CN114640525A - 针对WEB服务的DDoS攻击的保护方法、装置和设备 - Google Patents

针对WEB服务的DDoS攻击的保护方法、装置和设备 Download PDF

Info

Publication number
CN114640525A
CN114640525A CN202210274661.8A CN202210274661A CN114640525A CN 114640525 A CN114640525 A CN 114640525A CN 202210274661 A CN202210274661 A CN 202210274661A CN 114640525 A CN114640525 A CN 114640525A
Authority
CN
China
Prior art keywords
web service
access request
ddos attack
visitor
service access
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN202210274661.8A
Other languages
English (en)
Other versions
CN114640525B (zh
Inventor
舒弋
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Congyun Technology Co ltd
Original Assignee
Beijing Congyun Technology Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Congyun Technology Co ltd filed Critical Beijing Congyun Technology Co ltd
Priority to CN202210274661.8A priority Critical patent/CN114640525B/zh
Publication of CN114640525A publication Critical patent/CN114640525A/zh
Application granted granted Critical
Publication of CN114640525B publication Critical patent/CN114640525B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1458—Denial of Service
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • H04L9/3213—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority using tickets or tokens, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/141—Denial of service attacks against endpoints in a network

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer And Data Communications (AREA)

Abstract

本发明涉及一种针对WEB服务的DDoS攻击的保护方法、装置和设备，属于WEB应用保护技术领域，该方法在WEB服务需要进行DDoS攻击的保护时，向访问者发送包含验证信息的验证链接，在校验到访问者填写验证码正确后生成访问令牌，向访问者发送WEB服务的重定向应答，并将访问令牌设置在重定向应答的WEB服务访问请求中，访问者的浏览器收到重定向应答后，重新发送WEB服务访问请求；收到WEB服务访问请求后，判断WEB服务是否需要进行DDoS攻击的保护。将访问令牌设置在访问请求中，在需要进行DDoS攻击的保护时通过是否包含访问令牌来区分攻击者和合法访问者，避免了合法访问者的请求和攻击者的请求同时被限制的问题。

