[發明專利]一種攻擊檢測方法、裝置、電子設備及存儲介質

在審

• 申請號: 202210053231.3
• 申請日: 2022-01-18
• 公開（公告）號: CN114500021A
• 公開（公告）日: 2022-05-13
• 發明（設計）人: 陳善武;楊旭
• 申請（專利權）人: 神州綠盟成都科技有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L67/141
• 代理公司: 北京同達信恒知識產權代理有限公司 11291
• 代理人: 郭潤湘

本申請公開了一種攻擊檢測方法、裝置、電子設備及存儲介質。所述攻擊檢測方法，包括：當接收到與客戶端進行TCP三次握手過程中所述客戶端在第三次握手時發送的ACK確認報文時，將所述ACK確認報文丟棄，不向目標服務器發起TCP連接請求，所述ACK確認報文攜帶有序列號信息和確認序列號信息；當接收到所述客戶端發送的數據請求時，根據所述序列號信息和所述確認序列號信息，對所述數據請求進行校驗，獲得校驗結果；當確定所述校驗結果為校驗成功時，則向目標服務器發起TCP連接建立請求以建立TCP連接，并將所述數據請求發送至所述目標服務器；當確定所述校驗結果為校驗失敗時，則直接將所述數據請求丟棄。

技術領域

本申請涉及網絡安全技術領域，尤其涉及一種攻擊檢測方法、裝置、電子設備及存儲介質。

背景技術

空連接攻擊是被攻擊的客戶端在與目標服務器完成三次握手建立TCP(Transmission Control Protocol，傳輸控制協議)連接后，不發送數據或者發送非正常業務數據，從而導致連接資源一直被占用無法被釋放的一種攻擊，當目標服務器的資源被耗盡之后，就無法對客戶端的正常請求進行響應。

目前，在客戶端與目標服務器之間通常設有安全防御設備或反向代理服務器，安全防御設備或反向代理服務器對于空連接攻擊的處理方法通常是：客戶端與安全防御設備或反向代理服務器完成三次握手后建立TCP連接，再對客戶端發送的數據請求進行分析，然而，空連接攻擊屬于應用層攻擊，其能夠自動與安全防御設備或反向代理服務器完成三次握手并建立TCP連接后而不再發送數據或者發送非正常業務數據，從而占用目標服務器的資源，當目標服務器的資源被耗盡之后，就無法對客戶端的正常請求進行響應。

發明內容

為了解決現有的針對空連接攻擊的處理方法會占用目標服務器資源，當目標服務器的資源被耗盡之后無法對客戶端的正常請求進行響應的問題，本申請實施例提供了一種攻擊檢測方法、裝置、電子設備及存儲介質。

第一方面，本申請實施例提供了一種安全防御設備側(或反向代理服務器側)實施的攻擊檢測方法，包括：

當接收到與客戶端進行TCP三次握手過程中所述客戶端在第三次握手時發送的ACK確認報文時，將所述ACK確認報文丟棄，不向目標服務器發起TCP連接請求，所述ACK確認報文攜帶有序列號信息和確認序列號信息；

當接收到所述客戶端發送的數據請求時，根據所述序列號信息和所述確認序列號信息，對所述數據請求進行校驗，獲得校驗結果；

當確定所述校驗結果為校驗成功時，則向目標服務器發起TCP連接建立請求以建立TCP連接，并將所述數據請求發送至所述目標服務器；當確定所述校驗結果為校驗失敗時，則直接將所述數據請求丟棄。

在一種可能的實施方式中，通過以下方式與所述客戶端進行TCP三次握手：

接收客戶端發送的SYN同步報文，所述SYN報文攜帶有第一序列號信息、第一確認序列號信息和所述客戶端信息，所述客戶端信息包括所述客戶端的IP信息和端口號信息；

對所述客戶端的IP信息、端口號信息和當前時間戳信息進行哈希計算獲得哈希值，將所述哈希值確定為第二序列號信息，并向所述客戶端返回攜帶有所述第二序列號信息和第二確認序列號信息的SYN-ACK響應報文；

接收所述客戶端發送的所述ACK確認報文。

在一種可能的實施方式中，所述數據請求中包括第三序列號信息、第三確認序列號信息和請求的數據長度信息；

根據所述序列號信息和所述確認序列號信息，對所述數據請求進行校驗，獲得校驗結果，具體包括：

校驗所述第三序列號是否與所述序列號相同，以及校驗所述第三確認序列號是否與所述確認序列號相同；