[发明专利]防御会话劫持攻击的方法和防火墙

说明书

技术领域

本发明涉及到网络通信技术领域，特别涉及到防御会话劫持攻击的方法和防火墙。

背景技术

HTTP协议是无状态的，其本身没有将用户提出的各种请求/响应联系起来的机制，每一对请求/响应都是独立的事务。实现有状态的HTTP，WEB应用程序需要与用户动态交互，维护与合法客户端的交互状态数据，这种动态交互过程就是会话。首先把这些状态数据传送到合法客户端存储，然后随合法客户端提交的请求返回进行验证。这种状态保存机制前提需要合法客户端是可信的，能够保证传送的状态数据的完整性和机密性。但在实际的应用中，攻击者可以利用会话劫持漏洞窃取状态信息，达到冒充其他可信用户的非法访问。当用户在登录认证过程中，输入用户名与密码通过验证后，应用程序向合法客户端返回一状态信息，该状态信息随用户的下次请求返回，应用程序根据这段信息来验证用户身份并返回正确的响应页面，如果这段信息被攻击者通过某种方式劫持，攻击者就可以绕过授权，冒充其他用户进行非法访问，劫持这段信息的过程就是会话劫持。会话劫持攻击有10多种方法，常见有XSS（又称为CSS，Cross Site Script，跨站脚本攻击）会话劫持、CSRF（Cross-site request forgery，跨站请求伪造）、固定会话攻击、会话令牌猜解、会话令牌蛮力、日志泄露令牌等等，目前应用层防火墙的实现主要是针对其中某一种方法进行防御，如XSS基于特征、CSRF基于令牌，但是，基于特征进行防御属于被动防御，无法做到事前防御，且容易出现误报和漏报；基于令牌的防御存在单一性和时间依赖性缺陷。此外，只防御其中某种攻击，通过其他攻击还是可以劫持会话，如果发现新的会话攻击也无法防御。

发明内容

本发明的主要目的为提供一种全面、有效的防御会话劫持攻击的方法和防火墙。

本发明提出一种防御会话劫持攻击的方法，包括步骤：

接收合法客户端发送的第一访问请求，并将所述第一访问请求发送至服务器；

接收所述服务器返回的第一响应，所述第一响应中包括第一认证令牌；

根据所述合法客户端的网络地址和所述合法客户端的标识码生成第一序列值，将所述第一认证令牌和第一序列值重组为第二认证令牌；

将所述第一响应中的第一认证令牌替换为所述第二认证令牌，并将包含所述第二认证令牌的所述第一响应发送至所述合法客户端。

优选地，所述将包含所述第二认证令牌的所述第一响应发送至所述合法客户端的步骤之后还包括：

接收当前客户端发送的第二访问请求，所述第二访问请求中包括第二认证令牌；

从所述第二认证令牌中分离出所述第一认证令牌和第一序列值；

根据当前客户端的网络地址和当前客户端的标识码，生成第二序列值；

当所述第二序列值与所述第一序列值相同时，确定当前客户端为所述合法客户端；

将所述第二访问请求中的第二认证令牌替换为所述第一认证令牌；

将包含所述第一认证令牌的所述第二访问请求发送至所述服务器，供所述服务器验证所述第一认证令牌和响应所述第二访问请求。

优选地，所述根据合法客户端的网络地址和所述合法客户端的标识码，生成第一序列值的步骤具体包括：

采用随机串和散列算法，将所述合法客户端的网络地址和所述合法客户端的标识码生成第一序列值。

优选地，所述根据当前客户端的网络地址和当前客户端的标识码，生成第二序列值的步骤具体包括：

采用与生成第一序列值时相同的随机串和散列算法，将当前客户端的网络地址和当前客户端的标识码生成第二序列值，作为第二序列值。

优选地，所述接收合法客户端发送的第一访问请求的步骤之前还包括：

在所述服务器中查找一个依赖令牌访问的页面；

在预设时间内获取多个访问请求中的Cookie数据和多个响应中的Set-Cookie数据；

获取各个所述Cookie数据和Set-Cookie数据的键值对；

根据各个所述键值对及其组合，分别生成对应的第三访问请求；

分别采用各个所述第三访问请求，访问所述页面；

接收所述页面返回的对应于各个所述第三访问请求的第三响应；

当所述第三响应有效时，有效的所述第三响应对应的键值对为所述第一认证令牌存放的位置。

本发明还提出一种防御会话劫持攻击的防火墙，包括：