專利名稱：Web應(yīng)用防火墻系統(tǒng)和基于該系統(tǒng)的應(yīng)用方法
技術(shù)領(lǐng)域：
本發(fā)明涉及網(wǎng)絡(luò)技術(shù)領(lǐng)域和安全領(lǐng)域，更具體地說，涉及一種Web應(yīng)用防火墻系 統(tǒng)和基于該系統(tǒng)的應(yīng)用方法。
背景技術(shù)：
在基于服務(wù)器或應(yīng)用服務(wù)器的網(wǎng)絡(luò)應(yīng)用中，需要對部署在所述服務(wù)器上的網(wǎng)絡(luò)進 行安全加固，為了在所述服務(wù)器受到黑客攻擊時，能夠保證其安全、可靠的運行。
而Web應(yīng)用防火墻就是為保證應(yīng)用服務(wù)器不受不法訪問和惡意攻擊的安全設(shè)備。 目前的Web應(yīng)用應(yīng)用防火墻技術(shù)是根據(jù)不同服務(wù)器規(guī)范進行開發(fā)的，具體的，是根據(jù)IIS、 Apache或Servlet規(guī)范對不同服務(wù)器的過濾功能進行開發(fā)。但是，上述的三種規(guī)范的實現(xiàn) 機制存在很大差別。其中，IIS規(guī)范是指使用C++語言實現(xiàn)的isapi篩選器和extend擴展 服務(wù)；Apache規(guī)范是指使用C語言實現(xiàn)的掛鉤函數(shù)和輸入輸出過濾器；Servlet規(guī)范是指 使用java語言實現(xiàn)的servlet. filter接口。因為現(xiàn)有的應(yīng)用Web應(yīng)用防火墻技術(shù)不能適 應(yīng)不同規(guī)范的實現(xiàn)機制的服務(wù)器，則不同的服務(wù)器要分別進行研究，這樣，就會在很大程度 上增加服務(wù)器開發(fā)的難度，延長開發(fā)的時間。

發(fā)明內(nèi)容
有鑒于此，本發(fā)明提供一種Web應(yīng)用防火墻系統(tǒng)，以解決現(xiàn)有Web應(yīng)用防火墻技術(shù) 不能適用不同規(guī)范的實現(xiàn)機制的服務(wù)器，導(dǎo)致不同服務(wù)器均要進行研究，進而造成服務(wù)器 的開發(fā)難度大、時間長的問題。 所述Web應(yīng)用防火墻系統(tǒng)，包括由底向上依次設(shè)置的可移植層、可移植層、接口轉(zhuǎn) 化層和過濾器層，其中 所述過濾層，用于為不同規(guī)范服務(wù)器的提供統(tǒng)一接口 ，在所述統(tǒng)一接口中解析超 文本傳輸協(xié)議請求和超文本傳輸協(xié)議響應(yīng)，從所述超文本傳輸協(xié)議請求和超文本傳輸協(xié)議 響應(yīng)中取出需要過濾的數(shù)據(jù)，將其解析為統(tǒng)一結(jié)構(gòu)，并通過與之相對應(yīng)的函數(shù)進行傳輸；
所述接口轉(zhuǎn)化層，用于將所述需要過濾的數(shù)據(jù)的實現(xiàn)語言統(tǒng)一為0++語言；
所述驗證容器層，用于驗證通過所述函數(shù)進行傳輸?shù)臄?shù)據(jù)； 所述可移植層，用于在所述過濾層、接口轉(zhuǎn)化層和驗證容器層工作過程中，屏蔽不 同操作系統(tǒng)的差異。 優(yōu)選地，還包括使用C++語言實現(xiàn)所述統(tǒng)一結(jié)構(gòu)的擴展接口 ，用于通過所述系統(tǒng) 的配置文件加載根據(jù)所述擴展接口編譯的動態(tài)庫。 優(yōu)選地，所述統(tǒng)一的數(shù)據(jù)結(jié)構(gòu)為PIW_Checker_Infor結(jié)構(gòu)，所述與之相對應(yīng)的函 數(shù)為IWChecker()函數(shù)。 所述基于Web應(yīng)用防火墻系統(tǒng)的應(yīng)用方法，其特征在于，包括
