[发明专利]针对利用域前置技术实现恶意攻击的检测方法及系统

摘要

本发明提出一种针对利用域前置技术实现恶意攻击的检测方法及系统，所述方法通过设置终端TLS协议数据报文过滤条件，对数据流进行监控，获得进程PID信息和SNI信息；利用钩子程序对特定进程的流量进行监控，并提取构造的HTTP报文数据的HOST消息，将HOST字段与SNI字段比较，如果返回值为真，则恢复所述进程，否则阻断该进程并发出告警信息。本发明还给出对应系统。通过本发明的技术方案可以提供在终端的检测，避免由于使用HTTPS加密数据而难以检测恶意流量信息。

主权项

1.一种针对利用域前置技术实现恶意攻击的检测方法，其特征在于，包括：S101，设置终端安全传输层协议数据报文过滤条件，对安全传输层协议握手阶段数据流进行监控，捕获符合过滤条件的报文；S102，分析捕获的报文，并记录进程PID信息和SNI字段信息；S103，设置所述进程构造数据报文函数的HOOK钩子，监控所述进程的HTTP流量；S104，提取所述进程构造的HTTP报文的HOST字段数据；S105，将所述HOST字段数据与SNI字段信息比较，如果HOST字段和SNI字段同为域名或IP地址，则执行步骤S106；如果HOST字段为域名，SNI字段为IP地址，或HOST字段为IP地址，SNI字段为域名，则执行步骤S107；S106，将HOST字段数据与SNI字段信息直接进行字符串匹配，如果匹配成功，则结果为真，否则结果为假；S107，向HOST字段或SNI字段的域名发起DNS请求，将请求结果与HOST字段或SNI字段的IP地址匹配，如果匹配成功，则结果为真，否则结果为假；S108，根据匹配返回结果，如果为真，则恢复所述进程，否则阻断所述进程并发出告警信息。