專利名稱：一種虛擬服務(wù)器和一種防御網(wǎng)絡(luò)攻擊的方法
技術(shù)領(lǐng)域：
本發(fā)明涉及網(wǎng)絡(luò)技術(shù)領(lǐng)域，特別是涉及一種虛擬服務(wù)器和一種防御網(wǎng)絡(luò)攻擊的方法。
背景技術(shù)：
隨著網(wǎng)絡(luò)的發(fā)展，網(wǎng)絡(luò)中存在大量惡意的攻擊系統(tǒng)服務(wù)器的web攻擊。web攻擊大體分為流量型和連接型兩種。其中連接型攻擊是攻擊者發(fā)送大量的連接，但是建立連接后，攻擊者不再發(fā)送數(shù)據(jù)，而該連接占用被攻擊的服務(wù)器的進(jìn)程和連接數(shù)量，耗盡被攻擊的服務(wù)器的CPU、內(nèi)存等資源，導(dǎo)致被攻擊的服務(wù)器無法處理正常的請(qǐng)求?，F(xiàn)有技術(shù)中，防御連接型攻擊大致過程為前端的虛擬服務(wù)器(比如Linux虛擬服 務(wù)器，Linux Virtual Server,簡(jiǎn)稱LVS)將接收到的某個(gè)IP的應(yīng)用客戶端的數(shù)據(jù)包,分發(fā)給后端的一個(gè)真實(shí)服務(wù)器(Real Server，簡(jiǎn)稱RS)，在RS與該應(yīng)用客戶端連接后，然后再由RS判斷當(dāng)前與該IP的應(yīng)用客戶端的連接是否應(yīng)該關(guān)閉。在現(xiàn)有技術(shù)中，首先，對(duì)連接型攻擊的防御是在真實(shí)服務(wù)器中進(jìn)行，那么對(duì)于處理具體應(yīng)用邏輯的真實(shí)服務(wù)器進(jìn)行防御的操作擠占了其CPU、內(nèi)存等系統(tǒng)資源，那么相應(yīng)的則減少了處理其具體邏輯的系統(tǒng)資源，影響服務(wù)器處理其他應(yīng)用客戶端正常請(qǐng)求的效率；再次，現(xiàn)有技術(shù)中，應(yīng)用客戶端已經(jīng)與RS建立了連接，而建立連接的過程中已經(jīng)進(jìn)行了 TCP三次握手的過程，而TCP三次握手過程本身就消耗了 RS的CPU、內(nèi)存等資源，也會(huì)影響服務(wù)器處理其他應(yīng)用客戶端正常請(qǐng)求的效率。

發(fā)明內(nèi)容
鑒于上述問題，提出了本發(fā)明以便提供一種克服上述問題或者至少部分地解決上述問題的一種虛擬服務(wù)器和相應(yīng)的一種防御網(wǎng)絡(luò)攻擊的方法。依據(jù)本發(fā)明的一個(gè)方面，提供了一種虛擬服務(wù)器，包括攔截模塊，適于在虛擬服務(wù)器攔截應(yīng)用客戶端發(fā)送的數(shù)據(jù)包；連接判斷模塊，適于判斷所述數(shù)據(jù)包是否屬于已有連接；初始連接包檢查模塊，適于當(dāng)連接判斷模塊判斷所述數(shù)據(jù)包不屬于已有連接后，檢查所述數(shù)據(jù)包是否為同步序列編號(hào)報(bào)文；第一丟棄模塊，適于當(dāng)初始連接包檢查模塊檢查所述數(shù)據(jù)包不是同步序列編號(hào)報(bào)文，則丟棄所述數(shù)據(jù)包；源IP檢查模塊，適于當(dāng)初始連接包檢查模塊檢查所述數(shù)據(jù)包是同步序列編號(hào)報(bào)文，則檢查所述同步序列編號(hào)報(bào)文的源IP是否在封禁IP信息中；第二丟棄模塊，適于當(dāng)源IP檢查模塊檢查所述源IP在封禁IP信息中，則丟棄所述同步序列編號(hào)報(bào)文。可選地，所述的虛擬服務(wù)器，所述封禁IP信息存儲(chǔ)于所述虛擬服務(wù)器的內(nèi)核模塊中。
