专利名称：钓鱼网站检测方法及装置的制作方法
技术领域：
本发明涉及网站安全检测技术，尤其涉及一种钓鱼网站检测方法及装置，属于通信技术领域。
背景技术：
随着科技的普及化，网络通讯技术以不可取代的地位深入各个领域，而网络安全问题也日益严峻，其中以钓鱼网站问题尤为突出。
现有的钓鱼网站检测方法主要有黑名单过滤技术、启发式特征检测技术及基于模式识别的检测技术。黑名单过滤技术主要依靠不断对黑名单进行更新，从而检测钓鱼网站。 启发式特征检测技术主要是把网站链接、文本内容及域名信息等信息的异常特征作为钓鱼网站判定的标准。基于模式识别的检测技术主要是利用有监督的学习方法，通过对大量的钓鱼行为提取相关或无关特征向量形成判别模型，利用判别模型对钓鱼网站进行检测。发送报文的方法是由中央处理器(CPU)将报文内容和报文发送控制文件同时经由存储器提供给专用集成电路(ASIC)，并由ASIC按照报文发送控制文件发送报文。现有技术中，报文发送方法通常采取以下流程因此CPU在将报文存储到存储器中时，需要对报文进行扩展， 生成报文控制信息。由于扩展后的报文长度增加，CPU需根据扩展后的报文长度在存储器中申请一块新的内存块，将原始报文的目的地址和源地址字段复制到新的内存块，并将报文控制信息复制到新的内存块，存放在原始报文的目的地址和源地址字段后。ASIC从存储器的内存块中读取该扩展后的报文，并根据该报文中携带的报文控制信息发送报文。
在实际应用中，通常基于用户提供的举报信息来利用上述方法对可疑钓鱼网站进行检测，即被动检测，所以这些方法多为在用户已经遭受钓鱼网站侵害后才能发挥作用，具有一定的滞后性。特别是现今钓鱼网站存在活动周期短，更新快等特点，所以能否尽早发现钓鱼网站，避免或减少用户损失成为钓鱼网站检测的重点所在。发明内容
针对现有技术所存在的缺陷，本发明提供一种钓鱼网站检测方法及装置，用以实现对钓鱼网站进行主动检测。
根据本发明的一方面，提供一种钓鱼网站检测方法，包括
获取已知钓鱼网站的互联网协议IP地址；
根据与所述已知钓鱼网站的IP地址相邻的预设范围设定可疑IP域；
查询所述可疑IP域所包括的可疑IP地址所映射的统一资源定位符URL，并根据所述URL生成可疑钓鱼网站列表；
针对所述可疑钓鱼网站列表中的各所述URL进行钓鱼网站检测。
根据本发明的另一方面，还提供一种钓鱼网站检测装置，包括
IP地址获取模块，用于获取已知钓鱼网站的IP地址；
可疑IP域设定模块，用于根据与所述已知钓鱼网站的IP地址相邻的预设范围设3定可疑IP域；
可疑钓鱼网站列表生成模块，用于查询所述可疑IP域所包括的可疑IP地址所映射的URL，并根据所述URL生成可疑钓鱼网站列表；
检测模块，用于针对所述可疑钓鱼网站列表中的各所述URL进行钓鱼网站检测。
根据本发明的钓鱼网站检测方法及装置，由于在实际应用中钓鱼网站的架设者通常会在相邻的多个IP中架设钓鱼网站，因此通过首先获取已知钓鱼网站URL所对应的IP 地址，根据获取的IP地址建立可疑钓鱼网站IP域，查找可疑IP域中每个IP所对应的网站 URL，再对这些URL进行检测，以从庞大的网站资源中发现未知钓鱼网站，实现对网络中存在的钓鱼网站进行主动检测，从而在钓鱼网站造成对用户的损失之前即可完成有效检测， 减少用户损失。
图1为本发明实施例钓鱼网站检测方法的流程示意图。
图2为本发明实施例钓鱼网站检测装置的结构示意图。
具体实施方式
本发明实施例的钓鱼网站检测方法例如由设置在网络中的钓鱼网站检测设备来执行。
