CN114884730B - 一种请求检测方法、装置、设备及可读存储介质 - Google Patents

一种请求检测方法、装置、设备及可读存储介质 Download PDF

Info

Publication number
CN114884730B
CN114884730B CN202210492914.9A CN202210492914A CN114884730B CN 114884730 B CN114884730 B CN 114884730B CN 202210492914 A CN202210492914 A CN 202210492914A CN 114884730 B CN114884730 B CN 114884730B
Authority
CN
China
Prior art keywords
request
detection
target
field
terminal
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202210492914.9A
Other languages
English (en)
Other versions
CN114884730A (zh
Inventor
伍光兴
张志良
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Sangfor Technologies Co Ltd
Original Assignee
Sangfor Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Sangfor Technologies Co Ltd filed Critical Sangfor Technologies Co Ltd
Priority to CN202210492914.9A priority Critical patent/CN114884730B/zh
Publication of CN114884730A publication Critical patent/CN114884730A/zh
Application granted granted Critical
Publication of CN114884730B publication Critical patent/CN114884730B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/90—Details of database functions independent of the retrieved data types
    • G06F16/95—Retrieval from the web
    • G06F16/955—Retrieval from the web using information identifiers, e.g. uniform resource locators [URL]
    • G06F16/9566—URL specific, e.g. using aliases, detecting broken or misspelled links
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/22—Parsing or analysis of headers

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Computer Hardware Design (AREA)
  • Databases & Information Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Data Mining & Analysis (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本申请公开了一种请求检测方法、装置、设备及可读存储介质。在本申请中，安全检测设备获取到内网终端访问目标端的目标请求后，发送针对目标请求的响应报文至内网终端；内网终端执行响应报文中的检测脚本得到用于表示浏览器信息且被封装于请求头部的目标字段，将目标字段作为URL参数向安全检测设备发送检测请求；安全检测设备解析检测请求得到目标字段和检测请求的头部字段；对比目标字段与头部字段，从而确定是否允许内网终端的访问请求。该方案使用统一方式对内网终端发出的各种访问请求进行安全检测，加强了内网的安全防护，提高了内网安全。本申请提供的一种请求检测装置、设备及可读存储介质，也同样具有上述技术效果。