可選地，所述的虛擬服務(wù)器，還包括封禁IP存儲(chǔ)接口，適于將封禁IP信息存入所述內(nèi)核模塊中；和/或，封禁IP獲取接口，適于從所述內(nèi)核模塊中的獲取封禁IP信息?？蛇x地，所述的虛擬服務(wù)器，還包括封禁IP信息存儲(chǔ)模塊，適于通過封禁IP存儲(chǔ)接口將封禁IP信息存入所述虛擬服務(wù)器的內(nèi)核模塊中；和/或封禁IP信息獲取模塊，適于通過封禁IP獲取接口從虛擬服務(wù)器的內(nèi)核?！K中獲取封禁IP信息?？蛇x地，的虛擬服務(wù)器，還包括封禁IP存入請(qǐng)求接收模塊，適于接收操作客戶端的包括封禁IP信息的存入請(qǐng)求，并通知述封禁IP信息存儲(chǔ)模塊存儲(chǔ)所述封禁IP信息；和/或，封禁IP查詢請(qǐng)求接收模塊，適于接收操作客戶端的封禁IP信息查詢請(qǐng)求，并通知所述封禁IP信息獲取模塊獲取封禁IP信息。可選地，所述的虛擬服務(wù)器，所述內(nèi)核模塊包括哈希存儲(chǔ)模塊，適于以IP數(shù)據(jù)段的前K位作為哈希表結(jié)構(gòu)中的關(guān)鍵數(shù)據(jù)段，對(duì)封禁IP信息進(jìn)行分組存儲(chǔ)。根據(jù)本發(fā)明的另一方面，提供了一種防御網(wǎng)絡(luò)攻擊的方法，包括在虛擬服務(wù)器攔截應(yīng)用客戶端發(fā)送的數(shù)據(jù)包；判斷所述數(shù)據(jù)包是否屬于已有連接；如果所述數(shù)據(jù)包不屬于已有連接，則檢查所述數(shù)據(jù)包是否為同步序列編號(hào)報(bào)文；如果述數(shù)據(jù)包不是同步序列編號(hào)報(bào)文，則丟棄所述數(shù)據(jù)包；如果述數(shù)據(jù)包是同步序列編號(hào)報(bào)文，則檢查所述同步序列編號(hào)報(bào)文的源IP是否在封禁IP信息中；如果所述源IP在封禁IP信息中，則丟棄所述同步序列編號(hào)報(bào)文?？蛇x地，所述封禁IP信息存儲(chǔ)于所述虛擬服務(wù)器的內(nèi)核模塊中?？蛇x地，還包括通過封禁IP存儲(chǔ)接口將封禁IP信息存入所述虛擬服務(wù)器的內(nèi)核模塊中；和/或，通過封禁IP獲取接口從虛擬服務(wù)器的內(nèi)核模塊中獲取封禁IP信息?？蛇x地，，還包括接收操作客戶端的包括封禁IP信息的存入請(qǐng)求，根據(jù)所述請(qǐng)求調(diào)用所述封禁IP存儲(chǔ)接口將封禁IP信息存入所述虛擬服務(wù)器的內(nèi)核模塊中；和/或，接收操作客戶端的封禁IP信息查詢請(qǐng)求，根據(jù)所述請(qǐng)求調(diào)用所述封禁IP獲取接口從虛擬服務(wù)器的內(nèi)核模塊中獲取封禁IP信息?？蛇x地，，在存儲(chǔ)所述封禁IP信息時(shí)包括以IP數(shù)據(jù)段的前K位作為哈希表結(jié)構(gòu)中的關(guān)鍵數(shù)據(jù)段，對(duì)封禁IP信息進(jìn)行分組存儲(chǔ)。與現(xiàn)有技術(shù)相比，本發(fā)明包括以下優(yōu)點(diǎn)本發(fā)明通過虛擬服務(wù)器，將接收的數(shù)據(jù)包進(jìn)行攔截，并對(duì)是同步序列編號(hào)(Synchronize Sequence Numbers, SYN)報(bào)文的數(shù)據(jù)包，由虛擬服務(wù)器判斷SYN報(bào)文中的源IP是否在封禁IP的相關(guān)信息中，如果在，則丟棄該SYN報(bào)文。在上述過程中，首先，對(duì)連接型的攻擊攔截在了虛擬服務(wù)器中，不會(huì)占用RS的任何系統(tǒng)資源，不影響RS對(duì)正常請(qǐng)求的處理過程，提高RS對(duì)正常請(qǐng)求的處理效率；其次，對(duì)于源IP在封禁IP的相關(guān)信息中的SYN報(bào)文，直接將其丟棄，那么其避免了攻擊的應(yīng)用客戶端與RS進(jìn)行TCP三次握手過程，也避免了占用RS的系統(tǒng)資源，提高RS對(duì)正常請(qǐng)求的處理效率。