專利名稱：黑客跟蹤系統(tǒng)和方法,以及驗證系統(tǒng)和使用此系統(tǒng)的方法
背景技術：
為了對付這種非法操作，安全系統(tǒng)，例如侵入檢測系統(tǒng)(IDS)和防火墻或安全網(wǎng)關，常常用在組織的網(wǎng)絡中，例如公司的網(wǎng)絡。侵入檢測系統(tǒng)提供的功能可實時檢測并控制未授權用戶(例如，黑客)。防火墻在構造上切斷了未授權用戶的訪問或侵入。
但是，侵入檢測系統(tǒng)和防火墻的問題在于，它們是使用通過分析網(wǎng)絡數(shù)據(jù)包得到的信息而執(zhí)行的。例如，當隱藏了她/他的信息的黑客企圖訪問網(wǎng)絡服務器時，侵入檢測系統(tǒng)和防火墻僅是識別HTTP信息而不是黑客的原始位置信息。
所有網(wǎng)絡服務器的訪問記錄目前是使用HTTP信息建立的。當黑客企圖使用代理服務器或中間點進行訪問時，網(wǎng)絡服務器中記錄的是代理服務器或中間點的信息而不是黑客的原始位置信息。因此，使用代理服務器信息或中間點信息跟蹤黑客幾乎是不可能的。即使識別了中間點的位置信息，跟蹤黑客仍需要高成本和長時間。


圖1表示典型的代理服務器設置屏幕。如圖1所示，網(wǎng)絡瀏覽器可以設置成借助代理服務器訪問網(wǎng)絡服務器。一般地，將非法內(nèi)容寫入網(wǎng)站數(shù)據(jù)源的電子公告板或首頁的個人本質(zhì)上隱藏她/他的信息，其中這些網(wǎng)絡使用用戶信息作為識別信息。例如，當用戶使用代理服務器隱藏她/他的信息制作內(nèi)容或上傳數(shù)據(jù)時，不能識別用戶的原始位置信息，因為記錄的是HTTP信息，如圖2所示。
圖3表示根據(jù)傳統(tǒng)技術Apache服務器的訪問日志，圖4表示根據(jù)傳統(tǒng)技術Apache服務器的錯誤日志。如圖3和4中可以看出，由于網(wǎng)絡服務器中僅是記錄了代理服務器地址，因此傳統(tǒng)的安全系統(tǒng)不能識別黑客的原始位置。
出于上述原因，迫切需要能識別黑客原始位置的黑客跟蹤系統(tǒng)。
發(fā)明概述為了克服上述問題，本發(fā)明的優(yōu)選實施方式提供了一種能識別黑客原始位置的黑客跟蹤系統(tǒng)和方法。
本發(fā)明的另一目的是提供使用能識別黑客原始位置的黑客跟蹤系統(tǒng)的驗證系統(tǒng)和方法。
為了達到上述目的，本發(fā)明的優(yōu)選實施方式提供的跟蹤黑客的系統(tǒng)包括插在預定網(wǎng)頁中的網(wǎng)絡代理程序；位置指示單元，用于通過分析HTTP域名指示用戶訪問的位置信息；比較單元，用于將通過分析HTTP域名得到的用戶位置信息與通過網(wǎng)絡代理程序得到的用戶位置信息進行比較；跟蹤單元，用于使用通過網(wǎng)絡代理程序得到的位置信息提取用戶的原始位置；其中將網(wǎng)絡代理程序下載到用戶計算機并傳輸用戶的位置信息。
本發(fā)明進一步提供跟蹤黑客的方法，包括a)將待插入的網(wǎng)絡代理程序插入預定的網(wǎng)頁；b)分析HTTP域名；c)將網(wǎng)絡代理程序下載到用戶計算機，以傳輸用戶計算機的位置信息；和d)將通過分析HTTP域名得到的位置信息與通過網(wǎng)絡代理程序得到的位置信息進行比較。
該方法還包括當分析HTTP域名得到的用戶位置信息與通過網(wǎng)絡代理程序得到的用戶位置信息不相同時，使用通過網(wǎng)絡代理程序得到的位置信息提取用戶的位置，并將通過分析HTTP域名得到的位置信息與通過網(wǎng)絡代理程序得到的位置信息存儲于數(shù)據(jù)庫中。