Description

一种请求检测方法、装置、设备及可读存储介质
技术领域
本申请涉及计算机技术领域，特别涉及一种请求检测方法、装置、设备及可读存储介质。
背景技术
目前，可以使用安全网关对内网进行安全防护。在实际情况中，内网终端发出的请求可能会被篡改，由于内网终端所访问的目的端多种多样，且各目的端检测请求的方式不一，因此安全网关难以集成各目的端的请求检测方式，也就难以对各内网终端发出的请求进行检测，降低了内网安全。
因此，如何加强对内网的安全防护，是本领域技术人员需要解决的问题。
发明内容
有鉴于此，本申请的目的在于提供一种请求检测方法、装置、设备及可读存储介质，以加强对内网的安全防护。其具体方案如下：
第一方面，本申请提供了一种请求检测方法，应用于安全检测设备，包括：
获取内网终端访问目标端的目标请求；
发送针对所述目标请求的响应报文至所述内网终端；其中，所述响应报文中包含检测脚本，以使所述内网终端执行所述检测脚本得到用于表示浏览器信息、且被封装于请求头部的目标字段，并将所述目标字段作为URL参数，向所述安全检测设备发送检测请求；
解析所述检测请求的URL得到所述目标字段，解析所述检测请求得到所述检测请求中包含的头部字段；
对比所述目标字段与所述头部字段，得到对比结果，并根据所述对比结果确定是否允许所述内网终端的访问请求。
可选地，还包括：
若所述目标请求满足预设检测条件，则执行所述发送针对所述目标请求的响应报文至所述内网终端的步骤；
其中，所述预设检测条件为：保证所述响应报文能够被所述内网终端响应的条件。
可选地，所述预设检测条件包括：所述目标请求所请求的资源为脚本资源，和/或，所述目标请求中的User-Agent字段已知，和/或所述目标请求携带referer字段，和/或所述目标端为Web主站。
可选地，所述内网终端加密所述目标字段后，将所述目标字段的密文作为所述URL参数；
相应地，所述解析所述检测请求的URL得到所述目标字段，包括：
解析所述检测请求的URL得到所述目标字段的密文，解密所述密文得到所述目标字段。
可选地，所述检测脚本还用于在被执行时，使所述内网终端获取原始的所述目标请求，并在发送所述检测请求之后，再次对原始的所述目标请求进行发送；
相应地，所述对比所述目标字段与所述头部字段，得到对比结果，并根据所述对比结果确定是否允许所述内网终端的访问请求，包括：
对比所述目标字段与所述头部字段，得到对比结果，并根据所述对比结果确定是否放通后续接收到的目标请求。
可选地，所述对比所述目标字段与所述头部字段，得到对比结果，并根据所述对比结果确定是否允许所述内网终端的访问请求，包括：
若所述目标字段与所述头部字段一致，则允许所述内网终端的访问请求；
若所述目标字段与所述头部字段不一致，则不允许所述内网终端的访问请求。
可选地，所述允许所述内网终端的访问请求之后，还包括：
将所述内网终端的IP地址添加至受信任列表；
相应地，所述不允许所述内网终端的访问请求之后，还包括：
对所述内网终端的IP地址进行封锁。
又一方面，本申请提供了一种请求检测装置，应用于安全检测设备，包括：
获取模块，用于获取内网终端访问目标端的目标请求；
发送模块，用于发送针对所述目标请求的响应报文至所述内网终端；其中，所述响应报文中包含检测脚本，以使所述内网终端执行所述检测脚本得到用于表示浏览器信息、且被封装于请求头部的目标字段，并将所述目标字段作为URL参数，向所述安全检测设备发送检测请求；
解析模块，用于解析所述检测请求的URL得到所述目标字段，解析所述检测请求得到所述检测请求中包含的头部字段；
检测模块，用于对比所述目标字段与所述头部字段，得到对比结果，并根据所述对比结果确定是否允许所述内网终端的访问请求。
又一方面，本申请提供了一种电子设备，包括：
存储器，用于存储计算机程序；
处理器，用于执行所述计算机程序，以实现前述公开的请求检测方法。
又一方面，本申请提供了一种可读存储介质，用于保存计算机程序，其中，所述计算机程序被处理器执行时实现前述公开的请求检测方法。
通过以上方案可知，本申请提供了一种请求检测方法，应用于安全检测设备，包括：获取内网终端访问目标端的目标请求；发送针对所述目标请求的响应报文至所述内网终端；其中，所述响应报文中包含检测脚本，以使所述内网终端执行所述检测脚本得到用于表示浏览器信息、且被封装于请求头部的目标字段，并将所述目标字段作为URL参数，向所述安全检测设备发送检测请求；解析所述检测请求的URL得到所述目标字段，解析所述检测请求得到所述检测请求中包含的头部字段；对比所述目标字段与所述头部字段，得到对比结果，并根据所述对比结果确定是否允许所述内网终端的访问请求。
可见，本申请能够利用安全检测设备对内网终端访问目标端的目标请求进行检测。具体的，当安全检测设备获取到内网终端访问目标端的目标请求，则安全检测设备发送针对目标请求的响应报文至内网终端；由于响应报文中包含检测脚本，可以使内网终端执行检测脚本得到用于表示浏览器信息、且被封装于请求头部的目标字段，后续内网终端将目标字段作为URL参数，向安全检测设备发送检测请求，那么安全检测设备可以解析检测请求的URL得到目标字段，解析检测请求得到检测请求中包含的头部字段；对比目标字段与头部字段，得到对比结果，并根据对比结果确定是否允许内网终端的访问请求，如此安全检测设备便针对目标请求实现了安全检测。该方案无需集成各目的端的请求检测方式，使用统一方式对内网终端发出的各种访问请求进行安全检测，加强了内网的安全防护，提高了内网安全。
相应地，本申请提供的一种请求检测装置、设备及可读存储介质，也同样具有上述技术效果。
附图说明
为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。
图1为本申请公开的一种请求检测方法流程图；
图2为本申请公开的另一种请求检测方法流程图；
图3为本申请公开的一种请求检测方案示意图；
图4为本申请公开的一种请求检测***流程图；
图5为本申请公开的一种IP管理页面示意图；
图6为本申请公开的一种请求检测装置示意图；
图7为本申请公开的一种电子设备示意图；
图8为本申请公开的另一种电子设备示意图。
具体实施方式
下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。
目前，内网终端发出的请求可能会被篡改，由于内网终端所访问的目的端多种多样，且各目的端检测请求的方式不一，因此安全网关难以集成各目的端的请求检测方式，也就难以对各内网终端发出的请求进行检测，降低了内网安全。为此，本申请提供了一种请求检测方案，能够检测内网终端发出的各种访问请求，加强对内网的安全防护。
参见图1所示，本申请实施例公开了一种请求检测方法，应用于安全检测设备，包括：
S101、获取内网终端访问目标端的目标请求。
在本实施例中，安全检测设备可以是网关设备或其他用于对内网进行安全防护的设备。目标请求可以是HTTP(Hyper Text Transfer Protocol，超文本传输协议)请求。
