專利名稱：過濾網(wǎng)絡(luò)中終端與目的主機(jī)間傳輸?shù)奈：π詳?shù)據(jù)的方法
技術(shù)領(lǐng)域：
本發(fā)明涉及一種過濾網(wǎng)絡(luò)中終端與目的主機(jī)間傳輸?shù)奈：π詳?shù)據(jù)的方法，特別是涉及一種采用的是在網(wǎng)絡(luò)中通過代理服務(wù)器代替所述的終端訪問網(wǎng)絡(luò)中的目的主機(jī)，并且設(shè)置在所述代理服務(wù)器內(nèi)的安全過濾程序檢測(cè)所述目的主機(jī)的應(yīng)答數(shù)據(jù)信息，代理服務(wù)器將存在于所述應(yīng)答數(shù)據(jù)中的危害性數(shù)據(jù)過濾掉，將所述應(yīng)答數(shù)據(jù)中的不具有危害性的數(shù)據(jù)轉(zhuǎn)發(fā)給所述終端，保證了從網(wǎng)絡(luò)進(jìn)入到所述終端的數(shù)據(jù)是不具有危害性的安全數(shù)據(jù)的方法。
背景技術(shù)：
網(wǎng)絡(luò)應(yīng)用的發(fā)展已從辦公領(lǐng)域擴(kuò)展到家庭、生活和娛樂，而且滲透到更多的網(wǎng)絡(luò)終端設(shè)備中，如筆記本電腦、PDA和智能手機(jī)等。終端設(shè)備用戶開始習(xí)慣于網(wǎng)上銀行、網(wǎng)上支付和網(wǎng)絡(luò)休閑，并且網(wǎng)絡(luò)已經(jīng)成為一種主要的休閑娛樂方式和交易、勾通的平臺(tái)。但是，與此同時(shí)，網(wǎng)絡(luò)帶給終端設(shè)備用戶的安全威脅也隨之到來，甚至已嚴(yán)重危害到終端設(shè)備用戶的財(cái)產(chǎn)與正常的工作和生活。例如，信用卡號(hào)碼失竊事件、已有病毒的惡性攻擊和總在新出的病毒，不幸的是，現(xiàn)有的安全防護(hù)手段(防病毒軟件與防火墻軟件)根本無法完全的保護(hù)終端設(shè)備用戶，每臺(tái)終端設(shè)備安裝的防病毒軟件與防火墻軟件應(yīng)對(duì)新的技術(shù)應(yīng)用和層出不窮的攻擊手段已經(jīng)越來越顯得無力應(yīng)對(duì)，無法為終端設(shè)備用戶提供一個(gè)安全的網(wǎng)絡(luò)應(yīng)用環(huán)境。通常保護(hù)網(wǎng)絡(luò)終端設(shè)備的安全是采用在每一臺(tái)網(wǎng)絡(luò)終端設(shè)備內(nèi)安裝防病毒軟件、防火墻軟件，或者一些企業(yè)還在網(wǎng)絡(luò)終端設(shè)備的前端安裝硬件的防火墻、防毒墻或者與之類似的網(wǎng)絡(luò)安全設(shè)備，但是仍然還是無法避免遭到來自網(wǎng)絡(luò)上的攻擊、破壞。終端設(shè)備用戶安裝的防病毒軟件與防火墻軟件自身也只是一種輔助工具，它不可能完全的保護(hù)系統(tǒng)的安全。
終端設(shè)備用戶安裝了殺毒軟件的情況下仍無法保障安全。例如程序采用“瀏覽器劫持”的攻擊手段是可以通過被系統(tǒng)認(rèn)可的“合法途徑”來進(jìn)行的！殺毒軟件只能通過“特征碼”的形式來判斷程序是否合法，但這是建立在人為定義以后的，而實(shí)施“瀏覽器劫持”的程序可以有很多，以至于防不勝防。因?yàn)榇蟛糠譃g覽器劫持的發(fā)起者，都是通過一種被稱為BHO(“Browser Helper Object，瀏覽器輔助對(duì)象”)的技術(shù)手段植入系統(tǒng)的。它是一種可以讓程序員使用簡單代碼進(jìn)入瀏覽器領(lǐng)域的“交互接口”。通過BHO的接口，第三方程序員可以自己編寫代碼獲取瀏覽器的一些行為和事件通知，如“后退”、“前進(jìn)”、“當(dāng)前頁面”等，甚至可以獲取瀏覽器的各個(gè)組件信息，像菜單、工具欄、坐標(biāo)等。由于BHO的交互特性，程序員還可以使用代碼去控制瀏覽器的行為，比如常見的修改替換瀏覽器工具欄、在瀏覽器界面上添加自己的程序按鈕等操作，而這些操作都被視為“合法”的?！盀g覽器劫持”是一種不同于普通病毒木馬感染途徑的網(wǎng)絡(luò)攻擊手段，它的滲透途徑很多，目前最常見的方式有通過BHO、DLL插件、Hook技術(shù)、Winsock LSP等載體達(dá)到對(duì)用戶的瀏覽器進(jìn)行篡改的目的。這些載體可以直接寄生于瀏覽器的模塊里，成為瀏覽器的一部分，進(jìn)而直接操縱瀏覽器的行為，輕者把終端設(shè)備用戶帶到自家門戶網(wǎng)站，嚴(yán)重的則會(huì)在用戶計(jì)算機(jī)中收集敏感信息，危及終端設(shè)備用戶隱私安全。在網(wǎng)絡(luò)上，類似于這樣的終端設(shè)備用戶只有在受到劫持后才會(huì)發(fā)現(xiàn)異常情況的現(xiàn)象和攻擊手段還有很多。
終端設(shè)備用戶安裝了防火墻軟件的情況下仍無法保障安全。例如目前的防火墻一般只查網(wǎng)絡(luò)協(xié)議的包頭部分，不檢查數(shù)據(jù)包內(nèi)容。隨著現(xiàn)在越來越多的病毒攻擊都從針對(duì)網(wǎng)絡(luò)協(xié)議的弱點(diǎn)的攻擊轉(zhuǎn)向針對(duì)特定的目標(biāo)系統(tǒng)與軟件應(yīng)用的漏洞的攻擊，而這些又都封裝在網(wǎng)絡(luò)協(xié)議內(nèi)，所以防火墻根本抵擋不住這種類型病毒的攻擊。另外，基于網(wǎng)絡(luò)傳播的病毒、攜有攻擊發(fā)起者的木馬程序和間諜程序都是混雜的安全威脅的主要因素。
由此可見，許多的帶有破壞性的數(shù)據(jù)信息一旦進(jìn)入了終端設(shè)備，終端設(shè)備的防病毒軟件和防火墻軟件針對(duì)這些帶有破壞性的數(shù)據(jù)信息是無法應(yīng)對(duì)的，更不能完全的、有效的保護(hù)終端設(shè)備的安全。

發(fā)明內(nèi)容
鑒于上述問題，本發(fā)明的目的是提供一種能夠過濾掉網(wǎng)絡(luò)中終端與目的主機(jī)之間傳輸?shù)奈：π詳?shù)據(jù)，并且能夠完全、有效的保護(hù)終端安全訪問網(wǎng)絡(luò)資源的方法。
為解決上述技術(shù)問題，本發(fā)明的目的是通過以下技術(shù)方案實(shí)現(xiàn)的本發(fā)明提供了一種過濾網(wǎng)絡(luò)中終端與目的主機(jī)間傳輸?shù)奈：π詳?shù)據(jù)的方法，包括網(wǎng)絡(luò)中的終端訪問目的主機(jī)前先訪問代理服務(wù)器；所述代理服務(wù)器代替所述終端訪問所述目的主機(jī)；所述代理服務(wù)器過濾掉存在于所述目的主機(jī)的應(yīng)答數(shù)據(jù)中的危害性數(shù)據(jù)；所述代理服務(wù)器將所述應(yīng)答數(shù)據(jù)中的正常的、合法的、不具有病毒性的安全數(shù)據(jù)轉(zhuǎn)發(fā)給所述終端。
優(yōu)選的，所述終端通過所述代理服務(wù)器向所述目的主機(jī)發(fā)送訪問請(qǐng)求數(shù)據(jù)信息。
優(yōu)選的，所述代理服務(wù)器在網(wǎng)絡(luò)中是所述終端和所述目的主機(jī)之間的中間節(jié)點(diǎn)，所述代理服務(wù)器雙向傳遞從所述終端到所述目的主機(jī)的數(shù)據(jù)和從所述目的主機(jī)到所述終端的數(shù)據(jù)。
優(yōu)選的，所述的一種過濾網(wǎng)絡(luò)中終端與目的主機(jī)間傳輸?shù)奈：π詳?shù)據(jù)的方法，還包括根據(jù)所述的終端編制對(duì)應(yīng)的終端訪問控制程序；根據(jù)所述的代理服務(wù)器編制對(duì)應(yīng)的代理服務(wù)器訪問控制程序；將所述的終端訪問控制程序嵌入到所述的終端；將所述的代理服務(wù)器訪問控制程序嵌入到所述的代理服務(wù)器；所述代理服務(wù)器訪問控制程序是對(duì)應(yīng)于終端訪問控制程序。
優(yōu)選的，所述的一種過濾網(wǎng)絡(luò)中終端與目的主機(jī)間傳輸?shù)奈：π詳?shù)據(jù)的方法，還包括所述的終端調(diào)用所述的終端訪問控制程序，通過所述的終端訪問控制程序向所述的代理服務(wù)器發(fā)送訪問目的主機(jī)的數(shù)據(jù)信息；所述的代理服務(wù)器訪問控制程序根據(jù)接收到的所述訪問目的主機(jī)的數(shù)據(jù)信息向所述目的主機(jī)發(fā)送訪問請(qǐng)求；根據(jù)所述的目的主機(jī)的應(yīng)答數(shù)據(jù)信息，所述代理服務(wù)器應(yīng)答所述終端的訪問請(qǐng)求。
