[發明專利]檢測DNS黑洞劫持的方法、裝置及系統

有效

• 申請號: 201210300947.5
• 申請日: 2012-08-22
• 公開（公告）號: CN102868773A
• 公開（公告）日: 2013-01-09
• 發明（設計）人: 劉海粟;張聰;顏高權
• 申請（專利權）人: 北京奇虎科技有限公司;奇智軟件（北京）有限公司
• 主分類號: H04L29/12
• 分類號: H04L29/12;H04L29/08
• 代理公司: 北京市德權律師事務所 11302
• 代理人: 劉麗君

1.一種檢測DNS黑洞劫持的方法，包括：

抓取網絡中的網頁訪問請求對應的超文本傳輸協議HTTP連接數據包，從所述數據包中提取網頁對應的域名以及IP地址，并記錄域名與I?P地址之間的對應關系；

對抓取到的結果進行統計，獲取同一IP地址對應的不同域名的數量；

根據同一IP地址對應的不同域名的數量，確定用于進行DNS黑洞劫持的IP地址，并保存所確定出的用于進行DNS黑洞劫持的IP地址；

當用戶的網頁訪問請求產生當前HTTP連接數據包時，從所述當前HTTP連接數據包中提取出IP地址；

如果所提取出的IP地址出現在所保存的用于進行DNS黑洞劫持的IP地址中，則確定用戶的網頁訪問請求遭受到DNS黑洞劫持。

DNS黑洞劫持DNS黑洞劫持DNS黑洞劫持DNS黑洞劫持

2.根據權利要求1所述的方法，所述根據同一IP地址對應的不同域名的數量，確定用于進行DNS黑洞劫持的IP地址包括：

提取對應不同域名的數量達到預置條件的IP地址作為待驗證IP地址；

獲取所述待驗證IP地址對應的服務器響應信息；

根據所述服務器響應信息對所述待驗證IP地址進行驗證，如果驗證通過，則將待驗證IP地址確定為用于進行DNS黑洞劫持的IP地址。

3.根據權利要求2所述的方法，所述服務器響應信息中包括網頁內容數據包，所述根據所述服務器響應信息對所述待驗證IP地址進行驗證包括：

從所述待驗證IP地址對應的網頁內容數據包中提取網頁內容，將提取出的網頁內容與已知是用于進行DNS黑洞劫持的IP地址對應的網頁內容進行比對，如果相似度達到預置閾值，則驗證通過。

4.根據權利要求2所述的方法，所述服務器響應信息中包括網頁代碼，所述根據所述服務器響應信息對所述待驗證IP地址進行驗證包括：

判斷所述網頁代碼中是否包含預置的關鍵代碼，如果包含，則驗證通過。

5.根據權利要求4所述的方法，其特征在于，所述預置的關鍵代碼包括跳轉指令代碼。

6.一種檢測DNS黑洞劫持的裝置，包括：

抓取單元，用于抓取網絡中的網頁訪問請求對應的超文本傳輸協議HTTP連接數據包，從所述數據包中提取網頁對應的域名以及IP地址，并記錄域名與IP地址之間的對應關系；

統計單元，用于對抓取到的結果進行統計，獲取同一IP地址對應的不同域名的數量；

用于劫持的IP地址確定單元，用于根據同一IP地址對應的不同域名的數量，確定用于進行DNS黑洞劫持的IP地址，并保存所確定出的用于進行DNS黑洞劫持的IP地址；

IP地址提取單元，用于當用戶的網頁訪問請求產生當前HTTP連接數據包時，從所述當前HTTP連接數據包中提取出IP地址；

檢測單元，用于如果所提取出的IP地址出現在所保存的用于進行DNS黑洞劫持的IP地址中，則確定用戶的網頁訪問請求遭受到DNS黑洞劫持。

7.根據權利要求6所述的裝置，所述用于劫持的IP地址確定單元包括：

提取子單元，用于提取對應不同域名的數量達到預置閾值的IP地址作為待驗證IP地址；

響應信息獲取子單元，用于獲取所述待驗證IP地址對應的服務器響應信息；

驗證子單元，用于根據所述服務器響應信息對所述待驗證IP地址進行驗證，如果驗證通過，則將待驗證IP地址確定為用于進行DNS黑洞劫持的IP地址。

8.根據權利要求7所述的裝置，所述服務器響應信息中包括網頁內容數據包，所述驗證子單元包括：

第一驗證子單元，用于從所述待驗證IP地址對應的網頁內容數據包中提取網頁內容，將提取出的網頁內容與已知是用于進行DNS黑洞劫持的IP地址對應的網頁內容進行比對，如果相似度達到預置閾值，則驗證通過。

9.根據權利要求7所述的裝置，所述服務器響應信息中包括網頁代碼，所述驗證子單元包括：

第二驗證子單元，用于判斷所述網頁代碼中是否包含預置的關鍵代碼，如果包含，則驗證通過。

10.一種檢測DNS黑洞劫持的系統，包括服務器端及客戶端，其中，所述服務器端包括：

抓取單元，用于抓取網絡中的網頁訪問請求對應的超文本傳輸協議HTTP連接數據包，從所述數據包中提取網頁對應的域名以及IP地址，并記錄域名與IP地址之間的對應關系；

統計單元，用于對抓取到的結果進行統計，獲取同一IP地址對應的不同域名的數量；

用于劫持的IP地址確定單元，用于根據同一IP地址對應的不同域名的數量，確定用于進行DNS黑洞劫持的IP地址，并保存所確定出的用于進行DNS黑洞劫持的IP地址；

所述客戶端包括：

IP地址提取單元，用于當用戶的網頁訪問請求產生當前HTTP連接數據包時，從所述當前HTTP連接數據包中提取出IP地址；

上傳單元，用于將提取出的IP地址上傳至服務器端；

所述服務器端還包括：

檢測單元，用于如果所提取出的IP地址出現在所保存的用于進行DNS黑洞劫持的IP地址中，則確定用戶的網頁訪問請求遭受到DNS黑洞劫持。