源脚本集合对目标用户进行溯源。

在一些实施例中，响应于溯源脚本获取请求，基于脚本状态信息，从初始溯源脚本集合中确定目标溯源脚本集合包括：

响应于溯源脚本获取请求，基于脚本状态信息和社交信息来源，从初始溯源脚本集合中确定目标溯源脚本集合。

在一些实施例中，基于脚本状态信息和社交信息来源，从初始溯源脚本集合中确定目标溯源脚本集合包括：

从初始溯源脚本集合中确定出每个社交信息来源对应的至少一个第一溯源脚本；

从每个社交信息来源对应的各第一溯源脚本中，确定一个脚本状态信息为有效状态标识的第二溯源脚本。

在一些实施例中，从每个社交信息来源对应的各第一溯源脚本中，确定一个脚本状态信息为有效状态标识的第二溯源脚本包括：

从每个社交信息来源对应的各第一溯源脚本中，确定一个脚本状态信息为有效状态标识、且具有预设优先级标识的第二溯源脚本。

在一些实施例中，在从初始溯源脚本集合中确当出每个社交信息来源对应的至少一个第一溯源脚本之后，还包括：

若任一社交信息来源对应的每个第一溯源脚本的脚本状态信息均为失效状态标识，则从初始溯源脚本集合中删除社交信息来源和各第一溯源脚本。

在一些实施例中，在将目标溯源脚本集合发送至目标网站对应的客户端之后，还包括：

接收客户端发送的第三溯源脚本的脚本信息和失效状态标识；其中，第三溯源脚本为目标溯源脚本集合中的溯源脚本；

将初始溯源脚本集合中的第三溯源脚本的脚本状态信息设置为失效状态标识，以更新初始溯源脚本集合。

在一些实施例中，在将初始溯源脚本集合中的第三溯源脚本的脚本状态信息设置为失效状态标识，已更新初始溯源脚本集合之后，还包括：

若接收到客户端发送的溯源失败信息，则基于脚本状态信息，从更新后的初始溯源脚本集合中重新确定目标溯源脚本集合；

将重新确定的目标溯源脚本集合发送至客户端，以使客户端基于重新确定的目标溯源脚本集合对目标用户继续进行溯源。

第二方面，本公开提供了一种网络攻击的溯源装置，该装置包括：

溯源脚本获取请求接收模块，用于接收目标用户访问目标网站而生成的溯源脚本获取请求；

目标溯源脚本集合确定模块，用于响应于溯源脚本获取请求，基于脚本状态信息，从初始溯源脚本集合中确定目标溯源脚本集合；

目标溯源脚本集合发送模块，用于将目标溯源脚本集合发送至目标网站对应的客户端，以使客户端基于目标溯源脚本集合对目标用户进行溯源。

在一些实施例中，目标溯源脚本集合确定模块还包括第一目标溯源脚本集合确定单元，用于：响应于溯源脚本获取请求，基于脚本状态信息和社交信息来源，从初始溯源脚本集合中确定目标溯源脚本集合。

在一些实施例中，目标溯源脚本集合确定模块还包括第一溯源脚本确定单元、第二溯源脚本确定单元和目标溯源脚本集合确定单元；

该第一溯源脚本确定单元，用于从初始溯源脚本集合中确定出每个社交信息来源对应的至少一个第一溯源脚本；

该第二溯源脚本确定单元，用于从每个社交信息来源对应的各第一溯源脚本中，确定一个脚本状态信息为有效状态标识的第二溯源脚本；

该目标溯源脚本集合确定单元，用于将各所述第二溯源脚本确定为所述目标溯源脚本集合。

在一些实施例中，第二溯源脚本确定单元具体用于：

从每个社交信息来源对应的各第一溯源脚本中，确定一个脚本状态信息为有效状态标识、且具有预设优先级标识的第二溯源脚本。

在一些实施例中，该装置还包括初始溯源脚本集合删除模块，用于：

在所述从所述初始溯源脚本集合中确定出每个社交信息来源对应的至少一个第一溯源脚本之后，若任一社交信息来源对应的每个第一溯源脚本的脚本状态信息均为失效状态标识，则从初始溯源脚本集合中删除社交信息来源和各第一溯源脚本。

在一些实施例中，该装置还包括初始溯源脚本集合更新模块，用于：

在所述将所述目标溯源脚本集合发送至所述目标网站对应的客户端之后，接收客户端发送的第三溯源脚本的脚本信息和失效状态标识；其中，第三溯源脚本为目标溯源脚本集合中的溯源脚本；

将初始溯源脚本集合中的第三溯源脚本的脚本状态信息设置为失效状态标识，以更新初始溯源脚本集合。

在一些实施例中，该装置还包括目标溯源脚本集合重新确定单元，用于：

在所述将所述初始溯源脚本集合中的所述第三溯源脚本的所述脚本状态信息设置为所述失效状态标识，以更新所述初始溯源脚本集合之后，若接收到客户端发送的溯源失败信息，则基于脚本状态信息，从更新后的初始溯源脚本集合中重新确定目标溯源脚本集合；