優(yōu)選的，在網(wǎng)絡(luò)中，所述終端訪問控制程序和所述代理服務(wù)器訪問控制程序?qū)⑺龃矸?wù)器相對(duì)于所述終端邏輯上是透明的。
優(yōu)選的，所述終端訪問控制程序和代理服務(wù)器訪問控制程序?qū)⒋矸?wù)器邏輯上成為終端的虛擬裝置。
優(yōu)選的，所述的一種過濾網(wǎng)絡(luò)中終端與目的主機(jī)間傳輸?shù)奈：π詳?shù)據(jù)的方法，還包括所述的終端調(diào)用所述的終端訪問控制程序，通過所述的終端訪問控制程序向所述的代理服務(wù)器發(fā)送訪問目的主機(jī)的數(shù)據(jù)信息；所述的代理服務(wù)器訪問控制程序根據(jù)接收到的所述訪問目的主機(jī)的數(shù)據(jù)信息向所述目的主機(jī)發(fā)送訪問請(qǐng)求；根據(jù)所述的目的主機(jī)的應(yīng)答數(shù)據(jù)信息，所述代理服務(wù)器應(yīng)答所述終端的訪問請(qǐng)求；根據(jù)所述的代理服務(wù)器編制安全過濾程序；將所述的安全過濾程序嵌入到所述的代理服務(wù)器。
優(yōu)選的，所述代理服務(wù)器設(shè)置的所述安全過濾程序掃描所述目的主機(jī)的應(yīng)答數(shù)據(jù)，并根據(jù)所述的掃描判斷所述的應(yīng)答數(shù)據(jù)是否存在危害性數(shù)據(jù)。
優(yōu)選的，所述的一種過濾網(wǎng)絡(luò)中終端與目的主機(jī)間傳輸?shù)奈：π詳?shù)據(jù)的方法，還包括建立訪問信息數(shù)據(jù)庫，所述訪問信息數(shù)據(jù)庫存儲(chǔ)有非法的網(wǎng)絡(luò)訪問特征信息；所述安全過濾程序?qū)@得的所述目的主機(jī)的應(yīng)答數(shù)據(jù)與所述訪問信息數(shù)據(jù)庫中存儲(chǔ)的信息進(jìn)行比對(duì)，判斷所述目的主機(jī)的應(yīng)答數(shù)據(jù)是否存在異常的、非法的網(wǎng)絡(luò)入侵。
優(yōu)選的，所述的一種過濾網(wǎng)絡(luò)中終端與目的主機(jī)間傳輸?shù)奈：π詳?shù)據(jù)的方法，還包括建立病毒信息數(shù)據(jù)庫，所述病毒信息數(shù)據(jù)庫存儲(chǔ)有病毒的特征信息；所述安全過濾程序?qū)@得的所述目的主機(jī)的應(yīng)答數(shù)據(jù)與所述病毒信息數(shù)據(jù)庫中存儲(chǔ)的信息進(jìn)行比對(duì)，判斷所述目的主機(jī)的應(yīng)答數(shù)據(jù)是否存在病毒性的不安全數(shù)據(jù)。
優(yōu)選的，所述的一種過濾網(wǎng)絡(luò)中終端與目的主機(jī)間傳輸?shù)奈：π詳?shù)據(jù)的方法，還包括所述代理服務(wù)器設(shè)置的所述安全過濾程序掃描所述目的主機(jī)的應(yīng)答數(shù)據(jù)，并根據(jù)掃描判斷所述的應(yīng)答數(shù)據(jù)是否存在危害性數(shù)據(jù)；所述代理服務(wù)器設(shè)置的所述安全過濾程序過濾掉所述的應(yīng)答數(shù)據(jù)中存在的危害性數(shù)據(jù)。
優(yōu)選的，將所述應(yīng)答數(shù)據(jù)中的正常的、合法的、不具有病毒性的安全數(shù)據(jù)通過所述代理服務(wù)器訪問控制程序轉(zhuǎn)發(fā)給所述終端。
優(yōu)選的，所述的一種過濾網(wǎng)絡(luò)中終端與目的主機(jī)間傳輸?shù)奈：π詳?shù)據(jù)的方法，還包括終端通過所述終端訪問控制程序?qū)⑻峤唤o目的主機(jī)、目的設(shè)備的訪問數(shù)據(jù)提交給所述代理服務(wù)器訪問控制程序；所述代理服務(wù)器代替所述終端訪問所述目的主機(jī)；所述代理服務(wù)器設(shè)置的所述安全過濾程序掃描所述目的主機(jī)的應(yīng)答數(shù)據(jù)，并根據(jù)掃描判斷所述的應(yīng)答數(shù)據(jù)是否存在危害性數(shù)據(jù)；所述代理服務(wù)器設(shè)置的所述安全過濾程序過濾掉所述的應(yīng)答數(shù)據(jù)中存在的危害性數(shù)據(jù)。
優(yōu)選的，所述的一種過濾網(wǎng)絡(luò)中終端與目的主機(jī)間傳輸?shù)奈：π詳?shù)據(jù)的方法，還包括終端通過所述終端訪問控制程序?qū)⑻峤唤o目的主機(jī)、目的設(shè)備的訪問數(shù)據(jù)提交給所述代理服務(wù)器訪問控制程序；所述代理服務(wù)器代替所述終端訪問所述目的主機(jī)；所述代理服務(wù)器設(shè)置的所述安全過濾程序掃描所述目的主機(jī)的應(yīng)答數(shù)據(jù)，并根據(jù)掃描判斷所述的應(yīng)答數(shù)據(jù)是否存在危害性數(shù)據(jù)；所述代理服務(wù)器設(shè)置的所述安全過濾程序過濾掉所述的應(yīng)答數(shù)據(jù)中存在的危害性數(shù)據(jù)；所述應(yīng)答數(shù)據(jù)中的正常的、合法的、不具有病毒性的安全數(shù)據(jù)由所述代理服務(wù)器訪問控制程序轉(zhuǎn)發(fā)給所述終端；所述代理服務(wù)器將所述過濾掉的信息告知所述終端。
與現(xiàn)有的技術(shù)相比，本發(fā)明具有至少以下的優(yōu)點(diǎn)本發(fā)明采用的是在網(wǎng)絡(luò)中通過代理服務(wù)器代替所述的終端訪問網(wǎng)絡(luò)中的目的主機(jī)，并且設(shè)置在所述代理服務(wù)器內(nèi)的安全過濾程序檢測(cè)所述目的主機(jī)的應(yīng)答數(shù)據(jù)，所述代理服務(wù)器過濾掉存在于所述目的主機(jī)的應(yīng)答數(shù)據(jù)中的危害性數(shù)據(jù)，將所述應(yīng)答數(shù)據(jù)中的正常的、合法的、不具有病毒性的安全數(shù)據(jù)轉(zhuǎn)發(fā)給所述終端，從根本上保證了從網(wǎng)絡(luò)進(jìn)入到終端的數(shù)據(jù)均是正常的、合法的、不具有病毒性的安全數(shù)據(jù)。保護(hù)了網(wǎng)絡(luò)終端在訪問網(wǎng)絡(luò)資源的時(shí)候不被網(wǎng)絡(luò)中的病毒程序感染，并且免遭采用非法入侵等手段的網(wǎng)絡(luò)攻擊，即使沒有任何安全措施保護(hù)的網(wǎng)絡(luò)終端和沒有安裝安全防護(hù)程序的終端也能夠被有效的保護(hù)。并且從構(gòu)架上就已經(jīng)克服、避免了現(xiàn)有的安全防護(hù)技術(shù)一旦出現(xiàn)不能處理的情況，只能任由危害性數(shù)據(jù)對(duì)所述的終端設(shè)備進(jìn)行危害性操作，所以本發(fā)明能夠完全的、有效的保護(hù)終端的網(wǎng)絡(luò)安全。


下面結(jié)合附圖和具體實(shí)施方式
對(duì)本發(fā)明作進(jìn)一步詳細(xì)的說明。
圖1是本發(fā)明所述的過濾網(wǎng)絡(luò)中終端與目的主機(jī)間傳輸?shù)奈：π詳?shù)據(jù)的方法的第一實(shí)施例的步驟流程圖；圖2是本發(fā)明所述的過濾網(wǎng)絡(luò)中終端與目的主機(jī)間傳輸?shù)奈：π詳?shù)據(jù)的方法的第一實(shí)施例的步驟流程圖；圖3是本發(fā)明所述的過濾網(wǎng)絡(luò)中終端與目的主機(jī)間傳輸?shù)奈：π詳?shù)據(jù)的方法，所述終端發(fā)送到所述代理服務(wù)器的數(shù)據(jù)包模型圖。
圖4、圖5和圖6是本發(fā)明所述的過濾網(wǎng)絡(luò)中終端與目的主機(jī)間傳輸?shù)奈：π詳?shù)據(jù)的方法，所述終端發(fā)送到所述代理服務(wù)器的不同層數(shù)據(jù)的詳細(xì)模型圖。