上述說明僅是本發(fā)明技術(shù)方案的概述，為了能夠更清楚了解本發(fā)明的技術(shù)手段，而可依照說明書的內(nèi)容予以實(shí)施，并且為了讓本發(fā)明的上述和其它目的、特征和優(yōu)點(diǎn)能夠更明顯易懂，以下特舉本發(fā)明的具體實(shí)施方式
。


過閱讀下文優(yōu)選實(shí)施方式的詳細(xì)描述，各種其他的優(yōu)點(diǎn)和益處對(duì)于本領(lǐng)域普通技術(shù)人員將變得清楚明了。附圖僅適于示出優(yōu)選實(shí)施方式的目的，而并不認(rèn)為是對(duì)本發(fā)明的限制。而且在整個(gè)附圖中，用相同的參考符號(hào)表示相同的部件。在附圖中圖1示出了本發(fā)明一個(gè)實(shí)施例的一種虛擬服務(wù)器的結(jié)構(gòu)示意圖；圖2示出了一種TCP數(shù)據(jù)包的結(jié)構(gòu)示意圖；以及圖3示出了根據(jù)本發(fā)明一個(gè)實(shí)施例的一種防御網(wǎng)絡(luò)攻擊的方法的流程示意圖。
具體實(shí)施例方式下面將參照附圖更詳細(xì)地描述本公開的示例性實(shí)施例。雖然附圖中顯示了本公開的示例性實(shí)施例，然而應(yīng)當(dāng)理解，可以以各種形式實(shí)現(xiàn)本公開而不應(yīng)被這里闡述的實(shí)施例所限制。相反，提供這些實(shí)施例是為了能夠更透徹地理解本公開，并且能夠?qū)⒈竟_的范圍完整的傳達(dá)給本領(lǐng)域的技術(shù)人員。參照?qǐng)D1，示出了本發(fā)明一個(gè)實(shí)施例的一種虛擬服務(wù)器的結(jié)構(gòu)示意圖，具體可以包括攔截模塊110，適于在虛擬服務(wù)器攔截應(yīng)用客戶端發(fā)送的數(shù)據(jù)包；在現(xiàn)有技術(shù)中，一般采用LVS對(duì)應(yīng)用客戶端(比如用戶手機(jī)終端，個(gè)人電腦終端等)的請(qǐng)求進(jìn)行負(fù)載均衡，對(duì)后端的RS進(jìn)行負(fù)載保護(hù)，即對(duì)某一個(gè)應(yīng)用客戶端的數(shù)據(jù)包，選擇一個(gè)負(fù)載合適的RS，將該應(yīng)用客戶端的數(shù)據(jù)包直接轉(zhuǎn)發(fā)給該RS。而在本申請(qǐng)中，不在直接轉(zhuǎn)發(fā)數(shù)據(jù)包給后的RS，而是首先將數(shù)據(jù)包攔截在LVS，進(jìn)行后續(xù)處理后，再?zèng)Q定數(shù)據(jù)包的去向。連接判斷模塊120，適于判斷所述數(shù)據(jù)包是否屬于已有連接；在LVS對(duì)應(yīng)用客戶端發(fā)送過來的數(shù)據(jù)包進(jìn)行攔截后，首先判斷所述數(shù)據(jù)包是否屬于已有連接。如果屬于已有連接，則轉(zhuǎn)發(fā)數(shù)據(jù)包至相應(yīng)已連接的RS中，如果不是則需要進(jìn)入初始連接包檢查模塊。在本申請(qǐng)中，可在LVS保存一個(gè)session表，該表保存了已建連接的源IP+源端口號(hào)和目的IP+目的端口號(hào)。那么對(duì)于LVS攔截到的數(shù)據(jù)包，將數(shù)據(jù)包中源IP+源端口號(hào)和目的IP+目的端口號(hào)四元組信息在所述session表中進(jìn)行匹配，如果匹配上，則說明屬于已有連接，如果未匹配上，則說明不屬于已有連 接。
