[发明专利]一种基于域名的HTTP访问劫持检测与净化装置及方法

摘要

本发明涉及网络安全技术领域，尤其涉及一种基于域名的HTTP访问劫持检测与净化装置及方法，本发明能够自定义域名与IP的对应解析规则，直接由用户指定域名与IP的解析关系，解决了一般性企业或集群网络管理人员对公司员工上网行为、集群服务连网的控制。另外，能够基于域名智能检测出DNS污染或DNS劫持行为，自动检测和解决DNS污染或DNS劫持问题，使用户在遭受到DNS恶意劫持时候，智能友好的提示用户处于的恶意的上网环境，避免被蒙蔽在恶意的上网行为监控之中，同时避免用户受到广告或导航页面等劫持页面的干扰，避免遭受不必要的经济损失和精神损失。

主权项

1.一种基于域名的HTTP访问劫持检测与净化装置，其特征在于，包括监听模块、匹配模块和DNS纠正模块，监听模块：监听客户端发起的DNS查询请求，抓取DNS服务器解析的DNS查询请求响应报文中的IP地址；匹配模块：所述的匹配模块包括黑名单表和白名单表，所述的匹配模块将监听模块抓取的IP地址和黑名单表进行匹配，如果匹配成功，则将黑名单表中记录的域名对应的正确IP作为客户端发起的DNS查询请求的解析IP；如果匹配失败，则将监听模块抓取的DNS查询请求响应报文传递给DNS纠正模块进行处理；DNS纠正模块：所述的DNS纠正模块包括DNS同步检测模块和DNS统计分析模块，DNS同步检测模块：用于分析DNS查询请求响应报文中记录类型为“A记录”，即对id为0x0002的响应IP信息和响应时间进行记录分析，判定DNS查询请求响应报文是否存在不同步情况，如果id为0x0002的报文存在抢先响应的现象，即DNS查询请求响应报文不同步，则将此响应IP标记为待验证IP，如果DNS查询请求响应报文同步，DNS同步检测模块提取DNS与IP信息，传递给DNS统计分析模块；DNS统计分析模块，对于DNS查询请求响应报文同步的IP，所述的DNS统计分析模块获取同一IP对应的不同域名个数，分析IP对应的域名个数是否超过预设阈值，如果IP对应的域名个数不超过预设阈值，DNS统计分析模块正常响应客户端的DNS查询请求，如果IP对应的域名个数超过预设阈值，则将此响应IP标记为待验证IP，将待验证IP与所述的白名单表作匹配，如果待验证IP在白名单表中，则将白名单表中IP作为DNS查询请求的响应IP，响应给客户端。