圖7是本發(fā)明所述的過濾網(wǎng)絡(luò)中終端與目的主機(jī)間傳輸?shù)奈：π詳?shù)據(jù)的方法，在網(wǎng)絡(luò)中，所述終端、所述代理服務(wù)器、所述目的主機(jī)，之間在網(wǎng)絡(luò)中的相對(duì)位置。
圖8和圖9是本發(fā)明所述的過濾網(wǎng)絡(luò)中終端與目的主機(jī)間傳輸?shù)奈：π詳?shù)據(jù)的方法，數(shù)據(jù)傳遞的方式。
圖10是本發(fā)明所述的過濾網(wǎng)絡(luò)中終端與目的主機(jī)間傳輸?shù)奈：π詳?shù)據(jù)的方法，描述本發(fā)明的主要流程圖。
圖11是本發(fā)明所述的過濾網(wǎng)絡(luò)中終端與目的主機(jī)間傳輸?shù)奈：π詳?shù)據(jù)的方法，描述本發(fā)明針對(duì)識(shí)別應(yīng)答數(shù)據(jù)的類型屬性。
具體實(shí)施例方式
本發(fā)明的核心思想在網(wǎng)絡(luò)中的終端通過代理服務(wù)器代替所述的終端訪問網(wǎng)絡(luò)中的目的主機(jī)，并且設(shè)置在所述代理服務(wù)器內(nèi)的安全過濾程序檢測(cè)所述目的主機(jī)的應(yīng)答數(shù)據(jù)信息，代理服務(wù)器將存在于所述應(yīng)答數(shù)據(jù)中的危害性數(shù)據(jù)過濾掉，將所述應(yīng)答數(shù)據(jù)中的不具有危害性的數(shù)據(jù)轉(zhuǎn)發(fā)給所述終端，從根本上保證了從網(wǎng)絡(luò)進(jìn)入到所述終端的數(shù)據(jù)是不具有危害性的安全數(shù)據(jù)，所以本發(fā)明不僅可以完全的、有效的保護(hù)設(shè)置有安全防護(hù)程序的終端，也可以完全的、有效的保護(hù)沒有設(shè)置安全防護(hù)程序的終端。
參照?qǐng)D1，是本發(fā)明所述的過濾網(wǎng)絡(luò)中終端與目的主機(jī)間傳輸?shù)奈：π詳?shù)據(jù)的方法的第一實(shí)施例的步驟流程圖，包括以下步驟步驟S1，網(wǎng)絡(luò)中的終端訪問目的主機(jī)前先訪問代理服務(wù)器。
所述的終端，其實(shí)質(zhì)就是在網(wǎng)絡(luò)中的計(jì)算機(jī)、移動(dòng)技術(shù)的計(jì)算機(jī)、個(gè)人終端系統(tǒng)、智能移動(dòng)電話等；
所述的目的主機(jī)其實(shí)質(zhì)就是在網(wǎng)絡(luò)中提供某一項(xiàng)或多項(xiàng)網(wǎng)絡(luò)服務(wù)的計(jì)算機(jī)、網(wǎng)絡(luò)服務(wù)器、帶有獨(dú)立運(yùn)算能力的電子設(shè)備；所述的網(wǎng)絡(luò)其實(shí)質(zhì)就是，包括有線網(wǎng)絡(luò)、無線網(wǎng)絡(luò)或者有線網(wǎng)絡(luò)和無線網(wǎng)絡(luò)組成的網(wǎng)絡(luò)。
參照?qǐng)D7，所述的代理服務(wù)器其實(shí)質(zhì)就是網(wǎng)絡(luò)中所述終端和所述目的主機(jī)之間的中間節(jié)點(diǎn)，所述代理服務(wù)器雙向傳遞從所述終端到所述目的主機(jī)的數(shù)據(jù)和從所述目的主機(jī)到所述終端的數(shù)據(jù)。終端向網(wǎng)絡(luò)中的某一臺(tái)主機(jī)發(fā)送訪問請(qǐng)求信息，實(shí)質(zhì)上所述的訪問請(qǐng)求信息并沒有直接發(fā)送到所述的目的主機(jī)，而是所述的訪問請(qǐng)求信息的內(nèi)容通過內(nèi)置在所述終端系統(tǒng)里的終端訪問控制程序處理后發(fā)送到了已經(jīng)預(yù)先設(shè)定好的代理服務(wù)器上(參照?qǐng)D8)，所述的代理服務(wù)器接收到了所述終端向所述目的主機(jī)發(fā)送的訪問請(qǐng)求信息。
一般技術(shù)人員完成這個(gè)功能，主要采用轉(zhuǎn)換網(wǎng)絡(luò)數(shù)據(jù)包的方法。參照?qǐng)D3和圖4，所述目的主機(jī)的地址被所述代理服務(wù)器的地址所替換。當(dāng)所述終端的應(yīng)用程序與所述的目的主機(jī)通信時(shí)，所述終端訪問控制程序?qū)⒋蜷_與終端的源地址、源端口、目標(biāo)主機(jī)的地址、目標(biāo)主機(jī)的端口及網(wǎng)絡(luò)協(xié)議相關(guān)聯(lián)的套接字，這樣就能夠判別出通信的兩個(gè)端點(diǎn)，當(dāng)應(yīng)用程序用套接字傳輸信息時(shí)，數(shù)據(jù)包的目標(biāo)字段將包含目標(biāo)主機(jī)的地址和目標(biāo)主機(jī)的端口，所以所述的終端將把該數(shù)據(jù)包轉(zhuǎn)發(fā)給預(yù)先設(shè)置好的代理服務(wù)器。
現(xiàn)有技術(shù)中的技術(shù)人員可以通過使用工具對(duì)數(shù)據(jù)包的目的地址修改成所述代理服務(wù)器的地址，然后發(fā)送被修改后的數(shù)據(jù)包，就可以實(shí)現(xiàn)將終端發(fā)給目的主機(jī)的請(qǐng)求數(shù)據(jù)進(jìn)行上述處理后發(fā)送給所述的代理服務(wù)器。在這個(gè)階段，代理服務(wù)器就代替所述終端成為網(wǎng)絡(luò)訪問請(qǐng)求的發(fā)起方。
在實(shí)際過程中，技術(shù)人員在進(jìn)行上述轉(zhuǎn)換網(wǎng)絡(luò)數(shù)據(jù)包前，先要記錄原始的數(shù)據(jù)包信息，所述的原始的數(shù)據(jù)包信息就是沒有進(jìn)行轉(zhuǎn)換數(shù)據(jù)包操作的、最初的所述終端發(fā)送給目的主機(jī)的數(shù)據(jù)包的信息(如目的主機(jī)的地址信息和目的端口)。將記錄下來的所述原始的數(shù)據(jù)包信息可以采用數(shù)據(jù)庫的方式存儲(chǔ)，并且也要發(fā)送給所述的代理服務(wù)器，以便讓所述代理服務(wù)器知道目的主機(jī)的地址和對(duì)應(yīng)的應(yīng)用程序端口。
步驟S2，所述代理服務(wù)器代替所述終端訪問所述目的主機(jī)。根據(jù)步驟S1，網(wǎng)絡(luò)中的終端訪問目的主機(jī)前先訪問代理服務(wù)器。由于步驟S1已經(jīng)將原本所述終端要發(fā)送到目的主機(jī)的請(qǐng)求數(shù)據(jù)包經(jīng)過修改處理后發(fā)送到了所述代理服務(wù)器，實(shí)質(zhì)上也就等同于所述終端向所述的代理服務(wù)器發(fā)起的訪問請(qǐng)求，所以所述代理服務(wù)器收到了來自所述終端的訪問請(qǐng)求數(shù)據(jù)包。
一般技術(shù)人員可以將接收到的來自所述終端的網(wǎng)絡(luò)數(shù)據(jù)包進(jìn)行拆包操作，例如參照?qǐng)D5和圖6，從IP數(shù)據(jù)包拆出TCP、UDP數(shù)據(jù)包或其他的數(shù)據(jù)包。獲得數(shù)據(jù)包的內(nèi)容，也就是獲得了最初所述終端要發(fā)送給所述目的主機(jī)的訪問請(qǐng)求內(nèi)容，根據(jù)獲得的所述數(shù)據(jù)包的內(nèi)容和收到的原始數(shù)據(jù)包的信息，所述代理服務(wù)器向所述目的主機(jī)發(fā)送訪問請(qǐng)求數(shù)據(jù)。
依據(jù)網(wǎng)絡(luò)原理，所述目的主機(jī)根據(jù)所述代理服務(wù)器發(fā)送的訪問請(qǐng)求數(shù)據(jù)的內(nèi)容或類型，向所述的代理服務(wù)器返回應(yīng)答數(shù)據(jù)；所述的應(yīng)答數(shù)據(jù)的內(nèi)容、類型與所述的訪問請(qǐng)求數(shù)據(jù)的內(nèi)容、類型是相對(duì)應(yīng)的。
例如所述代理服務(wù)器向所述目的主機(jī)發(fā)送下載某一文件的請(qǐng)求數(shù)據(jù)，那么所述目的主機(jī)向所述代理服務(wù)器應(yīng)答相關(guān)的下載數(shù)據(jù)或其他的數(shù)據(jù)。