初始連接包檢查模塊130，適于當(dāng)連接判斷模塊判斷所述數(shù)據(jù)包不屬于已有連接后，檢查所述數(shù)據(jù)包是否為同步序列編號(hào)報(bào)文；在TCP連接過程中，應(yīng)用客戶端TCP首先向服務(wù)器端發(fā)送一個(gè)特殊的TCP數(shù)據(jù)包，該數(shù)據(jù)包不包含應(yīng)用層數(shù)據(jù)，并將頭部中的SYN位設(shè)置為1，該數(shù)據(jù)段包稱為SYN(同步序列編號(hào)(Synchronize Sequence Numbers, SYN))報(bào)文。該SYN數(shù)據(jù)包標(biāo)識(shí)應(yīng)用客戶端想要同服務(wù)器端建立連接，以便傳輸數(shù)據(jù)。在本申請(qǐng)中，所述數(shù)據(jù)包可為TCP報(bào)文，TCP報(bào)文結(jié)構(gòu)如圖2。在本申請(qǐng)中，TCP報(bào)文中不存在應(yīng)用層數(shù)據(jù)。其中，同步比特SYN——同步比特SYN字段置為1，就表示這是一個(gè)連接請(qǐng)求或連接接受報(bào)文。那么本步驟可判斷TCP報(bào)文中的SYN字段是否置為1，即可判斷當(dāng)前的TCP報(bào)文是否為SYN報(bào)文。那么本申請(qǐng)的LVS判斷TCP報(bào)文中的SYN字段為I時(shí)，即可判斷該報(bào)文即為SYN報(bào)文，即客戶端請(qǐng)求同服務(wù)器端建立連接，則需要進(jìn)入源IP檢查模塊進(jìn)行處理。 第一丟棄模塊140，適于當(dāng)初始連接包檢查模塊檢查所述數(shù)據(jù)包不是同步序列編號(hào)報(bào)文，則丟棄所述數(shù)據(jù)包；如果初始連接包檢查模塊130判斷出數(shù)據(jù)包不是SYN報(bào)文，則丟棄該數(shù)據(jù)包。源IP檢查模塊150，適于當(dāng)初始連接包檢查模塊檢查所述數(shù)據(jù)包是同步序列編號(hào)報(bào)文，則檢查所述同步序列編號(hào)報(bào)文的源IP是否在封禁IP信息中；如果初始連接包檢查模塊130判斷出數(shù)據(jù)包是SYN報(bào)文，則從SYN報(bào)文中提取源IP信息。如圖2所示的TCP報(bào)文結(jié)構(gòu)，其中源端口字段對(duì)應(yīng)了源IP和源端口號(hào)。第二丟棄模塊160，適于當(dāng)源IP檢查模塊檢查所述源IP在封禁IP信息中，則丟棄所述同步序列編號(hào)報(bào)文。當(dāng)源IP檢查模塊150檢測(cè)了當(dāng)前SYN報(bào)文的源IP在封禁IP信息中，那么即可將所述SYN報(bào)文丟棄，不允許該SYN報(bào)文與后端的RS建立連接。如果當(dāng)源IP檢查模塊150檢測(cè)了當(dāng)前SYN報(bào)文的源IP不在封禁IP信息中，那么則可針對(duì)源IP+源端口號(hào)和其報(bào)文的目的IP+目的端口號(hào)新建連接，并將報(bào)文轉(zhuǎn)發(fā)給后端的RS。在本申請(qǐng)中封禁IP信息可包括封禁VIP及相應(yīng)封禁IP數(shù)量，和/或針對(duì)實(shí)際IP地址的封禁IP列表。其中VIP (Virtual IPAddress，虛擬IP地址)，是一個(gè)不與特定計(jì)算機(jī)或在一個(gè)計(jì)算機(jī)中的網(wǎng)絡(luò)接口卡(NIC)相連的IP地址。虛擬IP地址，是由代理服務(wù)器根據(jù)其內(nèi)部客戶機(jī)的多少，給定虛擬的IP地址的一個(gè)范圍，并按某種規(guī)定分配給每個(gè)客戶機(jī)一個(gè)虛擬的IP地址，這樣便可實(shí)現(xiàn)客戶機(jī)與Internet的間接相連。