网页检测方法及系统的制作方法

网页检测方法及系统的制作方法
【专利摘要】本发明公开了一种网页检测方法，包括：对接入的 WEB 服务器进行合法性认证；从所述 WEB 服务器接收用户请求访问的页面的第一身份凭证信息；从所述用户使用的 WEB 浏览器所支持的页面安全认证模块接收所述页面的第二身份凭证信息；以及比较所述第一身份凭证信息和所述第二身份凭证信息，以便得到所述页面的合法性检测结果。本发明还公开了一种网页检测系统。
【专利说明】网页检测方法及系统

【技术领域】
[0001]本发明涉及网络技术，特别地，涉及一种网页检测方法及系统。

【背景技术】
[0002]随着电子商务的不断发展和网上支付交易的不断增加，“钓鱼网站”的诈骗行为变的越来越猖獗。其通常与银行网站、第三方支付网站或者知名的社交网站几乎完全相同，从而引导网站用户在“钓鱼网站”上输入并提交敏感信息，如支付账号、用户名、口令码和PIN码等。一旦被盗取，则会使用户遭受到巨大的经济损失，甚至用于其他非法活动。故如何识别检测钓鱼网站，愈发显示出其重要性和必要性。
[0003]目前，比较流行的检测钓鱼网站的方法主要有如下几种:第一，依靠人工识别方式。采用黑名单机制，通过用户举报即人工鉴定方式动态加入黑名单中。在用户浏览网页时，通过用户主动查询或者浏览器插件判断该网站是否为钓鱼网站。这样显然速度太慢，不能从根本上解决防钓鱼网站的问题。第二，基于图像处理或者布局的检测技术。该技术实现比较麻烦，且和人脸识别的原理类似，需要构建特征库，且需要及时更新。由于钓鱼网页的更新速度特别快，如果没有及时更新特征库，则该检测技术对此也无能为力。第三，申请号为201310013624.2、题为“一种基于动态验证码的钓鱼网页检测方法”的发明专利申请提出了一种检测方法，该检测方法相比前面2种检测方法更为简单和高效。但由于该检测方法的整个检测通讯机制完全依赖WEB服务器完成，且WEB服务器并不能识别当前页面服务请求者身份的合法性，故容易遭到黑客的中间人攻击而破坏钓鱼网页检测的完整性。


【发明内容】

[0004]为了解决上述问题，根据本发明的一个方面，提供了一种网页检测方法，包括:对接入的WEB服务器进行合法性认证；从所述WEB服务器接收用户请求访问的页面的第一身份凭证信息；从所述用户使用的WEB浏览器所支持的页面安全认证模块接收所述页面的第二身份凭证信息；以及比较所述第一身份凭证信息和所述第二身份凭证信息，以便得到所述页面的合法性检测结果。
[0005]上述网页检测方法还可包括:管理合法的注册用户，其中所述注册用户包括WEB服务器和互联网用户。
[0006]上述网页检测方法还可包括:向所述用户发送所述合法性检测结果。
[0007]在上述网页检测方法中，在从所述用户使用的WEB浏览器所支持的页面安全认证模块接收所述页面的第二身份凭证信息之前，对所述用户进行合法性认证。
[0008]在上述网页检测方法中，对所述用户进行合法性认证包括:从所述用户接收包含手机号码的该用户唯一标示信息；产生第一验证码，并根据所述手机号码向所述用户发送第一验证码；从所述用户接收合法性认证请求，所述合法性认证请求包括所述用户输入的第二验证码；以及比较所述第一验证码和所述第二验证码，以确定所述用户是否合法。
[0009]在上述网页检测方法中，所述第一身份凭证信息和所述第二身份凭证信息包含网页唯一标识信息或与身份凭证信息相对应的优化处理结果，其中所述网页唯一标识信息包含URL和Sess1n ID,而所述优化处理结果包含CRC校验码、Hash值和MAC校验码。
[0010]根据本发明的另一个方面，提供了一种网页检测系统。该网页检测系统包括:网页合法性验证系统、WEB服务器和浏览器WEB页面安全认证模块，其中，所述网页合法性验证系统包括:安全模块，用于对接入的WEB服务器进行合法性认证；通信模块，用于从所述WEB服务器接收用户请求访问的页面的第一身份凭证信息；以及从所述用户使用的WEB浏览器所支持的页面安全认证模块接收所述页面的第二身份凭证信息；以及网页身份凭证管理模块，用于比较所述第一身份凭证信息和所述第二身份凭证信息，以便得到所述页面的合法性检测结果。
[0011]上述系统还可包括:用户管理模块，用于管理合法的注册用户，其中所述注册用户包括WEB服务器和互联网用户。
[0012]在上述系统中，所述通信模块还配置成向所述用户发送所述合法性检测结果。
[0013]在上述系统中，所述第一身份凭证信息和所述第二身份凭证信息包含网页唯一标识信息或与身份凭证信息相对应的优化处理结果，其中所述网页唯一标识信息包含URL和Sess1n ID,而所述优化处理结果包含CRC校验码、Hash值和MAC校验码。
[0014]本发明的网页检测方法和系统基于多渠道获取的网页身份凭证来判断前端WEB页面的合法性并将结果通知用户。其实现简单、实用，能有效防止用户在互联网操作过程中被钓鱼的安全风险，使用户免受敏感信息被窃而遭受的巨大经济损失。