Description

针对WEB服务的DDoS攻击的保护方法、装置和设备
技术领域
本发明属于WEB应用保护技术领域，具体涉及一种针对WEB服务的DDoS攻击的保护方法、装置和设备。
背景技术
针对WEB服务的DDoS(Distributed Denial of Service，分布式拒绝服务)攻击是一种网络常见攻击行为,攻击者控制大量主机，向主机注入脚本，通过脚本向指定的WEB服务提交访问请求。WEB服务响应大量的虚假请求，导致性能耗尽，无法再响应合法访问者的请求。
由于发起DDoS攻击的主机源地址很多，保护者无法准确辨别合法访问者和攻击者。相关技术中，通常采用的保护措施为限制到达WEB服务请求的频率，避免WEB服务出现性能瓶颈的问题。但是，该方法虽然能够避免WEB服务的性能被耗尽，但合法访问者的请求和攻击者的请求同时被限制，误伤率过大，仍然会出现合法访问者无法得到服务的情况。
因此，如何避免合法访问者的请求和攻击者的请求同时被限制，保持合法访问者能够得到正常服务，成为现有技术中亟待解决的技术问题。
发明内容
有鉴于此，本发明的目的在于提供一种针对WEB服务的DDoS攻击的保护方法、装置和设备，以克服目前合法访问者的请求和攻击者的请求同时被限制，误伤率过大，出现合法访问者无法得到服务的情况的问题。
为实现以上目的，本发明采用如下技术方案：
一方面，一种针对WEB服务的DDoS攻击的保护方法，包括：
在WEB服务需要进行DDoS攻击的保护时，向访问者的浏览器发送包含验证信息的验证链接，以使所述访问者填写与所述验证信息相适应的验证码；
接收所述验证码，并根据所述验证信息判断所述验证码是否正确；
若所述验证码正确，则生成访问令牌，向所述访问者的浏览器发送所述WEB服务的重定向应答，并将所述访问令牌设置在所述重定向应答的WEB服务访问请求中，以使所述访问者的浏览器发送WEB服务访问请求；
接收WEB服务访问请求，根据所述WEB服务访问请求，判断WEB服务是否需要进行DDoS攻击的保护。
可选的，所述判断WEB服务是否需要进行DDoS攻击的保护的方法，包括：
判断WEB服务访问请求是否携带访问令牌；
若所述WEB服务访问请求未携带访问令牌，则判断所述WEB服务访问请求的频率是否超过预设频率阈值；
若所述WEB服务访问请求的频率超过预设频率阈值，则确定所述WEB服务存在DDoS攻击，需要进行DDoS攻击的保护。
可选的，还包括：
若所述WEB服务访问请求携带所述访问令牌，则判断所述WEB服务访问请求中携带的所述访问令牌是否有效，若所述访问令牌有效，则确定DDoS攻击校验通过，无需进行DDoS攻击的保护。
可选的，所述确定DDoS攻击校验通过之后，还包括：
向所述WEB服务发送服务请求；
接收所述WEB服务发送的响应信息，并将所述响应信息发送至所述访问者的浏览器。
可选的，还包括：
若所述访问令牌无效，则判断所述WEB服务访问请求的频率是否超过预设频率阈值；
若所述WEB服务访问请求的频率超过预设频率阈值，则确定所述WEB服务存在DDoS攻击，需要进行DDoS攻击的保护。
又一方面，一种针对WEB服务的DDoS攻击的保护装置，包括：
第一发送模块，用于在WEB服务需要进行DDoS攻击的保护时，向访问者的浏览器发送包含验证信息的验证链接，以使所述访问者填写与所述验证信息相适应的验证码；
第一判断模块，用于在接收模块接收所述验证码后，根据所述验证信息判断所述验证码是否正确；
生成模块，用于在所述验证码正确时，则生成访问令牌；
第二发送模块，用于向所述访问者的浏览器发送所述WEB服务的重定向应答，并将所述访问令牌设置在所述重定向应答的WEB服务访问请求中，以使所述访问者的浏览器发送WEB服务访问请求；
第二判断模块，用于在接收模块接收WEB服务访问请求后，根据所述WEB服务访问请求，判断WEB服务是否需要进行DDoS攻击的保护。
可选的，所述第二判断模块，具体用于判断WEB服务访问请求是否携带访问令牌；若所述WEB服务访问请求未携带访问令牌，则判断所述WEB服务访问请求的频率是否超过预设频率阈值；若所述WEB服务访问请求的频率超过预设频率阈值，则确定所述WEB服务存在DDoS攻击，需要进行DDoS攻击的保护。
又一方面，一种针对WEB服务的DDoS攻击的保护设备，包括处理器和存储器，所述处理器与存储器相连：
其中，所述处理器，用于调用并执行所述存储器中存储的程序；
所述存储器，用于存储所述程序，所述程序至少用于执行上述任一项所述的针对WEB服务的DDoS攻击的保护方法。
本发明提供的针对WEB服务的DDoS攻击的保护方法、装置和设备，在WEB服务需要进行DDoS攻击的保护时，向访问者的浏览器发送包含验证信息的验证链接，在校验到访问者填写验证码正确后，生成访问令牌，向访问者的浏览器发送WEB服务的重定向应答，并将访问令牌设置在重定向应答的WEB服务访问请求中，访问者的浏览器收到重定向应答后，可以自动重新发送WEB服务访问请求；再次收到WEB服务访问请求后，判断WEB服务是否需要进行DDoS攻击的保护。由于将访问令牌设置在了访问请求中，因此，在需要进行DDoS攻击的保护时可以通过是否包含访问令牌来区分攻击者和合法访问者，避免了合法访问者的请求和攻击者的请求同时被限制，保持合法访问者能够得到正常服务。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1是本发明一实施例提供的一种针对WEB服务的DDoS攻击的保护方法的流程示意图；