又例如所述代理服務(wù)器向所述目的主機(jī)發(fā)送請(qǐng)求訪問WEB頁面的請(qǐng)求數(shù)據(jù)，那么所述目的主機(jī)向所述代理服務(wù)器應(yīng)答相關(guān)WEB頁面的數(shù)據(jù)信息或其他的數(shù)據(jù)(例返回的錯(cuò)誤信息等)。
具體的應(yīng)答數(shù)據(jù)的內(nèi)容和類型是由所述目的主機(jī)根據(jù)網(wǎng)絡(luò)訪問請(qǐng)求的發(fā)起方發(fā)送的請(qǐng)求數(shù)據(jù)的內(nèi)容或類型而預(yù)先設(shè)置好的。
步驟S3，建立存儲(chǔ)有非法的網(wǎng)絡(luò)訪問特征信息的訪問信息數(shù)據(jù)庫，所述訪問信息數(shù)據(jù)庫存儲(chǔ)有非法的網(wǎng)絡(luò)訪問特征信息；建立存儲(chǔ)有病毒的特征信息的病毒信息數(shù)據(jù)庫，所述病毒信息數(shù)據(jù)庫存儲(chǔ)有病毒的特征信息。
一般從事網(wǎng)絡(luò)安全或反病毒的技術(shù)人員可以總結(jié)或分析出非的法網(wǎng)絡(luò)入侵手段和病毒的特征信息。
非法的網(wǎng)絡(luò)入侵手段主要是利用系統(tǒng)的漏洞并針對(duì)于系統(tǒng)的漏洞進(jìn)行相應(yīng)的非法網(wǎng)絡(luò)操作，以達(dá)到非法的控制系統(tǒng)、盜取信息或者使系統(tǒng)無法正常工作等非法網(wǎng)絡(luò)操作的手段。技術(shù)人員可以根據(jù)被非法的網(wǎng)絡(luò)入侵手段攻擊過的系統(tǒng)的相應(yīng)日志記錄分析得出所述的非法網(wǎng)絡(luò)操作手段，也可以在平時(shí)的工作中總結(jié)得出。將所述的非法的網(wǎng)絡(luò)訪問特征信息(非法網(wǎng)絡(luò)操作手段)采用數(shù)據(jù)庫的方式進(jìn)行存儲(chǔ)，以便于識(shí)別、判斷所述目的主機(jī)的應(yīng)答數(shù)據(jù)是否存在異常的、非法的網(wǎng)絡(luò)入侵的過程時(shí)使用。
以下具體的列舉部分非法的網(wǎng)絡(luò)訪問特征信息(非法網(wǎng)絡(luò)操作手段)A.拒絕服務(wù)攻擊一般情況下，拒絕服務(wù)攻擊是通過使被攻擊對(duì)象的系統(tǒng)關(guān)鍵資源過載，從而使被攻擊對(duì)象停止部分或全部服務(wù)。目前已知的拒絕服務(wù)攻擊就有幾百種，它是最基本的入侵攻擊手段，也是最難對(duì)付的入侵攻擊之一，典型示例有SYN Flood攻擊、Ping Flood攻擊、Land攻擊、WinNuke攻擊等；B.非授權(quán)訪問嘗試是攻擊者對(duì)被保護(hù)文件進(jìn)行讀、寫或執(zhí)行的嘗試，也包括為獲得被保護(hù)訪問權(quán)限所做的嘗試；C.預(yù)探測(cè)攻擊在連續(xù)的非授權(quán)訪問嘗試過程中，攻擊者為了獲得網(wǎng)絡(luò)內(nèi)部的信息及網(wǎng)絡(luò)周圍的信息，通常使用這種攻擊嘗試，典型示例包括SATAN掃描、端口掃描和IP半途掃描等；D.可疑活動(dòng)是通常定義的“標(biāo)準(zhǔn)”網(wǎng)絡(luò)通信范疇之外的活動(dòng)，也可以指網(wǎng)絡(luò)上不希望有的活動(dòng)，如IP Unknown Protocol和Duplicate IP Address事件等；E.協(xié)議解碼協(xié)議解碼可用于以上任何一種非期望的方法中，網(wǎng)絡(luò)或安全管理員需要進(jìn)行解碼工作，并獲得相應(yīng)的結(jié)果，解碼后的協(xié)議信息可能表明期望的活動(dòng)，如FTU User和Portmapper Proxy等解碼方式；F.系統(tǒng)代理攻擊這種攻擊通常是針對(duì)單個(gè)主機(jī)發(fā)起的，而并非整個(gè)網(wǎng)絡(luò)，通過RealSecure系統(tǒng)代理可以對(duì)它們進(jìn)行監(jiān)視。
技術(shù)人員可以使用DEBUG、PROVIEW等工具程序和在專用的試驗(yàn)用的系統(tǒng)分析病毒的特征信息。之所以在專用的試驗(yàn)用的系統(tǒng)上，就是因?yàn)榉治龅膶?duì)象有可能是病毒，很有可能在被分析的階段繼續(xù)傳播甚至發(fā)作。技術(shù)人員可以利用DEBUG或其他的反匯編工具程序?qū)⒉《镜拇a打印成反匯編后的程序清單，分析出病毒具有特征信息的代碼段，還可以采用動(dòng)態(tài)分析病毒的組成部分，使用了對(duì)系統(tǒng)的哪些調(diào)用或操作，以及采用了何種操作方式和流程，并分析出病毒的一系列操作行為。將上述病毒的特征信息或者病毒的操作行為采用數(shù)據(jù)庫的方式進(jìn)行存儲(chǔ)，以便于識(shí)別、判斷所述目的主機(jī)的應(yīng)答數(shù)據(jù)是否存在病毒性的不安全數(shù)據(jù)的過程時(shí)使用。
以下具體的列舉一種常用的分析病毒的特征信息的規(guī)則及過程G1.短小的病毒只有一百多個(gè)字節(jié)，病毒代碼長的有上10KB字節(jié)的或者更大字節(jié)，如果隨意從某個(gè)病毒體內(nèi)選一段作為代表該病毒的特征信息，可能在不同的環(huán)境中，該特征碼并不是真正具有代表性，不能將該特征信息所對(duì)應(yīng)的病毒檢查出來，因此隨意的從某個(gè)病毒體內(nèi)選擇特征信息是不可取的；G2.病毒特征信息不應(yīng)含有病毒的數(shù)據(jù)區(qū)，因?yàn)槟承┎《镜臄?shù)據(jù)區(qū)是會(huì)經(jīng)常變化的；G3.在保持唯一性的前提下，應(yīng)盡量使病毒特征信息的長度短些；G4.病毒特征信息一定要在仔細(xì)分析了病毒體后才能選出最具代表性的，足以將該病毒區(qū)別于其他病毒和該病毒的其他變種的病毒特征信息；G5.一般情況下，病毒特征信息是連續(xù)的若干個(gè)字節(jié)組成的代碼串，在病毒特征信息中包含有一個(gè)到幾個(gè)“模糊”字節(jié)。遇到這種病毒特征信息時(shí)，只要除“模糊”字節(jié)之外的字串都能完好匹配，則也能判別出病毒，例如給定特征信息串“E9 7C 00 10？37 CB”則“E9 7C 00 10 27 37 CB”和“E9 7C 00 10 9C 37 CB”都能被識(shí)別出來，又例如“E9 7C 37 CB”可以匹配“E9 7C 00 37 CB”，“E9 7C 00 11 37 CB”和“E9 7C 00 11 22 37 CB”，但不匹配“E9 7C 00 11 22 33 44 37 CB”，因?yàn)?C和37之間的子串已超過4個(gè)字節(jié)；G6.病毒特征信息必須能將病毒與正常的非病毒文件或程序區(qū)分開，避免將非病毒文件或程序當(dāng)成病毒處理。
無論是分析非法的網(wǎng)絡(luò)訪問特征信息，或是分析病毒的特征信息，其分析的方法和過程存在多種，并且分析得出的特征信息的屬性或種類也存在多種方式，所述的分析過程可以由人工或者計(jì)算機(jī)來完成。技術(shù)人員可以根據(jù)實(shí)際情況和需求任選甚至還可以直接調(diào)用已有的存儲(chǔ)有非法的網(wǎng)絡(luò)訪問特征信息的訪問信息數(shù)據(jù)庫、存儲(chǔ)有病毒的特征信息的病毒信息數(shù)據(jù)庫或者是兩者都被調(diào)用。但是由于篇幅有限，在此就不再贅述。
步驟S4，將目的主機(jī)的應(yīng)答數(shù)據(jù)與訪問信息數(shù)據(jù)庫中存儲(chǔ)的信息進(jìn)行比對(duì)，判斷是否是異常的，非法的網(wǎng)絡(luò)入侵；將目的主機(jī)的應(yīng)答數(shù)據(jù)與病毒信息數(shù)據(jù)庫中存儲(chǔ)的信息進(jìn)行比對(duì)，判斷是否存在病毒性的不安全數(shù)據(jù)。
根據(jù)步驟S1和S2，邏輯上網(wǎng)絡(luò)終端訪問網(wǎng)絡(luò)中的目的主機(jī)，但實(shí)際上所述終端內(nèi)置的終端訪問控制程序?qū)⑺鼋K端發(fā)送到所數(shù)目的主機(jī)的訪問請(qǐng)求數(shù)據(jù)截獲并對(duì)所述的訪問請(qǐng)求數(shù)據(jù)修改處理后轉(zhuǎn)發(fā)到了預(yù)先設(shè)定好的代理服務(wù)器上，由所述代理服務(wù)器代替所述終端成為網(wǎng)絡(luò)訪問請(qǐng)求的發(fā)起方，并代替所述終端向所述的目的主機(jī)發(fā)送訪問請(qǐng)求數(shù)據(jù)和接收所述目的主機(jī)的應(yīng)答數(shù)據(jù)。
