[发明专利]会话劫持的检测方法及装置

权利要求书

1.一种会话劫持的检测方法，其特征在于，所述方法包括：

响应于检测到客户端向服务端发送的会话请求报文，检测针对所述会话请求报文的响应报文；

当检测到所述响应报文时，基于所述响应报文获取第一会话的标识，所述第一会话为针对所述会话请求报文而建立的会话；

根据所述第一会话的标识，判断是否是首次检测到针对所述会话请求报文的响应报文；

若判断的结果为否，则确定发生会话劫持事件。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

建立第一会话的标识与状态标记的关联关系；

其中，所述状态标记用于指示未曾接收到或者已经接收到所述响应报文；

所述根据所述第一会话的标识，判断是否是首次检测到针对所述会话请求报文的响应报文，包括：

根据预先建立的所述关联关系，获取与所述第一会话的标识关联的状态标记；

若所述状态标记指示未曾接收到所述响应报文，则判断的结果为是；若所述状态标记指示已经接收到所述响应报文，则判断的结果为否。

3.根据权利要求2所述的方法，其特征在于，所述方法还包括：

若判断的结果为是，则重新执行所述建立第一会话的标识与状态标记的关联关系的步骤。

4.根据权利要求3所述的方法，其特征在于，

首次建立所述关联关系，包括：

基于所述会话请求报文获取第一会话的标识；

将所述第一会话的标识与第一状态标记进行关联地存储，所述第一状态标记指示未曾接收到所述响应报文；

重新建立所述关联关系，包括：

将与所述第一会话的标识关联的第一状态标记修改为第二状态标记，所述第二状态标记指示已经接收到所述响应报文。

5.根据权利要求4所述的方法，其特征在于，所述基于所述会话请求报文获取第一会话的标识，包括：

获取所述会话请求报文的包头字段数据；

按照预定的第一规则将所述会话请求报文的包头字段数据进行变换，以生成第一会话的标识。

6.根据权利要求5所述的方法，其特征在于，所述会话请求报文的包头字段数据包括：目的IP，目的端口号，源IP，源端口号以及传输控制协议TCP确认号。

7.根据权利要求5所述的方法，其特征在于，所述基于所述响应报文获取第一会话的标识，包括：

获取所述响应报文的包头字段数据；

获取与所述第一规则对应的第二规则；

按照所述第二规则将所述响应报文的包头字段数据进行变换，以生成第一会话的标识。

8.根据权利要求7所述的方法，其特征在于，所述响应报文的包头字段数据包括：目的IP，目的端口号，源IP，源端口号以及TCP序列号。

9.一种会话劫持的检测装置，其特征在于，所述装置包括：

检测单元，用于响应于检测到客户端向服务端发送的会话请求报文，检测针对所述会话请求报文的响应报文；

获取单元，用于在检测到所述响应报文时，基于所述响应报文获取第一会话的标识，所述第一会话为针对所述会话请求报文而建立的会话；

判断单元，用于根据所述第一会话的标识，判断是否是首次检测到针对所述会话请求报文的响应报文；

确定单元，用于在判断的结果为否时，确定发生会话劫持事件。

10.根据权利要求9所述的装置，其特征在于，所述装置还包括：

建立单元，用于建立第一会话的标识与状态标记的关联关系；

其中，所述状态标记用于指示未曾接收到或者已经接收到所述响应报文；

所述判断单元配置用于：

根据预先建立的所述关联关系，获取与所述第一会话的标识关联的状态标记；

若所述状态标记指示未曾接收到所述响应报文，则判断的结果为是；若所述状态标记指示已经接收到所述响应报文，则判断的结果为否。