图2是本发明一实施例提供的一种针对WEB服务的DDoS攻击的保护装置的结构示意图；
图3是本发明一实施例提供的一种针对WEB服务的DDoS攻击的保护设备的结构示意图。
具体实施方式
为使本发明的目的、技术方案和优点更加清楚，下面将对本发明的技术方案进行详细的描述。显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所得到的所有其它实施方式，都属于本发明所保护的范围。
针对WEB服务的DDoS(Distributed Denial of Service，分布式拒绝服务)攻击是一种网络常见攻击行为,攻击者控制大量主机，向主机注入脚本，通过脚本向指定的WEB服务提交访问请求。WEB服务响应大量的虚假请求，导致性能耗尽，无法再响应合法访问者的请求。
由于发起DDoS攻击的主机源地址很多，保护者无法准确辨别合法访问者和攻击者。相关技术中，通常采用的保护措施为限制到达WEB服务请求的频率，避免WEB服务出现性能瓶颈的问题。但是，该方法虽然能够避免WEB服务的性能被耗尽，但合法访问者的请求和攻击者的请求同时被限制，误伤率过大，仍然会出现合法访问者无法得到服务的情况。
因此，如何避免合法访问者的请求和攻击者的请求同时被限制，保持合法访问者能够得到正常服务，成为现有技术中亟待解决的技术问题。
基于此，本发明示例性提供一种针对WEB服务的DDoS攻击的保护方法、装置及设备。
示例性方法：
图1是本发明一实施例提供的一种针对WEB服务的DDoS攻击的保护方法的流程示意图，本发明实施例提供方法的执行主体可以为集成的WEB保护程序，WEB保护程序执行本申请实施例提供的针对WEB服务的DDoS攻击的保护方法的各个步骤，参阅图1，本实施例可以包括以下步骤：
S1、在WEB服务需要进行DDoS攻击的保护时，向访问者的浏览器发送包含验证信息的验证链接，以使访问者填写与验证信息相适应的验证码。
其中，访问者为WEB服务的请求发起者，可能是合法访问者，也可能是DDoS攻击发起者。所有WEB服务访问请求，均通过本申请实施例提供的针对WEB服务的DDoS攻击的保护方法进行DDoS攻击保护后，再进行处理。
例如，WEB服务可以为www.my-service.com，也可以为其他，本申请中不做具体限定，本实施例中以www.my-service.com为例，进行说明。
访问者通过浏览器发起WEB服务访问请求，在接收到WEB服务访问请求后，可以判断WEB服务访问请求是否携带访问令牌；若WEB服务访问请求未携带访问令牌，则判断WEB服务访问请求的频率是否超过预设频率阈值；若WEB服务访问请求的频率超过预设频率阈值，则确定WEB服务存在DDoS攻击，需要进行DDoS攻击的保护，则执行下述发送验证链接的验证步骤。
在一个具体的实现方式中，访问令牌可以为accessToken，在接收到www.my-service.com的访问请求后，可以判断访问请求的Cookie是否携带accessToken，若未携带accessToken，在可以判断访问请求的频率是否超过了预设频率阈值，在访问请求的频率超过了预设频率阈值时，确定存在DDoS攻击，需要进行DDoS攻击的保护。
在未发生DDoS攻击时，访问者发出的请求的Cookie(储存在用户本地终端上的数据)不会携带accessToken,且所有请求频率不会超过***限制，WEB保护程序的DDoS检查通过。
出现DDoS攻击后，合法访问者发出的请求不会携带accessToken，且所有请求频率超过了***限制。
在确定到WEB服务需要进行DDoS攻击的保护时，可以向访问者的浏览器推送一个携带了验证信息的验证链接，其中，验证链接可以为一个页面，也可以为一个网址。
例如，验证信息可以为在图片中包含验证码，还可以为计算题等，本申请中不做具体限定。当访问者收到验证信息后，合法访问者则可以根据验证信息输入验证码进行回应；而攻击者的脚本无法识别验证信息，也无法进行回应，则停留在此阶段。实施DDoS攻击的主机发出的www.my-service.com的请求，无法抵达WEB服务程序，不会对WEB服务造成任何消耗。
S2、接收验证码，并根据验证信息判断验证码是否正确。
在收到访问者发送的验证码后，根据验证信息校验验证码是否正确。例如，验证信息为图片中包含了458，则校验验证码是否为458；若验证信息为3+2＝？，则校验验证码是否为5，本申请中不做具体限定。
S3、若验证码正确，则生成访问令牌，向访问者的浏览器发送WEB服务的重定向应答，并将访问令牌设置在重定向应答的WEB服务访问请求中，以使访问者的浏览器发送WEB服务访问请求。