如此，針對(duì)連接型攻擊，不用RS進(jìn)行任何的防御動(dòng)作，并且也未進(jìn)行TCP三次握手連接，節(jié)省了 RS的系統(tǒng)資源，使RS能有更多的系統(tǒng)資源處理正常的請(qǐng)求。其中，所述封禁IP信息存儲(chǔ)于所述虛擬服務(wù)器的內(nèi)核模塊中?？蛇x的，所述內(nèi)核模塊包括哈希存儲(chǔ)模塊，適于以IP數(shù)據(jù)段的前K位作為哈希表結(jié)構(gòu)中的關(guān)鍵數(shù)據(jù)段，對(duì)封禁IP信息進(jìn)行分組存儲(chǔ)。比如對(duì)于16位的IP地址段“***. ***. ***. ***”,可以其前8為作為哈希表結(jié)構(gòu)中的關(guān)鍵數(shù)據(jù)段，對(duì)封禁IP信息進(jìn)行分組存儲(chǔ)。比如202. 204.1. 101,202. 204.1. 102，202. 204. 2. 103,202. 204.1. 104,210. 190. 101. 100,210. 190. 101. 101,210. 190. 102. 100，
那么可以前8位作為哈希表結(jié)構(gòu)中的關(guān)鍵數(shù)據(jù)段，對(duì)封禁IP信息進(jìn)行分組存儲(chǔ)，其存儲(chǔ)結(jié)構(gòu)如表一
權(quán)利要求
1.一種虛擬服務(wù)器，包括攔截模塊，適于在虛擬服務(wù)器攔截應(yīng)用客戶端發(fā)送的數(shù)據(jù)包；連接判斷模塊，適于判斷所述數(shù)據(jù)包是否屬于已有連接；初始連接包檢查模塊，適于當(dāng)連接判斷模塊判斷所述數(shù)據(jù)包不屬于已有連接后，檢查所述數(shù)據(jù)包是否為同步序列編號(hào)報(bào)文；第一丟棄模塊，適于當(dāng)初始連接包檢查模塊檢查所述數(shù)據(jù)包不是同步序列編號(hào)報(bào)文，則丟棄所述數(shù)據(jù)包；源IP檢查模塊，適于當(dāng)初始連接包檢查模塊檢查所述數(shù)據(jù)包是同步序列編號(hào)報(bào)文，則檢查所述同步序列編號(hào)報(bào)文的源IP是否在封禁IP信息中；第二丟棄模塊，適于當(dāng)源IP檢查模塊檢查所述源IP在封禁IP信息中，則丟棄所述同步序列編號(hào)報(bào)文。
2.根據(jù)權(quán)利要求1所述的虛擬服務(wù)器，所述封禁IP信息存儲(chǔ)于所述虛擬服務(wù)器的內(nèi)核模塊中。
3.根據(jù)權(quán)利要求2所述的虛擬服務(wù)器，還包括封禁IP存儲(chǔ)接口，適于將封禁IP信息存入所述內(nèi)核模塊中；和/或，封禁IP獲取接口，適于從所述內(nèi)核模塊中的獲取封禁IP信息。
4.根據(jù)權(quán)利要求3所述的虛擬服務(wù)器，還包括封禁IP信息存儲(chǔ)模塊，適于通過封禁IP存儲(chǔ)接口將封禁IP信息存入所述虛擬服務(wù)器的內(nèi)核模塊中；和/或封禁IP信息獲取模塊，適于通過封禁IP獲取接口從虛擬服務(wù)器的內(nèi)核模塊中獲取封禁IP信息。
5.根據(jù)權(quán)利要求4所述的虛擬服務(wù)器，還包括封禁IP存入請(qǐng)求接收模塊，適于接收操作客戶端的包括封禁IP信息的存入請(qǐng)求，并通知述封禁IP信息存儲(chǔ)模塊存儲(chǔ)所述封禁IP信息；和/或，封禁IP查詢請(qǐng)求接收模塊，適于接收操作客戶端的封禁IP信息查詢請(qǐng)求，并通知所述封禁IP信息獲取模塊獲取封禁IP信息。