所述的代理服務(wù)器掃描并檢測(cè)來自所述目的主機(jī)的應(yīng)答數(shù)據(jù)，將所述的應(yīng)答數(shù)據(jù)根據(jù)數(shù)據(jù)的類型屬性與步驟S3所描述的存儲(chǔ)有非法的網(wǎng)絡(luò)訪問特征信息的訪問信息數(shù)據(jù)庫或存儲(chǔ)有病毒的特征信息的病毒信息數(shù)據(jù)庫中存儲(chǔ)的信息進(jìn)行比對(duì)從而判斷所述的應(yīng)答數(shù)據(jù)是否存在危害性數(shù)據(jù)(包括異常的，非法的網(wǎng)絡(luò)入侵類型的數(shù)據(jù)和病毒性的不安全數(shù)據(jù))。此過程可以由技術(shù)人員人工完成，也可以由計(jì)算機(jī)自動(dòng)的完成。具體的應(yīng)答數(shù)據(jù)的類型屬性包括，但不限于WEB頁面信息；加載在WEB頁面中的腳本程序；FTP數(shù)據(jù)的回應(yīng)，包括上傳FTP回應(yīng)與下載FTP回應(yīng)；MAIL郵件；以及其他類型的文件傳輸和網(wǎng)絡(luò)應(yīng)用服務(wù)等。具體的參照?qǐng)D11，本領(lǐng)域內(nèi)的一般技術(shù)人員可以使用SNIFER等工具程序分析應(yīng)答數(shù)據(jù)的數(shù)據(jù)包，從而確定應(yīng)答數(shù)據(jù)的類型屬性。
判斷情況AA1根據(jù)應(yīng)答數(shù)據(jù)的類型屬性，將所述的應(yīng)答數(shù)據(jù)與所述訪問信息數(shù)據(jù)庫進(jìn)行比對(duì)，判斷所述目的主機(jī)的應(yīng)答數(shù)據(jù)是否存在異常的、非法的網(wǎng)絡(luò)入侵。具體的，在一個(gè)實(shí)施例中，通過多種角度和多種情況進(jìn)行描述A1.攻擊類型Land攻擊是一種拒絕服務(wù)攻擊，用于Land攻擊的數(shù)據(jù)包中的源地址和目標(biāo)地址是相同的，因?yàn)楫?dāng)操作系統(tǒng)接收到這類數(shù)據(jù)包時(shí)，不知道該如何處理堆棧中通信源地址和目的地址相同的這種情況，或者循環(huán)發(fā)送和接收該數(shù)據(jù)包，消耗大量的系統(tǒng)資源，從而有可能造成系統(tǒng)崩潰或死機(jī)等現(xiàn)象；針對(duì)A1檢測(cè)方法判斷網(wǎng)絡(luò)數(shù)據(jù)包的源地址和目標(biāo)地址是否相同。
A2.攻擊類型TCP SYN攻擊是一種拒絕服務(wù)攻擊，它是利用TCP客戶機(jī)與服務(wù)器之間三次握手過程的缺陷來進(jìn)行的；攻擊者通過偽造源IP地址向被攻擊者發(fā)送大量的SYN數(shù)據(jù)包，當(dāng)被攻擊主機(jī)接收到大量的SYN數(shù)據(jù)包時(shí)，需要使用大量的緩存來處理這些連接，并將SYN ACK數(shù)據(jù)包發(fā)送回錯(cuò)誤的IP地址，并一直等待ACK數(shù)據(jù)包的回應(yīng)，最終導(dǎo)致緩存用完，不能再處理其它合法的SYN連接，即不能對(duì)外提供正常服務(wù)；針對(duì)A2檢測(cè)方法檢查單位時(shí)間內(nèi)收到的SYN連接否收超過系統(tǒng)設(shè)定的值。
A3.攻擊類型Ping Of Death攻擊是一種拒絕服務(wù)攻擊，該攻擊數(shù)據(jù)包大于65535個(gè)字節(jié)；由于部分操作系統(tǒng)接收到長度大于65535字節(jié)的數(shù)據(jù)包時(shí)，就會(huì)造成內(nèi)存溢出、系統(tǒng)崩潰、重啟、內(nèi)核失敗等后果，從而達(dá)到攻擊的目的；針對(duì)A3.檢測(cè)方法判斷數(shù)據(jù)包的大小是否大于65535個(gè)字節(jié)。
A4.攻擊類型WinNuke攻擊是一種拒絕服務(wù)攻擊，WinNuke攻擊又稱帶外傳輸攻擊，它的特征是攻擊目標(biāo)端口，被攻擊的目標(biāo)端口通常是139、138、137、113、53，而且URG位設(shè)為“1”，即緊急模式；針對(duì)A4檢測(cè)方法判斷數(shù)據(jù)包目標(biāo)端口是否為139、138、137等，并判斷URG位是否為“1”。
A5.攻擊類型Teardrop攻擊是一種拒絕服務(wù)攻擊，Teardrop是基于UDP的病態(tài)分片數(shù)據(jù)包的攻擊方法，其工作原理是向被攻擊者發(fā)送多個(gè)分片的IP包(IP分片數(shù)據(jù)包中包括該分片數(shù)據(jù)包屬于哪個(gè)數(shù)據(jù)包以及在數(shù)據(jù)包中的位置等信息)，某些操作系統(tǒng)收到含有重疊偏移的偽造分片數(shù)據(jù)包時(shí)將會(huì)出現(xiàn)系統(tǒng)崩潰、重啟等現(xiàn)象；針對(duì)A5檢測(cè)方法對(duì)接收到的分片數(shù)據(jù)包進(jìn)行分析，計(jì)算數(shù)據(jù)包的片偏移量(Offset)是否有誤。
A6.攻擊類型TCP/UDP端口掃描是一種預(yù)探測(cè)攻擊，對(duì)被攻擊主機(jī)的不同端口發(fā)送TCP或UDP連接請(qǐng)求，探測(cè)被攻擊對(duì)象運(yùn)行的服務(wù)類型；針對(duì)A6檢測(cè)方法統(tǒng)計(jì)外界對(duì)系統(tǒng)端口的連接請(qǐng)求，特別是對(duì)21、23、25、53、80、8000、8080等以外的非常用端口的連接請(qǐng)求。
技術(shù)人員可以使用工具程序或由計(jì)算機(jī)分析出以上所述的檢測(cè)方法對(duì)應(yīng)的特征網(wǎng)絡(luò)數(shù)據(jù)包中的特征數(shù)據(jù)，技術(shù)人員可以使用工具程序或由計(jì)算機(jī)分析出以上所述的檢測(cè)方法對(duì)應(yīng)的特征行為。
將所述目的主機(jī)的應(yīng)答數(shù)據(jù)與分析出的所述特征數(shù)據(jù)進(jìn)行比對(duì)，判斷所述目的主機(jī)的應(yīng)答數(shù)據(jù)是否存在異常的、非法的網(wǎng)絡(luò)入侵，或者也可以根據(jù)上述所提供的攻擊類型和相應(yīng)檢測(cè)方法，技術(shù)人員或計(jì)算機(jī)可以將所述目的主機(jī)的應(yīng)答數(shù)據(jù)與以上所述的檢測(cè)方法對(duì)應(yīng)的特征行為進(jìn)行比對(duì)，判斷所述目的主機(jī)的應(yīng)答數(shù)據(jù)是否存在異常的、非法的網(wǎng)絡(luò)入侵。
判斷情況BB1根據(jù)應(yīng)答數(shù)據(jù)的類型屬性，將所述的應(yīng)答數(shù)據(jù)與所述病毒信息數(shù)據(jù)庫進(jìn)行比對(duì)，判斷所述目的主機(jī)的應(yīng)答數(shù)據(jù)是否存在病毒性的不安全數(shù)據(jù)。
技術(shù)人員或計(jì)算機(jī)可以根據(jù)步驟S3所述的分析病毒的特征信息的規(guī)則及過程提取出病毒的特征信息，將所述目的主機(jī)的應(yīng)答數(shù)據(jù)與所述的病毒的特征信息進(jìn)行比對(duì)，判斷所述目的主機(jī)的應(yīng)答數(shù)據(jù)是否存在病毒性的不安全數(shù)據(jù)。現(xiàn)有的防病毒技術(shù)的實(shí)現(xiàn)方式存在多種。但是由于篇幅有限，在此就不再贅述。
步驟S5，過濾掉目的主機(jī)的應(yīng)答數(shù)據(jù)中存在的危害數(shù)據(jù)。
