[发明专利]一种基于DNS劫持技术的网络曾联探测方法

摘要

本发明公开了一种基于DNS劫持技术的网络曾联探测方法，通过在网关上旁路一网关硬件，通过网关硬件对网关上的数据进行监听并镜像，并对镜像后的数据进行分析，一旦发现包含HTTP协议的数据流就进行劫持，并针对HTTP协议请求包伪造相对应的HTTP响应包，发送给请求互联网连接的终端设备，只要终端设备运行HTTP响应包，网关硬件就能接收到DNS解析请求并进行响应，返回一个指定的欺骗服务器上的IP地址，终端设备发起该IP地址的请求时，欺骗服务器就能获取该终端设备之前留下的互联网访问数据并记录，欺骗服务器通过分析历史访问数据就能判断该终端设备是否曾联及其曾联的时间节点。本发明采取了被动监听的手段，能最大限度的提高检测的准确性。

主权项

一种基于DNS劫持技术的网络曾联探测方法，其特征在于：包括如下步骤：S1)、在网关上旁路一网关硬件，通过网关硬件监听并镜像所有的内网数据；S2)、网关硬件分析镜像后包含HTTP协议的数据流，并对HTTP协议请求包进行劫持；S3)、网关硬件伪造一个与被劫持的HTTP协议请求包相对应的HTTP响应包，并发送给被劫持的终端设备；S4)、终端设备接收到伪造的HTTP响应包，并执行HTTP响应包上的相关脚本，在内网发起对互联网域名的DNS解析请求；S5)、网关硬件收到内网有相应的互联网域名DNS解析请求时，对相关DNS解析请求进行响应，返回一个指定的IP地址；S6)、终端设备在收到DNS解析请求返回的IP地址后，发起对相应互联网域名的请求；S7)、欺骗服务器收到终端设备针对互联网域名的连接请求后，获取终端设备上相关互联网域名以前留下的互联网访问数据，并记录在欺骗服务器上；S8)、欺骗服务器根据获取的终端设备中的互联网访问数据更改时间，就能够判断对应IP地址的终端设备是否曾经互联过互联网。