6.根據(jù)權(quán)利要求2所述的虛擬服務(wù)器，所述內(nèi)核模塊包括哈希存儲(chǔ)模塊，適于以IP數(shù)據(jù)段的前K位作為哈希表結(jié)構(gòu)中的關(guān)鍵數(shù)據(jù)段，對(duì)封禁IP信息進(jìn)行分組存儲(chǔ)。
7.一種防御網(wǎng)絡(luò)攻擊的方法，包括在虛擬服務(wù)器攔截應(yīng)用客戶端發(fā)送的數(shù)據(jù)包；判斷所述數(shù)據(jù)包是否屬于已有連接；如果所述數(shù)據(jù)包不屬于已有連接，則檢查所述數(shù)據(jù)包是否為同步序列編號(hào)報(bào)文；如果述數(shù)據(jù)包不是同步序列編號(hào)報(bào)文，則丟棄所述數(shù)據(jù)包；如果述數(shù)據(jù)包是同步序列編號(hào)報(bào)文，則檢查所述同步序列編號(hào)報(bào)文的源IP是否在封禁IP信息中；如果所述源IP在封禁IP信息中，則丟棄所述同步序列編號(hào)報(bào)文。
8.根據(jù)權(quán)利要求7所述的方法，其特征在于所述封禁IP信息存儲(chǔ)于所述虛擬服務(wù)器的內(nèi)核模塊中。
9.根據(jù)權(quán)利要求8所述的方法，還包括通過封禁IP存儲(chǔ)接口將封禁IP信息存入所述虛擬服務(wù)器的內(nèi)核模塊中；和/或，通過封禁IP獲取接口從虛擬服務(wù)器的內(nèi)核模塊中獲取封禁IP信息。
10.根據(jù)權(quán)利要求9所述的方法，還包括接收操作客戶端的包括封禁IP信息的存入請(qǐng)求，根據(jù)所述請(qǐng)求調(diào)用所述封禁IP存儲(chǔ)接口將封禁IP信息存入所述虛擬服務(wù)器的內(nèi)核模塊中；和/或，接收操作客戶端的封禁IP信息查詢請(qǐng)求，根據(jù)所述請(qǐng)求調(diào)用所述封禁IP獲取接口從虛擬服務(wù)器的內(nèi)核模塊中獲取封禁IP信息。
11.根據(jù)權(quán)利要求8所述的方法，在存儲(chǔ)所述封禁IP信息時(shí)包括以IP數(shù)據(jù)段的前K位作為哈希表結(jié)構(gòu)中的關(guān)鍵數(shù)據(jù)段，對(duì)封禁IP信息進(jìn)行分組存儲(chǔ)。
全文摘要
本發(fā)明提供了一種虛擬服務(wù)器和一種防御網(wǎng)絡(luò)攻擊的方法，涉及網(wǎng)絡(luò)技術(shù)領(lǐng)域。所述虛擬服務(wù)器包括攔截模塊，適于在虛擬服務(wù)器攔截應(yīng)用客戶端發(fā)送的數(shù)據(jù)包；連接判斷模塊，適于判斷所述數(shù)據(jù)包是否屬于已有連接；初始連接包檢查模塊，適于當(dāng)所述數(shù)據(jù)包不屬于已有連接后，檢查所述數(shù)據(jù)包是否為同步序列編號(hào)報(bào)文；第一丟棄模塊，適于當(dāng)所述數(shù)據(jù)包不是同步序列編號(hào)報(bào)文，則丟棄所述數(shù)據(jù)包；源IP檢查模塊，適于所述數(shù)據(jù)包是同步序列編號(hào)報(bào)文，則檢查所述同步序列編號(hào)報(bào)文的源IP是否在封禁IP信息中；第二丟棄模塊，適于當(dāng)所述源IP在封禁IP信息中，則丟棄所述同步序列編號(hào)報(bào)文。本發(fā)明可對(duì)連接型的攻擊攔截在了虛擬服務(wù)器中，不會(huì)占用RS的任何系統(tǒng)資源。
文檔編號(hào)H04L29/06GK103001942SQ201210343158
公開日2013年3月27日 申請(qǐng)日期2012年9月14日 優(yōu)先權(quán)日2012年9月14日
發(fā)明者陳建, 唐會(huì)軍 申請(qǐng)人:北京奇虎科技有限公司, 奇智軟件(北京)有限公司