[發明專利]一種HTTP請求走私防御方法、裝置、介質

在審

• 申請號: 202310411361.4
• 申請日: 2023-04-10
• 公開（公告）號: CN116566657A
• 公開（公告）日: 2023-08-08
• 發明（設計）人: 范蘇文;王欣
• 申請（專利權）人: 杭州安恒信息技術股份有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 北京集佳知識產權代理有限公司 11227
• 代理人: 劉穎

本申請涉及網絡安全領域，公開了一種HTTP請求走私防御方法、裝置、介質，包括：獲取輸入前端服務器的第一數據包；當前端服務器的工作狀態滿足預設條件時，獲取后端服務器所接收到的與第一數據包對應的第二數據包，以便于后續判斷前端服務器和后端服務器所獲取到的數據包是否一種；對第一數據包和第二數據包進行校驗，以判斷第一數據包和第二數據包是否一致；若第一數據包和第二數據包一致，則確定服務器系統安全；若第一數據包和第二數據包不一致，則確定存在HTTP請求走私。本申請通過對第一數據包、第二數據包進行校驗，以判斷前端服務器和后端服務器所獲取到的數據包是否相同，從而提高用戶信息的安全性，提高用戶體驗。

技術領域

本申請涉及網絡安全領域，特別是涉及一種HTTP請求走私防御方法、裝置、介質。

背景技術

為了提高服務器的安全性，越來越多的個人或公司選擇使用反向代理或CDN架構。隨著互聯網技術的發展，反向代理架構與CDN的安全問題也逐漸被用戶所重視。其中，HTTP請求走私就是其中顯現出來的問題之一。

HTTP請求走私是指在反向代理或CDN架構下，前端服務器負責接收用戶請求與安全控制，經過處理后將被允許的請求轉發給后端服務器，而后端服務器無條件的相信前端服務器轉發過來的全部請求，并對每一個請求都進行響應。但前后端的服務器對RFC標準的具體實現不一，導致攻擊者可以將無法訪問的請求走私給后端服務器以獲得響應。該漏洞利用了前端服務器和后端服務器對數據包邊界定義不一致的情況，將前一個數據包的內容插入至下一個數據包中，可能會導致用戶或管理員賬號被竊取、信息泄露等危害。

由此可見，如何提供一種HTTP請求走私防御方法，以提高用戶信息的安全性，是本領域技術人員亟需解決的問題。

發明內容

本申請的目的是提供一種HTTP請求走私防御方法，以提高用戶信息的安全性。

為解決上述技術問題，本申請提供一種HTTP請求走私防御方法，包括：

獲取輸入所述前端服務器的第一數據包；

當前端服務器的工作狀態滿足預設條件時，獲取后端服務器所接收到的與所述第一數據包對應的第二數據包；

對所述第一數據包和所述第二數據包進行校驗，以判斷所述第一數據包和所述第二數據包是否一致；

若所述第一數據包和所述第二數據包一致，則確定服務器系統安全；

若所述第一數據包和所述第二數據包不一致，則確定存在HTTP請求走私。

優選的，所述預設條件為：

所述前端服務器將所述第一數據包發送至所述后端服務器。

優選的，所述獲取輸入所述前端服務器的第一數據包的步驟后，還包括：

獲取發送所述第一數據包的服務器的IP信息；

判斷所述IP信息是否為異常IP；

若為異常IP，則丟棄所述第一數據包；

否不為異常IP，則執行所述當前端服務器的工作狀態滿足預設條件時，獲取后端服務器所接收到的與所述第一數據包對應的第二數據包的步驟。

優選的，利用插裝探針技術獲取所述第一數據包、所述第二數據包，并對所述第一數據包和所述第二數據包進行校驗。

優選的，所述對所述第一數據包和所述第二數據包進行校驗包括：

計算所述第一數據包的第一MD5值、所述第二數據包的第二MD5值；

判斷所述第一MD5值、所述第二MD5值是否一致。

優選的，所述確定服務器系統安全的步驟后，還包括：