S102、发送针对目标请求的响应报文至内网终端；其中，响应报文中包含检测脚本，以使内网终端执行检测脚本得到用于表示浏览器信息、且被封装于请求头部的目标字段，并将目标字段作为URL参数，向安全检测设备发送检测请求。
其中，内网终端执行检测脚本得到的目标字段需要满足两个条件：(1)能够表示终端发送目标请求所用的浏览器信息；(2)能够被封装于目标请求的头部。在满足这两个条件的前提下，才有：内网终端使用相应浏览器发送的请求的头部字段中包括目标字段。之后内网终端将目标字段作为URL参数，向安全检测设备发送的检测请求中，其头部字段中包括目标字段，其负载URL参数也包括目标字段。由于作为URL参数的目标字段是内网终端执行检测脚本得到的本地浏览器参数，因此若检测请求头部字段中的目标字段与URL参数中的目标字段一致，说明检测请求在从内网终端传输至安全检测设备的过程中没有被篡改；反之，说明检测请求在从内网终端传输至安全检测设备的过程中有被篡改。由此也可说明：由该终端中相应浏览器发出的HTTP请求会直接到达安全检测设备，而没有被拦截或篡改。
在一种实施方式中，响应报文中的检测脚本为本实施例设置的、冒充目标请求的响应的数据，因此检测脚本需要与目标请求所请求的资源相匹配，这样响应报文才能够被所述内网终端响应，终端侧才能执行检测脚本。故预设检测条件可以判断目标请求所请求的资源是否与检测脚本匹配。也就是说，若目标请求所请求的资源是否与检测脚本不匹配，则终端侧无法执行检测脚本，因此直接放行该请求，无需进行后续检测步骤。若目标请求满足预设检测条件，则执行发送针对目标请求的响应报文至内网终端的步骤，以执行后续步骤。其中，预设检测条件为：保证所述响应报文能够被所述内网终端响应的条件。如：判断目标请求所请求的资源是否与检测脚本匹配。
在一种实施方式中，若目标请求所请求的资源为脚本资源，则认为目标请求所请求的资源与检测脚本匹配。因此在一种具体实施方式中，目标请求所请求的资源与检测脚本匹配，包括：若目标请求所请求的资源为脚本资源，则目标请求所请求的资源与检测脚本匹配；脚本资源包括以下至少一项或组合：js资源和html资源。
由于本实施例针对HTTP请求进行检测，故预设检测条件还需要判断：目标请求中的User-Agent字段是否已知、目标请求是否携带referer字段、目标端是否为Web主站，以上3个判断项中只需有至少一个判断为是，则认为满足检测条件。
由此可见，目标请求满足预设检测条件的情况是：“目标请求所请求的资源与检测脚本匹配”且“目标请求中的User-Agent字段已知、和/或目标请求携带referer字段、和/或目标端为Web主站”。相应地，目标请求不满足预设检测条件的情况是：“目标请求所请求的资源与检测脚本不匹配”或“目标请求中的User-Agent字段未知、和/或目标请求未携带referer字段、和/或目标端不是Web主站”。在一种具体实施方式中，还包括：若目标请求不满足预设检测条件，则放行目标请求。
S103、解析检测请求的URL得到目标字段，解析检测请求得到检测请求中包含的头部字段。
需要说明的是，检测脚本的作用是：获取内网终端中发送HTTP请求所用的浏览器的信息。若内网终端发出的HTTP请求在传输至安全检测设备的过程中被篡改，那么请求到达安全检测设备时，头部信息就可能与终端本地的浏览器信息不同。当然，若内网终端发出的原始请求在传输至安全检测设备的过程中未被篡改，那么安全检测设备获取到的目标请求就是内网终端发出的原始请求。
本实施例为了检测出安全检测设备获取到的目标请求是否是内网终端发出的原始请求，让内网终端执行检测脚本，从而可获得内网终端本地的浏览器信息。由于请求被篡改后，其头部字段中的浏览器信息会相应改变，因此只需检测请求的头部字段中是否有终端本地的浏览器信息，就可以检测出请求是否被篡改。
为此，内网终端执行检测脚本得到用于表示浏览器信息、且能够被封装于请求头部的目标字段后，检测脚本让内网终端发送一个以该目标字段为负载的检测请求(仍为HTTP请求)。若检测请求中的头部字段与当前请求中作为负载的目标字段一致，说明检测请求在内网终端至安全检测设备这一传输路径中没有被篡改。
由于HTTP请求的头部字段包括：User-Agent字段、referer字段、目标端的标识信息等内容，因此可以从HTTP请求的头部字段中选择“用于表示浏览器信息、且能被封装于请求头部的目标字段”，以进行后续对比。目标字段作为检测请求中的URL参数，该URL可以与目标请求中的URL保持一致，也可以随机指定。其中，User-Agent字段包含了一个特征字符串，用来让网络协议的对端来识别发起请求的用户代理软件的应用类型、操作***、软件开发商以及版本号，这些即为浏览器信息。
HTTP请求的头部字段可以指示：浏览器的身份信息(如版本等)，web服务器的地址、端口等。因此可以用头部字段对浏览器及被访问的web服务器进行身份识别，例如：通过User-Agent字段来判断客户端的浏览器支持的特性，以提升用户体验。通过统计某个IP地址下的User-Agent类型个数来判断该IP地址下的User-Agent类型是否被改，从而推断是否存在不安全的网络共享行为。
S104、对比目标字段与头部字段，得到对比结果，并根据对比结果确定是否允许内网终端的访问请求。
在一种具体实施方式中，内网终端加密目标字段后，将目标字段的密文作为URL参数；相应地，解析检测请求的URL得到目标字段，包括：解析检测请求的URL得到目标字段的密文，解密密文得到目标字段。可见，检测请求中的URL参数(即目标字段)以密文形式存在，如此可保障URL参数不被篡改。其中，对比目标字段与头部字段，得到对比结果，并根据对比结果确定是否允许内网终端的访问请求，包括：若目标字段与头部字段一致，则允许内网终端的访问请求；若目标字段与头部字段不一致，则不允许内网终端的访问请求。
在一种具体实施方式中，允许内网终端的访问请求之后，还包括：将内网终端的IP地址添加至受信任列表；相应地，不允许内网终端的访问请求之后，还包括：对内网终端的IP地址进行封锁。
由于在检测过程中，安全检测设备可能会丢失其S101步骤获取到的目标请求。若发生此类情况，可以让内网终端再发送一次访问目标端的请求，这样安全检测设备就可以根据对比结果确定最新接收到的请求是放行还是拦截。当然，若安全检测设备没有丢失其S101步骤获取到的目标请求，可以直接根据对比结果确定是放行请求还是拦截请求。因此在一种具体实施方式中，检测脚本还用于在被执行时，具备如下功能：使所述内网终端获取原始的目标请求，并在发送检测请求之后，再次对原始的目标请求进行发送；相应地，对比目标字段与头部字段，得到对比结果，并根据对比结果确定是否允许内网终端的访问请求，包括：对比目标字段与头部字段，得到对比结果，并根据对比结果确定是否放通后续接收到的目标请求。