图1为本发明实施例钓鱼网站检测方法的流程示意图。如图1所示，该方法包括
步骤S101，获取已知钓鱼网站的互联网协议(IP)地址
具体地，获取已经确定钓鱼网站的IP地址，该IP地址可从记录的多个已经过检测确定的钓鱼网站IP地址中获取，也可为通过网络监测或用户举报等方式获取的钓鱼网站 URL解析后获得的钓鱼网站IP地址。
步骤S102，根据与所述已知钓鱼网站的IP地址相邻的预设范围设定可疑IP域；
具体地，钓鱼网站通常会在相邻IP中架设多个钓鱼网站，所以将与钓鱼网站IP地址相邻的N个IP设定为可疑IP加入可疑IP域。
步骤S103，查询所述可疑IP域所包括的可疑IP地址所映射的统一资源定位符 (URL)，并根据所述URL生成可疑钓鱼网站列表；
具体地，获取可疑IP域中各IP地址，查询各IP地址所映射的URL，将其加入可疑钓鱼网站列表，等待检测。
由于一个IP地址下可能存在多个URL，所以若已知钓鱼网站的URL所对应的IP地址下还存在其他的URL，则把这些URL也加入可疑钓鱼网站列表。
步骤S104，针对所述可疑钓鱼网站列表中的各所述URL进行钓鱼网站检测。
具体地，可利用现有技术中针对URL进行钓鱼网站检测的任意检测方法对可疑钓鱼网站列表中的各URL进行检测，例如黑名单过滤技术、启发式特征检测技术和基于模式识别的检测技术等，根据检测结果确定其是否为钓鱼网站。
在上述实施例的钓鱼网站检测方法中，可以在生成包括可疑IP域中全部可疑IP 地址所映射的URL的可疑钓鱼网站列表后，依次对可疑钓鱼网站列表中的各可疑钓鱼网站 URL进行检测，也可以按照循环的方式执行上述步骤S103和S104，即从可疑IP域中提取一个可疑IP地址，查找该可疑IP地址所映射的URL，执行步骤S400对该URL进行钓鱼网站检测，之后重复执行步骤S103，以对可疑IP域中的另一可疑IP地址进行处理。
根据上述实施例的钓鱼网站检测方法，由于在实际应用中钓鱼网站的架设者通常会在相邻的多个IP中架设钓鱼网站，因此通过首先获取已知钓鱼网站URL所对应的IP地址，根据获取的IP地址建立可疑钓鱼网站IP域，查找可疑IP域中每个IP所对应的网站 URL，再对这些URL进行检测，以从庞大的网站资源中发现未知钓鱼网站，实现对网络中存在的钓鱼网站进行主动检测，从而在钓鱼网站造成对用户的损失之前即可完成有效检测， 减少用户损失。
进一步地，在上述实施例的钓鱼网站检测方法中，所述获取已知钓鱼网站的IP地址具体包括
获取处于活动状态的钓鱼网站的URL ；
获取所述已知钓鱼网站的URL所对应IP地址。
优选的，读取一个已记录的或经过网络监测及用户举报等方式获得的仍在执行钓鱼任务的钓鱼网站URL ；其中，已记录或网络检测、用户举报等方式获取的钓鱼网站URL应为仍在使用中的URL，更为具体地，例如通过现有技术中的任意网站活跃度检测方法来检测其是否仍处于活动状态。
根据上述实施例的钓鱼网站检测方法，通过利用仍在执行钓鱼任务的钓鱼网站 URL获取钓鱼网站IP地址，一方面可以保障获取的钓鱼网站IP地址的有效性，另一方面由于钓鱼网站的架设者通常在相邻的多个IP地址架设钓鱼网站，若一个钓鱼网站已经停止使用那么很可能在相邻的IP地址中的钓鱼网站也同时停止使用。所以本发明利用仍在执行钓鱼任务的钓鱼网站URL获取钓鱼网站IP地址，可以有效的保障所获取IP地址的有效性，能够避免对已停止使用的钓鱼网站进行检测。
进一步地，在上述实施例的钓鱼网站检测方法中，所述可疑IP地址与所述已知钓鱼网站的IP地址的前M位相同。
