[发明专利]报文的处理方法及装置

说明书

本发明公开了一种报文的处理方法及装置。其中，该方法包括：对获取到的HTTP报文进行解析,获取解析后的HTTP报文；采用经由预定义编程接口接收到的与解析后的HTTP报文相适配的配置规则生成配置文件；根据配置文件对解析后的HTTP报文进行多模正则匹配；按照匹配结果对HTTP报文执行过滤操作。本发明解决了相关技术中所提供的基于WAF对HTTP报文进行特征检测的方式缺乏灵活性，易造成对攻击性的HTTP报文的漏报或误报的技术问题。

技术领域

本发明涉及互联网领域，具体而言，涉及一种报文的处理方法及装置。

背景技术

万维网应用防火墙(Web Application Firewall，简称为WAF)是设置在网站WEB业务系统前端的一种包特征检测与阻断系统，用于保护后端的WEB业务系统不受非法攻击者的恶意扫描和漏洞攻击。

WEB容器是一种读取并执行各种类型脚本语言文件的软件，其可以解释包含PHP、ASP以及JAVA在内的脚本语言。相关技术中所提供的网站的重要组成部分即为WEB容器。

超文本传输协议(HTTP)请求报文是一种松散格式的应用层协议，其虽然在大体上遵循征求修正意见书(RFC)2616的规范，但是各个WEB容器在具体实现HTTP请求报文解析的过程中，都会添加一些特有的解析特性，从而实现对HTTP RFC协议的扩展。

另外，HTTP协议还是一个历史较为悠久的协议，从国际互联网工程任务组(IETF)创建第一版到现在，已经经历了HTTP 0.9→HTTP 1.0→HTTP 1.1总共三个版本的演变。最新版本的HTTP 1.1协议在原有协议的基础上实现了富文本(RTF)传输的协议规定，以此来支持用户通过浏览器向服务器上传富文本文件的功能实现。然而，该项演变在为WEB开发者提供便利的同时，也为黑客攻击带来了新鲜的渠道。

目前，相关技术中所提供的主机WAF方案大多基于网关协议以及流量牵引的基础架构，其通过在流量中心的节点部署硬件设备进行恶意流量特征检测。然而，此种方案的缺陷在于：容易受到网络流量抖动、骨干光纤故障等物理因素影响，进而导致WAF的拦截效果下降。

此外，相关技术中提出的WAF解决方案只允许规则运营人员实现针对GET、POST包的正则规则检测，即针对HTTP请求的GET/POST参数进行单条正则规则匹配。然而，由于HTTP请求报文中携带的参数通常处于无序状态，因此，规则运营人员针对同一个漏洞可能需要编写多条规则，即浪费了时间，又影响WAF的检测效率。而如果规则运营人员为了提升检测效果，自行提高正则规则匹配的检测强度，又很可能导致检测结果出现误报，故而很难在检测结果出现漏报与检测结果出现误报之间取得平衡。

进一步地，当前互联网中主流的WEB漏洞中，与FILES、COOKIES参数相关联的漏洞占据了相当大的比例，而当前大部分主机WAF产品对于这些参数是不需要进行检测的。攻击者为了能够躲避WAF的检测，可以直接将攻击载荷添加至这些传输富文本的HTTP FILES请求报文中，从而躲避主机WAF的检测。

针对上述的问题，目前尚未提出有效的解决方案。

发明内容

本发明实施例提供了一种报文的处理方法及装置，以至少解决相关技术中所提供的基于WAF对HTTP报文进行特征检测的方式缺乏灵活性，易造成对攻击性的HTTP报文的漏报或误报的技术问题。

根据本发明实施例的一个方面，提供了一种报文的处理方法，包括：对获取到的HTTP报文进行解析,获取解析后的HTTP报文；采用经由预定义编程接口接收到的与解析后的HTTP报文相适配的配置规则生成配置文件；根据配置文件对解析后的HTTP报文进行多模正则匹配；按照匹配结果对HTTP报文执行过滤操作。

可选地，采用经由预定义编程接口接收到的配置规则生成配置文件包括：经由预定义编程接口接收根据解析后的HTTP报文确定的配置规则；对配置规则进行二进制转化的编译处理，生成配置文件，并将配置文件加载至内存。