生成不同規(guī)范服務(wù)器的統(tǒng)一接口 ； 在所述不同規(guī)范服務(wù)器的統(tǒng)一接口中，解析超文本傳輸協(xié)議請求和超文本傳輸協(xié)
3議響應(yīng)，從所述超文本傳輸協(xié)議請求和超文本傳輸協(xié)議響應(yīng)中取出需要過濾的數(shù)據(jù)；
將所述過濾的數(shù)據(jù)的實現(xiàn)語言統(tǒng)一為C++語言； 將所述統(tǒng)一實現(xiàn)語言后的數(shù)據(jù)解析為統(tǒng)一結(jié)構(gòu)，并通過與所述統(tǒng)一結(jié)構(gòu)相對應(yīng)的 函數(shù)進行傳輸； 驗證所述函數(shù)傳輸?shù)臄?shù)據(jù)； 其中，在上述過程中，分別進行屏蔽不同操作系統(tǒng)的差異操作。 優(yōu)選地，當需要進行擴展所述系統(tǒng)的功能時，該方法還包括 使用C++語言生成所述統(tǒng)一結(jié)構(gòu)的擴展接口 ； 通過所述擴展接口編譯動態(tài)庫； 通過所述系統(tǒng)的配置文件加載所述動態(tài)庫。 優(yōu)選地，驗證所述函數(shù)傳輸?shù)臄?shù)據(jù)結(jié)束后，該方法還包括 銷毀所述函數(shù)傳輸?shù)臄?shù)據(jù)。 從上述的技術(shù)方案可以看出，本發(fā)明提供的Web應(yīng)用防火墻系統(tǒng)采用分層結(jié)構(gòu)設(shè) 計，通過所述過濾器層，將IIS、 Apache以及Servlet三種不同規(guī)范的服務(wù)器中的數(shù)據(jù)統(tǒng)一 為同一種數(shù)據(jù)結(jié)構(gòu)，這樣，就不需要分別對不同的服務(wù)器進行研究，解決了現(xiàn)有Web應(yīng)用防 火墻技術(shù)因不能適用不同規(guī)范的實現(xiàn)機制的服務(wù)器，導(dǎo)致不同服務(wù)器均要進行研究進而造 成的服務(wù)器開發(fā)難度大、時間長的問題。


為了更清楚地說明本發(fā)明實施例或現(xiàn)有技術(shù)中的技術(shù)方案，下面將對實施例或現(xiàn) 有技術(shù)描述中所需要使用的附圖作簡單地介紹，顯而易見地，下面描述中的附圖僅僅是本 發(fā)明的一些實施例，對于本領(lǐng)域普通技術(shù)人員來講，在不付出創(chuàng)造性勞動的前提下，還可以 根據(jù)這些附圖獲得其他的附圖。 圖1為本發(fā)明實施例公開的一種Web應(yīng)用防火墻系統(tǒng)的示意圖； 圖2為本發(fā)明另一實施例公開的一種Web應(yīng)用防火墻系統(tǒng)的示意圖； 圖3為本發(fā)明實施例公開的一種基于Web應(yīng)用防火墻系統(tǒng)的應(yīng)用方法的流程圖； 圖4為本發(fā)明實施例公開的擴展所述系統(tǒng)的功能的方法流程圖； 圖5為為本發(fā)明實施例公開的一種Web應(yīng)用防火墻系統(tǒng)的工作流程圖； 圖6為本發(fā)明實施例公開的一種Web應(yīng)用防火墻系統(tǒng)初始化過程的流程圖； 圖7為本發(fā)明實施例公開的一種Web應(yīng)用防火墻系統(tǒng)驗證服務(wù)器信息的流程圖。