具体地，可疑IP域例如由与所述IP地址前M位相同的IP地址所组成，将所述可疑IP地址后8位作为可疑IP地址范围，使可疑IP地址扩大到255个，例如，已知钓鱼网站IP地址为174. 139. 22. 3，那么设定可疑IP地址的范围为174. 139. 22. 1至 174. 139. 22. 255。
根据上述实施例的钓鱼网站检测方法，将可疑IP地址后8为作为可疑IP地址范围设置可疑IP域，使可疑IP域涵盖范围不至过大或者过小，可有效的涵盖可疑IP地址临近节点。既避免了因范围过大而导致大幅增加检测工作量的缺陷，又避免了因范围过小又不能有效的发现未知钓鱼网站。
进一步地，在上述实施例的钓鱼网站检测方法中，查询所述可疑IP域所包括的可疑IP地址所映射的URL具体包括
根据域名文件查询与所述可疑IP域所包括的各可疑IP地址具有映射关系的URL。
具体地，利用域名文件(zone file)反向查询与可疑IP地址具有映射关系的URL。 其中，zone file存放于管理网站的服务器，是一组包含将URL转换为对应IP地址的指令集；在zone file中反向查询，是指通过zone file根据IP地址查询所对应的网站URL。
此外，本领域的技术人员能够理解，不仅局限于通过反向查询zone file来获取可疑IP地址所映射的URL，也可利用其他技术获取IP地址所映射的URL。
图2为本发明实施例钓鱼网站检测装置的结构示意图。如图2所示，该钓鱼网站检测装置包括
IP地址获取模块21，用于获取已知钓鱼网站的IP地址；
可疑IP域设定模块22，用于根据与所述已知钓鱼网站的IP地址相邻的预设范围设定可疑IP域；
可疑钓鱼网站列表生成模块23，用于查询所述可疑IP域所包括的可疑IP地址所映射的URL，并根据所述URL生成可疑钓鱼网站列表；
检测模块M，用于针对所述可疑钓鱼网站列表中的各所述URL进行钓鱼网站检测。
上述实施例的钓鱼网站检测装置执行钓鱼网站检测的具体流程与前述实施例的钓鱼网站检测方法相同，故此处不再赘述。
根据上述实施例的钓鱼网站检测装置，由于在实际应用中钓鱼网站的架设者通常会在相邻的多个IP中架设钓鱼网站，因此通过首先获取已知钓鱼网站URL所对应的IP地址，根据获取的IP地址建立可疑钓鱼网站IP域，查找可疑IP域中每个IP所对应的网站 URL,再对这些URL进行检测，以从庞大的网站资源中发现未知钓鱼网站，实现对网络中存在的钓鱼网站进行主动检测，从而在钓鱼网站造成对用户的损失之前即可完成有效检测， 减少用户损失。
进一步地，在上述实施例的钓鱼网站检测装置中，所述IP获取模块，用于获取已知钓鱼网站的IP地址的步骤包括
第一获取单元，用于获取处于活动状态的钓鱼网站的URL ；
第二获取单元，用于获取所述已知钓鱼网站的URL所对应IP地址。
根据上述实施例的钓鱼网站检测装置，通过利用仍在执行钓鱼任务的钓鱼网站 URL获取钓鱼网站IP地址，一方面可以保障获取的钓鱼网站IP地址的有效性，另一方面由于钓鱼网站的架设者通常在相邻的多个IP地址架设钓鱼网站，若一个钓鱼网站已经停止使用那么很可能在相邻的IP地址中的钓鱼网站也同时停止使用。所以本发明利用仍在执行钓鱼任务的钓鱼网站URL获取钓鱼网站IP地址，可以有效的保障所获取IP地址的有效性，能够避免对已停止使用的钓鱼网站进行检测。
进一步地，在上述实施例的钓鱼网站检测装置中，所述可疑IP地址与所述已知钓鱼网站的IP地址的前M位相同。
