[发明专利]防御会话劫持攻击的方法和防火墙

权利要求书

1.一种防御会话劫持攻击的方法，其特征在于，包括步骤：

接收合法客户端发送的第一访问请求，并将所述第一访问请求发送至服务器；

接收所述服务器返回的第一响应，所述第一响应中包括第一认证令牌；

根据所述合法客户端的网络地址和所述合法客户端的标识码生成第一序列值，将所述第一认证令牌和第一序列值重组为第二认证令牌；

将所述第一响应中的第一认证令牌替换为所述第二认证令牌，并将包含所述第二认证令牌的所述第一响应发送至所述合法客户端。

2.根据权利要求1所述的防御会话劫持攻击的方法，其特征在于，所述将包含所述第二认证令牌的所述第一响应发送至所述合法客户端的步骤之后还包括：

接收当前客户端发送的第二访问请求，所述第二访问请求中包括第二认证令牌；

从所述第二认证令牌中分离出所述第一认证令牌和第一序列值；

根据当前客户端的网络地址和当前客户端的标识码，生成第二序列值；

当所述第二序列值与所述第一序列值相同时，确定当前客户端为所述合法客户端；

将所述第二访问请求中的第二认证令牌替换为所述第一认证令牌；

将包含所述第一认证令牌的所述第二访问请求发送至所述服务器，供所述服务器验证所述第一认证令牌和响应所述第二访问请求。

3.根据权利要求2所述的防御会话劫持攻击的方法，其特征在于，所述根据合法客户端的网络地址和所述合法客户端的标识码，生成第一序列值的步骤具体包括：

采用随机串和散列算法，将所述合法客户端的网络地址和所述合法客户端的标识码生成第一序列值。

4.根据权利要求3所述的防御会话劫持攻击的方法，其特征在于，所述根据当前客户端的网络地址和当前客户端的标识码，生成第二序列值的步骤具体包括：

采用与生成第一序列值时相同的随机串和散列算法，将当前客户端的网络地址和当前客户端的标识码生成第二序列值，作为第二序列值。

5.根据权利要求2至4任一项所述的防御会话劫持攻击的方法，其特征在于，所述接收合法客户端发送的第一访问请求的步骤之前还包括：

在所述服务器中查找一个依赖令牌访问的页面；

在预设时间内获取多个访问请求中的Cookie数据和多个响应中的Set-Cookie数据；

获取各个所述Cookie数据和Set-Cookie数据的键值对；

根据各个所述键值对及其组合，分别生成对应的第三访问请求；

分别采用各个所述第三访问请求，访问所述页面；

接收所述页面返回的对应于各个所述第三访问请求的第三响应；

当所述第三响应有效时，有效的所述第三响应对应的键值对为所述第一认证令牌存放的位置。

6.一种防御会话劫持攻击的防火墙，其特征在于，包括：

收发模块，用于接收合法客户端发送的第一访问请求，并将所述第一访问请求发送至服务器；接收所述服务器返回的第一响应，所述第一响应中包括第一认证令牌；

重组模块，用于根据所述合法客户端的网络地址和所述合法客户端的标识码生成第一序列值，将所述第一认证令牌和第一序列值重组为第二认证令牌；

替换模块，用于将所述第一响应中的第一认证令牌替换为所述第二认证令牌；

所述收发模块还用于，将包含所述第二认证令牌的所述第一响应发送至所述合法客户端。

7.根据权利要求6所述的防御会话劫持攻击的防火墙，其特征在于，还包括判断模块；

所述收发模块还用于，接收当前客户端发送的第二访问请求，所述第二访问请求中包括第二认证令牌；

所述重组模块还用于，从所述第二认证令牌中分离出所述第一认证令牌和第一序列值；根据当前客户端的网络地址和当前客户端的标识码，生成第二序列值；

所述判断模块用于，当所述第二序列值与所述第一序列值相同时，确定当前客户端为所述合法客户端；

所述替换模块还用于，将所述第二访问请求中的第二认证令牌替换为所述第一认证令牌；

所述收发模块还用于，将包含所述第一认证令牌的所述第二访问请求发送至所述服务器，供所述服务器验证所述第一认证令牌和响应所述第二访问请求。