可见，本实施例能够利用安全检测设备对内网终端访问目标端的目标请求进行检测。具体的，当安全检测设备获取到内网终端访问目标端的目标请求，则安全检测设备发送针对目标请求的响应报文至内网终端；由于响应报文中包含检测脚本，可以使内网终端执行检测脚本得到用于表示浏览器信息、且被封装于请求头部的目标字段，后续内网终端将目标字段作为URL参数，向安全检测设备发送检测请求，那么安全检测设备可以解析检测请求的URL得到目标字段，解析检测请求得到检测请求中包含的头部字段；对比目标字段与头部字段，得到对比结果，并根据对比结果确定是否允许内网终端的访问请求，如此安全检测设备便针对目标请求实现了安全检测。该方案无需集成各目的端的请求检测方式，使用统一方式对内网终端发出的各种访问请求进行安全检测，加强了内网的安全防护，提高了内网安全。
参见图2所示，本申请实施例公开了另一种请求检测方法，应用于内网终端，包括：
S201、发送访问目标端的目标请求至安全检测设备，以使安全检测设备发送针对目标请求的响应报文至内网终端；其中，响应报文中包含检测脚本。
S202、执行检测脚本得到用于表示浏览器信息、且被封装于请求头部的目标字段。
在一种具体实施方式中，执行检测脚本得到用于表示浏览器信息、且被封装于请求头部的目标字段，包括：执行所述检测脚本，以通过环境变量location.href获取目标字段。
S203、将目标字段作为URL参数，向安全检测设备发送检测请求，以使安全检测设备解析检测请求的URL得到目标字段，解析检测请求得到检测请求中包含的头部字段；对比目标字段与头部字段，得到对比结果，并根据对比结果确定是否允许内网终端的访问请求。
在本实施例中，检测请求为检测脚本控制内网终端构造的、用于检测HTTP请求是否被篡改的HTTP检测包。因此检测请求也是一个HTTP请求。为避免检测请求中的目标字段在传输过程中被篡改，将该目标字段的密文作为参数填充中检测请求的URL中。在一种具体实施方式中，发送检测请求至安全检测设备之前，包括：加密目标字段得到密文，并将密文作为参数填充至用于检测的URL，得到检测请求。在一种具体实施方式中，用于检测的URL为：从内网终端所发请求中提取到的URL；或随机指定的URL。
在一种具体实施方式中，内网终端在执行检测脚本时，便利用定时器开始计时；若定时器计时结束，则再次发送目标请求至安全检测设备，从而使得安全检测设备根据对比结果对最新接收到的目标请求进行放行或拦截。其中，该定时器的定时时长应不小于：内网终端执行检测脚本、构造检测请求、发送检测请求所需的总时间。当然，也可以不使用定时器，而是让内网终端同时发送检测请求和一个目标请求。如此则可以在安全检测设备丢失前一次目标请求的情况下，对目标请求进行放行或拦截。
当然，若安全检测设备没有丢失前一次目标请求，可以直接根据对比结果确定是放行目标请求还是拦截目标请求，无需等待新的目标请求。若安全检测设备既没有丢失前一次目标请求，又接到了新的目标请求，那么安全检测设备可以随机选择一个目标请求进行放行或拦截。
可见，本实施例能够利用安全检测设备对内网终端访问目标端的目标请求进行检测，无需集成各目的端的请求检测方式，使用统一方式对内网终端发出的各种访问请求进行安全检测，加强了内网的安全防护，提高了内网安全。
参见图3所示，本申请实施例公开了一种请求检测方案，该方案包括5个流程，下面主要介绍不同各流程的工作机制。
流程1：内网的上网终端向安全网关发送原始请求；
流程2：安全网关收到请求数据包之后，会判断该数据包是否能够使用js代码(即检测脚本)进行检测。因为需要在终端侧执行js代码，所以如果请求的是一个.gif图片，那么终端不会执行安全网关回复的js代码，因此js代码与.gif图片不匹配。而如果请求的是html资源或者是js资源，那么终端会执行安全网关回复的js代码，因此终端认为自己发出的请求得到了响应，因此认为：js代码与html资源、js资源匹配，也就达到了检测的目的。
若能够使用js代码进行检测，那么安全网关可以进一步判断收到的请求的User-Agent字段是否已知、是否是对Web站点的请求、操作***类型是否已知、是否携带referer字段等判断条件，以提升安全网关回复的检测包被客户端响应的概率。在这些条件都满足时，安全网关会回复HTTP状态码是200，并发送携带js代码的检测包到终端。
流程3：js代码在终端上被执行，以实现：通过location.href获取到终端本地浏览器信息，构造并上报用于检测的请求；通过setTimeout方法注册一个定时器，以让终端在指定的时间内再次发出一个原始HTTP请求。
其中，构造用于检测的请求，包括：通过js代码获取终端本地浏览器的User-Agent字段、当前页面的referer字段等原始信息，并对字段名和字段值进行加密，将加密结果作为参数拼接到一个URL中(本实施例指定该URL为：终端发出的原始HTTP请求的URL)，得到用于检测的请求。随后，通过js代码对这个请求进行访问，该请求一定会流经安全网关。在本实施例中，该请求与终端发出的原始HTTP请求相比，要访问的URL相同，只是该请求比原始HTTP请求多了加密的原始信息。
流程4：终端的定时器在计时结束后，会重新访问原始的URL，也就是再次发送一个原始HTTP请求，该原始HTTP请求也会流经安全网关。
流程5：安全网关会收到用于检测的请求，以及一个新的原始HTTP请求。
安全网关将用于检测的请求的头部、加密的原始信息解析出来，然后对加密的原始信息解密得到明文，对比该明文与检测请求的头部，如果有差异，则可以认为HTTP请求在终端至安全网关这一传输路径中被篡改过。否则，认为HTTP请求在终端至安全网关这一传输路径中未被篡改过，那么可将新接收到的原始HTTP请求放行至Web站点。
在本实施例中，安全网关可以对需要进行检测的HTTP请求进行回复，回复包的HTTP状态码设置成200，并带有js检测代码，终端收到回复包之后会加载该检测代码，从而可构造一个检测请求进行上报。检测请求中含终端本地浏览器信息的密文。那么，安全网关就可以将检测请求所包括的终端本地浏览器信息与检测请求的头部字段进行对比，如果某些字段发生了变化，则可以认为其接收到的HTTP请求在网络传输过程中被其他设备篡改过，否则表明HTTP请求从客户端发出到检测设备这中间是没有被篡改的。
本实施例可以对HTTP头部字段进行检测，从而检测HTTP请求是否被篡改。该方案采用JavaScript的url跳转机制来对终端HTTP数据包是否被篡改进行检测。通过在网络中部署检测设备(本实施例可直接用安全网关进行检测)来实现。检测设备、上网终端等设备间的网络连接关系可参见图4。
可见，本实施例中的安全网关可以在不影响业务的情况下，对内网的HTTP请求篡改情况进行检测，若识别到被篡改的HTTP请求，则认为发出该请求的终端IP存在私接设备的行为。
