[發明專利]一種基于域名的HTTP訪問劫持檢測與凈化裝置及方法

有效

• 申請號: 201610228618.2
• 申請日: 2016-04-13
• 公開（公告）號: CN105656950B
• 公開（公告）日: 2019-01-18
• 發明（設計）人: 李友佳;臧高峰
• 申請（專利權）人: 南京烽火軟件科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08;H04L29/12
• 代理公司: 常州佰業騰飛專利代理事務所(普通合伙) 32231
• 代理人: 翁斌

1.一種基于域名的HTTP訪問劫持檢測與凈化裝置，其特征在于，包括監聽模塊、匹配模塊和DNS糾正模塊，

監聽模塊：監聽客戶端發起的DNS查詢請求，抓取DNS服務器解析的DNS查詢請求響應報文中的IP地址；

匹配模塊：所述的匹配模塊包括黑名單表和白名單表，所述的匹配模塊將監聽模塊抓取的IP地址和黑名單表進行匹配，如果匹配成功，則將黑名單表中記錄的域名對應的正確IP作為客戶端發起的DNS查詢請求的解析IP；如果匹配失敗，則將監聽模塊抓取的DNS查詢請求響應報文傳遞給DNS糾正模塊進行處理；

DNS糾正模塊：所述的DNS糾正模塊包括DNS同步檢測模塊和DNS統計分析模塊，

DNS同步檢測模塊：用于分析DNS查詢請求響應報文中記錄類型為“A記錄”，即對id為0x0002的響應IP信息和響應時間進行記錄分析，判定DNS查詢請求響應報文是否存在不同步情況，如果id為0x0002的報文存在搶先響應的現象，即DNS查詢請求響應報文不同步，則將此響應IP標記為待驗證IP，如果DNS查詢請求響應報文同步，DNS同步檢測模塊提取DNS與IP信息，傳遞給DNS統計分析模塊；

DNS統計分析模塊，對于DNS查詢請求響應報文同步的IP，所述的DNS統計分析模塊獲取同一IP對應的不同域名個數，分析IP對應的域名個數是否超過預設閾值，如果IP對應的域名個數不超過預設閾值，DNS統計分析模塊正常響應客戶端的DNS查詢請求，如果IP對應的域名個數超過預設閾值，則將此響應IP標記為待驗證IP，將待驗證IP與所述的白名單表作匹配，如果待驗證IP在白名單表中，則將白名單表中IP作為DNS查詢請求的響應IP，響應給客戶端。

2.根據權利要求1所述的一種基于域名的HTTP訪問劫持檢測與凈化裝置，其特征在于，所述的一種基于域名的HTTP訪問劫持檢測與凈化裝置還包括HTTP重定向模塊，如果所述的匹配模塊和DNS糾正模塊未能確定域名對應的正確IP時，所述的HTTP重定向模塊用于對HTTP請求報文中目的IP為所述一種基于域名的HTTP訪問劫持檢測與凈化裝置的局域網IP的請求報文進行本地的重定向處理，將請求頁面重定向到基于域名的HTTP訪問劫持檢測與凈化裝置內部自定義的靜態頁面。

3.根據權利要求1所述的一種基于域名的HTTP訪問劫持檢測與凈化裝置，其特征在于，所述的一種基于域名的HTTP訪問劫持檢測與凈化裝置還包括三個國外公共的DNS服務器，GoogleDNS、OpenDNS、UltraDNS。

4.根據權利要求1所述的一種基于域名的HTTP訪問劫持檢測與凈化裝置，其特征在于，所述的黑名單表包括四個字段，分別是域名、錯誤IP、矯正IP和URI路徑，所述的錯誤IP是DNS遭受劫持或污染后解析出的錯誤IP地址；矯正IP是正確的IP地址，URI路徑是上傳自定義的導航頁面。

5.一種采用基于域名的HTTP訪問劫持檢測與凈化裝置的檢測與凈化方法，其特征在于：包括如下步驟：

1)客戶端發起基于HTTP的請求，首先會發生DNS查詢請求，監聽模塊抓取DNS服務器解析的DNS查詢請求響應報文中的IP地址；

2)匹配模塊將監聽模塊抓取DNS服務器解析的DNS查詢請求響應報文中的IP地址與黑名單表進行匹配，如果IP地址在黑名單列表中，匹配模塊將域名對應的正確IP送給客戶端；如果IP地址不在黑名單列表中，匹配模塊將監聽模塊抓取DNS服務器解析的DNS查詢請求響應報文同時傳遞給DNS同步檢測模塊和DNS統計分析模塊；

3)DNS同步檢測模塊分析監聽模塊抓取DNS服務器解析的DNS查詢請求響應報文，對id為0x0002的響應IP信息和響應時間進行記錄分析，判定DNS查詢請求響應報文是否存在不同步情況，如果DNS查詢請求響應報文同步并且DNS統計分析模塊統計的IP對應的域名個數不超過預設閾值，所述的DNS統計分析模塊將對應的正確IP送給客戶端；如果DNS查詢請求響應報文不同步或者是DNS統計分析模塊統計的IP對應的域名個數超過預設閾值，將監聽模塊抓取的IP地址標記為待驗證的IP，待驗證的IP與白名單表做匹配，如果待驗證的IP在白名單表中，則將白名單表中IP作為DNS查詢請求的響應IP，響應給客戶端。