具體實施例方式
下面將結(jié)合本發(fā)明實施例中的附圖，對本發(fā)明實施例中的技術(shù)方案進行清楚、完 整地描述，顯然，所描述的實施例僅僅是本發(fā)明一部分實施例，而不是全部的實施例?；?本發(fā)明中的實施例，本領(lǐng)域普通技術(shù)人員在沒有作出創(chuàng)造性勞動前提下所獲得的所有其他 實施例，都屬于本發(fā)明保護的范圍。 本發(fā)明實施例公開了一種網(wǎng)絡(luò)應(yīng)用防火墻系統(tǒng)，以解決現(xiàn)有的防火墻技術(shù)開發(fā)時 難度大、時間長的問題。 如圖1所示，所述Web應(yīng)用防火墻系統(tǒng)，包括底向上依次設(shè)置的可移植層1、驗證
4容器層2、接口轉(zhuǎn)化層3和過濾器層4，并且，過濾器層4，用于為不同規(guī)范服務(wù)器的提供統(tǒng)一 接口 ，在所述統(tǒng)一接口中解析超文本傳輸協(xié)議請求和超文本傳輸協(xié)議響應(yīng)，從所述超文本 傳輸協(xié)議請求和超文本傳輸協(xié)議響應(yīng)中取出需要過濾的數(shù)據(jù)，將其解析為統(tǒng)一結(jié)構(gòu)，并通 過與之相對應(yīng)的函數(shù)進行傳輸；接口轉(zhuǎn)化層3，用于將所述需要過濾的數(shù)據(jù)的實現(xiàn)語言統(tǒng) 一為〔++語言；驗證容器層2，用于驗證通過所述函數(shù)進行傳輸?shù)臄?shù)據(jù)；可移植層l，用于在 過濾器層4、接口轉(zhuǎn)化層3和驗證容器層2工作過程中，通過不同的實現(xiàn)文件和條件編譯的 方式來屏蔽差異。 具體的，驗證容器層2由驗證模塊和容器模塊組成，可移植層1、接口轉(zhuǎn)化層3和 過濾器層4分別多個模塊組成，其中，所述容器模塊用于接收傳輸?shù)津炞C容器層2的數(shù)據(jù)， 并將其傳輸?shù)剿鲵炞C模塊，所述驗證進行所述數(shù)據(jù)的驗證工作；所述統(tǒng)一的數(shù)據(jù)結(jié)構(gòu)為 PIW_Checker_Infor結(jié)構(gòu)，所述與之相對應(yīng)的函數(shù)為IWChecker()函數(shù)。
本發(fā)明實施例提供的Web應(yīng)用防火墻系統(tǒng)不僅可以適應(yīng)于不同的服務(wù)器，還可以 適應(yīng)于不同的操作系統(tǒng)，因為可移植層l封裝了與操作系統(tǒng)的調(diào)用，提供統(tǒng)一的接口，進 而起到屏蔽操作系統(tǒng)差異目的。更重要的是，Web應(yīng)用防火墻系統(tǒng)可以通過接口轉(zhuǎn)化層3， 將C語言和C++語言統(tǒng)一為C++語言，又由于使用Java的JNI技術(shù)可以將Java統(tǒng)一為C++ 語言，如此一來，實現(xiàn)了語言的統(tǒng)一 。 所述￥613應(yīng)用防火墻系統(tǒng)，如圖2所示，還包括使用[++語言實現(xiàn)的所述不同服務(wù) 器統(tǒng)一結(jié)構(gòu)，即PIW_CheCker_Inf0r結(jié)構(gòu)的擴展接口 5，用于通過所述系統(tǒng)的配置文件加載 根據(jù)擴展接口 5編譯的動態(tài)庫，并且，對所述系統(tǒng)原來的代碼不用任何修改，降低了回歸測 試的粒度，利于程序的穩(wěn)定。 