例如，在验证码正确时，生成随机的accessToken，向访问者推送一个重定向应答，重定向目标是www.my-service.com，并将accessToken设置到Cookie中。合法访问者的浏览器收到重定向应答后，浏览器可以自动再次向www.my-service.com发出请求，请求的Cookie中携带了accessToken。
S4、接收WEB服务访问请求，根据WEB服务访问请求，判断WEB服务是否需要进行DDoS攻击的保护。
在接收到到WEB服务访问请求后，可以根据WEB服务访问请求来判断WEB服务是否需要进行DDoS攻击的保护，若需要进行DDoS攻击的保护时，则再次向访问者的浏览器发送包含验证信息的验证链接，进行验证。
本发明提供的针对WEB服务的DDoS攻击的保护方法，在WEB服务需要进行DDoS攻击的保护时，向访问者的浏览器发送包含验证信息的验证链接，在校验到访问者填写验证码正确后，生成访问令牌，向访问者的浏览器发送WEB服务的重定向应答，并将访问令牌设置在重定向应答的WEB服务访问请求中，访问者的浏览器收到重定向应答后，可以自动重新发送WEB服务访问请求；再次收到WEB服务访问请求后，判断WEB服务是否需要进行DDoS攻击的保护。由于将访问令牌设置在了访问请求中，因此，可以通过是否包含访问令牌来区分攻击者和合法访问者，避免了合法访问者的请求和攻击者的请求同时被限制，保持合法访问者能够得到正常服务。
一些实施例中，判断WEB服务是否需要进行DDoS攻击的保护的方法，包括：判断WEB服务访问请求是否携带访问令牌；若WEB服务访问请求未携带访问令牌，则判断WEB服务访问请求的频率是否超过预设频率阈值；若WEB服务访问请求的频率超过预设频率阈值，则确定WEB服务存在DDoS攻击，需要进行DDoS攻击的保护。
一些实施例中，还包括：若WEB服务访问请求携带访问令牌，则判断WEB服务访问请求中携带的访问令牌是否有效，若访问令牌有效，则确定DDoS攻击校验通过，无需进行DDoS攻击的保护。
例如，在接收到WEB服务访问请求后，可以判断WEB服务访问请求是否携带访问令牌；若WEB服务访问请求未携带访问令牌，则判断WEB服务访问请求的频率是否超过预设频率阈值；当访问请求频率超过预设频率阈值时，确定到WEB服务存在DDoS攻击，需要进行攻击保护，则执行上述发送验证链接的验证步骤。
当判断到WEB服务访问请求携带访问令牌时，则可以判断访问令牌是否有效，若访问令牌有效，则可以确定DDoS攻击校验通过，无需再次进行DDoS攻击的保护，即，无需再次发送验证链接。这样的设置，可以使得在判定到DDoS检测通过后，在有效期内不会再要求合法访问者输入验证码，保证了合法访问者的友好体验。例如，有效期可以为浏览器的Cookie有效期。
一些实施例中，还包括：若访问令牌无效，则判断WEB服务访问请求的频率是否超过预设频率阈值；若WEB服务访问请求的频率超过预设频率阈值，则确定WEB服务存在DDoS攻击，需要进行DDoS攻击的保护。
例如，在访问令牌无效的时候，可以通过服务访问请求的频率是否超过预设频率阈值的方法，来确定是否存在DDoS攻击，当访问请求频率超过预设频率阈值时，确定到WEB服务存在DDoS攻击，需要进行攻击保护，则执行上述发送验证链接的验证步骤。
一些实施例中，确定DDoS攻击校验通过之后，还包括：向WEB服务发送服务请求；接收WEB服务发送的响应信息，并将响应信息发送至访问者的浏览器。
例如，在确定到DDoS攻击校验通过之后，则向www.my-service.com发送服务请求，www.my-service.com服务返回响应信息，在接收到响应信息后，将响应信息发送至访问者的浏览器。
本发明提供的针对WEB服务的DDoS攻击的保护方法，可以辨别攻击嫌疑者和合法访问者，合法访问者不受请求频率的限制，正常响应；攻击嫌疑者的请求不进行响应，避免了合法访问者的请求和攻击者的请求同时被限制，保持合法访问者能够得到正常服务。
示例性装置：
本发明还提供了一种针对WEB服务的DDoS攻击的保护装置，用于实现上述方法实施例。图2是本发明一实施例提供的一种针对WEB服务的DDoS攻击的保护装置的结构示意图，参阅图2，本申请提供的装置，可以包括：
第一发送模块21，用于在WEB服务需要进行DDoS攻击的保护时，向访问者的浏览器发送包含验证信息的验证链接，以使访问者填写与验证信息相适应的验证码；
第一判断模块22，用于在接收模块26接收验证码后，根据验证信息判断验证码是否正确；
生成模块23，用于在验证码正确时，则生成访问令牌；
第二发送模块24，用于向访问者的浏览器发送WEB服务的重定向应答，并将访问令牌设置在重定向应答的WEB服务访问请求中，以使访问者的浏览器发送WEB服务访问请求；
第二判断模块25，用于在接收模块26接收WEB服务访问请求后，根据WEB服务访问请求，判断WEB服务是否需要进行DDoS攻击的保护。
一些实施例中，第二判断模块，具体用于判断WEB服务访问请求是否携带访问令牌；若WEB服务访问请求未携带访问令牌，则判断WEB服务访问请求的频率是否超过预设频率阈值；若WEB服务访问请求的频率超过预设频率阈值，则确定WEB服务存在DDoS攻击，需要进行DDoS攻击的保护。
