[发明专利]基于Nginx代理服务器的入侵检测方法及系统

权利要求书

1.一种基于Nginx代理服务器的入侵检测方法，其特征在于，包括以下步骤：

S101、捕获步骤，在Nginx代理服务器处捕获来自各个客户端的数据包；

S102、验证步骤，对所捕获的数据包进行合法性验证，验证所述数据包是否携带有认证服务器分配的合法证书；

S103、传递步骤，提取验证通过的客户端数据包中的有效信息并进行封装后传递；

S104、匹配检测步骤，接收所传递的有效信息，并根据弱点库中存储的弱点代码来对所述有效信息进行匹配检测，判断所述有效信息中是否包含与弱点库中存储的弱点代码匹配的代码，如果否，响应所述客户端发送的请求信息；

S105、隔离步骤，对所述客户端进行隔离，以防止其对网络进行恶意攻击。

2.根据权利要求1所述的方法，其特征在于，在所述验证步骤S102中，如果判断所述数据包中带有所述合法证书，则进行传递步骤S103，如果不带有所述合法证书，则进行隔离步骤S105。

3.根据权利要求1所述的方法，其特征在于，所述有效信息包括客户端IP地址、客户端MAC地址、客户端会话信息以及所请求的网页地址和请求数据。

4.根据权利要求3所述的方法，其特征在于，在执行所述步骤S104中，还包括以下步骤：

S104a、读取弱点库模块中具有的危险代码，构建搜索引擎，其中弱点库中存储的危险代码由所述弱点库模块不断更新，其中危险代码包括SQL注入攻击、XSS跨站攻击、目录遍历攻击、执行远程命令；

S104b、分别对所述有效信息中的网页地址和请求数据进行检测，如果所述有效信息中包含了与弱点库中存储的弱点代码匹配的代码，则将所述有效信息中的客户端IP地址、客户端MAC地址及检测到的危险代码添加到黑名单列表中。

5.根据权利要求4所述的方法，其特征在于，所述黑名单列表是动态更新的，其由数据库维护模块来进行维护，如果在预定时间内未检测到黑名单中的客户端有非法操作，则将所述客户端从黑名单列表中删除，从而解除对通过合法性验证的客户端的隔离。

6.根据权利要求4所述的方法，其特征在于，在所述步骤S104a中，采用AC自动机算法来构建所述搜索引擎。

7.根据权利要求4所述的方法，其特征在于，在执行所述步骤S102中，进行合法性验证之后，进一步还要进行黑名单列表验证，查询所述黑名单列表以判断携带有认证服务器分配的合法证书的客户端是否记录在所述黑名单列表中，如果是，则执行隔离步骤S105以将所述客户端进行隔离。

8.根据权利要求1-7中任一项所述的方法，其特征在于，在所述传递步骤S103中，将所述有效信息通过socket套接字形式进行封装。

9.根据权利要求8所述的入侵检测方法，其特征在于，采用自定义TLV的报文格式对所述有效信息进行封装。

10.一种基于Nginx代理服务器的入侵检测系统，其特征在于，包括：

Nginx数据捕获模块（310），其设于Nginx代理服务器中，用于从所述代理服务器侧捕获来自各个客户端的数据包；

Nginx客户端验证模块（320），其与所述Nginx数据捕获模块（310）通信，对所捕获的数据包进行合法性验证，验证所述数据包是否携带有认证服务器分配的合法证书，如果是，与传递模块（330）进行通信，如果否，则与隔离模块进行通信；

传递模块（330），其用于提取验证通过的客户端数据包中的有效信息并进行封装后传递；

匹配检测模块（340），其用于接收所传递的有效信息，并根据弱点库中存储的弱点代码来对所述有效信息进行匹配检测，判断所述有效信息中是否包含与弱点库中存储的弱点代码匹配的代码；

隔离模块（350），对未通过验证的客户端以及所述有效信息中包含与弱点库中存储的弱点代码匹配的代码的客户端进行隔离，以防止其对网络进行恶意攻击；

弱点库模块（360），其用于存储弱点库代码以及与所述代码相关的信息，为所述匹配检测模块（340）提供检测依据。