将重新确定的目标溯源脚本集合发送至客户端，以使客户端基于重新确定的目标溯源脚本集合对目标用户继续进行溯源。

第三方面，本公开提供了一种的电子设备，该电子设备包括：

处理器和存储器；

所述处理器通过调用所述存储器存储的程序或指令，用于执行本公开任意实施例中所述方法的步骤。

第四方面，本公开提供了一种计算机可读存储介质，所述计算机可读存储介质存储程序或指令，所述程序或所述指令使计算机执行本公开任意实施例中所述方法的步骤。

本公开实施例提供的网络攻击的溯源方法、装置、设备和介质，能够通过接收并响应目标用户访问目标网站生成的溯源脚本获取请求，基于脚本状态信息，从初始溯源脚本集合中确定目标溯源脚本集合，将目标溯源脚本集合发送至目标网站对应的客户端，使客户端基于目标溯源脚本对目标用户进行溯源。实现了根据脚本状态信息，从初始溯源脚本集合中动态配置目标溯源脚本集合，提升了目标溯源脚本集合的扩展性和扩展效果，且能够确保用于溯源的各溯源脚本的有效性，从而提升攻击者信息收集的稳定性，进而提升溯源的可靠性和稳定性。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本公开的实施例，并与说明书一起用于解释本公开的原理。

为了更清楚地说明本公开实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，对于本领域普通技术人员而言，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1是本公开实施例提供的一种网络攻击的溯源方法的场景示意图。

图2是本公开实施例提供的一种网络攻击的溯源方法的流程示意图；

图3是本公开实施例提供的一种初始溯源脚本集合的示意图；

图4是本公开实施例提供的另一种网络攻击的溯源方法的流程示意图；

图5是本公开实施例提供的一种网络攻击的溯源装置的结构示意图；

图6是本公开实施例提供的一种电子设备的结构示意图。

具体实施方式

为了能够更清楚地理解本公开的上述目的、特征和优点，下面将对本公开的方案进行进一步的详细描述。需要说明的是，在不冲突的情况下，本公开的实施例及实施例中的特征可以相互组合。

在下面的描述中阐述了很多具体细节以便于充分理解本公开，但本公开还可以采用其他不同于在此描述的方式来实施；显然，说明书中的实施例只是本公开的一部分实施例，而不是全部的实施例。

目前我们使用蜜罐进行网络安全的主动防御，主要用于构建针对防御网站的诱导性虚拟网页，以收集想要攻击防御网站的攻击者的相关信息，进行攻击者追踪溯源。在众多蜜罐中，WEB蜜罐已成为了一种常见和常用的蜜罐，通过在网页模板中嵌套多个溯源脚本，实现快速追踪溯源，精准定位攻击者的各种个人信息。

而在现有技术中利用蜜罐进行网络溯源方法往往存在着以下缺陷：一方面，当某些溯源脚本失效后，其进行追踪溯源收集的信息的数量和质量将会下降，使得现有技术中该方案的溯源稳定性较差；另一方面，当需要如增加、删除和修改溯源脚本时，必须人工修改服务器一侧的各脚本文件，耗时耗力，使得溯源脚本的扩展性较差。

基于上述情况，本公开实施例提供一种可动态配置溯源脚本应用于网络攻击的溯源方法的方案，以实现动态配置溯源脚本，避免利用失效溯源脚本进行无意义的溯源，提高溯源脚本的扩展性和稳定性。

本公开实施例提供的网络攻击的溯源方法，主要适用于利用WEB蜜罐进行攻击者追踪溯源的情况。本公开实施例提供的网络攻击的溯源方法可以由网络攻击的溯源装置来执行，该装置可以由软件和/或硬件的方式实现，该装置可以集成在具有一定的运算功能的电子设备中，例如笔记本电脑、台式电脑、服务器等。

首先对本公开实施例所提供的网络攻击的溯源方法的应用场景进行说明。

图1是本公开实施例提供的一种网络攻击的溯源方法的应用场景示意图。

如图1所示，该应用场景为网络环境中的服务器110、客户端120和目标用户130之间进行交互的场景。

其中，服务器110可以是后端运行目标网页对应的服务器；客户端120可以是展示目标网页对应的用户端设备；目标用户130可以是黑客等通过网络攻击手段在目标网页获取资源的攻击者。

可选地，目标网页可以为目标网站为抵御目标用户130攻击而生成的防御网页，当目标用户130访问时，将目标网页展示给目标用户130，供其访问。

具体地，目标用户130通过客户端120访问目标网站，客户端120响应于目标用户130的访问请求，将目标网页展示给目标用户130。并且，客户端120从服务第110获得目标溯源脚本集合。然后，客户端120逐个调用目标溯源脚本集合中的各溯源脚本，以获得目标用户130对应的相关信息。本公开实施例中，溯源脚本包含用于收集社交账号信息的JavaScript代码(简称JS代码)，所以，客户端120所获得的目标用户130的相关信息包含JS代码对应的社交网站上的社交账号信息。该社交账号信息可以包含用户名、昵称、手机号等信息。之后，客户端120将所获得的相关信息、或对相关信息进行解析而获得的各社交账号信息发送至服务器110。服务器110若接收到的是相关信息，则对其进行解析以获得对应的各社交账号信息。最后，服务器110可以基于获得的各账号信息对目标用户130的进行溯源，进而完成在目标用户访问目标网页时对其进行溯源追踪，以防御网络攻击，保证目标网站的安全性。

本公开实施例的网络攻击的溯源方案，由于在进行追踪溯源过程中使用了溯源脚本去获取目标用户对应的各社交账号信息对目标用户进行追踪溯源，避免了使用IP地址进行攻击者溯源时受到目标用户设置的多层代理的影响而降低溯源准确性的问题，使得网络攻击的溯源精准度和时效性均得到了极大的提升。对于企业而言可以利用WEB蜜罐进行有效的防御攻击，通过收集社交数据对目标用户进行追踪溯源，以有效的加固企业网络环境的安全性和稳定性。