本發(fā)明還提供一種驗證系統(tǒng)，其包括黑客跟蹤系統(tǒng)，該黑客跟蹤系統(tǒng)包括插在預定網(wǎng)頁并下載到用戶計算機用以傳輸用戶位置信息的網(wǎng)絡代理程序；位置指示單元，用于通過分析HTTP域名指示用戶訪問的位置信息；比較單元，用于將通過分析HTTP域名得到的用戶位置信息與通過網(wǎng)絡代理程序得到的用戶位置信息進行比較；跟蹤單元，用于使用通過網(wǎng)絡代理程序得到的位置信息提取用戶的原始位置；其中當通過分析HTTP域名得到的用戶位置信息與通過網(wǎng)絡代理程序得到的用戶位置信息相同時允許訪問。
本發(fā)明還提供一種驗證方法，包括a)將待插入的網(wǎng)絡代理程序插入預定的網(wǎng)頁；b)分析HTTP域名；c)將網(wǎng)絡代理程序下載到用戶計算機，以傳輸用戶計算機的位置信息；d)將通過分析HTTP域名得到的位置信息與通過網(wǎng)絡代理程序得到的位置信息進行比較；和e)當通過分析HTTP域名得到的位置信息與通過網(wǎng)絡代理程序得到的位置信息相同時允許訪問。
當出現(xiàn)錯誤時將網(wǎng)絡代理程序插入錯誤頁面并下載到用戶計算機。網(wǎng)絡代理程序包括JAVA applet。通過網(wǎng)絡代理程序得到的用戶位置信息包括訪問時間、IP地址、主機名稱、錯誤數(shù)字、訪問位置、URL選項、網(wǎng)絡瀏覽器信息以及操作系統(tǒng)信息。比較單元包括JSP服務器的JAVA程序。
本發(fā)明具有以下的優(yōu)點。即使黑客使用代理服務器和中間點訪問網(wǎng)絡服務器，也可以識別黑客的原始位置，因此可以有效地防止未授權用戶侵入計算機網(wǎng)絡和系統(tǒng)。
附圖的簡要描述為了更徹底地理解本發(fā)明及其優(yōu)點，請參考以下描述并結合附圖，其中相似的標記數(shù)字代表相似的部分，其中圖1表示根據(jù)傳統(tǒng)技術的典型代理服務器設置屏幕；圖2表示根據(jù)傳統(tǒng)技術當在電子公告板上填寫內(nèi)容時留下的代理服務器地址；圖3表示根據(jù)傳統(tǒng)技術的Apache服務器的訪問日志；圖4表示根據(jù)傳統(tǒng)技術的Apache服務器的錯誤日志；圖5表示本發(fā)明的黑客跟蹤系統(tǒng)的框圖；圖6表示根據(jù)本發(fā)明的自動連接到具有網(wǎng)絡代理程序的網(wǎng)頁的錯誤頁面；圖7表示根據(jù)本發(fā)明的包括網(wǎng)絡代理程序的網(wǎng)頁源；圖8表示根據(jù)本發(fā)明顯示在網(wǎng)絡瀏覽器上的錯誤頁面；圖9和10表示根據(jù)本發(fā)明通過網(wǎng)絡代理程序得到的用戶位置信息以及通過分析HTTP域名得到的位置信息；圖11表示根據(jù)本發(fā)明的比較例行程序，用于將互聯(lián)網(wǎng)地址與通過網(wǎng)絡代理程序翻譯的用戶主機名稱進行比較；圖12表示根據(jù)本發(fā)明通過比較單元得到的用戶計算機的信息；圖13表示根據(jù)本發(fā)明通過whois服務器提取的結果屏幕；圖14表示根據(jù)本發(fā)明的代理服務器列表；圖15表示根據(jù)本發(fā)明的黑客跟蹤方法的流程圖；和圖16表示根據(jù)本發(fā)明的使用黑客跟蹤系統(tǒng)的驗證方法的流程圖。
優(yōu)選實施方式的詳細描述下面將詳細參考本發(fā)明的優(yōu)選實施方式，其中的實施例表示在附圖中。
參照附圖，圖5是表示本發(fā)明黑客跟蹤系統(tǒng)的框圖。
參照圖5，黑客跟蹤系統(tǒng)100包括網(wǎng)絡代理程序110，位置指示單元120，比較單元130，跟蹤單元140和數(shù)據(jù)庫150。
網(wǎng)絡代理程序110插在錯誤頁面中。這是由于當未授權的黑客分析網(wǎng)絡服務器的弱點時可以引起錯誤，或者當未授權黑客將選項加入當前聯(lián)系位置從而利用諸如個人主頁(PHP)、公共網(wǎng)關接口(CGI)、活動服務器頁面(ASP)或者JAVA服務器頁面(JSP)的弱點或錯誤時可以產(chǎn)生錯誤。
代表性的網(wǎng)絡服務器包括互聯(lián)網(wǎng)信息服務器(IIS)和Apache。在IIS中，錯誤頁面路徑是這樣設置的，錯誤頁面的目錄是通過修改互聯(lián)網(wǎng)信息服務的注冊表信息中的用戶信息的錯誤來進行設置的。在Apache中，錯誤頁面設置在路徑“/apache/htdocs/conf/”下的“httpd.conf”中。對于其它網(wǎng)絡服務器，網(wǎng)絡代理程序110通過設置錯誤頁面配置而插在錯誤頁面中。
網(wǎng)絡代理程序110也可通過服務器管理員而插在其它需要的頁面中，例如，驗證頁面，電子公告板，或者數(shù)據(jù)源的首頁。
圖6表示自動連接到包括網(wǎng)絡代理程序110的網(wǎng)頁上的網(wǎng)頁源(即錯誤頁面)。所有錯誤頁面被替換成與圖6所示錯誤頁面相似的形式。錯誤頁面數(shù)字EN被設置為標題。圖6的HTML錯誤頁面通過JANA腳本命令JC自動連接到包括網(wǎng)絡代理程序110的網(wǎng)頁源上。
圖7表示包括網(wǎng)絡代理程序110的網(wǎng)頁源。將由JAVA applet做出的包括網(wǎng)絡代理程序的JSP錯誤頁面下載到用戶計算機。換句話說，當企圖訪問的用戶造成錯誤時將網(wǎng)絡代理程序110下載到黑客的計算機。這是因為JAVAapplet具有下載到用戶計算機并由網(wǎng)絡瀏覽器的JAVA虛擬機(JVM)自動執(zhí)行的屬性。
下載到用戶計算機的網(wǎng)絡代理程序110打開端口并將用戶計算機的位置信息，例如互聯(lián)網(wǎng)地址和主機名稱傳輸?shù)絁AVA制作的代理服務器。通過網(wǎng)絡代理程序110傳輸?shù)臄?shù)據(jù)存儲在數(shù)據(jù)庫150中，它通過JAVA數(shù)據(jù)庫連接(JDBC)支持JDBC驅動器。
網(wǎng)絡代理程序110在傳輸用戶計算機位置信息后可以由程序控制而消失。此時，由于僅僅是圖8所示的錯誤頁面顯示在網(wǎng)絡瀏覽器上，用戶不能識別在他/她的計算機上執(zhí)行的網(wǎng)絡代理程序110的操作。
位置指示單元120分析HTTP域名，提取諸如互聯(lián)網(wǎng)地址和主機名稱的信息。
代理程序服務器將HTTP域名中包含的位置信息存儲在數(shù)據(jù)庫150中。
圖9和10表示通過網(wǎng)絡代理程序得到的用戶位置信息和通過分析HTTP域名得到的位置信息。訪問時間、IP地址、主機名稱、錯誤數(shù)字、訪問位置、URL選項、網(wǎng)絡瀏覽器信息以及操作系統(tǒng)信息存儲在數(shù)據(jù)庫150中并顯示給服務器管理員。網(wǎng)絡代理程序進一步將媒體訪問控制(MAC)信息傳輸?shù)酱沓绦蚍掌鞑⒅鎯υ跀?shù)據(jù)庫部分150。MAC信息是記錄于裝在用戶計算機上的LAN卡中的LAN卡信息，是永遠不變的。MAC信息可用作侵入的確證事實。為了得到MAC信息，使用網(wǎng)絡基本輸入/輸出系統(tǒng)(NETBIOS)將MAC地址請求發(fā)送到用戶IP。
比較單元130(例如，JSP服務器的JAVA程序)將通過網(wǎng)絡代理程序110傳輸?shù)幕ヂ?lián)網(wǎng)地址和用戶主機名稱與那些包括在HTTP域名中的互聯(lián)網(wǎng)地址和用戶主機名稱進行比較。圖11表示比較例行程序，用于將通過網(wǎng)絡代理程序110傳輸?shù)幕ヂ?lián)網(wǎng)地址和用戶的主機名稱與那些包括在HTTP域名中的互聯(lián)網(wǎng)地址和用戶主機名稱進行比較。當互聯(lián)地址和用戶主機名稱與那些包括在HTTP域名中的互聯(lián)網(wǎng)地址和用戶主機名稱相同時，用戶被認為是授權訪問者；否則，用戶被認為是隱藏了他/她的原始位置的未授權黑客。
圖12表示由比較單元130得到的用戶計算機信息。操作系統(tǒng)(OS)和網(wǎng)絡瀏覽器信息是使用HTTP信息得到的。使用互聯(lián)網(wǎng)地址跟蹤用戶即黑客的原始位置通過網(wǎng)絡代理程序110獲得。通過分析HTTP域名得到的操作系統(tǒng)信息和網(wǎng)絡瀏覽器信息以及通過網(wǎng)絡代理程序110得到的互聯(lián)網(wǎng)地址和主機名稱被用作證據(jù)或跟蹤數(shù)據(jù)。
使用諸如由網(wǎng)絡代理程序110得到的互聯(lián)網(wǎng)地址的whois服務，跟蹤單元140提取黑客的原始互聯(lián)網(wǎng)地址。圖13表示通過whois服務提取的結果屏幕。
連續(xù)隱藏他/她的位置信息的黑客作為黑名單存儲于數(shù)據(jù)庫150中，并顯示給服務器管理員。
服務器管理員能使用記錄在數(shù)據(jù)庫150中的錯誤日志提取導致連續(xù)錯誤的互聯(lián)網(wǎng)地址，使用提取的互聯(lián)網(wǎng)地址的網(wǎng)絡服務器訪問URL找出黑客攻擊的弱點。
服務器管理員具有如圖14所示的代理服務器列表，從而找出黑客主要使用的代理服務器。
圖15是表示根據(jù)本發(fā)明的黑客跟蹤方法的流程圖。
網(wǎng)絡代理程序插在服務器管理員所需的網(wǎng)頁中(例如錯誤頁面)(步驟S100)。當用戶訪問網(wǎng)絡服務器時，位置指示單元120分析HTTP域名并將互聯(lián)網(wǎng)地址和主機名稱存儲在數(shù)據(jù)庫150中(步驟S110)。當出現(xiàn)錯誤時(步驟S120)，將網(wǎng)絡代理程序110與錯誤頁面一起下載到用戶計算機，并傳輸用戶計算機的位置信息，例如互聯(lián)網(wǎng)地址和主機名稱(步驟S130)。用戶計算機的位置存儲在數(shù)據(jù)庫150中。比較單元130比較通過分析HTTP域名得到的位置信息與通過網(wǎng)絡代理程序得到的位置信息(步驟S140)。當通過分析HTTP域名得到的位置信息與通過網(wǎng)絡代理程序得到的位置信息相同時，用戶被認為是授權用戶(步驟S150)。當通過分析HTTP域名得到的位置信息與通過網(wǎng)絡代理程序得到的位置信息不相同時，用戶被認為是黑客并作為黑名單存儲在數(shù)據(jù)庫150中(步驟S160)。黑客位置通過跟蹤單元140提取，例如使用由通過網(wǎng)絡代理程序得到的位置信息的whois服務(步驟S170)。
上述的黑客跟蹤系統(tǒng)和方法可以應用于不同的工業(yè)領域。
圖16是表示使用本發(fā)明的黑客跟蹤系統(tǒng)的驗證方法。圖16的步驟S200到步驟S240與步驟S100到S140相同，因此為避免重復，省去對它們的描述。
當通過分析HTTP域名得到的位置信息與通過網(wǎng)絡代理程序得到的位置信息相同時，用戶被認為是授權用戶。因此，經(jīng)過預定的驗證方法之后，允許用戶的訪問(步驟S250)。但是，當通過分析HTTP域名得到的位置信息與通過網(wǎng)絡代理程序得到的位置信息不相同時，用戶被認為是黑客并作為黑名單存儲在數(shù)據(jù)庫150中。因此，切斷黑客的訪問并輸出錯誤頁面(步驟S260)。
如前面所述，使用黑客跟蹤系統(tǒng)和方法以及驗證系統(tǒng)和方法，盡管黑客使用代理服務器和中間點訪問網(wǎng)絡服務器，也可以識別黑客的原始位置，因此可以有效防止未授權用戶侵入到計算機網(wǎng)絡和系統(tǒng)。
盡管參考優(yōu)選的實施方式對本發(fā)明做了具體的表示和描述，但本領域技術人員應該理解的是，在不偏離本發(fā)明精神和范圍的情況下可以在形式和細節(jié)上做出上述的和其它的變化。
權利要求
1.一種跟蹤黑客的系統(tǒng)，包括插在預定網(wǎng)頁中的網(wǎng)絡代理程序；位置指示單元，用于通過分析HTTP域名指示用戶訪問的位置信息；比較單元，用于將通過分析HTTP域名得到的用戶位置信息與通過網(wǎng)絡代理程序得到的用戶位置信息進行比較；以及跟蹤單元，用于使用通過網(wǎng)絡代理程序得到的位置信息提取用戶的原始位置，其中將網(wǎng)絡代理程序下載到用戶計算機上并傳輸用戶的位置信息。
2.如權利要求1所述的系統(tǒng)，其中當出現(xiàn)錯誤時將網(wǎng)絡代理程序插入錯誤頁面并下載到用戶計算機。
3.如權利要求1所述的系統(tǒng)，其中網(wǎng)絡代理程序包括JAVA applet。
4.如權利要求1所述的系統(tǒng)，還包括數(shù)據(jù)庫，用于存儲通過分析HTTP域名得到的用戶位置信息和通過網(wǎng)絡代理程序得到的用戶位置信息。
5.如權利要求1所述的系統(tǒng)，其中通過網(wǎng)絡代理程序得到的用戶位置信息包括訪問時間、IP地址、主機名稱、錯誤數(shù)字、訪問位置、URL選項、網(wǎng)絡瀏覽器信息、操作系統(tǒng)信息以及MAC信息。
6.如權利要求1所述的系統(tǒng)，其中比較單元包括JSP服務器的JAVA程序。
7.一種跟蹤黑客的方法，包括a)將待插入的網(wǎng)絡代理程序插入預定的網(wǎng)頁中；b)分析HTTP域名；c)將網(wǎng)絡代理程序下載到用戶計算機，以傳輸用戶計算機的位置信息；以及d)將通過分析HTTP域名得到的位置信息與通過網(wǎng)絡代理程序得到的位置信息進行比較。
8.如權利要求7所述的方法，還包括當通過分析HTTP域名得到的位置信息與通過網(wǎng)絡代理程序得到的位置信息不同時，使用通過網(wǎng)絡代理程序得到的位置信息提取用戶的位置。
9.如權利要求7所述的方法，還包括將通過分析HTTP域名得到的位置信息與通過網(wǎng)絡代理程序得到的位置信息存儲于數(shù)據(jù)庫中。
10.如權利要求7所述的方法，其中當出現(xiàn)錯誤時將網(wǎng)絡代理程序插入錯誤頁面并下載到用戶計算機。
11.如權利要求7所述的方法，其中網(wǎng)絡代理程序包括JAVA applet。
12.如權利要求7所述的方法，其中通過網(wǎng)絡代理程序得到的用戶位置信息包括訪問時間、IP地址、主機名稱、錯誤數(shù)字、訪問位置、URL選項、網(wǎng)絡瀏覽器信息、操作系統(tǒng)信息以及MAC信息。
13.如權利要求7所述的方法，其中步驟(d)由JSP服務器的JAVA程序執(zhí)行。
14.一種驗證系統(tǒng)，包括黑客跟蹤系統(tǒng)，包括網(wǎng)絡代理程序，用于插在預定網(wǎng)頁并下載到用戶計算機用以傳輸用戶位置信息；位置指示單元，用于通過分析HTTP域名指示用戶訪問的位置信息；比較單元，用于將通過分析HTTP域名得到的用戶位置信息與通過網(wǎng)絡代理程序得到的用戶位置信息進行比較；以及跟蹤單元，用于使用通過網(wǎng)絡代理程序得到的位置信息提取用戶的原始位置，其中當通過分析HTTP域名得到的用戶位置信息與通過網(wǎng)絡代理程序得到的用戶位置信息相同時允許訪問。
15.如權利要求14所述的系統(tǒng)，其中當出現(xiàn)錯誤時將網(wǎng)絡代理程序插入錯誤頁面并下載到用戶計算機。
16.如權利要求14所述的系統(tǒng)，其中網(wǎng)絡代理程序包括JAVA applet。
17.如權利要求14所述的系統(tǒng)，還包括數(shù)據(jù)庫，用于存儲通過分析HTTP域名得到的用戶位置信息和通過網(wǎng)絡代理程序得到的用戶位置信息。
18.如權利要求14所述的系統(tǒng)，其中通過網(wǎng)絡代理程序得到的用戶位置信息包括訪問時間、IP地址、主機名稱、錯誤數(shù)字、訪問位置、URL選項、網(wǎng)絡瀏覽器信息、操作系統(tǒng)信息以及MAC信息。
19.如權利要求14所述的系統(tǒng)，其中比較單元包括JSP服務器的JAVA程序。
20.一種驗證方法，包括a)將待插入的網(wǎng)絡代理程序插入預定的網(wǎng)頁；b)分析HTTP域名；c)將網(wǎng)絡代理程序下載到用戶計算機，以傳輸用戶計算機的位置信息；d)將通過分析HTTP域名得到的位置信息與通過網(wǎng)絡代理程序得到的位置信息進行比較；以及e)當通過分析HTTP域名得到的用戶位置信息與通過網(wǎng)絡代理程序得到的用戶位置信息相同時允許訪問。
21.如權利要求20所述的方法，還包括當通過分析HTTP域名得到的位置信息與通過網(wǎng)絡代理程序得到的位置信息不同時，使用通過網(wǎng)絡代理程序得到的位置信息提取用戶的位置。
22.如權利要求20所述的方法，還包括將通過分析HTTP域名得到的位置信息與通過網(wǎng)絡代理程序得到的位置信息存儲于數(shù)據(jù)庫中。
23.如權利要求20所述的方法，其中當出現(xiàn)錯誤時將網(wǎng)絡代理程序插入錯誤頁面并下載到用戶計算機。
24.如權利要求20所述的方法，其中網(wǎng)絡代理程序包括JAVA applet。
25.如權利要求20所述的方法，其中通過網(wǎng)絡代理程序得到的用戶位置信息包括訪問時間、IP地址、主機名稱、錯誤數(shù)字、訪問位置、URL選項、網(wǎng)絡瀏覽器信息、操作系統(tǒng)信息以及MAC信息。
26.如權利要求20所述的方法，其中步驟(d)由JSP服務器的JAVA程序執(zhí)行。
27.如權利要求1所述的系統(tǒng)，其中通過使用NETBIOS將MAC地址請求發(fā)送到用戶IP地址而得到MAC信息。
28.如權利要求12所述的方法，其中通過使用NETBIOS將MAC地址請求發(fā)送到用戶IP地址而得到MAC信息。
29.如權利要求18所述的系統(tǒng)，其中通過使用NETBIOS將MAC地址請求發(fā)送到用戶IP地址而得到MAC信息。
30.如權利要求25所述的方法，其中通過使用NETBIOS將MAC地址請求發(fā)送到用戶IP地址而得到MAC信息。
全文摘要
一種跟蹤黑客的系統(tǒng)，包括插在預定網(wǎng)頁中的網(wǎng)絡代理程序；位置指示單元，通過分析HTTP域名指示用戶訪問的位置信息；比較單元，將通過分析HTTP域名得到的用戶位置信息與通過網(wǎng)絡代理程序得到的用戶位置信息進行比較；以及跟蹤單元，使用通過網(wǎng)絡代理程序得到的位置信息提取用戶的原始位置，其中將網(wǎng)絡代理程序下載到用戶計算機并傳輸用戶的位置信息。
文檔編號H04L9/32GK1440530SQ01812210
公開日2003年9月3日 申請日期2001年12月12日 優(yōu)先權日2001年5月9日
發(fā)明者金完修 申請人:特瑞歐普斯株式會社