一种基于WAF的ReDoS攻击检测方法

摘要

本发明公开了一种基于WAF的ReDoS攻击检测方法，包括以下步骤：WAF采用TCP代理方式接入，检测用户的输入数据，提取GET或POST中的参数值；判断所提取的参数值的长度，启动一个检测跟踪周期；判断所提取的参数值中选定的一个字符的重复次数；判断该请求提交后服务器响应页面时间；当同一个客户端IP再次提交请求到同一个页面，且同一个参数值长度大于30字节，ReDoS攻击可能性增加30%；若同一个客户端IP再次提交请求到相同域名的不同页面，且参数值长度大于30字节，ReDoS攻击可能性增加10%；一个周期结束后，根据相加的ReDoS可能性数值，WAF提示告警。本发明从ReDoS发生的可能性上为Web资产所有者提供安全参考或防护。

主权项

一种基于WAF的ReDoS攻击检测方法，其特征在于，包括以下步骤：步骤1：WAF采用TCP代理方式接入，检测用户的输入数据，提取GET或POST中的参数值；步骤2：判断所提取的参数值的长度，若长度大于30字节，启动一个检测跟踪周期，跟踪源IP地址、域名、访问页面三个元素；步骤3：判断所提取的参数值中选定的一个字符的重复次数，若所述字符重复次数大于等于30，并且该字符或字符串后面紧跟的字符为不同字符或符号时，ReDoS攻击可能性增加60％；步骤4：判断该请求提交后服务器响应页面时间，若响应页面时间大于3秒，ReDoS攻击可能性增加30％，每增加1秒，ReDoS攻击可能性增加5％，累计最大为50％；步骤5：当同一个客户端IP再次提交请求到同一个页面，且同一个参数值长度大于30字节，ReDoS攻击可能性增加30％，一个周期内每增加一个同类型请求，ReDoS攻击可能性增加5％，累计最大为50％；步骤6：若同一个客户端IP再次提交请求到相同域名的不同页面，且参数值长度大于30字节，ReDoS攻击可能性增加10％；步骤7：一个周期结束后，将ReDoS攻击可能性值相加，根据ReDoS可能性数值，WAF提示告警。