下面结合图2至图4对本公开实施例提供的网络攻击的溯源方法进行说明。

在本公开实施例中，该网络攻击的溯源方法可以应用于图1所示的服务器110，服务器110可以实现为单个服务器，也可以实现为服务器集群。

图2是本公开实施例提供的一种网络攻击的溯源方法的流程示意图。

如图2所示，该溯源方法具体包括如下步骤：

S210、接收目标用户访问目标网站而生成的溯源脚本获取请求。

其中，目标用户是访问嵌入WEB蜜罐的目标网页的用户，其可以为任一攻击者，在本公开实施例中需要通过溯源获取其目标信息；目标网站可以是为抵御攻击者获取资源而布置的防御网站，其用于诱导攻击者攻击。

具体地，在本公开实施例中，开发人员预先根据WEB蜜罐为目标网站设置了用于防御的目标网页，以引诱攻击者访问。当目标用户访问目标网站时，客户端可以检测到目标用户的访问请求，并基于目标用户的访问请求生成溯源脚本获取请求，且将溯源脚本获取请求传至目标网站对应的服务器，以向服务器请求获取溯源脚本。服务器便接收到该溯源脚本获取请求。

上述过程中的溯源脚本是用于获取目标用户的相关信息的脚本，其中至少包含JSONP接口和该JSONP接口对应的JS代码。JSONP是JSON的一种“使用模式”，可用于解决浏览器的跨域数据访问问题，利用<script>元素的开放策略，网页可以得到从其他源动态产生的JSON数据，而这种使用模式就是所谓的JSONP，支持使用JSONP模式访问的接口称为JSONP接口。JSONP接口可通过网络收集得到。JS代码是针对JSONP接口编写的、用于执行获取目标用户使用客户端过程中的cookie数据、调用对应的JSONP接口，并对返回数据进行上传/解析等功能的代码。

S220、响应于溯源脚本获取请求，基于脚本状态信息，从初始溯源脚本集合中确定目标溯源脚本集合。

其中，脚本状态信息是用于表征溯源脚本是否可用的状态的信息，例如可以是表征溯源脚本可用的有效状态标识，也可以是表征溯源脚本不可用的无效状态标识。初始溯源脚本集合是指服务端中维护的所有溯源脚本的集合。在该初始溯源脚本集合中的每个溯源脚本均对应有脚本状态信息。初始溯源脚本集合中的各溯源脚本可通过在网络中不断地收集JSONP接口，并为其生成JS代码来构建，每个构建的溯源脚本的脚本状态信息可默认为有效状态标识，也可通过人工测试的方式来确定脚本状态信息为有效状态标识或无效状态标识。目标溯源脚本集合是用于对目标用户进行社交账号信息获取的多个溯源脚本的集合，其中包含的各溯源脚本是从初始溯源脚本集合中筛选得到。

具体地，当服务器接收到溯源脚本获取请求后，可以根据初始溯源脚本集合中每个溯源脚本的脚本状态信息，动态筛选脚本状态信息为有效状态标识的溯源脚本，得到多个溯源脚本。然后，服务器将这些筛选得到的各溯源脚本中的至少部分溯源脚本进行组合，以生成目标溯源脚本集合。

在一些实施例中，S220可实现为：响应于溯源脚本获取请求，基于脚本状态信息和社交信息来源，从初始溯源脚本集合中确定目标溯源脚本集合。

其中，社交信息来源是指社交账号信息的来源网站，其可对应于提供社交应用程序的社交厂商。考虑到目标用户可能在多个社交信息来源处注册了社交账号信息、且有些社交信息来源对应的溯源脚本的有效性不稳定等情况，本公开实施例中设置的初始溯源脚本集合中的每个溯源脚本除了携带脚本状态信息之外，还可携带社交信息来源。即服务端维护初始溯源脚本集合的过程中，针对每个社交信息来源，不断地、尽可能多地收集该社交信息来源的JSONP接口，并编写对应的JS代码，形成该社交信息来源对应的多个溯源脚本。这样，每个社交信息来源至少对应有一个溯源脚本可进行使用。

按照上述说明，初始溯源脚本集合所包含的内容及其对应关系可如图3所示。初始溯源脚本集合中包含社交信息来源1、社交信息来源2、……、社交信息来源n，每个社交信息来源均对应有多个溯源脚本，每个溯源脚本均携带脚本状态信息(如有效状态标识、无效状态标识)。需要说明的是，初始溯源脚本集合的存储结构和存储形式等均不限定。

具体地，服务器响应于溯源脚本获取请求，根据每个溯源脚本的脚本状态信息和社交来源信息，从初始溯源脚本集合中筛选出多个社交信息来源对应的至少一个脚本状态信息为有效状态标识的溯源脚本，生成目标溯源脚本集合。例如，服务器筛选出每个社交信息来源对应的一个/多个溯源脚本来生成目标溯源脚本集合；又如，服务器筛选出某几个注册用户较多的社交信息来源，再从这些社交信息来源对应的多个溯源脚本中选择至少一个携带有效状态标识的溯源脚本，生成目标溯源脚本集合。

在一些实施例中，上述响应于溯源脚本获取请求，基于脚本状态信息和社交信息来源，从初始溯源脚本集合中确定目标溯源脚本集合包括：从初始溯源脚本集合中确定每个社交信息来源对应的至少一个第一溯源脚本；从每个社交信息来源对应的各第一溯源脚本中，确定一个脚本状态信息为有效状态标识的第二溯源脚本；将各第二溯源脚本确定为目标溯源脚本集合。

