[發明專利]網絡攻擊防御方法及設備

在審

• 申請號: 201810970420.0
• 申請日: 2018-08-24
• 公開（公告）號: CN110858836A
• 公開（公告）日: 2020-03-03
• 發明（設計）人: 任宏偉
• 申請（專利權）人: 阿里巴巴集團控股有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08
• 代理公司: 上海百一領御專利代理事務所(普通合伙) 31243
• 代理人: 陳貞健;邵棟

本申請實施例提供了一種網絡攻擊防御方法及設備，該方案將從客戶端接收的訪問請求轉發到服務端，然后接收所述服務端基于所述訪問請求返回的響應頁面，在所述響應頁面中插入令牌和js文件后，將所述響應頁面發送到所述客戶端，使得客戶端能夠在所述響應頁面中輸入的提交數據請求中插入所述令牌。由此在從所述客戶端接收提交數據請求時，可以從所述提交數據請求中提取令牌，驗證所述提取的令牌是否有效，若該令牌無效，則表明此時接收到的提交數據請求可能是CSRF攻擊所偽造的請求，因此可以攔截所述提交數據請求，以達到防御網絡攻擊的目的，因此可以在不對Web應用的代碼進行修改的情況下，實現防御網絡攻擊的目的。

技術領域

本申請涉及計算機領域，尤其涉及一種網絡攻擊防御方法及設備。

背景技術

CSRF是一種網絡的攻擊方式，是Web應用面臨的一種主要的安全問題之一。進行CSRF攻擊的攻擊者一般將惡意代碼注入受攻擊用戶信任的網站，當用戶訪問該網站時，攻擊者通過惡意代碼能夠利用受攻擊用戶的身份。由此，能夠在受攻擊用戶不知情的情況下，以受攻擊用戶的名義偽造請求發送給與受攻擊用戶會話的站點，從而在并未授權的情況下執行受保護的操作，具有很大危害性，往往會給用戶造成很大的損失，比如：敏感數據泄漏、財產損失等。

現有的防御CSRF攻擊的方法，主要依賴開發者的安全經驗，需要Web應用修改代碼，通過Web應用修改代碼，增加安全驗證邏輯實現，才能對CSRF攻擊的安全風險進行防御。但是，隨著Web應用功能的增多，以及部分開發人員對網絡安全經驗的不足，往往會出現安全疏漏，造成安全隱患。同時，對于歷史遺留的Web應用，若存在安全風險，則可能由于原先的開發人員已經不負責該Web應用的后續維護，因此難以對該Web的安全風險進行修復。

發明內容

本申請實施例提供了一種網絡攻擊防御方法及設備，以至少解決現有的網絡攻擊的防御方法需要修改Web應用代碼和修改Web應用代碼時還會存在疏漏的問題。

本申請實施例提供了一種網絡攻擊防御方法，包括：

從客戶端接收訪問請求，將所述訪問請求轉發到服務端；

接收所述服務端基于所述訪問請求返回的響應頁面，在所述響應頁面中插入令牌和js文件后，將所述響應頁面發送到所述客戶端，其中，所述js文件用于供客戶端在所述響應頁面中輸入的提交數據請求中插入所述令牌；

從所述客戶端接收所述提交數據請求，從所述提交數據請求中提取令牌，驗證所述提取的令牌是否有效，若否，攔截所述提交數據請求。

本申請實施例還提供了一種網絡攻擊防御設備，包括：

接收裝置，用于從客戶端接收訪問請求，將所述訪問請求轉發到服務端；

插入裝置，用于接收所述服務端基于所述訪問請求返回的響應頁面，在所述響應頁面中插入令牌和js文件后，將所述響應頁面發送到所述客戶端，其中，所述js文件用于供客戶端在其顯示的所述響應頁面中輸入的提交數據請求中插入所述令牌；

攔截裝置，用于從所述客戶端接收所述提交數據請求，從所述提交數據請求中提取令牌，驗證所述提取的令牌是否有效，若否，攔截所述提交數據請求。

此外，本申請實施例還提供了一種計算設備，包括用于存儲計算機程序指令的存儲器和用于執行計算機程序指令的處理器，其中，當該計算機程序指令被該處理器執行時，觸發所述設備執行前述的網絡攻擊防御方法。