如图5所示，可以在安全网关上开启终端防私接检测功能，那么就可以按照本实施例对内网中是否有私自接入的篡改设备进行检测，对于存在私接的IP地址(如图4中的上网终端B)，可以对该IP地址进行封锁，另外也可以根据需要，添加受信任的IP地址。为了达到更好的检测效果，如图4所示，安全网关通常以串接的方式部署在网络中。
下面对本申请实施例提供的一种请求检测装置进行介绍，下文描述的一种请求检测装置与上文描述的一种请求检测方法可以相互参照。
参见图6所示，本申请实施例公开了提供了一种请求检测装置，应用于安全检测设备，包括：
获取模块601，用于获取内网终端访问目标端的目标请求；
发送模块602，用于发送针对目标请求的响应报文至内网终端；其中，响应报文中包含检测脚本，以使内网终端执行检测脚本得到用于表示浏览器信息、且被封装于请求头部的目标字段，并将目标字段作为URL参数，向安全检测设备发送检测请求；
解析模块603，用于解析检测请求的URL得到目标字段，解析检测请求得到检测请求中包含的头部字段；
检测模块604，用于对比目标字段与头部字段，得到对比结果，并根据对比结果确定是否允许内网终端的访问请求。
在一种具体实施方式中，还包括：
判断模块，用于若目标请求满足预设检测条件，则执行发送针对目标请求的响应报文至内网终端的步骤；其中，预设检测条件为：保证响应报文能够被内网终端响应的条件。
在一种具体实施方式中，预设检测条件包括：目标请求所请求的资源为脚本资源，和/或，目标请求中的User-Agent字段已知，和/或目标请求携带referer字段，和/或目标端为Web主站。
在一种具体实施方式中，内网终端加密目标字段后，将目标字段的密文作为URL参数；相应地，安全检测设备解析检测请求的URL得到目标字段的密文，解密密文得到目标字段。
在一种具体实施方式中，检测脚本还用于在被执行时，具备如下功能：使所述内网终端获取原始的目标请求，并在发送检测请求之后，再次对原始的目标请求进行发送；相应地，安全检测设备对比目标字段与头部字段，得到对比结果，并根据对比结果确定是否放通后续接收到的目标请求。
在一种具体实施方式中，检测模块具体用于：若目标字段与头部字段一致，则允许内网终端的访问请求；若目标字段与头部字段不一致，则不允许内网终端的访问请求。
在一种具体实施方式中，还包括：
添加模块，用于将内网终端的IP地址添加至受信任列表；
相应地，还包括：
封锁模块，用于对内网终端的IP地址进行封锁。
其中，关于本实施例中各个模块、单元更加具体的工作过程可以参考前述实施例中公开的相应内容，在此不再进行赘述。
可见，本实施例提供了一种请求检测装置，该装置能够检测内网终端发出的各种访问请求，加强对内网的安全防护。此外，上述虚拟装置可以部署在云计算平台中，比如是云计算平台的hypervisor(虚拟机监视器)层中部署的软件模块。
下面对本申请实施例提供的一种电子设备进行介绍，下文描述的一种电子设备与上文描述的一种请求检测方法及装置可以相互参照。
参见图7所示，本申请实施例公开了一种电子设备，包括：
存储器701，用于保存计算机程序；
处理器702，用于执行所述计算机程序，以实现上述任意实施例公开的方法。
请参考图8，图8为本实施例提供的另一种电子设备示意图，该电子设备可因配置或性能不同而产生比较大的差异，可以包括一个或一个以上处理器(central processingunits，CPU)322(例如，一个或一个以上处理器)和存储器332，一个或一个以上存储应用程序342或数据344的存储介质330(例如一个或一个以上海量存储设备)。其中，存储器332和存储介质330可以是短暂存储或持久存储。存储在存储介质330的程序可以包括一个或一个以上模块(图示没标出)，每个模块可以包括对数据处理设备中的一系列指令操作。更进一步地，中央处理器322可以设置为与存储介质330通信，在电子设备301上执行存储介质330中的一系列指令操作。
电子设备301还可以包括一个或一个以上电源326，一个或一个以上有线或无线网络接口350，一个或一个以上输入输出接口358，和/或，一个或一个以上操作***341。例如，Windows ServerTM，Mac OS XTM，UnixTM，LinuxTM，FreeBSDTM等。
在图8中，应用程序342可以是执行请求检测方法的程序，数据344可以是执行请求检测方法所需的或产生的数据。
上文所描述的请求检测方法中的步骤可以由电子设备的结构实现。
上述电子设备可以是单个硬件设备，也可以是集群形式的硬件设备，比如云计算平台。所谓云计算平台所谓云计算平台是采用计算虚拟化、网络虚拟化、存储虚拟化技术把多个独立的服务器物理硬件资源组织成池化资源的一种业务形态，它是一种基于虚拟化技术发展基础上软件定义资源的结构，可以提供虚拟机、容器等形态的资源能力。通过消除硬件与操作***之间的固定关系，依赖网络的连通统一资源调度，然后提供所需要的虚拟资源和服务，是一种新型的IT，软件交付模式，具备灵活，弹性，分布式，多租户，按需等特点。
下面对本申请实施例提供的一种可读存储介质进行介绍，下文描述的一种可读存储介质与上文描述的一种请求检测方法、装置及设备可以相互参照。
一种可读存储介质，用于保存计算机程序，其中，所述计算机程序被处理器执行时实现前述实施例公开的请求检测方法。关于该方法的具体步骤可以参考前述实施例中公开的相应内容，在此不再进行赘述。
本申请涉及的“第一”、“第二”、“第三”、“第四”等(如果存在)是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的实施例能够以除了在这里图示或描述的内容以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法或设备固有的其它步骤或单元。
需要说明的是，在本申请中涉及“第一”、“第二”等的描述仅用于描述目的，而不能理解为指示或暗示其相对重要性或者隐含指明所指示的技术特征的数量。由此，限定有“第一”、“第二”的特征可以明示或者隐含地包括至少一个该特征。另外，各个实施例之间的技术方案可以相互结合，但是必须是以本领域普通技术人员能够实现为基础，当技术方案的结合出现相互矛盾或无法实现时应当认为这种技术方案的结合不存在，也不在本申请要求的保护范围之内。
本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其它实施例的不同之处，各个实施例之间相同或相似部分互相参见即可。
结合本文中所公开的实施例描述的方法或算法的步骤可以直接用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的可读存储介质中。
本文中应用了具体个例对本申请的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本申请的方法及其核心思想；同时，对于本领域的一般技术人员，依据本申请的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本申请的限制。