本發(fā)明實施例還公開了一種基于Web應(yīng)用防火墻系統(tǒng)的應(yīng)用方法，如圖3所示，包 括 步驟S1、生成不同規(guī)范服務(wù)器的統(tǒng)一接口 ； 步驟S2、在所述不同規(guī)范服務(wù)器的統(tǒng)一接口中，解析超文本傳輸協(xié)議請求和超文 本傳輸協(xié)議響應(yīng)，從所述超文本傳輸協(xié)議請求和超文本傳輸協(xié)議響應(yīng)中取出需要過濾的數(shù) 據(jù)； 步驟S3、將所述過濾的數(shù)據(jù)的實現(xiàn)語言統(tǒng)一為C++語言； 步驟S4、將所述統(tǒng)一實現(xiàn)語言后的數(shù)據(jù)解析為統(tǒng)一結(jié)構(gòu)，并通過與所述統(tǒng)一結(jié)構(gòu) 相對應(yīng)的函數(shù)進行傳輸； 步驟S5、驗證所述函數(shù)傳輸?shù)臄?shù)據(jù)； 其中，在上述步驟中，分別進行屏蔽不同操作系統(tǒng)的差異操作。 當步驟S5結(jié)束后，執(zhí)行步驟S6、銷毀所述函數(shù)傳輸?shù)臄?shù)據(jù)，具體為過濾器層4通
過接口轉(zhuǎn)化層3調(diào)用驗證容器層2的銷毀接口，銷毀傳送于驗證容器層的數(shù)據(jù)。 當對所述系統(tǒng)進行二次開發(fā)時，由于所述系統(tǒng)統(tǒng)一了實現(xiàn)語言，可以使用0++語
言進行擴展操作。具體的，如圖4所示，所述方法還包括 步驟S7、可以使用C++語言生成PIW_Checker_Infor結(jié)構(gòu)的擴展接口 ； 步驟S8、通過所述擴展接口編譯動態(tài)庫； 步驟S9、通過所述系統(tǒng)的配置文件加載所述動態(tài)庫。 為了充分說明本發(fā)明實施例公開的Web應(yīng)用防火墻系統(tǒng)的具體工作流程，以下通過一個實施例說明所述Web應(yīng)用防火墻系統(tǒng)的工作過程，如圖5所示，所述Web應(yīng)用防火墻 系統(tǒng)的工作過程包括 步驟Sll、初始化所述Web應(yīng)用防火墻系統(tǒng)； 步驟S12、初始化結(jié)束后，所述Web應(yīng)用防火墻系統(tǒng)開始驗證服務(wù)器的請求信息。
其中，如圖6所示，步驟S11包括
步驟Slll、啟動熱部署線程； 熱部署線程是指當修改了配置文件之后，系統(tǒng)可自動加載系統(tǒng)中的各個模塊，并 重新初始化。所述Web應(yīng)用防火墻系統(tǒng)為了實現(xiàn)熱部署功能，啟動專門的線程來檢測配置 的變化， 一旦配置有變化，就立刻重新初始化配置參數(shù)，重新加載各個模塊。
步驟S112、判斷所述配置是否發(fā)生變化，若判斷結(jié)果為未發(fā)生變化，則進入步驟 S113、讀取所述配置的信息；若判斷結(jié)果為所述配置發(fā)生變化，重新進入初始化過程；
步驟S114、讀取所述配置信息后，判斷所述Web應(yīng)用防火墻系統(tǒng)內(nèi)存中是否加載 了驗證模塊； 若判斷結(jié)果為未加載時，則進入步驟S115、判斷所述Web應(yīng)用防火墻系統(tǒng)的擴展 接口是否正確；若判斷結(jié)果為已經(jīng)加載時，則直接進入步驟S118 ; 若判斷所述Web應(yīng)用防火墻系統(tǒng)的擴展接口結(jié)果為正確時，進入步驟S116、加載 所述Web應(yīng)用防火墻系統(tǒng)的驗證模塊到模塊鏈表中；若判斷結(jié)果為不正確時，則進行步驟 S117、卸載所述Web應(yīng)用防火墻系統(tǒng)內(nèi)存中的驗證模塊； 然后進入步驟S118、判斷是否退出程序；若退出，則進入步驟S119、卸載所述Web
