[发明专利]CSRF攻击检测方法及装置

权利要求书

1.一种跨站点伪造请求CSRF攻击检测方法，其特征在于，所述方法应用在CSRF攻击检测服务器上，所述方法包括：

获取客户端设备向服务器发送的超文本传输协议HTTP请求；

从所述HTTP请求中提取检测字段；

在危险表单访问列表中查找到与所述检测字段对应的目标危险表项；所述危险表单访问列表中的危险表项包括：危险表单中提取的至少一个危险特征字段；所述危险表单是从客户端设备与服务器之间传输的HTTP流量中检测出；

根据所述目标危险表项中的危险特征字段判断所述HTTP请求是否满足预设的攻击检测条件；当满足所述攻击检测条件时，确定检测到CSRF攻击。

2.根据权利要求1所述的方法，其特征在于，所述获取客户端设备向服务器发送的HTTP请求之前，所述方法还包括：

从所述客户端设备与服务器之间传输的HTTP流量中检测危险表单，所述危险表单中包含危险输入input标签；

在危险表单访问列表中为所述危险表单生成危险表项，所述危险表项中包含从所述危险表单中提取的至少一个危险特征字段。

3.根据权利要求2所述的方法，其特征在于，

所述从所述客户端设备与服务器之间传输的HTTP流量中检测危险表单，包括：

获取所述客户端设备与服务器之间传输的HTTP流量中的至少一个类型type值为隐藏的input标签；

当所述type值为隐藏的input标签中包含属性value值为非空的危险input标签时，确定检测到危险表单；

所述在危险表单访问列表中为所述危险表单生成危险表项，包括：

提取所述危险表单中的至少一个危险特征字段，所述至少一个危险特征字段包括所述危险表单的源互联网协议IP地址；

将包含所述源IP地址的至少一个危险特征字段写入所述危险表项中。

4.根据权利要求3所述的方法，其特征在于，所述危险特征字段中除包括所述源IP地址外，还包括至少一个下述字段：

所述危险表单的动作action标签内包含的目的页面；

根据从所述action标签中提取的至少一个字符串字段生成的通用资源标识符URI数组；

所述至少一个type值为隐藏的input标签中包含的名称name值和对应的value值。

5.根据权利要求1至4任一所述的方法，其特征在于，

所述在危险表单访问列表中查找到与所述检测字段对应的目标危险表项，包括：

以所述HTTP请求的源IP地址为检测字段，从所述危险表单访问列表中查找与所述源IP地址对应的危险表项作为所述目标危险表项；

所述根据所述目标危险表项中的危险特征字段判断所述HTTP请求是否满足预设的攻击检测条件，包括下述至少一项：

当所述检测字段包括所述HTTP请求中的目的页面时，判断所述HTTP请求中的目的页面与所述目标危险表项中的目的页面是否相同，如果相同，则确定满足预设的攻击检测条件；

当所述检测字段包括所述HTTP请求中的name值和对应的value值时，判断所述HTTP请求中的name值和对应的value值与所述目标危险表项中保存的name值和value值是否相同，如果相同，则确定满足预设的攻击检测条件；

当所述检测字段包括所述HTTP请求中的URI和网页链接信息referer时，判断所述URI与referer是否相关，如果不相关，则确定满足预设的攻击检测条件。

6.一种跨站点伪造请求CSRF攻击检测方法，其特征在于，所述方法应用在CSRF攻击检测服务器上，所述方法包括：

获取客户端设备向服务器发送的超文本传输协议HTTP请求；

从所述HTTP请求中提取检测字段；

当所述HTTP请求中的URI和referer不相关时，从缓存的客户端设备与服务器之间传输的HTTP流量中获取预设时间段内的目标HTTP流量；

根据所述检测字段与所述目标HTTP流量中的目标特征字段判断所述HTTP请求是否满足预设的攻击检测条件；

当满足所述攻击检测条件时，确定检测到CSRF攻击。