[發明專利]一種安全防御方法、裝置及系統

在審

• 申請號: 202010107408.4
• 申請日: 2020-02-21
• 公開（公告）號: CN111371743A
• 公開（公告）日: 2020-07-03
• 發明（設計）人: 張錚;王疆;王曉梅;馬博林;趙玉風;潘傳幸
• 申請（專利權）人: 上海紅神信息技術有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京集佳知識產權代理有限公司 11227
• 代理人: 薛嬌

本發明提供了一種安全防御方法、裝置及系統，其中方法包括：攔截網頁客戶端發送的網頁訪問請求；從所述網頁訪問請求中提取網址和網址對應的第一隨機值；從存儲空間中獲取與所述網址對應的第二隨機值；若所述第一隨機值與所述第二隨機值一致，則確定所述網頁訪問請求不包含CSRF攻擊、正常處理所述網頁訪問請求。本發明中為了防御CSRF攻擊，提出網頁客戶端可以在網頁訪問請求中添加攻擊者不能偽造的隨機值，網頁服務器會攔截網頁客戶端發送的網頁訪問請求，并驗證第一隨機值與本身存儲的第二隨機值是否一致，如果一致則確定網頁訪問請求不包含CSRF攻擊、可以正常處理網頁訪問請求。

技術領域

本申請涉及通信技術領域，尤其涉及一種安全防御方法、裝置及系統。

背景技術

CSRF跨站點請求偽造(Cross Site Request Forgery)，跟XSS攻擊一樣，存在巨大的危害性，通俗理解為：攻擊者盜用用戶身份，以用戶名義發送惡意請求，對服務器而言這個請求完全合法，不過卻完成攻擊者所期望的一個操作。例如，以用戶名義發送郵件、發消息，盜取用戶賬號，添加系統管理員，甚至于購買商品、虛擬貨幣轉賬等。

發明內容

鑒于此，本申請提供一種安全防御方法、裝置及系統，可以防御CSRF攻擊，保護服務器網絡安全。

為了實現上述目的，本發明提供了下述技術特征：

一種安全防御方法，包括：

攔截網頁客戶端發送的網頁訪問請求；

從所述網頁訪問請求中提取網址和網址對應的第一隨機值；

從存儲空間中獲取與所述網址對應的第二隨機值；

若所述第一隨機值與所述第二隨機值一致，則確定所述網頁訪問請求不包含CSRF攻擊、正常處理所述網頁訪問請求。

可選的，還包括：

若所述第一隨機值與所述第二隨機值不一致，則確定所述網頁訪問請求包含CSRF攻擊、丟棄所述網頁訪問請求。

可選的，在攔截網頁客戶端發送的網頁訪問請求之前，還包括：

生成并保存各個網址一一對應的各個隨機值；

在各個隨機值超過有效時間后，重新生成并保存各個網址對應的各個隨機值。

可選的，在生成并保存各個網址一一對應的各個隨機值之后，還包括：

發送各個網址一一對應的各個隨機值至網頁客戶端，以供網頁客戶端保存各個網址一一對應的各個隨機值。

可選的，所述從所述網頁訪問請求中提取網址和網址對應的第一隨機值包括：

拆分所述網頁訪問請求中的組合網址，獲得網址和加密隨機值；

按照預先設定的解密機制對所述加密隨機值執行解密操作，獲得網址對應的第一隨機值。

一種安全防御方法，包括：

接收包含網址的網頁訪問請求；

在預先保存的各個網址一一對應的各個隨機值中，查找與所述網址對應的隨機值；

按照預先設定的加密機制對所述隨機值執行加密操作，獲得加密隨機值；

將網址和所述加密隨機值組成組合網址；

發送包含所述組合網址的網頁訪問請求至網頁服務器。

可選的，在所述接收包含網址的網頁訪問請求之前，還包括：

接收并保存各個網址一一對應的各個隨機值；