[发明专利]通信拦截方法及装置、服务器

权利要求书

1.一种通信拦截方法，其特征在于，所述方法包括：

确定网络流量的数据报文是否为发送至预设主控服务器的数据报文；所述预设主控服务器用于指挥控制僵尸网络；

当所述网络流量的数据报文为发送至预设主控服务器的数据报文时，确定所述网络流量的数据报文的源IP地址，构造与所述网络流量的数据报文相应的响应报文；

将所述响应报文发送至IP地址为所述源IP地址的服务器。

2.根据权利要求1所述的方法，其特征在于，所述确定网络流量的数据报文是否为发送至预设主控服务器的数据报文，包括：

确定网络流量的数据报文的目的IP地址是否在第一黑名单中，所述第一黑名单用于记录指挥控制僵尸网络的主控服务器的IP地址；

当所述网络流量的数据报文的目的IP地址在所述第一黑名单中时，确定所述网络流量的数据报文为发送至预设主控服务器的数据报文。

3.根据权利要求1所述的方法，其特征在于，所述确定网络流量的数据报文是否为发送至预设主控服务器的数据报文，包括：

确定网络流量的数据报文携带的域名是否在所述第二黑名单中，所述第二黑名单用于记录指挥控制僵尸网络的主控服务器的域名；

当所述网络流量的数据报文携带的域名在所述第二黑名单中时，确定所述网络流量的数据报文为发送至预设主控服务器的数据报文。

4.根据权利要求1所述的方法，其特征在于，所述构造与所述网络流量的数据报文相应的响应报文，包括：

确定所述网络流量的数据报文是否为TCP SYN报文；

如果确定所述网络流量的数据报文为TCP SYN报文，构造与所述TCP SYN报文相应的TCP RST响应报文。

5.根据权利要求1所述的方法，其特征在于，所述构造与所述网络流量的数据报文相应的响应报文，包括：

确定所述网络流量的数据报文是否为DNS请求报文；

如果确定所述网络流量的数据报文为DNS请求报文，构造与所述DNS请求报文相应的DNS响应报文。

6.根据权利要求1所述的方法，其特征在于，所述网络流量为从云机房流出的流量的镜像流量。

7.根据权利要求6所述的方法，其特征在于，所述方法还包括：

确定所述云机房中的全部服务器中属于傀儡机的服务器；

确定所述属于傀儡机的服务器对应的用户；

向所述属于傀儡机的服务器的用户发送通知消息。

8.一种通信拦截装置，其特征在于，所述装置包括：

第一确定模块，用于确定网络流量的数据报文是否为发送至预设主控服务器的数据报文；所述预设主控服务器用于指挥控制僵尸网络；

报文构造模块，用于当所述第一确定模块确定所述网络流量的数据报文为发送至预设主控服务器的数据报文时，确定所述网络流量的数据报文的源IP地址，构造与所述网络流量的数据报文相应的响应报文；

第一发送模块，用于将所述报文构造模块构造的所述响应报文发送至IP地址为所述源IP地址的服务器。

9.根据权利要求8所述的装置，其特征在于，所述第一确定模块包括：

第一确定单元，用于确定网络流量的数据报文的目的IP地址是否在第一黑名单中，所述第一黑名单用于记录指挥控制僵尸网络的主控服务器的IP地址；

第二确定单元，用于当所述第一确定单元确定所述网络流量的数据报文的目的IP地址在所述第一黑名单中时，确定所述网络流量的数据报文为发送至预设主控服务器的数据报文。

10.根据权利要求8所述的装置，其特征在于，所述第一确定模块包括：

第三确定单元，用于确定网络流量的数据报文携带的域名是否在所述第二黑名单中，所述第二黑名单用于记录指挥控制僵尸网络的主控服务器的域名；

第四确定单元，用于当所述第三确定单元确定所述网络流量的数据报文携带的域名在所述第二黑名单中时，确定所述网络流量的数据报文为发送至预设主控服务器的数据报文。