Claims (10)

1.一种请求检测方法，其特征在于，应用于安全检测设备，所述安全检测设备位于内网终端与目标端之间，包括：
获取内网终端访问目标端的目标请求；
发送针对所述目标请求的响应报文至所述内网终端；其中，所述响应报文中包含冒充所述目标请求的响应的检测脚本，以使所述内网终端执行所述检测脚本得到用于表示浏览器信息、且被封装于请求头部的目标字段，并将所述目标字段作为URL参数，向所述安全检测设备发送检测请求；
解析所述检测请求的URL得到所述目标字段，解析所述检测请求得到所述检测请求中包含的头部字段；
对比所述目标字段与所述头部字段，得到对比结果，并根据所述对比结果确定是否允许所述内网终端的访问请求。
2.根据权利要求1所述的请求检测方法，其特征在于，还包括：
若所述目标请求满足预设检测条件，则执行所述发送针对所述目标请求的响应报文至所述内网终端的步骤；
其中，所述预设检测条件为：保证所述响应报文能够被所述内网终端响应的条件。
3.根据权利要求2所述的请求检测方法，其特征在于，所述预设检测条件包括：所述目标请求所请求的资源为脚本资源，和/或，所述目标请求中的User-Agent字段已知，和/或所述目标请求携带referer字段，和/或所述目标端为Web主站。
4.根据权利要求1所述的请求检测方法，其特征在于，所述内网终端加密所述目标字段后，将所述目标字段的密文作为所述URL参数；
相应地，所述解析所述检测请求的URL得到所述目标字段，包括：
解析所述检测请求的URL得到所述目标字段的密文，解密所述密文得到所述目标字段。
5.根据权利要求1所述的请求检测方法，其特征在于，所述检测脚本还用于在被执行时，使所述内网终端获取原始的所述目标请求，并在发送所述检测请求之后，再次对原始的所述目标请求进行发送；
相应地，所述对比所述目标字段与所述头部字段，得到对比结果，并根据所述对比结果确定是否允许所述内网终端的访问请求，包括：
对比所述目标字段与所述头部字段，得到对比结果，并根据所述对比结果确定是否放通后续接收到的目标请求。
6.根据权利要求1至5任一项所述的请求检测方法，其特征在于，所述对比所述目标字段与所述头部字段，得到对比结果，并根据所述对比结果确定是否允许所述内网终端的访问请求，包括：
若所述目标字段与所述头部字段一致，则允许所述内网终端的访问请求；
若所述目标字段与所述头部字段不一致，则不允许所述内网终端的访问请求。
7.根据权利要求6所述的请求检测方法，其特征在于，所述允许所述内网终端的访问请求之后，还包括：
将所述内网终端的IP地址添加至受信任列表；
相应地，所述不允许所述内网终端的访问请求之后，还包括：
对所述内网终端的IP地址进行封锁。
8.一种请求检测装置，其特征在于，应用于安全检测设备，所述安全检测设备位于内网终端与目标端之间，包括：
获取模块，用于获取内网终端访问目标端的目标请求；
发送模块，用于发送针对所述目标请求的响应报文至所述内网终端；其中，所述响应报文中包含冒充所述目标请求的响应的检测脚本，以使所述内网终端执行所述检测脚本得到用于表示浏览器信息、且被封装于请求头部的目标字段，并将所述目标字段作为URL参数，向所述安全检测设备发送检测请求；
解析模块，用于解析所述检测请求的URL得到所述目标字段，解析所述检测请求得到所述检测请求中包含的头部字段；
检测模块，用于对比所述目标字段与所述头部字段，得到对比结果，并根据所述对比结果确定是否允许所述内网终端的访问请求。
9.一种电子设备，其特征在于，包括：
存储器，用于存储计算机程序；
处理器，用于执行所述计算机程序，以实现如权利要求1至7任一项所述的请求检测方法。
10.一种可读存储介质，其特征在于，用于保存计算机程序，其中，所述计算机程序被处理器执行时实现如权利要求1至7任一项所述的请求检测方法。
CN202210492914.9A 2022-05-07 2022-05-07 一种请求检测方法、装置、设备及可读存储介质 Active CN114884730B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202210492914.9A CN114884730B (zh) 2022-05-07 2022-05-07 一种请求检测方法、装置、设备及可读存储介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202210492914.9A CN114884730B (zh) 2022-05-07 2022-05-07 一种请求检测方法、装置、设备及可读存储介质

