[发明专利]基于标记跟踪的防网络劫持的方法及终端、服务器

说明书

本发明实施例公开一种基于标记跟踪的防网络劫持的方法及终端、服务器，其中方法包括如下步骤：服务器下发的html中每个节点都有唯一的指纹，且该指纹通过混淆编码后再下发至客户端，客户端通过MutationObserver监听整个DOM的变化，在发现新增DOM时，先判断新增DOM的根元素是否具备data‑key，并在具备时判断其data‑key是否为服务器中新增的合法的DOM，进而确定新增DOM是否合法。采用本发明，可以加大针对注入型劫持的破解难度，从而可以提高针对常规注入劫持行为的预防效果。

技术领域

本发明涉及互联网技术领域，尤其涉及一种基于标记跟踪的防网络劫持的方法及终端、服务器。

背景技术

web劫持即网络劫持屡见不鲜，一些运营商网络或伪基站通过劫持用户的网络请求，向服务器返回的web页面中注入第三方广告或营销内容，即使是基于https技术的安全网络请求，劫持方也可以通过中间人攻击手段进行注入。注入劫持不仅严重影响用户体验，同时容易造成用户误解产品提供方质量。

发明内容

本发明实施例提供一种基于标记跟踪的防网络劫持的方法及终端、服务器，可以加大针对注入型劫持的破解难度，从而可以提高针对常规注入劫持行为的预防效果。

本发明实施例第一方面提供了一种基于标记跟踪的防网络劫持的方法，可包括：

客户端接收到服务器下发的html后，在js文件中基于MutationObserver监听整个DOM的变化；

客户端在监听到新增DOM时，判断新增DOM的根元素是否存在data-key，若存在则检测data-key的属性；

当检测到data-key不是服务器基于预生成的NodeID所得到的data-key，客户端确定新增DOM不合法，将其删除。

进一步的，上述方法还包括：

服务器在下发html之前，对html渲染过程中为每一个节点生成一个NodeID；

服务器接收每次请求携带的不同的随机字符串RandomStr；

服务器还根据每个节点的NodeID和RandomStr，生成每个节点的指纹信息fingerprint＝hash(RandomStr+NodeID)；

服务器还将每个节点的指纹信息写入html的每一个节点的data-key中。

进一步的，上述方法还包括：

服务器还将每个节点的指纹信息编码混淆进js文件main.js中；

服务器还通过script标签插入html中随html一起输出至客户端。

进一步的，上述方法还包括：

服务器还在main.js文件中预生成0个或多个NodeID；

若在js文件执行过程中有合法的新增DOM节点，则服务器从预生成的NodeID中按顺序领取对应的指纹信息。

本发明实施例第二方面提供了一种基于标记跟踪的防网络劫持的终端，可包括：

DOM监听模块，用于收到服务器下发的html后，在js文件中基于MutationObserver监听整个DOM的变化；

新增DOM处理模块，用于在监听到新增DOM时，判断新增DOM的根元素是否存在data-key，若存在则检测data-key的属性；

注入劫持模块，用于当检测到data-key不是服务器基于预生成的NodeID所得到的data-key，确定新增DOM不合法，将其删除。