一些实施例中，第二判断模块，还具体用于若WEB服务访问请求携带访问令牌，则判断WEB服务访问请求中携带的访问令牌是否有效，若访问令牌有效，则确定DDoS攻击校验通过，无需进行DDoS攻击的保护。
一些实施例中，第二判断模块，还具体用于向WEB服务发送服务请求；接收WEB服务发送的响应信息，并将响应信息发送至访问者的浏览器。
一些实施例中，第二判断模块，还具体用于在访问令牌无效时，则判断WEB服务访问请求的频率是否超过预设频率阈值；若WEB服务访问请求的频率超过预设频率阈值，则确定WEB服务存在DDoS攻击，需要进行DDoS攻击的保护。
关于上述实施例中的装置，其中各个模块执行操作的具体方式已经在有关该方法的实施例中进行了详细描述，此处将不做详细阐述说明。
本发明实施例提供的针对WEB服务的DDoS攻击的保护装置，在WEB服务需要进行DDoS攻击的保护时，向访问者的浏览器发送包含验证信息的验证链接，在校验到访问者填写验证码正确后，生成访问令牌，向访问者的浏览器发送WEB服务的重定向应答，并将访问令牌设置在重定向应答的WEB服务访问请求中，访问者的浏览器收到重定向应答后，可以自动重新发送WEB服务访问请求；再次收到WEB服务访问请求后，判断WEB服务是否需要进行DDoS攻击的保护。由于将访问令牌设置在了访问请求中，因此，在需要进行DDoS攻击的保护时可以通过是否包含访问令牌来区分攻击者和合法访问者，避免了合法访问者的请求和攻击者的请求同时被限制，保持合法访问者能够得到正常服务。
示例性设备：
本发明还提供了一种针对WEB服务的DDoS攻击的保护设备，用于实现上述方法实施例。图3是本发明一实施例提供的一种针对WEB服务的DDoS攻击的保护设备的结构示意图，参阅图3，本发明实施例提供的针对WEB服务的DDoS攻击的保护设备，包括：处理器31和存储器32，处理器31与存储器32相连。其中，处理器31用于调用并执行存储器32中存储的程序；存储器32用于存储程序，程序至少用于执行以上实施例中的针对WEB服务的DDoS攻击的保护方法。
本申请实施例提供的针对WEB服务的DDoS攻击的保护设备的具体实施方案可以参考以上任意实施例的针对WEB服务的DDoS攻击的保护方法的实施方式，此处不再赘述。
可以理解的是，上述各实施例中相同或相似部分可以相互参考，在一些实施例中未详细说明的内容可以参见其他实施例中相同或相似的内容。
需要说明的是，在本发明的描述中，术语“第一”、“第二”等仅用于描述目的，而不能理解为指示或暗示相对重要性。此外，在本发明的描述中，除非另有说明，“多个”的含义是指至少两个。
流程图中或在此以其他方式描述的任何过程或方法描述可以被理解为，表示包括一个或更多个用于实现特定逻辑功能或过程的步骤的可执行指令的代码的模块、片段或部分，并且本发明的优选实施方式的范围包括另外的实现，其中可以不按所示出或讨论的顺序，包括根据所涉及的功能按基本同时的方式或按相反的顺序，来执行功能，这应被本发明的实施例所属技术领域的技术人员所理解。
应当理解，本发明的各部分可以用硬件、软件、固件或它们的组合来实现。在上述实施方式中，多个步骤或方法可以用存储在存储器中且由合适的指令执行***执行的软件或固件来实现。例如，如果用硬件来实现，和在另一实施方式中一样，可用本领域公知的下列技术中的任一项或他们的组合来实现：具有用于对数据信号实现逻辑功能的逻辑门电路的离散逻辑电路，具有合适的组合逻辑门电路的专用集成电路，可编程门阵列(PGA)，现场可编程门阵列(FPGA)等。
本技术领域的普通技术人员可以理解实现上述实施例方法携带的全部或部分步骤是可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可读存储介质中，该程序在执行时，包括方法实施例的步骤之一或其组合。
此外，在本发明各个实施例中的各功能单元可以集成在一个处理模块中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个模块中。上述集成的模块既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。所述集成的模块如果以软件功能模块的形式实现并作为独立的产品销售或使用时，也可以存储在一个计算机可读取存储介质中。
上述提到的存储介质可以是只读存储器，磁盘或光盘等。
在本说明书的描述中，参考术语“一个实施例”、“一些实施例”、“示例”、“具体示例”、或“一些示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本发明的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不一定指的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任何的一个或多个实施例或示例中以合适的方式结合。
尽管上面已经示出和描述了本发明的实施例，可以理解的是，上述实施例是示例性的，不能理解为对本发明的限制，本领域的普通技术人员在本发明的范围内可以对上述实施例进行变化、修改、替换和变型。