應(yīng)用防火墻系統(tǒng)模塊鏈上的模塊；若不退出，則重新進入步驟S112。 如圖7所示，步驟S12包括 步驟S121、獲取服務(wù)器的請求信息； 利用過濾器層的機制，獲取服務(wù)器的請求信息，同時屏蔽各個服務(wù)器對所述Web 應(yīng)用防火墻系統(tǒng)各層模塊的影響。 步驟S122、解析所述服務(wù)器的請求信息為數(shù)據(jù)結(jié)構(gòu)； 對獲取服務(wù)器的請求信息，即HTTP請求，進行分析，取出所有要驗證的信息，并將 解析后的數(shù)據(jù)組裝成統(tǒng)一的數(shù)據(jù)結(jié)構(gòu)。 步驟S123、根據(jù)所述Web應(yīng)用防火墻系統(tǒng)模塊鏈中記錄的信息，調(diào)用所述數(shù)據(jù)結(jié) 構(gòu)中的數(shù)據(jù)； 根據(jù)模塊鏈表中記錄的信息，通過函數(shù)調(diào)用的方式，將步驟S122中組裝數(shù)據(jù)的指 針傳送給所述Web應(yīng)用防火墻系統(tǒng)各層模塊，便于每個模塊進行各自的處理。
步驟S124、根據(jù)所述模塊的返回結(jié)果進行處理。 具體的，所述模塊的返回結(jié)果包括終止響應(yīng)請求、重定向頁面、修改內(nèi)容后響應(yīng) 和正常響應(yīng)請求。對模塊的返回結(jié)果的處理順序為終止響應(yīng)請求優(yōu)先，重定向頁面次之， 修改內(nèi)容后響應(yīng)再次之，最后為正常響應(yīng)請求。 對所公開的實施例的上述說明，使本領(lǐng)域?qū)I(yè)技術(shù)人員能夠?qū)崿F(xiàn)或使用本發(fā)明。 對這些實施例的多種修改對本領(lǐng)域的專業(yè)技術(shù)人員來說將是顯而易見的，本文中所定義的 一般原理可以在不脫離本發(fā)明的精神或范圍的情況下，在其它實施例中實現(xiàn)。因此，本發(fā)明 將不會被限制于本文所示的這些實施例，而是要符合與本文所公開的原理和新穎特點相一致的最寬的范圍'
權(quán)利要求
一種網(wǎng)絡(luò)應(yīng)用防火墻系統(tǒng)，其特征在于，包括由底向上依次設(shè)置的可移植層、驗證容器層、接口轉(zhuǎn)化層和過濾器層，其中所述過濾層，用于為不同規(guī)范服務(wù)器的提供統(tǒng)一接口，在所述統(tǒng)一接口中解析超文本傳輸協(xié)議請求和超文本傳輸協(xié)議響應(yīng)，從所述超文本傳輸協(xié)議請求和超文本傳輸協(xié)議響應(yīng)中取出需要過濾的數(shù)據(jù)，將其解析為統(tǒng)一結(jié)構(gòu)，并通過與之相對應(yīng)的函數(shù)進行傳輸；所述接口轉(zhuǎn)化層，用于將所述需要過濾的數(shù)據(jù)的實現(xiàn)語言統(tǒng)一為C++語言；所述驗證容器層，用于驗證通過所述函數(shù)進行傳輸?shù)臄?shù)據(jù)；所述可移植層，用于在所述過濾層、接口轉(zhuǎn)化層和驗證容器層工作過程中，屏蔽不同操作系統(tǒng)的差異。
