[发明专利]检测DNS黑洞劫持的方法、装置及系统

说明书

技术领域

本发明涉及信息安全技术领域，特别是涉及检测DNS黑洞劫持的方法、装置及系统。

背景技术

随着互联网的普及，用户对网络的需求越来越大。而普通用户在日常访问网络站点时最常见的方法是通过域名访问，而机器实际能够读取的是主机的IP地址，此时就会涉及到一个域名解析的问题，这就要用到DNS(Domain Name System，计算机域名系统)。DNS是由解析器和域名服务器组成的。其中，域名服务器是指保存有该网络中所有主机的域名和对应IP地址，并具有将域名转换为IP地址功能的服务器。通过DNS，能够使人们更方便的访问互联网，而不用去记住能够被机器直接读取的IP地址数字串。

但是，在实际应用中，经常会出现域名无法正常解析的情况。当域名无法正常解析时，网络站点便无法正常访问。此时有些网络运营商便可能会执行DNS黑洞劫持，也即将无法解析的域名重定向到网络运营商自己的IP地址，并在用户连接该IP地址的时候，向用户展示一个广告或导航页面等来替代无法访问的页面，用以达到增加自身广告收入等目的。但这种广告或导航页面同时也会对用户造成干扰，造成用户反感。

因此，迫切需要本领域技术人员解决的技术问题就在于，如何在用户访问网页的过程中，检测出DNS黑洞劫持行为，进而避免用户受到广告或导航页面等劫持页面的干扰。

发明内容

本发明提供了检测DNS黑洞劫持的方法、装置及系统，能够检测出DNS黑洞劫持行为，进而避免用户受到广告或导航页面等劫持页面的干扰。

本发明提供了如下方案：

一种检测DNS黑洞劫持的方法，包括：

抓取网络中的网页访问请求对应的超文本传输协议HTTP连接数据包，从所述数据包中提取网页对应的域名以及IP地址，并记录域名与I P地址之间的对应关系；

对抓取到的结果进行统计，获取同一IP地址对应的不同域名的数量；

根据同一IP地址对应的不同域名的数量，确定用于进行DNS黑洞劫持的IP地址，并保存所确定出的用于进行DNS黑洞劫持的IP地址；

当用户的网页访问请求产生当前HTTP连接数据包时，从所述当前HTTP连接数据包中提取出IP地址；

如果所提取出的IP地址出现在所保存的用于进行DNS黑洞劫持的IP地址中，则确定用户的网页访问请求遭受到DNS黑洞劫持。

DNS黑洞劫持DNS黑洞劫持DNS黑洞劫持DNS黑洞劫持

可选的，所述根据同一IP地址对应的不同域名的数量，确定用于进行DNS黑洞劫持的IP地址包括：

提取对应不同域名的数量达到预置条件的IP地址作为待验证IP地址；

获取所述待验证IP地址对应的服务器响应信息；

根据所述服务器响应信息对所述待验证IP地址进行验证，如果验证通过，则将待验证IP地址确定为用于进行DNS黑洞劫持的IP地址。

可选的，所述服务器响应信息中包括网页内容数据包，所述根据所述服务器响应信息对所述待验证IP地址进行验证包括：

从所述待验证IP地址对应的网页内容数据包中提取网页内容，将提取出的网页内容与已知是用于进行DNS黑洞劫持的IP地址对应的网页内容进行比对，如果相似度达到预置阈值，则验证通过。

可选的，所述服务器响应信息中包括网页代码，所述根据所述服务器响应信息对所述待验证IP地址进行验证包括：

判断所述网页代码中是否包含预置的关键代码，如果包含，则验证通过。

可选的，所述预置的关键代码包括跳转指令代码。

一种检测DNS黑洞劫持的装置，包括：

抓取单元，用于抓取网络中的网页访问请求对应的超文本传输协议HTTP连接数据包，从所述数据包中提取网页对应的域名以及IP地址，并记录域名与IP地址之间的对应关系；

统计单元，用于对抓取到的结果进行统计，获取同一IP地址对应的不同域名的数量；

用于劫持的IP地址确定单元，用于根据同一IP地址对应的不同域名的数量，确定用于进行DNS黑洞劫持的IP地址，并保存所确定出的用于进行DNS黑洞劫持的IP地址；

IP地址提取单元，用于当用户的网页访问请求产生当前HTTP连接数据包时，从所述当前HTTP连接数据包中提取出IP地址；

检测单元，用于如果所提取出的IP地址出现在所保存的用于进行DNS黑洞劫持的IP地址中，则确定用户的网页访问请求遭受到DNS黑洞劫持。

可选的，所述用于劫持的IP地址确定单元包括：