Claims (8)

1.一种针对WEB服务的DDoS攻击的保护方法，其特征在于，包括：
在WEB服务需要进行DDoS攻击的保护时，向访问者的浏览器发送包含验证信息的验证链接，以使所述访问者填写与所述验证信息相适应的验证码；
接收所述验证码，并根据所述验证信息判断所述验证码是否正确；
若所述验证码正确，则生成访问令牌，向所述访问者的浏览器发送所述WEB服务的重定向应答，并将所述访问令牌设置在所述重定向应答的WEB服务访问请求中，以使所述访问者的浏览器发送WEB服务访问请求；
接收WEB服务访问请求，根据所述WEB服务访问请求，判断WEB服务是否需要进行DDoS攻击的保护。
2.根据权利要求1所述的方法，其特征在于，所述判断WEB服务是否需要进行DDoS攻击的保护的方法，包括：
判断WEB服务访问请求是否携带访问令牌；
若所述WEB服务访问请求未携带访问令牌，则判断所述WEB服务访问请求的频率是否超过预设频率阈值；
若所述WEB服务访问请求的频率超过预设频率阈值，则确定所述WEB服务存在DDoS攻击，需要进行DDoS攻击的保护。
3.根据权利要求2所述的方法，其特征在于，还包括：
若所述WEB服务访问请求携带所述访问令牌，则判断所述WEB服务访问请求中携带的所述访问令牌是否有效，若所述访问令牌有效，则确定DDoS攻击校验通过，无需进行DDoS攻击的保护。
4.根据权利要求3所述的方法，其特征在于，所述确定DDoS攻击校验通过之后，还包括：
向所述WEB服务发送服务请求；
接收所述WEB服务发送的响应信息，并将所述响应信息发送至所述访问者的浏览器。
5.根据权利要求3所述的方法，其特征在于，还包括：
若所述访问令牌无效，则判断所述WEB服务访问请求的频率是否超过预设频率阈值；
若所述WEB服务访问请求的频率超过预设频率阈值，则确定所述WEB服务存在DDoS攻击，需要进行DDoS攻击的保护。
6.一种针对WEB服务的DDoS攻击的保护装置，其特征在于，包括：
第一发送模块，用于在WEB服务需要进行DDoS攻击的保护时，向访问者的浏览器发送包含验证信息的验证链接，以使所述访问者填写与所述验证信息相适应的验证码；
第一判断模块，用于在接收模块接收所述验证码后，根据所述验证信息判断所述验证码是否正确；
生成模块，用于在所述验证码正确时，则生成访问令牌；
第二发送模块，用于向所述访问者的浏览器发送所述WEB服务的重定向应答，并将所述访问令牌设置在所述重定向应答的WEB服务访问请求中，以使所述访问者的浏览器发送WEB服务访问请求；
第二判断模块，用于在接收模块接收WEB服务访问请求后，根据所述WEB服务访问请求，判断WEB服务是否需要进行DDoS攻击的保护。
7.根据权利要求6所述的装置，其特征在于，所述第二判断模块，具体用于判断WEB服务访问请求是否携带访问令牌；若所述WEB服务访问请求未携带访问令牌，则判断所述WEB服务访问请求的频率是否超过预设频率阈值；若所述WEB服务访问请求的频率超过预设频率阈值，则确定所述WEB服务存在DDoS攻击，需要进行DDoS攻击的保护。
8.一种针对WEB服务的DDoS攻击的保护设备，其特征在于，包括处理器和存储器，所述处理器与存储器相连：
其中，所述处理器，用于调用并执行所述存储器中存储的程序；
所述存储器，用于存储所述程序，所述程序至少用于执行权利要求1-5任一项所述的针对WEB服务的DDoS攻击的保护方法。
CN202210274661.8A 2022-03-21 2022-03-21 针对WEB服务的DDoS攻击的保护方法、装置和设备 Active CN114640525B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202210274661.8A CN114640525B (zh) 2022-03-21 2022-03-21 针对WEB服务的DDoS攻击的保护方法、装置和设备