Publications (2)

Publication Number Publication Date
CN114884730A CN114884730A (zh) 2022-08-09
CN114884730B true CN114884730B (zh) 2023-12-29

Family

ID=82673268

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202210492914.9A Active CN114884730B (zh) 2022-05-07 2022-05-07 一种请求检测方法、装置、设备及可读存储介质

Country Status (1)

Country Link
CN (1) CN114884730B (zh)

Citations (22)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1801824A (zh) * 2006-01-16 2006-07-12 北京北方烽火科技有限公司 一种web服务防盗链方法
CN101695164A (zh) * 2009-09-28 2010-04-14 华为技术有限公司 一种控制资源访问的校验方法、装置和***
CN102098331A (zh) * 2010-12-29 2011-06-15 北京锐安科技有限公司 一种还原web类应用内容的方法及其***
CN103051976A (zh) * 2013-01-22 2013-04-17 中兴通讯股份有限公司 一种cdn分发hls内容方法、***及设备
CN105871845A (zh) * 2016-03-31 2016-08-17 深圳市深信服电子科技有限公司 Web漏洞扫描行为的检测方法及装置
CN106998335A (zh) * 2017-06-13 2017-08-01 深信服科技股份有限公司 一种漏洞检测方法、网关设备、浏览器及***
KR20170114423A (ko) * 2016-04-04 2017-10-16 주식회사 케이티 상호작용형 응답 메시지 서비스 제공 방법 및 시스템
CN107404486A (zh) * 2017-08-04 2017-11-28 厦门市美亚柏科信息股份有限公司 解析Http数据的方法、装置、终端设备及存储介质
CN108696481A (zh) * 2017-04-07 2018-10-23 北京京东尚科信息技术有限公司 漏洞检测方法和装置
CN109033885A (zh) * 2017-06-09 2018-12-18 腾讯科技（深圳）有限公司 一种数据响应方法、终端设备以及服务器
CN109120603A (zh) * 2018-07-25 2019-01-01 平安科技（深圳）有限公司 一种注入漏洞检测方法及装置
CN109698863A (zh) * 2018-12-20 2019-04-30 杭州迪普科技股份有限公司 一种确定http报文安全性的方法、装置、设备及存储介质
WO2019218845A1 (zh) * 2018-05-17 2019-11-21 中兴通讯股份有限公司 超文本传输协议重定向方法、装置、路由设备及存储介质
CN110881043A (zh) * 2019-11-29 2020-03-13 杭州迪普科技股份有限公司 一种web服务器漏洞的检测方法及装置
CN111200499A (zh) * 2019-12-03 2020-05-26 云深互联(北京)科技有限公司 基于pc端企业浏览器实现的***数据访问方法和装置
CN111953761A (zh) * 2020-08-04 2020-11-17 Oppo广东移动通信有限公司 数据处理方法、装置、电子设备及存储介质
WO2020253351A1 (zh) * 2019-06-21 2020-12-24 深圳前海微众银行股份有限公司 一种点击劫持漏洞检测方法、装置及计算机设备
CN112242972A (zh) * 2019-07-16 2021-01-19 腾讯科技（武汉）有限公司 网络请求处理方法、装置、存储介质及终端
CN112583807A (zh) * 2020-12-04 2021-03-30 锐捷网络股份有限公司 一种验证方法、装置、电子设备及存储介质
CN112699374A (zh) * 2020-12-28 2021-04-23 山东鲁能软件技术有限公司 一种完整性校验漏洞安全防护的方法及***
CN113328972A (zh) * 2020-02-28 2021-08-31 浙江宇视科技有限公司 设备监测方法、装置、设备及存储介质
CN114124476A (zh) * 2021-11-05 2022-03-01 苏州浪潮智能科技有限公司 一种Web应用的敏感信息泄露漏洞检测方法、***及装置

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7493655B2 (en) * 2000-03-22 2009-02-17 Comscore Networks, Inc. Systems for and methods of placing user identification in the header of data packets usable in user demographic reporting and collecting usage data
US9270691B2 (en) * 2010-11-01 2016-02-23 Trusteer, Ltd. Web based remote malware detection

