[發(fā)明專(zhuān)利]一種Web防火墻的數(shù)據(jù)包處理方法與系統(tǒng)

在審

• 申請(qǐng)?zhí)枺?/td>: 201910225664.0
• 申請(qǐng)日: 2019-03-25
• 公開(kāi)（公告）號(hào): CN110138722A
• 公開(kāi)（公告）日: 2019-08-16
• 發(fā)明（設(shè)計(jì)）人: 何建鋒;陳宏偉
• 申請(qǐng)（專(zhuān)利權(quán)）人: 西安交大捷普網(wǎng)絡(luò)科技有限公司
• 主分類(lèi)號(hào): H04L29/06
• 分類(lèi)號(hào): H04L29/06;H04L29/08;H04L12/823;H04L12/863
• 代理公司: 暫無(wú)信息
• 代理人: 暫無(wú)信息

1.一種Web防火墻的數(shù)據(jù)包處理方法，其特征在于，包括以下步驟：

S1獲取數(shù)據(jù)包后放入收包隊(duì)列；

S2循環(huán)讀取收包隊(duì)列中的數(shù)據(jù)包，拆除包頭，分別獲得IP數(shù)據(jù)報(bào)和TCP數(shù)據(jù)報(bào)的包頭，進(jìn)而得到五元組信息、數(shù)據(jù)包的TCP序列號(hào)與數(shù)據(jù)包長(zhǎng)度；

S3對(duì)數(shù)據(jù)包的應(yīng)用層數(shù)據(jù)進(jìn)行緩存，得到完整的HTTP數(shù)據(jù)包；

S4對(duì)HTTP數(shù)據(jù)包進(jìn)行解析得到HTTP數(shù)據(jù)；

S5將HTTP數(shù)據(jù)與規(guī)則庫(kù)進(jìn)行匹配，若匹配一致則將數(shù)據(jù)包丟棄，若匹配不一致則將數(shù)據(jù)包放入發(fā)包隊(duì)列；

S6發(fā)包隊(duì)列將數(shù)據(jù)包輪詢(xún)發(fā)出。

2.根據(jù)權(quán)利要求1所述Web防火墻的數(shù)據(jù)包處理方法，其特征在于，S1所述獲取數(shù)據(jù)包，由網(wǎng)卡采用零拷貝技術(shù)進(jìn)行，優(yōu)選DPDK。

3.根據(jù)權(quán)利要求1所述Web防火墻的數(shù)據(jù)包處理方法，其特征在于，防火墻設(shè)置N個(gè)收包隊(duì)列，每個(gè)收包隊(duì)列對(duì)應(yīng)一個(gè)發(fā)包隊(duì)列，收包隊(duì)列與發(fā)包隊(duì)列分別編號(hào)為0至(N-1)；

S1中，獲取數(shù)據(jù)包的主機(jī)地址，將該主機(jī)地址轉(zhuǎn)換為十進(jìn)制數(shù)后對(duì)N取余，根據(jù)余數(shù)將相應(yīng)的數(shù)據(jù)包放入對(duì)應(yīng)編號(hào)的收包隊(duì)列。

4.根據(jù)權(quán)利要求3所述Web防火墻的數(shù)據(jù)包處理方法，其特征在于，所述N為防火墻的WAF解析引擎的個(gè)數(shù)，引擎也按0至（N-1）編號(hào)。

5.根據(jù)權(quán)利要求1所述Web防火墻的數(shù)據(jù)包處理方法，其特征在于，S3所述應(yīng)用層數(shù)據(jù)緩存，每緩存完成一個(gè)完整的HTTP協(xié)議報(bào)文或者緩存達(dá)到包的數(shù)據(jù)長(zhǎng)度上限，即對(duì)緩存數(shù)據(jù)進(jìn)行HTTP協(xié)議解析。

6.根據(jù)權(quán)利要求1所述Web防火墻的數(shù)據(jù)包處理方法，其特征在于，S5所述規(guī)則庫(kù)包括網(wǎng)絡(luò)攻擊特征，至少包括：SQL注入、XSS攻擊、HTTP協(xié)議攻擊、Web插件、Xpath注入、LDAP攻擊、SSI攻擊、非法下載、非法上傳。

7.一種數(shù)據(jù)包處理系統(tǒng)，其特征在于，包括電連接的數(shù)據(jù)解析模塊、規(guī)則檢測(cè)模塊與數(shù)據(jù)轉(zhuǎn)發(fā)模塊：

數(shù)據(jù)解析模塊，用于獲取數(shù)據(jù)包并放入收包隊(duì)列，讀取并解析數(shù)據(jù)包得到HTTP數(shù)據(jù)；

規(guī)則檢測(cè)模塊，用于HTTP數(shù)據(jù)與規(guī)則庫(kù)進(jìn)行匹配；

數(shù)據(jù)轉(zhuǎn)發(fā)模塊，用于數(shù)據(jù)包的轉(zhuǎn)發(fā)。

8.根據(jù)權(quán)利要求7所述的數(shù)據(jù)包處理系統(tǒng)，其特征在于，所述數(shù)據(jù)解析模塊解析數(shù)據(jù)包的過(guò)程，包括：

S21循環(huán)讀取收包隊(duì)列中的數(shù)據(jù)包，拆除包頭，分別獲得IP數(shù)據(jù)報(bào)和TCP數(shù)據(jù)報(bào)的包頭，進(jìn)而得到五元組信息、數(shù)據(jù)包的TCP序列號(hào)與數(shù)據(jù)包長(zhǎng)度；

S31對(duì)數(shù)據(jù)包的應(yīng)用層數(shù)據(jù)進(jìn)行緩存，得到完整的HTTP數(shù)據(jù)包；

S41對(duì)HTTP數(shù)據(jù)包進(jìn)行解析得到HTTP數(shù)據(jù)。

9.根據(jù)權(quán)利要求7所述的數(shù)據(jù)包處理系統(tǒng)，其特征在于，所述規(guī)則檢測(cè)模塊對(duì)HTTP數(shù)據(jù)與規(guī)則庫(kù)進(jìn)行匹配，若匹配一致則將數(shù)據(jù)包丟棄，若匹配不一致則將數(shù)據(jù)包交由數(shù)據(jù)轉(zhuǎn)發(fā)模塊進(jìn)行轉(zhuǎn)發(fā)。

10.據(jù)權(quán)利要求9所述的數(shù)據(jù)包處理系統(tǒng)，其特征在于，所述規(guī)則庫(kù)包括網(wǎng)絡(luò)攻擊特征，至少包括：SQL注入、XSS攻擊、HTTP協(xié)議攻擊、Web插件、Xpath注入、LDAP攻擊、SSI攻擊、非法下載、非法上傳；

若HTTP數(shù)據(jù)解析結(jié)果符合網(wǎng)絡(luò)攻擊特征則判斷該數(shù)據(jù)包請(qǐng)求不合法，丟棄該數(shù)據(jù)包；若HTTP數(shù)據(jù)解析結(jié)果不符合網(wǎng)絡(luò)攻擊特征則判斷該數(shù)據(jù)包請(qǐng)求合法，放入發(fā)包隊(duì)列。