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202210274661.8A CN114640525B (zh) 2022-03-21 2022-03-21 针对WEB服务的DDoS攻击的保护方法、装置和设备

Publications (2)

Publication Number Publication Date
CN114640525A true CN114640525A (zh) 2022-06-17
CN114640525B CN114640525B (zh) 2024-06-25

Family

ID=81950015

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202210274661.8A Active CN114640525B (zh) 2022-03-21 2022-03-21 针对WEB服务的DDoS攻击的保护方法、装置和设备

Country Status (1)

Country Link
CN (1) CN114640525B (zh)

Citations (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102480490A (zh) * 2010-11-30 2012-05-30 国际商业机器公司 一种用于防止csrf攻击的方法和设备
US20180109554A1 (en) * 2016-10-13 2018-04-19 Cisco Technology, Inc. Distributed denial of service attack protection for internet of things devices
CN108111472A (zh) * 2016-11-24 2018-06-01 腾讯科技（深圳）有限公司 一种攻击特征检测方法及装置
CN108476199A (zh) * 2016-12-23 2018-08-31 深圳投之家金融信息服务有限公司 一种基于令牌机制的检测和防御cc 攻击的***和方法
US20180324211A1 (en) * 2017-05-05 2018-11-08 Manish Doshi System and method for prevening denial of service attacks
CN109150910A (zh) * 2018-10-11 2019-01-04 平安科技（深圳）有限公司 登录令牌生成及验证方法、装置及存储介质
CN109873794A (zh) * 2017-12-04 2019-06-11 北京安云世纪科技有限公司 一种拒绝服务攻击的防护方法及服务器
CN111385310A (zh) * 2020-03-25 2020-07-07 深圳本地宝新媒体技术有限公司 一种网站后台保护的方法
CN112165475A (zh) * 2020-09-22 2021-01-01 成都知道创宇信息技术有限公司 反爬虫方法、装置、网站服务器和可读存储介质
CN113901495A (zh) * 2021-09-26 2022-01-07 紫金诚征信有限公司 基于shiro框架的用户识别安全校验方法、装置及计算机介质
CN114070620A (zh) * 2021-11-16 2022-02-18 中国平安人寿保险股份有限公司 短地址访问方法、装置、计算机设备及存储介质

