[发明专利]一种针对WEB主动推送跳转页面的防御方法和系统

权利要求书

1.一种针对WEB主动推送跳转页面的防御方法，其特征在于，包括以下步骤：

S1，对WEB服务器的数据进行镜像；

S2，对镜像后的数据进行分析，提取WEB服务器的IP、PORT和域名；

S3，依照传输层、应用层的顺序对WEB服务器进行多层次拦截，获得可疑域名；

S4，对所述可疑域名以及对应的IP、PORT缓存；

S5，针对所述可疑域名，模拟WEB流程对WEB服务器进行访问测试；

S6，将测试不通过的可疑域名记录为非法域名，对应的IP+PORT添加到TCP层的黑名单中；

所述S3中，多层次拦截的具体步骤如下：

S31、传输过滤，若WEB服务器的IP+PORT在黑名单内，则进行拦截并结束，否则进入S32；

S32，应用层过滤，若WEB服务器的域名在白名单内，则结束，否则将该域名记为可疑域名；

所述S5中访问测试的具体内容为：

和WEB服务器进行TCP连接，在进行3次握手后不进行WEB的get报文，直接等待数据接收，如果接收到跳转页面，则表示检测到主动推送跳转页面，对应的可疑域名的访问测试不通过。

2.根据权利要求1所述的针对WEB主动推送跳转页面的防御方法，其特征在于， 所述S4的具体方法为：将可疑域名以及对应的IP、PORT写入内存缓存或数据库存储。

3.一种针对WEB主动推送跳转页面的防御系统，其特征在于，包括拦截子系统、共享内存、检测子系统和数据库；

所述拦截子系统接收WEB服务器的数据，包括IP、PORT和域名，并依照传输层、应用层的顺序对WEB服务器进行多层次拦截，获得可疑域名；

所述共享内存用于保存所述可疑域名；

所述检测子系统从共享内存中提取可疑域名，模拟WEB流程对WEB服务器进行访问测试，将测试不通过的可疑域名记录为非法域名，对应的IP+PORT添加到TCP层的黑名单中；

所述数据库用于保存传输层的黑名单以及域名的白名单；

所述多层次拦截的具体步骤如下：

传输层过滤，若WEB服务器的IP+PORT在黑名单内，则进行拦截并结束，否则进入应用层过滤；

应用层过滤，若WEB服务器的域名在白名单内，则结束，否则将该域名记为可疑域名；

所述访问测试的具体内容为：

和WEB服务器进行TCP连接，在进行3次握手后不进行WEB的get报文，直接等待数据接收，如果接收到跳转页面，则表示检测到主动推送跳转页面，对应的可疑域名的访问测试不通过。

4.根据权利要求3所述的针对WEB主动推送跳转页面的防御系统，其特征在于，所述WEB服务器的数据由交换机的网口镜像而来。