【专利附图】

【附图说明】
[0015]在参照附图阅读了本发明的【具体实施方式】以后，本领域技术人员将会更清楚地了解本发明的各个方面。本领域技术人员应当理解的是:这些附图仅仅用于配合【具体实施方式】说明本发明的技术方案，而并非意在对本发明的保护范围构成限制。
[0016]图1是根据本发明的一个实施例、基于网页身份凭证多渠道获取的钓鱼网页检测系统的不意图；
图2是根据本发明的一个实施例、网页合法性验证系统的模块结构图；
图3是根据本发明的一个实施例、网页合法性验证系统的工作原理图；
图4是根据本发明的一个实施例、WEB服务器的处理流程图；
图5是根据本发明的一个实施例、基于网页身份凭证多渠道获取的钓鱼网页检测方法的示意图。

【具体实施方式】
[0017]下面介绍的是本发明的多个可能实施例中的一些，旨在提供对本发明的基本了解，并不旨在确认本发明的关键或决定性的要素或限定所要保护的范围。容易理解，根据本发明的技术方案，在不变更本发明的实质精神下，本领域的一般技术人员可以提出可相互替换的其它实现方式。因此，以下【具体实施方式】以及附图仅是对本发明的技术方案的示例性说明，而不应当视为本发明的全部或者视为对本发明技术方案的限定或限制。
[0018]本发明的发明人提出一种基于网页身份凭证多渠道获取的钓鱼网页检测方法和系统，通过多种渠道获取网页身份信息，从而判断前端WEB页面的合法性并将结果通知用户。
[0019]参考图1，它示出了根据本发明的一个实施例、基于网页身份凭证多渠道获取的钓鱼网页检测系统的示意图。从图1可知，网页检测系统可包括网页合法性验证系统、WEB服务器以及浏览器WEB页面安全认证模块三部分。
[0020]在一个具体的实施例中，网页合法性验证系统，如图2所示，可包含如下几部分:
(I)用户管理模块:用于管理合法的注册用户，如接入的WEB服务器和互联网用户；(2)安全模块:用于对接入的服务器进行合法性认证，并保证通信链路数据传输的安全；(3)网页身份凭证管理模块:包含网页身份凭证数据库，负责存储从多渠道获取的网页身份凭证，并判断身份凭证的合法性；网页身份凭证主要包含URL和Sess1n ID等网页唯一标识等信息，或者是与身份凭证信息相对应的优化处理结果，如CRC校验码(CRC算法处理)、Hash值(Hash算法)MAC校验码(MAC算法)等。(4)短信通知模块:主要是通过用户注册的手机号码向用户发送动网页合法性检测结果；(5)通信模块:与接入的第三方WEB服务器之间建立通信链路。
[0021]在一个具体的实施例中，浏览器WEB页面安全认证模块可作为网页身份凭证的其中一个上送渠道。浏览器WEB页面安全认证模块需要动态获取当前网页的身份凭证信息，记为第一网页身份凭证，并上送给网页合法性验证系统。该模块会以浏览器插件的形式存在。
[0022]第一网页身份凭证可包括Sess1n ID、URL后者IP地址等信息，或者可以是与身份凭证信息相对应的优化处理结果，如CRC校验码(CRC算法处理)、Hash值(Hash算法)MAC校验码(MAC算法)等。
[0023]在一个优选的实施例中，如图3所示，浏览器WEB页面安全认证模块的工作原理如下所示:(1)输入用户的唯一标示信息，此处以手机号码为例；(2)向网页合法性验证系统发起获取手机验证码的请求；(3)网页合法性验证系统产生手机验证码，并发送给用户；