其中，第一溯源脚本是指根据社交信息来源，对初始溯源脚本集合中所有的溯源脚本进行第一次选择，得到的每个社交信息来源对应的溯源脚本。第二溯源脚本是指在根据社交信息来源进行第一次选择后得到的各第一溯源脚本中，二次选择确定出的脚本状态信息为有效状态标识的溯源脚本。

具体地，服务器响应于溯源脚本获取请求，根据每个溯源脚本的社交信息来源，对初始溯源脚本集合中的所有溯源脚本进行第一次选择，得到每个社交信息来源中至少一个溯源脚本，即第一溯源脚本。然后，服务器再根据各第一溯源脚本中的每个溯源脚本的脚本状态信息进行第二次选择，即从各第一溯源脚本中确定至少一个脚本状态信息为有效状态标识的溯源脚本作为第二溯源脚本。最后，服务器将确定的所有第二溯源脚本进行组合，生成目标溯源脚本集合。

在另一些实施例中，上述根据社交信息来源和脚本状态信息对初始溯源脚本集合进行筛选来得到目标溯源脚本集合的过程，还可实现为：服务器响应于溯源脚本获取请求，根据每个溯源脚本的脚本状态信息，对初始溯源脚本集合中的各溯源脚本进行第一次选择，得到脚本状态信息为有效状态标识的各溯源脚本。然后，服务器再根据社交信息来源，对上述第一次选择获得的所有的有效状态标识的溯源脚本进行第二次选择，即从上述第一次选择获得的所有的有效状态标识的溯源脚本中，选择一个/多个社交信息来源对应的溯源脚本，用于生成目标溯源脚本集合。

在一些实施例中，上述从每个社交信息来源对应的各第一溯源脚本中，确定一个脚本状态信息为有效状态标识的第二溯源脚本包括：从每个社交信息来源对应的各第一溯源脚本中，确定一个脚本状态信息为有效状态标识、且具有预设优先级标识的第二溯源脚本。

其中，预设优先级标识是指预先设定的、溯源脚本的优先级，优先级越高，表示该溯源脚本被选择用于生成目标溯源脚本集合的顺序越靠前。预设优先级标识可以是人为设置；也可以是随机设置；还可以是根据JSONP接口获取的时长确定，例如JSONP接口获取时长越短，其对应的溯源脚本的预设优先级越高，这样可以使得JSONP接口暴露时间越短的溯源脚本被优先使用，从而提高目标溯源脚本集合中的溯源脚本的有效性，进而进一步提高溯源的准确性和时效性。

按照上述说明，如图3所示，初始溯源脚本集合中包含社交信息来源1、社交信息来源2、……、社交信息来源n，每个社交信息来源均对应有多个溯源脚本，每个溯源脚本还均携带有预设优先级标识(如优先级1、优先级2、……、优先级n)。

具体地，服务器在对每个社交信息来源对应的各第一溯源脚本进行二次选择时，可以选择预设优先级标识最高、且脚本状态信息为有效状态标识的一个第一溯源脚本，作为第二溯源脚本。

需要说明的是，针对每个社交信息来源，其对应的第二溯源脚本可以是一个，也可以是多个。

在一些实施例中，从初始溯源脚本集合中确定出每个社交信息来源对应的至少一个第一溯源脚本之后，该网络攻击的溯源方法还包括：若任一社交信息来源对应的每个溯源脚本的脚本状态信息均为失效状态标识，则从初始溯源脚本集合中删除该社交信息来源和各第一溯源脚本。

具体地，在根据社交信息来源从初始溯源脚本集合中确定每个社交信息来源对应的至少一个第一溯源脚本后，如果服务器确定某一个社交信息来源对应的所有第一溯源脚本的脚本状态信息都为失效状态标识，则表示该社交信息来源中的所有溯源脚本均失效，不能对目标用户进行有效地溯源。因此，在初始溯源脚本集合中删除该社交信息来源和其对应的所有溯源脚本，避免后续根据这些无效的溯源脚本进行无意义的信息获取操作，节省客户端运行资源，进一步提高溯源的准确性。

在本公开实施例中，根据动态调整规则对目标溯源脚本集合中的溯源脚本进行动态调整。

其中，动态调整规则是对溯源脚本进行校验，若发现正在使用的溯源脚本为失效状态，则将该溯源脚本换下，并将生效状态下最高优先级的溯源脚本调整为正在使用。若一个社交信息来源的所有溯源脚本全部经过校验为失效状态，即使该社交信息来源已经配置在目标溯源脚本集合中，也将其剔除，不再作为溯源脚本的元数据。

可选地，还可以通过手动进行扫描，校验所有的溯源脚本，若发现扫描到的溯源脚本为失效状态，则对其标注失效状态标识；若扫描任一社交信息来源的每个溯源脚本的状态信息均为失效状态标识，则从初始溯源脚本集合中删除所有该社交信息来源和该社交信息来源对应的所有溯源脚本。

通过对目标溯源脚本集合和初始溯源脚本集合中的溯源脚本进行动态调整，提升了溯源脚本的扩展性，并且提高了溯源脚本使用的稳定性。由于通过动态调整以保证总有一个溯源脚本是正在使用的，避免了利用无效状态标识的溯源脚本的无意义溯源，进而节省资源，提高了对目标用户进行溯源的效率，提升了溯源的稳定性和可靠性。