根据上述实施例的钓鱼网站检测装置，将可疑IP地址后8为作为可疑IP地址范围设置可疑IP域，使可疑IP域涵盖范围不至过大或者过小，可有效的涵盖可疑IP地址临近节点。既避免了因范围过大而导致大幅增加检测工作量的缺陷，又避免了因范围过小又不能有效的发现未知钓鱼网站。
进一步地，在上述实施例的钓鱼网站检测装置中，所述查询模块还用于根据域名文件查询与所述可疑IP域所包括的各可疑IP地址具有映射关系的URL。
根据上述实施例的钓鱼网站检测装置，能够方便、准确地获取可疑IP地址所映射的URL，进一步提高了钓鱼网站检测的效率及有效性。
最后应说明的是以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。
权利要求
1.一种钓鱼网站检测方法，其特征在于，包括获取已知钓鱼网站的互联网协议IP地址；根据与所述已知钓鱼网站的IP地址相邻的预设范围设定可疑IP域；查询所述可疑IP域包括的可疑IP地址所映射的统一资源定位符URL，并根据所述URL 生成可疑钓鱼网站列表；针对所述可疑钓鱼网站列表中的各所述URL进行钓鱼网站检测。
2.根据权利要求1所述的钓鱼网站检测方法，其特征在于，所述获取已知钓鱼网站的 IP地址具体包括；获取处于活动状态的钓鱼网站的URL ；获取所述处于活动状态的钓鱼网站的URL所对应IP地址。
3.根据权利要求1所述的钓鱼网站检测方法，其特征在于，所述可疑IP地址与所述已知钓鱼网站的IP地址的前M位相同。
4.根据权利要求1至3中任一所述钓鱼网站检测方法，其特征在于，查询所述可疑IP 域所包括的可疑IP地址所映射的URL具体包括根据域名文件查询与所述可疑IP域所包括的各可疑IP地址具有映射关系的URL。
5.一种钓鱼网站检测装置，其特征在于，包括IP地址获取模块，用于获取已知钓鱼网站的IP地址；可疑IP域设定模块，用于根据与所述已知钓鱼网站的IP地址相邻的预设范围设定可疑IP域；可疑钓鱼网站列表生成模块，用于查询所述可疑IP域所包括的可疑IP地址所映射的 URL,并根据所述URL生成可疑钓鱼网站列表；检测模块，用于针对所述可疑钓鱼网站列表中的各所述URL进行钓鱼网站检测。
6.根据权利要求5所述钓鱼网站检测装置，其特征在于，所述IP获取模块，用于获取已知钓鱼网站的IP地址的步骤包括第一获取单元，用于获取处于活动状态的钓鱼网站的URL ；第二获取单元，用于获取所述处于活动状态的钓鱼网站的URL所对应IP地址。
7.根据权利要求5所述钓鱼网站检测装置，其特征在于，所述可疑IP地址与所述已知钓鱼网站的IP地址的前M位相同。
8.根据权利要求5至7中任一所述钓鱼网站检测装置，其特征在于，所述查询模块还用于根据域名文件查询与所述可疑IP域所包括的各可疑IP地址具有映射关系的URL。
全文摘要
本发明提供一种钓鱼网站检测方法及装置。该钓鱼网站检测方法包括获取已知钓鱼网站的互联网协议IP地址；根据与所述已知钓鱼网站的IP地址相邻的预设范围设定可疑IP域；查询所述可疑IP域所包括的可疑IP地址所映射的统一资源定位符URL，并根据所述URL生成可疑钓鱼网站列表；针对所述可疑钓鱼网站列表中的各所述URL进行钓鱼网站检测。根据本发明的钓鱼网站检测方法及装置，实现了从庞大的网站资源中主动发现未知钓鱼网站。
文档编号H04L29/12GK102523210SQ20111040208
公开日2012年6月27日 申请日期2011年12月6日 优先权日2011年12月6日
发明者洪博, 王利明, 耿光刚, 肖雅丽 申请人:中国科学院计算机网络信息中心