(4)用户输入获取的短信验证码；(5)用户发起网页合法性认证请求:请求内容至少包含短信验证码和第一网页身份凭证；(6)网页合法性验证系统收到认证请求后，执行如下动作:6.1验证短信验证码是否合法；6.2在网页身份凭证数据库中匹配第一网页身份凭证，如果匹配成功且凭证信息有效，则说明为合法网页；如果匹配成功且凭证信息失效，则说明页面已经超时；如果匹配不成功，则说明为非法网页。有必要指出的是，凭证信息有效是根据WEB服务器上送的第二网页身份凭证的有效期来决定的。(7)网页合法性验证系统向用户发送验证结果；(8)网页合法性验证系统向浏览器WEB页面安全认证模块发送验证结果。
[0024]在一个具体的实施例中，WEB服务器是网页身份凭证信息的另一个上送渠道。其上传的网页身份凭证信息记为第二网页身份凭证信息。Web服务器需要预先在网页合法性验证系统中注册。当用户请求的WEB网页所属的WEB服务器在网页合法性验证系统中注册过时，WEB服务器在收到请求后会自动封装当前请求页面的网页身份凭证信息，并将该凭证信息上送给网页合法性验证系统。同时返回内嵌有支付网页合法性身份认证标识的请求页面。
[0025]WEB服务器的处理流程如图4所示。在一个实施例中，WEB服务器收到来自用户的WEB页面访问请求。接着，其判断是否已经在网页合法性验证系统中注册。如果是，则继续判断是否对该请求页面提供合法性认证服务。如果是，则在请求页面中添加支持合法性认证标识。然后，提取网页身份凭证信息并向网页合法性验证系统提交网页身份凭证信息，最后，返回请求页面信息。如果在之前的判断中有任意一个为否，则直接返回请求页面信息。
[0026]图5示出了完整的网页合法性验证流程。具体如下:(1)用户向Web浏览器输入要访问的页面，并发起页面请求申请；(2)Web浏览器向WEB服务器转发用户的页面请求；(3)WEB服务器判断是否支持该网页的合法性验证服务，如果支持，则整理当前页面的第一身份凭证信息，同时在网页中嵌入支持合法性认证标识；(4) WEB服务器向网页合法性验证系统提交当前页面的身份凭证信息，并确认接收完毕；(5)WEB服务器返回用户请求的页面；(6)用户判断当前页面是否支持合法性认证，如果支持则输入用户标识信息，如手机号码，并发起认证请求；(7) WEB浏览器的页面安全认证模块整理当前页面的第二身份凭证信息，并封装页面合法性认证报文发送给网页合法性验证系统；(8)网页合法性验证系统收到页面认证请求后，提取出第二身份凭证信息，并在网页身份凭证数据库中检索是否已经存在该网页的身份信息，即第二身份凭证信息=第一身份凭证信息。如果存在，则认为该网页为合法网页，如果不存在，则提示为非法页面等相应的错误提示。(9)返回验证结果给WEB浏览器的页面安全认证模块，并给出提示；(10)通过短信等无线方式通知用户验证结果。
[0027]在一个实施例中，WEB浏览器的页面安全认证模块与网页合法性验证系统间采用SSL协议建立安全传输通道。WEB服务器与网页合法性验证系统间采用SSL协议建立安全传输通道。另外，通过不同的渠道分别获取网页身份凭证信息，保证了网页合法性验证的可靠性。通过Sess1n ID、URL或者IP地址等信息作为网页身份凭证信息，可以唯一标识用户并发访问同一个页面的情况。
[0028]上述技术方案实现简单、实用和高效。它摒弃了图像处理、模式识别，钓鱼网页地址收集等繁琐、不成熟的技术，创新性地提出了引入第三发网页合法性认证系统，采用网页身份多渠道获取的方法来完成对网页合法性的认证工作。有效防止了用户在互联网操作过程中被钓鱼的安全风险。
