[發(fā)明專(zhuān)利]一種基于手機(jī)令牌防御CSRF攻擊的方法

在審

• 申請(qǐng)?zhí)枺?/td>: 202010922150.3
• 申請(qǐng)日: 2020-09-04
• 公開(kāi)（公告）號(hào): CN112104458A
• 公開(kāi)（公告）日: 2020-12-18
• 發(fā)明（設(shè)計(jì)）人: 田凱
• 申請(qǐng)（專(zhuān)利權(quán)）人: 紫光云（南京）數(shù)字技術(shù)有限公司
• 主分類(lèi)號(hào): H04L9/08
• 分類(lèi)號(hào): H04L9/08;H04L9/32;H04W12/00
• 代理公司: 南京中盟科創(chuàng)知識(shí)產(chǎn)權(quán)代理事務(wù)所(特殊普通合伙) 32279
• 代理人: 孫麗君

1.一種基于手機(jī)令牌防御CSRF攻擊的方法，其特征在于，包括以下步驟：

步驟S1：客戶端注冊(cè)包含手機(jī)號(hào)碼信息的賬號(hào)，登陸所述賬號(hào)，且客戶端向服務(wù)器發(fā)送HTTP請(qǐng)求后，服務(wù)器獲取客戶端中注冊(cè)的手機(jī)號(hào)碼；

步驟S2：所述客戶端隨機(jī)生成服務(wù)器動(dòng)態(tài)令牌，以短信的方式發(fā)送給所述客戶端，服務(wù)器同時(shí)保存所述服務(wù)器動(dòng)態(tài)令牌；

步驟S3：所述客戶端收到服務(wù)器動(dòng)態(tài)令牌后，編輯手機(jī)動(dòng)態(tài)令牌，并將手機(jī)動(dòng)態(tài)令牌發(fā)送給服務(wù)器所專(zhuān)屬的服務(wù)器號(hào)碼；

步驟S4：所述服務(wù)器通過(guò)調(diào)用服務(wù)器號(hào)碼，獲取服務(wù)器號(hào)碼中的手機(jī)動(dòng)態(tài)令牌、手機(jī)號(hào)碼，再根據(jù)手機(jī)號(hào)碼，獲取所述手機(jī)號(hào)碼對(duì)應(yīng)的服務(wù)器動(dòng)態(tài)令牌，服務(wù)器對(duì)比手機(jī)動(dòng)態(tài)令牌和服務(wù)器動(dòng)態(tài)令牌是否相同；

步驟S5：若手機(jī)動(dòng)態(tài)令牌和服務(wù)器動(dòng)態(tài)令牌不同，則切斷服務(wù)器與客戶端之間的聯(lián)系，避免攻擊者通過(guò)服務(wù)器網(wǎng)站，對(duì)客戶端的客戶造成仿冒、攻擊的影響；若手機(jī)動(dòng)態(tài)令牌和服務(wù)器動(dòng)態(tài)令牌相同，則建立服務(wù)器與客戶端的聯(lián)系，客戶端能正常訪問(wèn)服務(wù)器。

2.根據(jù)權(quán)利要求1所述的一種基于手機(jī)令牌防御CSRF攻擊的方法，其特征在于，所述服務(wù)器動(dòng)態(tài)密碼由數(shù)字、字母或者符號(hào)中的其中一種或者多種組合組成。

3.根據(jù)權(quán)利要求2所述的一種基于手機(jī)令牌防御CSRF攻擊的方法，其特征在于，所述服務(wù)器動(dòng)態(tài)密碼至少為4位字符。

4.根據(jù)權(quán)利要求1所述的一種基于手機(jī)令牌防御CSRF攻擊的方法，其特征在于，所述步驟S3中，編輯所述手機(jī)動(dòng)態(tài)令牌的時(shí)間為三分鐘，編輯所述手機(jī)動(dòng)態(tài)令牌的時(shí)間從服務(wù)器發(fā)送服務(wù)器動(dòng)態(tài)令牌后開(kāi)始計(jì)算，若編輯手機(jī)動(dòng)態(tài)令牌的時(shí)間超過(guò)三分鐘，則服務(wù)器刪除步驟S2中保存的服務(wù)器動(dòng)態(tài)令牌，并切斷服務(wù)器與客戶端之間的聯(lián)系。

5.根據(jù)權(quán)利要求1所述的一種基于手機(jī)令牌防御CSRF攻擊的方法，其特征在于，所述服務(wù)器為同一個(gè)根域名下的多個(gè)網(wǎng)站。

6.根據(jù)權(quán)利要求1所述的一種基于手機(jī)令牌防御CSRF攻擊的方法，其特征在于，所述步驟S3中，所述客戶端通過(guò)短信的方式將手機(jī)動(dòng)態(tài)令牌發(fā)送給服務(wù)器號(hào)碼，或者所述客戶端通過(guò)手機(jī)app的方式將手機(jī)動(dòng)態(tài)令牌發(fā)送給服務(wù)器號(hào)碼。