根據(jù)步驟S1、S2、S3和S4所描述的，所述代理服務(wù)器代替所述終端訪問所述目的主機(jī)。根據(jù)步驟S1，網(wǎng)絡(luò)中的終端訪問目的主機(jī)前先訪問代理服務(wù)器。由于步驟S1已經(jīng)將原本所述終端要發(fā)送到目的主機(jī)的請(qǐng)求數(shù)據(jù)包經(jīng)過修改處理后發(fā)送到了所述代理服務(wù)器，實(shí)質(zhì)上也就等同于所述終端向所述的代理服務(wù)器發(fā)起的訪問請(qǐng)求，所以所述代理服務(wù)器收到了來自所述終端的訪問請(qǐng)求數(shù)據(jù)包。根據(jù)步驟S3和S4，建立存儲(chǔ)有非法的網(wǎng)絡(luò)訪問特征信息的訪問信息數(shù)據(jù)庫，所述訪問信息數(shù)據(jù)庫存儲(chǔ)有非法的網(wǎng)絡(luò)訪問特征信息，根據(jù)應(yīng)答數(shù)據(jù)的類型屬性，將目的主機(jī)的應(yīng)答數(shù)據(jù)與訪問信息數(shù)據(jù)庫中存儲(chǔ)的信息進(jìn)行比對(duì)，判斷是否是異常的，非法的網(wǎng)絡(luò)入侵；建立存儲(chǔ)有病毒的特征信息的病毒信息數(shù)據(jù)庫，所述病毒信息數(shù)據(jù)庫存儲(chǔ)有病毒的特征信息，根據(jù)應(yīng)答數(shù)據(jù)的類型屬性，將目的主機(jī)的應(yīng)答數(shù)據(jù)與病毒信息數(shù)據(jù)庫中存儲(chǔ)的信息進(jìn)行比對(duì)，判斷是否存在病毒性的不安全數(shù)據(jù)。
根據(jù)步驟S4、步驟S5，具體的，在一個(gè)實(shí)例中進(jìn)行說明。
案例的情況描述通過地址和端口重新定向的非法手段，移植木馬程序。在網(wǎng)絡(luò)中，表面上看，目的主機(jī)A是一臺(tái)提供WEB服務(wù)的主機(jī)，攻擊者入侵了目的主機(jī)A，并且在所述目的主機(jī)A的網(wǎng)頁文件中隱蔽的加入了從定向指令(redir--lport＝80--laddr＝--cport＝80--caddr＝XXX.XXX.XXX.XXX)，造成凡是訪問所述目的主機(jī)A的終端，都被從定向到另一臺(tái)主機(jī)(目的主機(jī)B)上并通過目的主機(jī)B的WEB頁面給終端移植了木馬程序。
情況AA2的實(shí)例過程
所述代理服務(wù)器接收到了目的主機(jī)A的應(yīng)答數(shù)據(jù)，所述應(yīng)答數(shù)據(jù)中包含重定向指令(redir--lport＝80--laddr＝--cport＝80--caddr＝XXX.XXX.XXX.XXX)；通過設(shè)置在所述代理服務(wù)器內(nèi)的安全過濾程序掃描、檢測(cè)來自目的主機(jī)A的應(yīng)答數(shù)據(jù)，并根據(jù)所述根據(jù)應(yīng)答數(shù)據(jù)的類型屬性將所述應(yīng)答數(shù)據(jù)與訪問信息數(shù)據(jù)庫中存儲(chǔ)的信息進(jìn)行比對(duì)；(如果，所述訪問信息數(shù)據(jù)庫中存儲(chǔ)的信息包括所述重定向指令)判斷來自目的主機(jī)A的應(yīng)答數(shù)據(jù)存在異常的、非法的網(wǎng)絡(luò)入侵；所述安全過濾程序攔截所述重定向指令。
情況BB2的實(shí)例過程所述代理服務(wù)器接收到了目的主機(jī)A的應(yīng)答數(shù)據(jù)，所述應(yīng)答數(shù)據(jù)中包含數(shù)據(jù)串(E9 7C 00 10 27 37 CB)；通過設(shè)置在所述代理服務(wù)器內(nèi)的安全過濾程序掃描、檢測(cè)來自目的主機(jī)A的應(yīng)答數(shù)據(jù)，并根據(jù)所述根據(jù)應(yīng)答數(shù)據(jù)的類型屬性將所述應(yīng)答數(shù)據(jù)與病毒信息數(shù)據(jù)庫中存儲(chǔ)的信息進(jìn)行比對(duì)；<如果，所述病毒信息數(shù)據(jù)庫中存儲(chǔ)的某一木馬病毒的特征信息(E9 7C 0010？37 CB)>
判斷來自目的主機(jī)A的應(yīng)答數(shù)據(jù)存在病毒性的不安全數(shù)據(jù)；所述安全過濾程序刪除所述木馬病毒。
情況AA2的實(shí)例過程和情況BB2的實(shí)例過程以及步驟S4描述的判斷情況AA1和判斷情況BB1，說明了所述代理服務(wù)器設(shè)置的所述安全過濾程序過濾掉所述的應(yīng)答數(shù)據(jù)中存在的危害性數(shù)據(jù)的過程與方式。
步驟S6，代理服務(wù)器將應(yīng)答數(shù)據(jù)中正常的、合法的、不具有病毒性的安全數(shù)據(jù)轉(zhuǎn)發(fā)給終端。參照?qǐng)D9，邏輯上，所述步驟S6實(shí)質(zhì)上是步驟S1的一個(gè)逆向過程。
在步驟S1中，網(wǎng)絡(luò)終端將要發(fā)送給目的主機(jī)的訪問請(qǐng)求數(shù)據(jù)發(fā)送給了代理服務(wù)器，由所述代理服務(wù)器根據(jù)收到的所述訪問請(qǐng)求數(shù)據(jù)的內(nèi)容，代替所述終端訪問所述目的主機(jī)。
根據(jù)步驟S2所描述的所述代理服務(wù)器代替所述終端訪問所述目的主機(jī)。所述終端向所述的代理服務(wù)器發(fā)起的訪問請(qǐng)求，所以所述代理服務(wù)器收到了來自所述終端的訪問請(qǐng)求數(shù)據(jù)包。由所述代理服務(wù)器根據(jù)收到的所述訪問請(qǐng)求數(shù)據(jù)的內(nèi)容向所述目的主機(jī)發(fā)送訪問請(qǐng)求數(shù)據(jù)，依據(jù)網(wǎng)絡(luò)原理，所述目的主機(jī)根據(jù)所述代理服務(wù)器發(fā)送的訪問請(qǐng)求數(shù)據(jù)的內(nèi)容或類型，向所述的代理服務(wù)器返回應(yīng)答數(shù)據(jù)。所述的應(yīng)答數(shù)據(jù)的內(nèi)容和類型和所述的訪問請(qǐng)求數(shù)據(jù)的內(nèi)容或類型是相對(duì)應(yīng)的。
根據(jù)步驟S3所描述的建立存儲(chǔ)有非法的網(wǎng)絡(luò)訪問特征信息的訪問信息數(shù)據(jù)庫，所述訪問信息數(shù)據(jù)庫存儲(chǔ)有非法的網(wǎng)絡(luò)訪問特征信息；建立存儲(chǔ)有病毒的特征信息的病毒信息數(shù)據(jù)庫，所述病毒信息數(shù)據(jù)庫存儲(chǔ)有病毒的特征信息。
根據(jù)步驟S4所描述的根據(jù)應(yīng)答數(shù)據(jù)的類型屬性，將目的主機(jī)的應(yīng)答數(shù)據(jù)與訪問信息數(shù)據(jù)庫中存儲(chǔ)的信息進(jìn)行比對(duì)，判斷是否是異常的，非法的網(wǎng)絡(luò)入侵；根據(jù)應(yīng)答數(shù)據(jù)的類型屬性，將目的主機(jī)的應(yīng)答數(shù)據(jù)與病毒信息數(shù)據(jù)庫中存儲(chǔ)的信息進(jìn)行比對(duì)，判斷是否存在病毒性的不安全數(shù)據(jù)。
根據(jù)步驟S5所描述的所述代理服務(wù)器設(shè)置的所述安全過濾程序過濾掉所述的應(yīng)答數(shù)據(jù)中存在的危害性數(shù)據(jù)。根據(jù)步驟S6所描述的，代理服務(wù)器將應(yīng)答數(shù)據(jù)中正常的、合法的、不具有病毒性的安全數(shù)據(jù)轉(zhuǎn)發(fā)給終端。
現(xiàn)有本技術(shù)領(lǐng)域的技術(shù)人員要完成上述描述的步驟S1到步驟S6，還要對(duì)一些技術(shù)的實(shí)施細(xì)節(jié)加以注意和處理，當(dāng)然還可以使用本領(lǐng)域內(nèi)技術(shù)人員所熟悉的方法。
情況注意ABC如果終端向代理服務(wù)器發(fā)出的是TCP數(shù)據(jù)，技術(shù)人員還要修改一下協(xié)議的相關(guān)延時(shí)的參數(shù)，也可以使用虛擬回應(yīng)的技術(shù)方式或者其他的技術(shù)手段，防止由于等待回應(yīng)的時(shí)間過長，超出了協(xié)議設(shè)定的等待確認(rèn)信號(hào)的時(shí)間，而出現(xiàn)網(wǎng)絡(luò)中斷錯(cuò)誤。由于處理這種問題能采用的技術(shù)方式存在多種，技術(shù)人員可以根據(jù)需要和實(shí)際情況任選。但是由于篇幅有限，在此就不再贅述。