[0029]该技术方案至少具有如下特点和优势:第一，网页合法性验证系统需要对接入的WEB服务器进行授权认证；一个非法的WEB服务器不能与网页合法性验证系统进行通信并发起获取动态验证码的请求；第二，通过不同的渠道分别获取网页身份凭证信息，保证了身份信息来源的可靠性和认证的权威性，有效屏蔽了钓鱼网站，保证了用户的财产安全；第三，通过构建第三方的网页合法性验证系统，在提高互联网安全的基础上可以进一步扩大企业的品牌影响力。
[0030]上文中，参照附图描述了本发明的【具体实施方式】。但是，本领域中的普通技术人员能够理解，在不偏离本发明的精神和范围的情况下，还可以对本发明的【具体实施方式】作各种变更和替换。这些变更和替换都落在本发明权利要求书所限定的范围内。
【权利要求】
1.一种网页检测方法，包括:
对接入的WEB服务器进行合法性认证； 从所述WEB服务器接收用户请求访问的页面的第一身份凭证信息； 从所述用户使用的WEB浏览器所支持的页面安全认证模块接收所述页面的第二身份凭证信息；以及 比较所述第一身份凭证信息和所述第二身份凭证信息，以便得到所述页面的合法性检测结果。
2.如权利要求1所述的网页检测方法，还包括: 管理合法的注册用户，其中所述注册用户包括WEB服务器和互联网用户。
3.如权利要求1或2所述的网页检测方法，还包括: 向所述用户发送所述合法性检测结果。
4.如权利要求2所述的网页检测方法，其中，在从所述用户使用的WEB浏览器所支持的页面安全认证模块接收所述页面的第二身份凭证信息之前，对所述用户进行合法性认证。
5.如权利要求4所述的网页检测方法，其中，对所述用户进行合法性认证包括: 从所述用户接收包含手机号码的该用户唯一标示信息； 产生第一验证码，并根据所述手机号码向所述用户发送第一验证码； 从所述用户接收合法性认证请求，所述合法性认证请求包括所述用户输入的第二验证码；以及 比较所述第一验证码和所述第二验证码，以确定所述用户是否合法。
6.如权利要求1所述的网页检测方法，其中，所述第一身份凭证信息和所述第二身份凭证信息包含网页唯一标识信息或与身份凭证信息相对应的优化处理结果，其中所述网页唯一标识信息包含URL和Sess1n ID等信息，而所述优化处理结果可以是Hash值或MAC校验码。
7.一种网页检测系统，其特征在于，包括:网页合法性验证系统、WEB服务器和浏览器WEB页面安全认证模块，其中，所述网页合法性验证系统包括: 安全模块，用于对接入的WEB服务器进行合法性认证； 通信模块，用于从所述WEB服务器接收用户请求访问的页面的第一身份凭证信息；以及从所述用户使用的WEB浏览器所支持的页面安全认证模块接收所述页面的第二身份凭证信息；以及 网页身份凭证管理模块，用于比较所述第一身份凭证信息和所述第二身份凭证信息，以便得到所述页面的合法性检测结果。
8.如权利要求7所述的系统，还包括: 用户管理模块，用于管理合法的注册用户，其中所述注册用户包括WEB服务器和互联网用户。
9.如权利要求7或8所述的系统，其中，所述通信模块还配置成向所述用户发送所述合法性检测结果。
10.如权利要求7所述的系统，其中，所述第一身份凭证信息和所述第二身份凭证信息包含网页唯一标识信息或与身份凭证信息相对应的优化处理结果，其中所述网页唯一标识信息包含URL和Sess1n ID,而所述优化处理结果包含CRC校验码、Hash值和MAC校验码。
【文档编号】H04L29/06GK104426861SQ201310377387
【公开日】2015年3月18日 申请日期:2013年8月27日 优先权日:2013年8月27日
【发明者】郑建宾, 周钰, 华锦芝 申请人:中国银联股份有限公司