Patent Citations (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102480490A (zh) * 2010-11-30 2012-05-30 国际商业机器公司 一种用于防止csrf攻击的方法和设备
US20180109554A1 (en) * 2016-10-13 2018-04-19 Cisco Technology, Inc. Distributed denial of service attack protection for internet of things devices
CN108111472A (zh) * 2016-11-24 2018-06-01 腾讯科技（深圳）有限公司 一种攻击特征检测方法及装置
CN108476199A (zh) * 2016-12-23 2018-08-31 深圳投之家金融信息服务有限公司 一种基于令牌机制的检测和防御cc 攻击的***和方法
US20180324211A1 (en) * 2017-05-05 2018-11-08 Manish Doshi System and method for prevening denial of service attacks
CN109873794A (zh) * 2017-12-04 2019-06-11 北京安云世纪科技有限公司 一种拒绝服务攻击的防护方法及服务器
CN109150910A (zh) * 2018-10-11 2019-01-04 平安科技（深圳）有限公司 登录令牌生成及验证方法、装置及存储介质
CN111385310A (zh) * 2020-03-25 2020-07-07 深圳本地宝新媒体技术有限公司 一种网站后台保护的方法
CN112165475A (zh) * 2020-09-22 2021-01-01 成都知道创宇信息技术有限公司 反爬虫方法、装置、网站服务器和可读存储介质
CN113901495A (zh) * 2021-09-26 2022-01-07 紫金诚征信有限公司 基于shiro框架的用户识别安全校验方法、装置及计算机介质
CN114070620A (zh) * 2021-11-16 2022-02-18 中国平安人寿保险股份有限公司 短地址访问方法、装置、计算机设备及存储介质

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
宋强;: "应用层DDoS攻击检测技术简析", 中国电信业, no. 08, 15 August 2017 (2017-08-15) *

Also Published As

Publication number Publication date
CN114640525B (zh) 2024-06-25

Similar Documents

Publication Publication Date Title
US11212281B2 (en) Attacker detection via fingerprinting cookie mechanism
US7779470B2 (en) Server denial of service shield
US9634837B1 (en) Method and apparatus for causing a delay in processing requests for internet resources received from client devices
US10097520B2 (en) Method and apparatus for causing delay in processing requests for internet resources received from client devices
US11196767B2 (en) Front-end protocol for server protection
US10567427B2 (en) Unobtrusive and dynamic DDoS mitigation
US20080037791A1 (en) Method and apparatus for evaluating actions performed on a client device
US7908658B1 (en) System using IM screener in a client computer to monitor bad reputation web sites in outgoing messages to prevent propagation of IM attacks
CN111953770B (zh) 一种路由转发方法、装置、路由设备及可读存储介质
CN112968910B (zh) 一种防重放攻击方法和装置
US20170359432A1 (en) Method and apparatus for causing delay in processing requests for internet resources received from client devices
CN111586013B (zh) 网络入侵检测方法、装置、节点终端及存储介质
CN110177096B (zh) 客户端认证方法、装置、介质和计算设备
CN114640525A (zh) 针对WEB服务的DDoS攻击的保护方法、装置和设备
CN113225348B (zh) 请求防重放校验方法和装置
EP4222923A1 (en) Malware infection mitigation of critical computer systems
KR100972206B1 (ko) 공격 탐지 방법 및 장치
CN109617893A (zh) 一种僵尸网络DDoS攻击的防护方法、装置及存储介质
US7584366B2 (en) Methods, systems and computer program products for detecting tampering of electronic equipment based on constrained time to obtain computational result
CN112395617A (zh) 防护docker逃逸漏洞的方法、装置、存储介质及计算机设备
CN114124442B (zh) 一种防御ddos攻击的方法和***
CN112055028B (zh) 网络攻击防御方法、装置、电子设备及存储介质
CN113489726B (zh) 流量限制方法及设备
US20220277089A1 (en) Communications server apparatus and method for determination of an abstention attack
CN115706665A (zh) 区块链的蜜链欺骗防御***及方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant