一种基于云平台的CSRF防护方法和系统技术方案

本发明专利技术公开了一种基于云平台的CSRF防护方法和系统，所述方法包括以下步骤：接收待分析的请求包；检查请求包登录状态，对未登录或已登录但不包含请求参数的所述请求包直接放行；对已登录且包含请求参数的请求包进行检验；根据所述检验结果判断对所述请求包是直接放行还是清除缓存后放行。本发明专利技术的基于云平台的CSRF防护方法和系统，通过判断请求访问系统的登录权限，能够减少公开的操作接口误拦行为，提高检测效率，降低对云平台性能的影响；通过识别请求方式、配置敏感操作参数和对请求的referer进行相关的处理可实现对整个网站进行CSRF防护，配置简单方便，对运营人员的专业要求低。

A CSRF protection method and system based on cloud platform

The invention discloses a CSRF protection method and system based on cloud platform, the method comprises the following steps: receiving of the request packet; check request packet logged in, not logged or logged but does not contain the request parameters to the request packet directly to the release; the registered and contains the request parameters request packet inspection; according to the test results to judge the request packet is released directly or clear the cache after release. CSRF protection method and system based on cloud platform of the invention, by judging the login request access system, which can reduce operating interface open error blocking behavior, improve the detection efficiency, reduce the impact on the performance of cloud platform; request mode, operation parameters and configuration sensitive to request referer related processing can be realized CSRF to protect the whole website through the identification, configuration is simple and convenient, low requirement for the operation of the professional staff.

【技术实现步骤摘要】
一种基于云平台的CSRF防护方法和系统
本专利技术涉及计算机网络数据安全领域，特别涉及一种基于云平台的CSRF防护方法和系统。
技术介绍
随着全球广域网(WorldWideWeb，WEB)应用技术的高速发展，互联网上出现一种劫持其他终端用户在登录状态时对其所处应用系统执行恶意操作的攻击方法——跨站请求伪造(Cross-siteRequestForgery，CSRF)。该攻击方法可以在受害者不知情的状态下执行WEB应用上的功能操作，具体可表现为当受害者成功登录某WEB应用系统，在使用期间受害者请求访问了攻击者构造的链接页面，在页面加载的同时攻击者已经利用事先构造好的代码完成了CSRF攻击，成功利用受害者的用户权限执行了WEB应用系统的功能操作，使得用户的隐私信息及权利产生了威胁。CSRF防御主要可以从服务端、用户端和安全设备三个层面进行。服务端的防御具体又可分为(1)referer验证：在超文本传输协议报文(HyperTextTransferProtocol，HTTP)头中有一个referer字段，记录http请求的来源地址，访问一个安全受限的页面的请求必须来自同一个网站，当用户要提交本文档来自技高网...

【技术保护点】
一种基于云平台的CSRF防护方法，其特征在于，包括以下步骤：接收待分析的请求包；检查请求包登录状态，对未登录或已登录但不包含请求参数的所述请求包直接放行；对已登录且包含请求参数的请求包进行检验；根据所述检验结果判断对所述请求包是直接放行还是清除缓存后放行。

【技术特征摘要】
1.一种基于云平台的CSRF防护方法，其特征在于，包括以下步骤：接收待分析的请求包；检查请求包登录状态，对未登录或已登录但不包含请求参数的所述请求包直接放行；对已登录且包含请求参数的请求包进行检验；根据所述检验结果判断对所述请求包是直接放行还是清除缓存后放行。2.如权利要求1所述的基于云平台的CSRF防护方法，其特征在于，所述检验已登录且包含请求参数的请求包的步骤包括：判断所述请求包的referer字段是否为空；如果所述请求包的referer为空，则进一步判断该请求包的请求方式；若为POST请求，则对所述请求包清除缓存后放行；若为GET请求，则进行敏感操作的识别。3.如权利要求2所述的基于云平台的CSRF防护方法，其特征在于，如果所述请求包的referer字段不为空，则对该referer字段是否为可信域进行判断；若所述referer字段为可信域，则对所述请求包直接放行；若所述referer字段为非可信域，则进一步判断该请求包的请求方式；若为POST请求，则对所述请求包清除缓存后放行；若为GET请求，则进行敏感操作的识别。4.如权利要求2或3所述的基于云平台的CSRF防护方法，其特征在于，所述敏感操作识别的具体步骤包括：判断所述请求包是否为敏感操作，对不是敏感操作的请求包直接放行，对是敏感操作的请求包清除缓存后放行。5.如权利要求4所述的基于云平台的CSRF防护方法，其特征在于：所述敏感操作包括增加、删除、修改、查询。6.如权利要求1所述的基于云平台的CSRF防护方法，其特征在于，所述防护方法还包括：在检查所述请求包登录状态前，先判断所述请求包是否为鉴权请求包；如果不是所述鉴权请求包，则进一步检查所述请求包的登录状态。7.一种基于云平台的CSRF防护系统，其特征在于，包括：登录状态模块，用于接收待分析的请求包并检查请求包的登录状态，将未登录或已登录但不包含请求参数的所述请求包直接放行，将已登录且包含请求参数的所述请求包发送给检验模块；检验...

【专利技术属性】
技术研发人员：黄梅芬，
申请(专利权)人：网宿科技股份有限公司，
类型：发明
国别省市：上海,31