當(dāng)然，本領(lǐng)域內(nèi)技術(shù)人員還可以使用所熟悉的方法。無論采用哪一種實(shí)施方法，只要采用了終端通過代理服務(wù)器代替所述終端去訪問網(wǎng)絡(luò)中的目的主機(jī)，從而防止所述終端被來自網(wǎng)絡(luò)具有危害性的數(shù)據(jù)所危害的方式，則就屬于本發(fā)明的構(gòu)思之一。
參照?qǐng)D2，是本發(fā)明過濾網(wǎng)絡(luò)中終端與目的主機(jī)間傳輸?shù)奈：π詳?shù)據(jù)的方法的第二實(shí)施例的步驟流程圖，圖2與圖1所示的大部分方法中的步驟類似，在此就不再贅述。圖2所示的方法與圖1所示的方法主要區(qū)別就在于具體實(shí)施方式
上的略微改變?，F(xiàn)有本技術(shù)領(lǐng)域的技術(shù)人員還可以按照以下流程實(shí)現(xiàn)本發(fā)明。
具體的，在一個(gè)實(shí)例中進(jìn)行說明。
實(shí)例過程部分-步驟21網(wǎng)絡(luò)中的終端目的是要訪問網(wǎng)絡(luò)中的某一目的主機(jī)；終端的網(wǎng)絡(luò)系統(tǒng)向所述目的主機(jī)發(fā)送訪問請(qǐng)求數(shù)據(jù)；根據(jù)步驟S1所描述的方法，內(nèi)置于所述終端內(nèi)的終端訪問控制程序截獲來了所述終端的網(wǎng)絡(luò)系統(tǒng)向所述目的主機(jī)發(fā)送訪問請(qǐng)求數(shù)據(jù)的數(shù)據(jù)包；根據(jù)先前描述的步驟S1所描述的方法，修改所述請(qǐng)求數(shù)據(jù)的數(shù)據(jù)包的信息，并將修改后的訪問請(qǐng)求數(shù)據(jù)的數(shù)據(jù)包發(fā)送到預(yù)先設(shè)定的代理服務(wù)器。
實(shí)例過程部分-步驟22內(nèi)置于所述代理服務(wù)器內(nèi)的服務(wù)器訪問控制程序接收到了來自所述終端訪問控制程序發(fā)送的訪問請(qǐng)求數(shù)據(jù)；所述代理服務(wù)器獲知了所述訪問請(qǐng)求數(shù)據(jù)的內(nèi)容，并依據(jù)所述訪問請(qǐng)求數(shù)據(jù)的內(nèi)容代替所述終端向所述目的主機(jī)發(fā)送訪問請(qǐng)求數(shù)據(jù)。
實(shí)例過程部分-步驟23根據(jù)步驟S3所描述的建立存儲(chǔ)有非法的網(wǎng)絡(luò)訪問特征信息的訪問信息數(shù)據(jù)庫，所述訪問信息數(shù)據(jù)庫存儲(chǔ)有非法的網(wǎng)絡(luò)訪問特征信息；建立存儲(chǔ)有病毒的特征信息的病毒信息數(shù)據(jù)庫，所述病毒信息數(shù)據(jù)庫存儲(chǔ)有病毒的特征信息。
實(shí)例過程部分-步驟24根據(jù)網(wǎng)絡(luò)原理，所述目的主機(jī)應(yīng)答所述代理服務(wù)器的訪問請(qǐng)求，將應(yīng)答數(shù)據(jù)發(fā)送給所述代理服務(wù)器；根據(jù)先前描述的步驟S4所描述的方法，判斷應(yīng)答數(shù)據(jù)的類型屬性，并根據(jù)應(yīng)答數(shù)據(jù)的類型屬性與所述訪問信息數(shù)據(jù)庫或病毒信息數(shù)據(jù)庫進(jìn)行對(duì)比；判斷是否存在異常的，非法的網(wǎng)絡(luò)入侵或者病毒性的不安全數(shù)據(jù)。
實(shí)例過程部分-步驟25過濾掉所述目的主機(jī)應(yīng)答數(shù)據(jù)中存在的危害性數(shù)據(jù)。
實(shí)例過程部分-步驟26代理服務(wù)器將應(yīng)答數(shù)據(jù)中正常的、合法的、不具有病毒性的安全數(shù)據(jù)轉(zhuǎn)發(fā)給終端；所述代理服務(wù)器將所述過濾掉的信息告知所述終端。
以上實(shí)例中所涉及到的實(shí)現(xiàn)方法和過程大部分都類似于先前所描述的方法，本領(lǐng)域內(nèi)技術(shù)人員可以根據(jù)具體的實(shí)際情況選擇實(shí)施方式或者使用所熟悉的方法。在此就不再贅述。
實(shí)例過程部分-步驟24所涉及的識(shí)別應(yīng)答數(shù)據(jù)的類型屬性，本領(lǐng)域內(nèi)的一般技術(shù)人員可以使用SNIFER等工具程序或者使用熟悉的方法分析應(yīng)答數(shù)據(jù)的數(shù)據(jù)包，并且獲得確定應(yīng)答數(shù)據(jù)的類型屬性；數(shù)據(jù)包內(nèi)容的代碼信息，并且打印數(shù)據(jù)包內(nèi)容的代碼；通過先前敘述的比對(duì)的過程，判斷應(yīng)答數(shù)據(jù)中是否存在不安全性的數(shù)據(jù)。
技術(shù)人員還可以使用其他熟悉的方法或由計(jì)算機(jī)自動(dòng)獲得實(shí)例過程部分-步驟24所涉及的識(shí)別應(yīng)答數(shù)據(jù)的類型屬性。具體的方法存在很多種，在此就不再贅述。
本領(lǐng)域的一般技術(shù)人員實(shí)施本發(fā)明具體的實(shí)例可以依照?qǐng)D10來完成實(shí)施，實(shí)施步驟可以參照?qǐng)D1和圖2，并結(jié)合前面所說明的情況注意ABC。
以上對(duì)本發(fā)明所提供的過濾網(wǎng)絡(luò)中終端與目的主機(jī)間傳輸?shù)奈：π詳?shù)據(jù)的方法進(jìn)行了詳細(xì)介紹，本文中應(yīng)用了具體個(gè)例對(duì)本發(fā)明的原理及實(shí)施方式進(jìn)行了闡述，以上實(shí)施例的說明只是用于幫助理解本發(fā)明的方法及其核心思想；同時(shí)，對(duì)于本領(lǐng)域的一般技術(shù)人員，依據(jù)本發(fā)明的思想，在具體實(shí)施方式
及應(yīng)用范圍上均會(huì)有改變之處，綜上所述，本說明書內(nèi)容不應(yīng)理解為對(duì)本發(fā)明的限制。
權(quán)利要求
1.一種過濾網(wǎng)絡(luò)中終端與目的主機(jī)間傳輸?shù)奈：π詳?shù)據(jù)的方法，其特征在于，包括網(wǎng)絡(luò)中的終端訪問目的主機(jī)前先訪問代理服務(wù)器；所述代理服務(wù)器代替所述終端訪問所述目的主機(jī)；所述代理服務(wù)器過濾掉存在于所述目的主機(jī)的應(yīng)答數(shù)據(jù)中的危害性數(shù)據(jù)；所述代理服務(wù)器將所述應(yīng)答數(shù)據(jù)中的正常的、合法的、不具有病毒性的安全數(shù)據(jù)轉(zhuǎn)發(fā)給所述終端。
2.根據(jù)權(quán)利要求1所述的過濾網(wǎng)絡(luò)中終端與目的主機(jī)間傳輸?shù)奈：π詳?shù)據(jù)的方法，其特征在于所述終端通過所述代理服務(wù)器向所述目的主機(jī)發(fā)送訪問請(qǐng)求數(shù)據(jù)信息。
3.根據(jù)權(quán)利要求1所述的過濾網(wǎng)絡(luò)中終端與目的主機(jī)間傳輸?shù)奈：π詳?shù)據(jù)的方法，其特征在于所述代理服務(wù)器在網(wǎng)絡(luò)中是所述終端和所述目的主機(jī)之間的中間節(jié)點(diǎn)，所述代理服務(wù)器雙向傳遞從所述終端到所述目的主機(jī)的數(shù)據(jù)和從所述目的主機(jī)到所述終端的數(shù)據(jù)。
4.根據(jù)權(quán)利要求1、2或3所述的過濾網(wǎng)絡(luò)中終端與目的主機(jī)間傳輸?shù)奈：π詳?shù)據(jù)的方法，其特征在于，還包括根據(jù)所述的終端編制對(duì)應(yīng)的終端訪問控制程序；根據(jù)所述的代理服務(wù)器編制對(duì)應(yīng)的代理服務(wù)器訪問控制程序；將所述的終端訪問控制程序嵌入到所述的終端；將所述的代理服務(wù)器訪問控制程序嵌入到所述的代理服務(wù)器；所述代理服務(wù)器訪問控制程序是對(duì)應(yīng)于終端訪問控制程序。