S230、将目标溯源脚本集合发送至目标网站对应的客户端，以使客户端基于目标溯源脚本集合对目标用户进行溯源。

其中，客户端可以为提供目标网站访问功能的用户端的设备，可以且不限于是各种智能手机、掌上电脑、平板电脑、笔记本电荷、台式电脑等。

具体地，服务器将目标溯源脚本集合发送至目标网站对应的客户端，以使客户端基于目标溯源脚本集合中的有效状态标识的溯源脚本，对目标用户进行追踪溯源。即，客户端先调用目标溯源脚本来获取目标用户的相关信息。然后，客户端对获取到的相关信息进行解析，获得解析结果，并将该解析结果返回至服务器，以实现利用客户端基于目标溯源脚本集合对目标用户进行溯源。

上述过程中，客户端对获取到的相关信息进行解析包括：

(1)、解析成功、且获取到目标用户的社交帐户信息，则将该社交账号信息发送至服务器；

(2)、解析成功、但未获取到目标用户的社交账号信息，说明客户端所调用的溯源脚本中的JSONP接口有效，但是目标用户未登录社交账号。此时，客户端将调用的溯源脚本的标识性信息和“未登录”的标识性信息发送至服务器，并继续调用目标溯源脚本集合中的其他溯源脚本进行溯源；

(3)、解析失败，说明客户端所调用的溯源脚本中的JSONP接口失效，无法获取到目标用户在其对应的社交信息来源中的社交账号信息。此时，客户端将上述调用的溯源脚本的标识性信息和JSONP接口失效的失效状态标识发送至服务器，以便服务器对初始溯源脚本集合和目标溯源脚本集合进行动态调整。

在本公开实施例中，在将目标溯源脚本集合发送至目标网站对应的客户端之后，该网络攻击的溯源方法还包括：接收客户端发送的第三溯源脚本的脚本信息和失效状态标识；其中，第三溯源脚本为目标溯源脚本集合中的溯源脚本；将初始溯源脚本集合中的第三溯源脚本的脚本状态信息设置为失效状态标识，以更新初始溯源脚本集合。

其中，第三溯源脚本是指客户端从目标溯源脚本集合中确定的、脚本状态信息为失效状态标识的溯源脚本。

具体地，根据上述说明，客户端调用目标溯源脚本集合中的每个溯源脚本后，可获得解析结果。如果某个溯源脚本对应的解析结果是解析失败时的溯源脚本的标识性信息(即脚本信息)和JSONP接口失效的失效状态标识，那么，该溯源脚本便为第三溯源脚本。客户端将第三溯源脚本的脚本信息和失效状态标识发送至服务端。服务端则根据客户端发送的信息动态调整初始溯源脚本集合中的相应溯源脚本的脚本状态信息，即服务器在初始溯源脚本集合中将第三溯源脚本的脚本状态信息设置为失效状态标识，来动态更新初始溯源脚本集合。

在本公开实施例中，在将初始溯源脚本集合中的第三溯源脚本的脚本状态信息设置为失效状态标识，以更新初始溯源脚本集合之后，该网络攻击的溯源方法还包括：若接收到客户端发送的溯源失败信息，则基于脚本状态信息，从更新后的初始溯源脚本集合中重新确定目标溯源脚本集合；将重新确定的目标溯源脚本集合发送至客户端，以使客户端基于重新确定的目标溯源脚本集合对目标用户继续进行溯源。

具体地，在客户端利用目标溯源脚本集合中的每个溯源脚本对目标用户进行溯源，并对溯源得到的信息进行解析，且均未获取到该目标用户的社交信息的情况下，说明该目标溯源脚本集合均无效。此时，客户端将溯源失败信息发送至服务器。服务器在接收到客户端发送的溯源失败信息后，基于脚本状态信息，从更新后的初始溯源脚本集合中重新确定目标溯源脚本集合。然后，服务器将重新确定的目标溯源脚本集合再次发送至客户端，以使客户端基于重新确定的目标溯源脚本集合对目标用户继续进行溯源。其中，从更新后的初始溯源脚本集合中重新确定目标溯源脚本集合的方法与上述方法相同，在此不再赘述。

在本公开的一些实施例中，可以设置一个社交信息来源，通过动态切换该社交信息来源对应的溯源脚本，实现对目标用户的溯源追踪。

在本公开的另一些实施例中，可以设置多个社交信息来源，通过动态切换多个社交信息来源的溯源脚本组合，来更新目标溯源脚本集合，实现对目标用户的溯源追踪。

上述各实施例中，在对目标用户进行溯源追踪的过程中，通过对溯源脚本进行动态调整，能够生成可用性高且稳定性高的目标溯源脚本集合，提高了溯源的稳定性和可靠性。

本公开实施例的上述技术方案，能够通过接收并响应目标用户访问目标网站生成的溯源脚本获取请求，基于脚本状态信息，从初始溯源脚本集合中确定目标溯源脚本集合，将目标溯源脚本集合发送至目标网站对应的客户端，使客户端基于目标溯源脚本对目标用户进行溯源。实现了根据脚本状态信息，从初始溯源脚本集合中动态配置目标溯源脚本集合，提升了目标溯源脚本集合的扩展性和扩展效果，且能够确保用于溯源的各溯源脚本的有效性，从而提升攻击者信息收集的稳定性，进而提升溯源的可靠性和稳定性。

