[发明专利]检测DNS黑洞劫持的方法、装置及系统

权利要求书

1.一种检测DNS黑洞劫持的方法，包括：

抓取网络中的网页访问请求对应的超文本传输协议HTTP连接数据包，从所述数据包中提取网页对应的域名以及IP地址，并记录域名与I P地址之间的对应关系；

对抓取到的结果进行统计，获取同一IP地址对应的不同域名的数量；

根据同一IP地址对应的不同域名的数量，确定用于进行DNS黑洞劫持的IP地址，并保存所确定出的用于进行DNS黑洞劫持的IP地址；

当用户的网页访问请求产生当前HTTP连接数据包时，从所述当前HTTP连接数据包中提取出IP地址；

如果所提取出的IP地址出现在所保存的用于进行DNS黑洞劫持的IP地址中，则确定用户的网页访问请求遭受到DNS黑洞劫持。

DNS黑洞劫持DNS黑洞劫持DNS黑洞劫持DNS黑洞劫持

2.根据权利要求1所述的方法，所述根据同一IP地址对应的不同域名的数量，确定用于进行DNS黑洞劫持的IP地址包括：

提取对应不同域名的数量达到预置条件的IP地址作为待验证IP地址；

获取所述待验证IP地址对应的服务器响应信息；

根据所述服务器响应信息对所述待验证IP地址进行验证，如果验证通过，则将待验证IP地址确定为用于进行DNS黑洞劫持的IP地址。

3.根据权利要求2所述的方法，所述服务器响应信息中包括网页内容数据包，所述根据所述服务器响应信息对所述待验证IP地址进行验证包括：

从所述待验证IP地址对应的网页内容数据包中提取网页内容，将提取出的网页内容与已知是用于进行DNS黑洞劫持的IP地址对应的网页内容进行比对，如果相似度达到预置阈值，则验证通过。

4.根据权利要求2所述的方法，所述服务器响应信息中包括网页代码，所述根据所述服务器响应信息对所述待验证IP地址进行验证包括：

判断所述网页代码中是否包含预置的关键代码，如果包含，则验证通过。

5.根据权利要求4所述的方法，其特征在于，所述预置的关键代码包括跳转指令代码。

6.一种检测DNS黑洞劫持的装置，包括：

抓取单元，用于抓取网络中的网页访问请求对应的超文本传输协议HTTP连接数据包，从所述数据包中提取网页对应的域名以及IP地址，并记录域名与IP地址之间的对应关系；

统计单元，用于对抓取到的结果进行统计，获取同一IP地址对应的不同域名的数量；

用于劫持的IP地址确定单元，用于根据同一IP地址对应的不同域名的数量，确定用于进行DNS黑洞劫持的IP地址，并保存所确定出的用于进行DNS黑洞劫持的IP地址；

IP地址提取单元，用于当用户的网页访问请求产生当前HTTP连接数据包时，从所述当前HTTP连接数据包中提取出IP地址；

检测单元，用于如果所提取出的IP地址出现在所保存的用于进行DNS黑洞劫持的IP地址中，则确定用户的网页访问请求遭受到DNS黑洞劫持。

7.根据权利要求6所述的装置，所述用于劫持的IP地址确定单元包括：

提取子单元，用于提取对应不同域名的数量达到预置阈值的IP地址作为待验证IP地址；

响应信息获取子单元，用于获取所述待验证IP地址对应的服务器响应信息；

验证子单元，用于根据所述服务器响应信息对所述待验证IP地址进行验证，如果验证通过，则将待验证IP地址确定为用于进行DNS黑洞劫持的IP地址。

8.根据权利要求7所述的装置，所述服务器响应信息中包括网页内容数据包，所述验证子单元包括：

第一验证子单元，用于从所述待验证IP地址对应的网页内容数据包中提取网页内容，将提取出的网页内容与已知是用于进行DNS黑洞劫持的IP地址对应的网页内容进行比对，如果相似度达到预置阈值，则验证通过。

9.根据权利要求7所述的装置，所述服务器响应信息中包括网页代码，所述验证子单元包括：

第二验证子单元，用于判断所述网页代码中是否包含预置的关键代码，如果包含，则验证通过。

10.一种检测DNS黑洞劫持的系统，包括服务器端及客户端，其中，所述服务器端包括：

抓取单元，用于抓取网络中的网页访问请求对应的超文本传输协议HTTP连接数据包，从所述数据包中提取网页对应的域名以及IP地址，并记录域名与IP地址之间的对应关系；

统计单元，用于对抓取到的结果进行统计，获取同一IP地址对应的不同域名的数量；

用于劫持的IP地址确定单元，用于根据同一IP地址对应的不同域名的数量，确定用于进行DNS黑洞劫持的IP地址，并保存所确定出的用于进行DNS黑洞劫持的IP地址；

所述客户端包括：

IP地址提取单元，用于当用户的网页访问请求产生当前HTTP连接数据包时，从所述当前HTTP连接数据包中提取出IP地址；

上传单元，用于将提取出的IP地址上传至服务器端；

所述服务器端还包括：

检测单元，用于如果所提取出的IP地址出现在所保存的用于进行DNS黑洞劫持的IP地址中，则确定用户的网页访问请求遭受到DNS黑洞劫持。