5.根據(jù)權(quán)利要求1、2或3所述的過濾網(wǎng)絡(luò)中終端與目的主機(jī)間傳輸?shù)奈：π詳?shù)據(jù)的方法，其特征在于，還包括所述的終端調(diào)用所述的終端訪問控制程序，通過所述的終端訪問控制程序向所述的代理服務(wù)器發(fā)送訪問目的主機(jī)的數(shù)據(jù)信息；所述的代理服務(wù)器訪問控制程序根據(jù)接收到的所述訪問目的主機(jī)的數(shù)據(jù)信息向所述目的主機(jī)發(fā)送訪問請(qǐng)求；根據(jù)所述的目的主機(jī)的應(yīng)答數(shù)據(jù)信息，所述代理服務(wù)器應(yīng)答所述終端的訪問請(qǐng)求。
6.根據(jù)權(quán)利要求1、2或3所述的過濾網(wǎng)絡(luò)中終端與目的主機(jī)間傳輸?shù)奈：π詳?shù)據(jù)的方法，其特征在于在網(wǎng)絡(luò)中，所述終端訪問控制程序和所述代理服務(wù)器訪問控制程序?qū)⑺龃矸?wù)器相對(duì)于所述終端邏輯上是透明的。
7.根據(jù)權(quán)利要求1、2或3所述的過濾網(wǎng)絡(luò)中終端與目的主機(jī)間傳輸?shù)奈：π詳?shù)據(jù)的方法，其特征在于所述終端訪問控制程序和代理服務(wù)器訪問控制程序?qū)⒋矸?wù)器邏輯上成為終端的虛擬裝置。
8.根據(jù)權(quán)利要求1所述的過濾網(wǎng)絡(luò)中終端與目的主機(jī)間傳輸?shù)奈：π詳?shù)據(jù)的方法，其特征在于，還包括所述的終端調(diào)用所述的終端訪問控制程序，通過所述的終端訪問控制程序向所述的代理服務(wù)器發(fā)送訪問目的主機(jī)的數(shù)據(jù)信息；所述的代理服務(wù)器訪問控制程序根據(jù)接收到的所述訪問目的主機(jī)的數(shù)據(jù)信息向所述目的主機(jī)發(fā)送訪問請(qǐng)求；根據(jù)所述的目的主機(jī)的應(yīng)答數(shù)據(jù)信息，所述代理服務(wù)器應(yīng)答所述終端的訪問請(qǐng)求；根據(jù)所述的代理服務(wù)器編制安全過濾程序；將所述的安全過濾程序嵌入到所述的代理服務(wù)器。
9.根據(jù)權(quán)利要求1、2、3或8所述的過濾網(wǎng)絡(luò)中終端與目的主機(jī)間傳輸?shù)奈：π詳?shù)據(jù)的方法，其特征在于所述代理服務(wù)器設(shè)置的所述安全過濾程序掃描所述目的主機(jī)的應(yīng)答數(shù)據(jù)，并根據(jù)所述的掃描判斷所述的應(yīng)答數(shù)據(jù)是否存在危害性數(shù)據(jù)。
10.根據(jù)權(quán)利要求1、2、3或8所述的過濾網(wǎng)絡(luò)中終端與目的主機(jī)間傳輸?shù)奈：π詳?shù)據(jù)的方法，其特征在于，還包括建立訪問信息數(shù)據(jù)庫，所述訪問信息數(shù)據(jù)庫存儲(chǔ)有非法的網(wǎng)絡(luò)訪問特征信息；所述安全過濾程序?qū)@得的所述目的主機(jī)的應(yīng)答數(shù)據(jù)與所述訪問信息數(shù)據(jù)庫中存儲(chǔ)的信息進(jìn)行比對(duì)，判斷所述目的主機(jī)的應(yīng)答數(shù)據(jù)是否存在異常的、非法的網(wǎng)絡(luò)入侵。
11.根據(jù)權(quán)利要求1、2、3或8所述的過濾網(wǎng)絡(luò)中終端與目的主機(jī)間傳輸?shù)奈：π詳?shù)據(jù)的方法，其特征在于，還包括建立病毒信息數(shù)據(jù)庫，所述病毒信息數(shù)據(jù)庫存儲(chǔ)有病毒的特征信息；所述安全過濾程序?qū)@得的所述目的主機(jī)的應(yīng)答數(shù)據(jù)與所述病毒信息數(shù)據(jù)庫中存儲(chǔ)的信息進(jìn)行比對(duì)，判斷所述目的主機(jī)的應(yīng)答數(shù)據(jù)是否存在病毒性的不安全數(shù)據(jù)。
12.根據(jù)權(quán)利要求1、2、3或8所述的過濾網(wǎng)絡(luò)中終端與目的主機(jī)間傳輸?shù)奈：π詳?shù)據(jù)的方法，其特征在于，還包括所述代理服務(wù)器設(shè)置的所述安全過濾程序掃描所述目的主機(jī)的應(yīng)答數(shù)據(jù)，并根據(jù)掃描判斷所述的應(yīng)答數(shù)據(jù)是否存在危害性數(shù)據(jù)；所述代理服務(wù)器設(shè)置的所述安全過濾程序過濾掉所述的應(yīng)答數(shù)據(jù)中存在的危害性數(shù)據(jù)。
13.根據(jù)權(quán)利要求1、2、3或8所述的過濾網(wǎng)絡(luò)中終端與目的主機(jī)間傳輸?shù)奈：π詳?shù)據(jù)的方法，其特征在于將所述應(yīng)答數(shù)據(jù)中的正常的、合法的、不具有病毒性的安全數(shù)據(jù)通過所述代理服務(wù)器訪問控制程序轉(zhuǎn)發(fā)給所述終端。
14.根據(jù)權(quán)利要求1、2、3或8所述的過濾網(wǎng)絡(luò)中終端與目的主機(jī)間傳輸?shù)奈：π詳?shù)據(jù)的方法，其特征在于，還包括終端通過所述終端訪問控制程序?qū)⑻峤唤o目的主機(jī)、目的設(shè)備的訪問數(shù)據(jù)提交給所述代理服務(wù)器訪問控制程序；所述代理服務(wù)器代替所述終端訪問所述目的主機(jī)；所述代理服務(wù)器設(shè)置的所述安全過濾程序掃描所述目的主機(jī)的應(yīng)答數(shù)據(jù)，并根據(jù)掃描判斷所述的應(yīng)答數(shù)據(jù)是否存在危害性數(shù)據(jù)；所述代理服務(wù)器設(shè)置的所述安全過濾程序過濾掉所述的應(yīng)答數(shù)據(jù)中存在的危害性數(shù)據(jù)。
15.根據(jù)權(quán)利要求1、2、3或8所述的過濾網(wǎng)絡(luò)中終端與目的主機(jī)間傳輸?shù)奈：π詳?shù)據(jù)的方法，其特征在于，還包括終端通過所述終端訪問控制程序?qū)⑻峤唤o目的主機(jī)、目的設(shè)備的訪問數(shù)據(jù)提交給所述代理服務(wù)器訪問控制程序；所述代理服務(wù)器代替所述終端訪問所述目的主機(jī)；所述代理服務(wù)器設(shè)置的所述安全過濾程序掃描所述目的主機(jī)的應(yīng)答數(shù)據(jù)，并根據(jù)掃描判斷所述的應(yīng)答數(shù)據(jù)是否存在危害性數(shù)據(jù)；所述代理服務(wù)器設(shè)置的所述安全過濾程序過濾掉所述的應(yīng)答數(shù)據(jù)中存在的危害性數(shù)據(jù)；所述應(yīng)答數(shù)據(jù)中的正常的、合法的、不具有病毒性的安全數(shù)據(jù)由所述代理服務(wù)器訪問控制程序轉(zhuǎn)發(fā)給所述終端；所述代理服務(wù)器將所述過濾掉的信息告知所述終端。
全文摘要
本發(fā)明公開了一種過濾網(wǎng)絡(luò)中終端與目的主機(jī)間傳輸?shù)奈：π詳?shù)據(jù)的方法，包括網(wǎng)絡(luò)中的終端訪問目的主機(jī)前先訪問代理服務(wù)器；所述代理服務(wù)器代替所述終端訪問所述目的主機(jī)；所述代理服務(wù)器過濾掉存在于所述目的主機(jī)的應(yīng)答數(shù)據(jù)中的危害性數(shù)據(jù)；所述代理服務(wù)器將所述應(yīng)答數(shù)據(jù)中的非危害性數(shù)據(jù)轉(zhuǎn)發(fā)給所述終端。本發(fā)明采用的是在網(wǎng)絡(luò)中通過代理服務(wù)器代替所述的終端訪問網(wǎng)絡(luò)中的目的主機(jī)，并且設(shè)置在所述代理服務(wù)器內(nèi)的安全過濾程序檢測(cè)所述目的主機(jī)的應(yīng)答數(shù)據(jù)，代理服務(wù)器將存在于所述應(yīng)答數(shù)據(jù)中的危害性數(shù)據(jù)過濾掉，將所述應(yīng)答數(shù)據(jù)中的不具有危害性的數(shù)據(jù)轉(zhuǎn)發(fā)給所述終端，保證了從網(wǎng)絡(luò)進(jìn)入所述終端的數(shù)據(jù)是不具有危害性的安全數(shù)據(jù)。
文檔編號(hào)H04L29/06GK1960246SQ20061015219
公開日2007年5月9日 申請(qǐng)日期2006年9月18日 優(yōu)先權(quán)日2006年9月18日
發(fā)明者白杰 申請(qǐng)人:白杰