图4是本公开实施例提供的又一种网络攻击的溯源方法的流程示意图。其中与上述各实施例相同或相应的术语的解释在此不再赘述。

如图4所示，该网络攻击的溯源方法具体包括：

S401、目标用户通过客户端访问目标网页。

在本公开实施例中，目标用户通过客户端请求访问目标网页。

S402、客户端接收目标用户的访问请求。

S403、客户端响应于访问请求连接目标网页。

若客户端成功连接目标网页，则跳转至S405；若客户端连接目标网页失败，则跳转至S404。

S404、客户端向目标用户显示请求网页不存在。

在本公开实施例中，若判断客户端响应访问请求并没有成功连接至目标网页，则客户端向目标用户显示为请求的网页不存在并结束。

S405、客户端从服务器获取目标溯源脚本集合，并显示目标网页。

在本公开实施例中，若判断客户端响应于目标用户的访问请求而成功连接至目标网页，则客户端从服务器获取目标溯源脚本集合，同时向目标用户展示目标网页。

S406、客户端调用目标溯源脚本集合中的各溯源脚本。

在本公开实施例中，在目标用户访问目标网页的过程中，客户端会逐个调用目标溯源脚本集合中的各溯源脚本，以从溯源脚本对应的社交信息来源中抓取目标用户的社交账号信息。

若溯源脚本的调用操作成功执行，则跳转至S407；若溯源脚本的调用操作执行失败，则跳转至S409。

S407、客户端获取目标用户的社交账号信息。

在本公开实施例中，客户端每调用一个溯源脚本，均判断调用的溯源脚本是否执行成功，即判断溯源脚本的响应数据是否成功解析。若成功，则从解析结果中获取目标用户的社交账号信息。

S408、客户端将目标用户的社交账号信息发送至服务器。

在本公开实施例中，将成功获取的目标用户的溯源信息(即社交账号信息)发送至服务器中，并结束本次溯源。

S409、客户端将溯源脚本的脚本信息和失效状态标识发送至服务器。

在本公开实施例中，若客户端判断某一溯源脚本执行失败，则获取该溯源脚本的脚本信息，并为其设置失效状态标识的脚本状态信息，然后，将该脚本信息和失效状态标识发送至服务器，以使服务器对初始溯源脚本集合中的该溯源脚本进行脚本状态信息的动态更新。然后，客户端返回S406，继续调用其他溯源脚本。

本公开实施例的上述技术方案，通过该网络攻击的溯源方法，能够设置目标网页，增加虚拟防御网站的真实性和迷惑性，从而有效地抵御目标用户的攻击，并通过动态配置的目标溯源脚本集合，在目标用户无感知的情况下记录目标用户的社交账号信息，可以更快的追踪到该目标用户，以更快的实施反制手段，有效的加固了目标网站的完全性和稳定性。当溯源失败时，可以对失效溯源脚本进行标记，以实现动态配置溯源脚本，使溯源脚本达到更高的稳定性和可靠性。

图5是本公开实施例提供的一种网络攻击的溯源装置的结构示意图。

如图5所示，该网络攻击的溯源装置500具体包括：

溯源脚本获取请求接收模块510，用于接收目标用户访问目标网站而生成的溯源脚本获取请求；

目标溯源脚本集合确定模块520，用于响应于溯源脚本获取请求，基于脚本状态信息，从初始溯源脚本集合中确定目标溯源脚本集合；

目标溯源脚本集合发送模块530，用于将目标溯源脚本集合发送至目标网站对应的客户端，以使客户端基于目标溯源脚本集合对目标用户进行溯源。

通过上述网络攻击的溯源装置，能够通过接收并响应目标用户访问目标网站生成的溯源脚本获取请求，基于脚本状态信息，从初始溯源脚本集合中确定目标溯源脚本集合，将目标溯源脚本集合发送至目标网站对应的客户端，使客户端基于目标溯源脚本对目标用户进行溯源。实现了根据脚本状态信息，从初始溯源脚本集合中动态配置目标溯源脚本集合，提升了目标溯源脚本集合的扩展性和扩展效果，且能够确保用于溯源的各溯源脚本的有效性，从而提升攻击者信息收集的稳定性，进而提升溯源的可靠性和稳定性。

在一些实施例中，目标溯源脚本集合确定模块520还包括第一目标溯源脚本集合确定单元，用于：

响应于溯源脚本获取请求，基于脚本状态信息和社交信息来源，从初始溯源脚本集合中确定目标溯源脚本集合。

在一些实施例中，目标溯源脚本集合确定模块520还包括第一溯源脚本确定单元、第二溯源脚本确定单元和目标溯源脚本集合确定单元；

该第一溯源脚本确定单元，用于从初始溯源脚本集合中确定出每个社交信息来源对应的至少一个第一溯源脚本；

该第二溯源脚本确定单元，用于从每个社交信息来源对应的各第一溯源脚本中，确定一个脚本状态信息为有效状态标识的第二溯源脚本；

该目标溯源脚本集合确定单元，用于将各第二溯源脚本确定为目标溯源脚本集合。

在一些实施例中，第二溯源脚本确定单元具体用于：

从每个社交信息来源对应的各第一溯源脚本中，确定一个脚本状态信息为有效状态标识、且具有预设优先级标识的第二溯源脚本。

在一些实施例中，该网络攻击的溯源装置500还包括初始溯源脚本集合删除模块，用于：

在从初始溯源脚本集合中确定出每个社交信息来源对应的至少一个第一溯源脚本之后，若任一社交信息来源对应的每个第一溯源脚本的脚本状态信息均为失效状态标识，则从初始溯源脚本集合中删除社交信息来源和各第一溯源脚本。