Patent Citations (22)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1801824A (zh) * 2006-01-16 2006-07-12 北京北方烽火科技有限公司 一种web服务防盗链方法
CN101695164A (zh) * 2009-09-28 2010-04-14 华为技术有限公司 一种控制资源访问的校验方法、装置和***
CN102098331A (zh) * 2010-12-29 2011-06-15 北京锐安科技有限公司 一种还原web类应用内容的方法及其***
CN103051976A (zh) * 2013-01-22 2013-04-17 中兴通讯股份有限公司 一种cdn分发hls内容方法、***及设备
CN105871845A (zh) * 2016-03-31 2016-08-17 深圳市深信服电子科技有限公司 Web漏洞扫描行为的检测方法及装置
KR20170114423A (ko) * 2016-04-04 2017-10-16 주식회사 케이티 상호작용형 응답 메시지 서비스 제공 방법 및 시스템
CN108696481A (zh) * 2017-04-07 2018-10-23 北京京东尚科信息技术有限公司 漏洞检测方法和装置
CN109033885A (zh) * 2017-06-09 2018-12-18 腾讯科技（深圳）有限公司 一种数据响应方法、终端设备以及服务器
CN106998335A (zh) * 2017-06-13 2017-08-01 深信服科技股份有限公司 一种漏洞检测方法、网关设备、浏览器及***
CN107404486A (zh) * 2017-08-04 2017-11-28 厦门市美亚柏科信息股份有限公司 解析Http数据的方法、装置、终端设备及存储介质
WO2019218845A1 (zh) * 2018-05-17 2019-11-21 中兴通讯股份有限公司 超文本传输协议重定向方法、装置、路由设备及存储介质
CN109120603A (zh) * 2018-07-25 2019-01-01 平安科技（深圳）有限公司 一种注入漏洞检测方法及装置
CN109698863A (zh) * 2018-12-20 2019-04-30 杭州迪普科技股份有限公司 一种确定http报文安全性的方法、装置、设备及存储介质
WO2020253351A1 (zh) * 2019-06-21 2020-12-24 深圳前海微众银行股份有限公司 一种点击劫持漏洞检测方法、装置及计算机设备
CN112242972A (zh) * 2019-07-16 2021-01-19 腾讯科技（武汉）有限公司 网络请求处理方法、装置、存储介质及终端
CN110881043A (zh) * 2019-11-29 2020-03-13 杭州迪普科技股份有限公司 一种web服务器漏洞的检测方法及装置
CN111200499A (zh) * 2019-12-03 2020-05-26 云深互联(北京)科技有限公司 基于pc端企业浏览器实现的***数据访问方法和装置
CN113328972A (zh) * 2020-02-28 2021-08-31 浙江宇视科技有限公司 设备监测方法、装置、设备及存储介质
CN111953761A (zh) * 2020-08-04 2020-11-17 Oppo广东移动通信有限公司 数据处理方法、装置、电子设备及存储介质
CN112583807A (zh) * 2020-12-04 2021-03-30 锐捷网络股份有限公司 一种验证方法、装置、电子设备及存储介质
CN112699374A (zh) * 2020-12-28 2021-04-23 山东鲁能软件技术有限公司 一种完整性校验漏洞安全防护的方法及***
CN114124476A (zh) * 2021-11-05 2022-03-01 苏州浪潮智能科技有限公司 一种Web应用的敏感信息泄露漏洞检测方法、***及装置

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
基于MD5的URL防篡改算法设计;刘国卿;;科技信息(03);第504-505、536页 *

Also Published As

Publication number Publication date
CN114884730A (zh) 2022-08-09

Similar Documents

Publication Publication Date Title
US10904277B1 (en) Threat intelligence system measuring network threat levels
US20200327045A1 (en) Test System and Test Method
CN111132138A (zh) 一种移动应用程序透明通信保护方法与装置
US8661456B2 (en) Extendable event processing through services
CN108076003B (zh) 会话劫持的检测方法及装置
CN111224952B (zh) 用于定向流量的网络资源获取方法、装置及存储介质
Imamura et al. Web access monitoring mechanism for Android webview
CN110619022B (zh) 基于区块链网络的节点检测方法、装置、设备及存储介质
CN107623916B (zh) 一种进行WiFi网络安全监控的方法与设备
CN111597537B (zh) 基于区块链网络的证书签发方法、相关设备及介质
CN113938474A (zh) 一种虚拟机访问方法、装置、电子设备和存储介质
CN113259429A (zh) 会话保持管控方法、装置、计算机设备及介质
CN110968400B (zh) 应用程序的执行方法、装置、计算机设备和存储介质
CN114884730B (zh) 一种请求检测方法、装置、设备及可读存储介质
CN113067802A (zh) 一种用户标识方法、装置、设备及计算机可读存储介质
WO2013098925A1 (ja) 情報処理装置、情報処理システム、情報処理方法およびプログラム
CN113709136B (zh) 一种访问请求验证方法和装置
CN113961920A (zh) 可疑进程处理方法、装置、存储介质及电子设备
CN112929357A (zh) 一种虚拟机数据的分析方法、装置、设备及存储介质
CN112887255A (zh) 一种网络通信方法及装置
CN111314131A (zh) 任务下发方法和装置、存储介质和电子装置
CN108156144B (zh) 一种访问认证方法及对应装置
CN105142130B (zh) 一种信息处理方法及电子设备
CN114745415B (zh) 一种车辆业务通信数据处理方法、装置、设备及存储介质
CN114697380B (zh) 访问请求的重定向方法、***、装置以及存储介质

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant