[發(fā)明專利]一種防止注入攻擊的方法、客戶端、服務(wù)器和系統(tǒng)

有效

• 申請(qǐng)?zhí)枺?/td>: 201510745576.5
• 申請(qǐng)日: 2015-11-05
• 公開（公告）號(hào): CN105306473B
• 公開（公告）日: 2018-06-22
• 發(fā)明（設(shè)計(jì)）人: 郭軍
• 申請(qǐng)（專利權(quán)）人: 北京奇虎科技有限公司;奇智軟件（北京）有限公司
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06;H04L29/08
• 代理公司: 北京市隆安律師事務(wù)所 11323
• 代理人: 權(quán)鮮枝;何立春

1.一種防止注入攻擊的方法，應(yīng)用于客戶端，其中，該方法包括：

從待發(fā)送給服務(wù)器的原始HTTP請(qǐng)求中截取URL參數(shù)；

將截取的URL參數(shù)和指定信息一起通過預(yù)設(shè)的加密算法進(jìn)行處理，得到防注入信息；其中，所述指定信息包括：預(yù)先約定的密鑰；

將所述防注入信息添加到所述原始HTTP請(qǐng)求中得到最終的HTTP請(qǐng)求；

將所述最終的HTTP請(qǐng)求發(fā)給服務(wù)器。

2.如權(quán)利要求1所述的方法，其中，所述將截取的URL參數(shù)和指定信息一起通過預(yù)設(shè)的加密算法進(jìn)行處理，得到防注入信息包括：

將截取的各URL參數(shù)和所述預(yù)先約定的密鑰按照指定的順序拼接成一個(gè)字符串；

通過MD5算法對(duì)所述字符串進(jìn)行加密處理，得到防注入信息。

3.如權(quán)利要求1所述的方法，其中，

所述指定信息進(jìn)一步包括：隨機(jī)數(shù)和/或時(shí)間戳；

所述將截取的URL參數(shù)和指定信息一起通過預(yù)設(shè)的加密算法進(jìn)行處理，得到防注入信息包括：將截取的URL參數(shù)、預(yù)先約定的密鑰以及所述隨機(jī)數(shù)和/或時(shí)間戳一起通過預(yù)設(shè)的加密算法進(jìn)行處理，得到防注入信息；

所述得到最終的HTTP請(qǐng)求進(jìn)一步包括：將所述防注入信息和所述隨機(jī)數(shù)和/或時(shí)間戳添加到所述原始HTTP請(qǐng)求中得到最終的HTTP請(qǐng)求。

4.如權(quán)利要求1所述的方法，其中，該方法進(jìn)一步包括：

保存添加到所述最終的HTTP請(qǐng)求中的防注入信息；

接收服務(wù)器返回的HTTP響應(yīng)；

從所述HTTP響應(yīng)中提取防注入信息；

并將所提取的防注入信息與保存的所述防注入信息進(jìn)行比較；

如果一致則確認(rèn)所述HTTP響應(yīng)合法，如果不一致則確認(rèn)所述HTTP響應(yīng)不合法。

5.一種防止注入攻擊的方法，應(yīng)用于服務(wù)器，其中，該方法包括：

接收客戶端發(fā)送的HTTP請(qǐng)求；

從所述HTTP請(qǐng)求中提取防注入信息，并從所述HTTP請(qǐng)求中刪除所述防注入信息；

從刪除防注入信息的HTTP請(qǐng)求中截取URL參數(shù)；

將截取的URL參數(shù)和指定信息一起通過預(yù)設(shè)的加密算法進(jìn)行處理，得到防注入信息；其中，所述指定信息包括：預(yù)先約定的密鑰；

將通過預(yù)設(shè)的加密算法處理得到的防注入信息與從所述HTTP請(qǐng)求中提取的防注入信息進(jìn)行比較；

如果一致則確定所述HTTP請(qǐng)求合法，如果不一致則確定所述HTTP請(qǐng)求為被注入攻擊信息的HTTP請(qǐng)求。

6.如權(quán)利要求5所述的方法，其中，所述將截取的URL參數(shù)和指定信息一起通過預(yù)設(shè)的加密算法進(jìn)行處理，得到防注入信息包括：

將截取的各URL參數(shù)和所述預(yù)先約定的密鑰按照指定的順序拼接成一個(gè)字符串；

通過MD5算法對(duì)所述字符串進(jìn)行加密處理，得到防注入信息。

7.如權(quán)利要求5所述的方法，其中，該方法進(jìn)一步包括：

保存從所接收到的HTTP請(qǐng)求中提取的防注入信息；

當(dāng)接收到客戶端發(fā)送的HTTP請(qǐng)求時(shí)，從該HTTP請(qǐng)求中提取防注入信息后，判斷所保存的防注入信息中是否存在同樣的防注入信息；

如果存在則確定當(dāng)前接收到的HTTP請(qǐng)求為惡意重復(fù)發(fā)送的HTTP請(qǐng)求。

8.如權(quán)利要求5所述的方法，其中，該方法進(jìn)一步包括：

提取所述HTTP請(qǐng)求中包含的一個(gè)隨機(jī)數(shù)和/或時(shí)間戳；

所述得到防注入信息進(jìn)一步包括：將截取的URL參數(shù)、預(yù)先約定的密鑰和所述隨機(jī)數(shù)和/或時(shí)間戳一起通過預(yù)設(shè)的加密算法進(jìn)行處理，得到防注入信息。

9.如權(quán)利要求5所述的方法，其中，該方法進(jìn)一步包括：

將從所述HTTP請(qǐng)求中提取的防注入信息添加到對(duì)應(yīng)的HTTP響應(yīng)中；

將所述HTTP響應(yīng)返回給客戶端。