[发明专利]一种基于域名的HTTP访问劫持检测与净化装置及方法

权利要求书

1.一种基于域名的HTTP访问劫持检测与净化装置，其特征在于，包括监听模块、匹配模块和DNS纠正模块，

监听模块：监听客户端发起的DNS查询请求，抓取DNS服务器解析的DNS查询请求响应报文中的IP地址；

匹配模块：所述的匹配模块包括黑名单表和白名单表，所述的匹配模块将监听模块抓取的IP地址和黑名单表进行匹配，如果匹配成功，则将黑名单表中记录的域名对应的正确IP作为客户端发起的DNS查询请求的解析IP；如果匹配失败，则将监听模块抓取的DNS查询请求响应报文传递给DNS纠正模块进行处理；

DNS纠正模块：所述的DNS纠正模块包括DNS同步检测模块和DNS统计分析模块，

DNS同步检测模块：用于分析DNS查询请求响应报文中记录类型为“A记录”，即对id为0x0002的响应IP信息和响应时间进行记录分析，判定DNS查询请求响应报文是否存在不同步情况，如果id为0x0002的报文存在抢先响应的现象，即DNS查询请求响应报文不同步，则将此响应IP标记为待验证IP，如果DNS查询请求响应报文同步，DNS同步检测模块提取DNS与IP信息，传递给DNS统计分析模块；

DNS统计分析模块，对于DNS查询请求响应报文同步的IP，所述的DNS统计分析模块获取同一IP对应的不同域名个数，分析IP对应的域名个数是否超过预设阈值，如果IP对应的域名个数不超过预设阈值，DNS统计分析模块正常响应客户端的DNS查询请求，如果IP对应的域名个数超过预设阈值，则将此响应IP标记为待验证IP，将待验证IP与所述的白名单表作匹配，如果待验证IP在白名单表中，则将白名单表中IP作为DNS查询请求的响应IP，响应给客户端。

2.根据权利要求1所述的一种基于域名的HTTP访问劫持检测与净化装置，其特征在于，所述的一种基于域名的HTTP访问劫持检测与净化装置还包括HTTP重定向模块，如果所述的匹配模块和DNS纠正模块未能确定域名对应的正确IP时，所述的HTTP重定向模块用于对HTTP请求报文中目的IP为所述一种基于域名的HTTP访问劫持检测与净化装置的局域网IP的请求报文进行本地的重定向处理，将请求页面重定向到基于域名的HTTP访问劫持检测与净化装置内部自定义的静态页面。

3.根据权利要求1所述的一种基于域名的HTTP访问劫持检测与净化装置，其特征在于，所述的一种基于域名的HTTP访问劫持检测与净化装置还包括三个国外公共的DNS服务器，GoogleDNS、OpenDNS、UltraDNS。

4.根据权利要求1所述的一种基于域名的HTTP访问劫持检测与净化装置，其特征在于，所述的黑名单表包括四个字段，分别是域名、错误IP、矫正IP和URI路径，所述的错误IP是DNS遭受劫持或污染后解析出的错误IP地址；矫正IP是正确的IP地址，URI路径是上传自定义的导航页面。

5.一种采用基于域名的HTTP访问劫持检测与净化装置的检测与净化方法，其特征在于：包括如下步骤：

1)客户端发起基于HTTP的请求，首先会发生DNS查询请求，监听模块抓取DNS服务器解析的DNS查询请求响应报文中的IP地址；

2)匹配模块将监听模块抓取DNS服务器解析的DNS查询请求响应报文中的IP地址与黑名单表进行匹配，如果IP地址在黑名单列表中，匹配模块将域名对应的正确IP送给客户端；如果IP地址不在黑名单列表中，匹配模块将监听模块抓取DNS服务器解析的DNS查询请求响应报文同时传递给DNS同步检测模块和DNS统计分析模块；

3)DNS同步检测模块分析监听模块抓取DNS服务器解析的DNS查询请求响应报文，对id为0x0002的响应IP信息和响应时间进行记录分析，判定DNS查询请求响应报文是否存在不同步情况，如果DNS查询请求响应报文同步并且DNS统计分析模块统计的IP对应的域名个数不超过预设阈值，所述的DNS统计分析模块将对应的正确IP送给客户端；如果DNS查询请求响应报文不同步或者是DNS统计分析模块统计的IP对应的域名个数超过预设阈值，将监听模块抓取的IP地址标记为待验证的IP，待验证的IP与白名单表做匹配，如果待验证的IP在白名单表中，则将白名单表中IP作为DNS查询请求的响应IP，响应给客户端。