[发明专利]一种基于域名的HTTP访问劫持检测与净化装置及方法

说明书

本发明涉及网络安全技术领域，尤其涉及一种基于域名的HTTP访问劫持检测与净化装置及方法，本发明能够自定义域名与IP的对应解析规则，直接由用户指定域名与IP的解析关系，解决了一般性企业或集群网络管理人员对公司员工上网行为、集群服务连网的控制。另外，能够基于域名智能检测出DNS污染或DNS劫持行为，自动检测和解决DNS污染或DNS劫持问题，使用户在遭受到DNS恶意劫持时候，智能友好的提示用户处于的恶意的上网环境，避免被蒙蔽在恶意的上网行为监控之中，同时避免用户受到广告或导航页面等劫持页面的干扰，避免遭受不必要的经济损失和精神损失。

技术领域

本发明涉及网络安全技术领域，尤其涉及一种基于域名的HTTP访问劫持检测与净化装置及方法。

背景技术

随着互联网时代的进入，互联网的运用越加普及，用户对网络的需求越来越大。用户在日常访问网站时最常见的方法是通过域名方式访问，而网络报文寻址过程中识别的还是需要真实主机的IP地址，此时就会涉及到一个域名解析问题，它是由用户指定的域名服务器负责解析。其中，域名服务器是保存在网络中所有主机的域名和对应的IP地址，并具有将域名转换为特定IP地址的功能。

在实际中，经常会出现域名无法正常解析的情况。当域名无法正常访问，运营商便可能会执行DNS劫持，同时向用户展示一个广告页面或是导航页面等替换正常应该访问的页面。当用户访问的域名遭受到恶意破坏者的恶意攻击或恶意干扰时，给用户带来日常生活的干扰，影响日常工作和生活，造成用户反感，严重情况，账号密码遗失，造成经济损失，并且很多时候普通用户都未感知访问网站已被DNS污染。

网络被劫持的原因通常包括：用户计算机被植入病毒或木马导致主机hosts文件或注册表被篡改；系统服务或是浏览器被植入恶意代码；运营商使用篡改DNS、重定向HTTP请求、修改HTTP数据包导致正常网站无法正常访问。

如今存在的一些基于域名的HTTP劫持检测方法更多的依赖于对DNS通信协议类型(UDP转变成TCP)、通信端口(使用非53的端口)的改变，甚至是对DNS通信报文进行加密处理；或者是在DNS解析之后的HTTP请求数据报文做二次分析，通过URI的关键字符串进行字典匹配。这样的一些操作一定程度、一定时间内能确保DNS解析免受DNS污染，但不是根本解决方法，而且不通用；同时依赖于与URI的关键字匹配的字典库，增加维护代价的同时，带来了更多的不准确性因素。

因此，迫切需要一种基于域名的HTTP访问劫持方法检测和净化的技术，解决用户在访问网页的遭受的DNS污染或DNS感染，智能检测DNS劫持或DNS污染行为，并主动净化上网行为。

发明内容

本发明的目的是克服现有技术存在的缺陷，提供一种基于域名的HTTP访问劫持检测与净化装置及方法，能够人工增添、自动检测、净化及缓存DNS解析IP的技术方案，解决网络管理员对上网行为的控制，自定义不同域名的劫持页面，避免用户遭受到广告商或运营商导航等劫持页面的干扰。

实现本发明目的的技术方案是：一种基于域名的HTTP访问劫持检测与净化装置，包括监听模块、匹配模块和DNS纠正模块，

监听模块：监听客户端发起的DNS查询请求，抓取DNS服务器解析的DNS查询请求响应报文中的IP地址；

匹配模块：匹配模块包括黑名单表和白名单表，匹配模块将监听模块抓取的IP地址和黑名单表进行匹配，如果匹配成功，则将黑名单表中记录的域名对应的正确IP作为客户端发起的DNS查询请求的解析IP；如果匹配失败，则将监听模块抓取的DNS查询请求响应报文传递给DNS纠正模块进行处理；

DNS纠正模块：DNS纠正模块包括DNS同步检测模块和DNS统计分析模块，