在一些实施例中，该网络攻击的溯源装置500还包括初始溯源脚本集合更新模块，用于：

在将目标溯源脚本集合发送至目标网站对应的客户端之后，接收客户端发送的第三溯源脚本的脚本信息和失效状态标识；其中，第三溯源脚本为目标溯源脚本集合中的溯源脚本；

将初始溯源脚本集合中的第三溯源脚本的脚本状态信息设置为失效状态标识，以更新初始溯源脚本集合。

在一些实施例中，该网络攻击的溯源装置500还包括目标溯源脚本集合重新确定单元，用于：

在将初始溯源脚本集合中的第三溯源脚本的脚本状态信息设置为失效状态标识，以更新初始溯源脚本集合之后，若接收到客户端发送的溯源失败信息，则基于脚本状态信息，从更新后的初始溯源脚本集合中重新确定目标溯源脚本集合；

将重新确定的目标溯源脚本集合发送至客户端，以使客户端基于重新确定的目标溯源脚本集合对目标用户继续进行溯源。

本公开实施例所提供的网络攻击的溯源装置可执行本公开任意实施例所提供的网络攻击的溯源方法，具备执行方法相应的功能模块和有益效果。

值得注意的是，上述网络攻击的溯源装置的实施例中，所包括的各个单元和模块只是按照功能逻辑进行划分的，但并不局限于上述的划分，只要能够实现相应的功能即可；另外，各功能单元/模块的具体名称也只是为了便于相互区分，并不用于限制本公开的保护范围。

图6是本公开实施例提供的一种电子设备的结构示意图。参见图6，本公开实施例提供的电子设备600，其包括：处理器620和存储器610；处理器620通过调用存储器610存储的程序或指令，用于执行本公开实施例所提供的网络攻击的溯源方法的步骤：

接收目标用户访问目标网站而生成的溯源脚本获取请求；响应于溯源脚本获取请求，基于脚本状态信息，从初始溯源脚本集合中确定目标溯源脚本集合；将目标溯源脚本集合发送至目标网站对应的客户端，以使客户端基于目标溯源脚本集合对目标用户进行溯源。

当然，本领域技术人员可以理解，处理器620还可以实现本公开任意实施例所提供的网络攻击的溯源方法的技术方案。

图6显示的电子设备600仅仅是一个示例，不应对本公开实施例的功能和使用范围带来任何限制。

如图6所示，电子设备600以通用计算设备的形式表现。电子设备600的组件可以包括但不限于：一个或者多个处理器620，存储器610，连接不同***组件(包括存储器610和处理器620)的总线650。

总线650表示几类总线结构中的一种或多种，包括存储器总线或者存储器控制器，***总线，图形加速端口，处理器或者使用多种总线结构中的任意总线结构的局域总线。举例来说，这些体系结构包括但不限于工业标准体系结构(ISA)总线，微通道体系结构(MAC)总线，增强型ISA总线、视频电子标准协会(VESA)局域总线以及***组件互连(PCI)总线。

电子设备600典型地包括多种计算机***可读介质。这些介质可以是任何能够被电子设备600访问的可用介质，包括易失性和非易失性介质，可移动的和不可移动的介质。

存储器610可以包括易失性存储器形式的计算机***可读介质，例如随机存取存储器(RAM)611和/或高速缓存存储器612。电子设备600可以进一步包括其它可移动/不可移动的、易失性/非易失性计算机***存储介质。仅作为举例，存储***613可以用于读写不可移动的、非易失性磁介质(图6未显示，通常称为“硬盘驱动器”)。尽管图6中未示出，可以提供用于对可移动非易失性磁盘(例如“软盘”)读写的磁盘驱动器，以及对可移动非易失性光盘(例如CD-ROM,DVD-ROM或者其它光介质)读写的光盘驱动器。在这些情况下，每个驱动器可以通过一个或者多个数据介质接口与总线650相连。存储器610可以包括至少一个程序产品，该程序产品具有一组(例如至少一个)程序模块，这些程序模块被配置以执行本公开各实施例的功能。

具有一组(至少一个)程序模块615的程序/实用工具614，可以存储在例如存储器610中，这样的程序模块615包括但不限于操作***、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。程序模块615通常执行本公开所描述的任意实施例中的功能和/或方法。

电子设备600也可以与一个或多个外部设备660(例如键盘、指向设备、显示器670等)通信，还可与一个或者多个使得用户能与该电子设备600交互的设备通信，和/或与使得该电子设备600能与一个或多个其它计算设备进行通信的任何设备(例如网卡，调制解调器等等)通信。这种通信可以通过输入/输出接口(I/O接口)630进行。并且，电子设备600还可以通过网络适配器640与一个或者多个网络(例如局域网(LAN)，广域网(WAN)和/或公共网络，例如因特网)通信。如图6所示，网络适配器640通过总线650与电子设备600的其它模块通信。应当明白，尽管图中未示出，可以结合电子设备600使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理单元、外部磁盘驱动阵列、RAID***、磁带驱动器以及数据备份存储***等。

本公开实施例还提供一种计算机可读存储介质，该计算机可读存储介质存储程序或指令，该程序或指令使计算机执行本公开实施例提供的网络攻击的溯源方法步骤：

接收目标用户访问目标网站而生成的溯源脚本获取请求；响应于溯源脚本获取请求，基于脚本状态信息，从初始溯源脚本集合中确定目标溯源脚本集合；将目标溯源脚本集合发送至目标网站对应的客户端，以使客户端基于目标溯源脚本集合对目标用户进行溯源。

当然，本公开实施例所提供的一种计算机可读存储介质，其存储的程序或指令不限于如上所述的方法操作，还可以执行本公开任意实施例所提供的网络攻击的溯源方法中的相关操作。

本公开实施例的计算机存储介质，可以采用一个或多个计算机可读的介质的任意组合。计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的***、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本文件中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行***、装置或者器件使用或者与其结合使用。