2. 根據(jù)權(quán)利要求1所述的系統(tǒng)，其特征在于，還包括使用0++語言實現(xiàn)所述統(tǒng)一結(jié)構(gòu)的 擴展接口 ，用于通過所述系統(tǒng)的配置文件加載根據(jù)所述擴展接口編譯的動態(tài)庫。
3. 根據(jù)權(quán)利要求1或2所述的系統(tǒng)，其特征在于，所述統(tǒng)一的數(shù)據(jù)結(jié)構(gòu)為PIW— Checker_Infor結(jié)構(gòu)，所述與之相對應(yīng)的函數(shù)為IWChecker()函數(shù)。
4. 一種基于網(wǎng)絡(luò)應(yīng)用防火墻系統(tǒng)的應(yīng)用方法，其特征在于，包括 生成不同規(guī)范服務(wù)器的統(tǒng)一接口；在所述不同規(guī)范服務(wù)器的統(tǒng)一接口中，解析超文本傳輸協(xié)議請求和超文本傳輸協(xié)議響 應(yīng)，從所述超文本傳輸協(xié)議請求和超文本傳輸協(xié)議響應(yīng)中取出需要過濾的數(shù)據(jù)； 將所述過濾的數(shù)據(jù)的實現(xiàn)語言統(tǒng)一為0++語言；將所述統(tǒng)一實現(xiàn)語言后的數(shù)據(jù)解析為統(tǒng)一結(jié)構(gòu)，并通過與所述統(tǒng)一結(jié)構(gòu)相對應(yīng)的函數(shù) 進行傳輸；驗證所述函數(shù)傳輸?shù)臄?shù)據(jù)；其中，在上述過程中，分別進行屏蔽不同操作系統(tǒng)的差異操作。
5. 根據(jù)權(quán)利要求4所述的方法，其特征在于，當需要進行擴展所述系統(tǒng)的功能時，該方 法還包括使用0++語言生成所述統(tǒng)一結(jié)構(gòu)的擴展接口 ；通過所述擴展接口編譯動態(tài)庫； 通過所述系統(tǒng)的配置文件加載所述動態(tài)庫。
6. 根據(jù)權(quán)利要求4或5所述的方法，其特征在于，驗證所述函數(shù)傳輸?shù)臄?shù)據(jù)結(jié)束后，還 包括銷毀所述函數(shù)傳輸?shù)臄?shù)據(jù)。
全文摘要
本發(fā)明公開了一種Web應(yīng)用防火墻系統(tǒng)，包括由底向上依次設(shè)置的可移植層、驗證容器層、接口轉(zhuǎn)化層和過濾器層，其中所述過濾層，用于為不同規(guī)范服務(wù)器的提供統(tǒng)一接口，在所述統(tǒng)一接口中解析超文本傳輸協(xié)議請求和超文本傳輸協(xié)議響應(yīng)，從所述超文本傳輸協(xié)議請求和超文本傳輸協(xié)議響應(yīng)中取出需要過濾的數(shù)據(jù)，將其解析為統(tǒng)一結(jié)構(gòu)，并通過與之相對應(yīng)的函數(shù)進行傳輸；所述接口轉(zhuǎn)化層，用于將所述需要過濾的數(shù)據(jù)的程序設(shè)計語言統(tǒng)一為C++語言；所述驗證容器層，用于驗證通過所述函數(shù)進行傳輸?shù)臄?shù)據(jù)；所述可移植層，用于在所述過濾層、接口轉(zhuǎn)化層和驗證容器層工作過程中，屏蔽不同操作系統(tǒng)的差異。
文檔編號H04L29/06GK101783796SQ20091026128
公開日2010年7月21日 申請日期2009年12月28日 優(yōu)先權(quán)日2009年12月28日
發(fā)明者劉春 , 劉毅楓, 戴海燕, 王萍, 黃三偉 申請人:山東中創(chuàng)軟件商用中間件股份有限公司