计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行***、装置或者器件使用或者与其结合使用的程序。

计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括——但不限于无线、电线、光缆、RF等等，或者上述的任意合适的组合。

可以以一种或多种程序设计语言或其组合来编写用于执行本公开操作的计算机程序代码，所述程序设计语言包括面向对象的程序设计语言—诸如Java、Smalltalk、C++，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算机上执行、部分地在用户计算机上执行、作为一个独立的软件包执行、部分在用户计算机上部分在远程计算机上执行、或者完全在远程计算机或服务器上执行。在涉及远程计算机的情形中，远程计算机可以通过任意种类的网络——包括局域网(LAN)或广域网(WAN)—连接到用户计算机，或者，可以连接到外部计算机(例如利用因特网服务提供商来通过因特网连接)。

需要说明的是，本公开所用术语仅为了描述特定实施例，而非限制本申请范围。如本公开说明书和权利要求书中所示，除非上下文明确提示例外情形，“一”、“一个”、“一种”和/或“该”等词并非特指单数，也可包括复数。术语“和/或”包括一个或多个相关所列条目的任何一个和所有组合。诸如“第一”和“第二”等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法或者设备中还存在另外的相同要素。

以上所述仅是本公开的具体实施方式，使本领域技术人员能够理解或实现本公开。对这些实施例的多种修改对本领域的技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本公开的精神或范围的情况下，在其它实施例中实现。因此，本公开将不会被限制于本文所述的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims (10)

1.一种网络攻击的溯源方法，其特征在于，包括：

接收目标用户访问目标网站而生成的溯源脚本获取请求；

响应于所述溯源脚本获取请求，基于脚本状态信息，从初始溯源脚本集合中确定目标溯源脚本集合；

将所述目标溯源脚本集合发送至所述目标网站对应的客户端，以使所述客户端基于所述目标溯源脚本集合对所述目标用户进行溯源。

2.根据权利要求1所述的方法，其特征在于，所述响应于所述溯源脚本获取请求，基于脚本状态信息，从初始溯源脚本集合中确定目标溯源脚本集合包括：

响应于所述溯源脚本获取请求，基于所述脚本状态信息和社交信息来源，从所述初始溯源脚本集合中确定所述目标溯源脚本集合。

3.根据权利要求2所述的方法，其特征在于，所述响应于所述溯源脚本获取请求，基于所述脚本状态信息和社交信息来源，从所述初始溯源脚本集合中确定所述目标溯源脚本集合包括：

从所述初始溯源脚本集合中确定出每个社交信息来源对应的至少一个第一溯源脚本；

从每个所述社交信息来源对应的各所述第一溯源脚本中，确定一个所述脚本状态信息为有效状态标识的第二溯源脚本；

将各所述第二溯源脚本确定为所述目标溯源脚本集合。

4.根据权利要求3所述的方法，其特征在于，所述从每个社交信息来源对应的各所述第一溯源脚本中，确定一个所述脚本状态信息为有效状态标识的第二溯源脚本包括：

从每个所述社交信息来源对应的各所述第一溯源脚本中，确定一个所述脚本状态信息为有效状态标识、且具有预设优先级标识的第二溯源脚本。

5.根据权利要求3所述的方法，其特征在于，在所述从所述初始溯源脚本集合中确定出每个社交信息来源对应的至少一个第一溯源脚本之后，所述方法还包括：

若任一所述社交信息来源对应的每个所述第一溯源脚本的所述脚本状态信息均为失效状态标识，则从所述初始溯源脚本集合中删除所述社交信息来源和各所述第一溯源脚本。

6.根据权利要求1所述的方法，其特征在于，在所述将所述目标溯源脚本集合发送至所述目标网站对应的客户端之后，所述方法还包括：

接收所述客户端发送的第三溯源脚本的脚本信息和失效状态标识；其中，所述第三溯源脚本为所述目标溯源脚本集合中的溯源脚本；

将所述初始溯源脚本集合中的所述第三溯源脚本的所述脚本状态信息设置为所述失效状态标识，以更新所述初始溯源脚本集合。

7.根据权利要求6所述的方法，其特征在于，在所述将所述初始溯源脚本集合中的所述第三溯源脚本的所述脚本状态信息设置为所述失效状态标识，以更新所述初始溯源脚本集合之后，所述方法还包括：

若接收到所述客户端发送的溯源失败信息，则基于所述脚本状态信息，从更新后的初始溯源脚本集合中重新确定所述目标溯源脚本集合；

将重新确定的所述目标溯源脚本集合发送至所述客户端，以使所述客户端基于重新确定的所述目标溯源脚本集合对所述目标用户继续进行溯源。

8.一种网络攻击的溯源装置，其特征在于，包括：

溯源脚本获取请求接收模块，用于接收目标用户访问目标网站而生成的溯源脚本获取请求；

目标溯源脚本集合确定模块，用于响应于所述溯源脚本获取请求，基于脚本状态信息，从初始溯源脚本集合中确定目标溯源脚本集合；

目标溯源脚本集合发送模块，用于将所述目标溯源脚本集合发送至所述目标网站对应的客户端，以使所述客户端基于所述目标溯源脚本集合对所述目标用户进行溯源。

9.一种电子设备，其特征在于，所述电子设备包括：

处理器和存储器；

所述处理器通过调用所述存储器存储的程序或指令，用于执行如权利要求1至7任一项所述的网络攻击的溯源方法的步骤。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储程序或指令，所述程序或指令使计算机执行如权利要求1至7任一项所述的网络攻击的溯源方法的步骤。

Images