一种恶意IP处理方法及系统

摘要

本发明涉及一种恶意IP处理方法及系统，方法包括：获取预设周期内充值服务器接收的至少一个充值请求，充值请求携带发送充值请求的客户端的IP；按照IP对至少一个充值请求进行分类，得到每个IP的充值请求；将每个IP的充值请求的数量与预设数量进行比对，将充值请求的数量大于预设数量的IP作为疑似IP；当疑似IP的每个充值请求的支付有效期截止时，获取疑似IP的每个充值请求的支付状态，并根据支付状态确定疑似IP的已支付数量；根据预设支付转化率、疑似IP的充值请求的数量和疑似IP的已支付数量确定疑似IP是否为恶意IP。本发明对恶意下单的IP进行识别和控制，提高了用户体验度。

权利要求

1.一种恶意IP处理方法，其特征在于，包括：获取预设周期内充值服务器接收的至少一个充值请求，所述充值请求携带发送充值请求的客户端的IP；

按照所述IP对至少一个所述充值请求进行分类，得到每个所述IP的充值请求；

将每个所述IP的充值请求的数量与预设数量进行比对，将充值请求的数量大于所述预设数量的IP作为疑似IP；

当所述疑似IP的每个充值请求的支付有效期截止时，获取所述疑似IP的每个充值请求的支付状态，并根据所述支付状态确定所述疑似IP的已支付数量；

根据预设支付转化率、所述疑似IP的充值请求的数量和所述疑似IP的已支付数量确定所述疑似IP是否为恶意IP；

所述根据预设支付转化率、所述疑似IP的充值请求的数量和所述疑似IP的已支付数量确定所述疑似IP是否为恶意IP包括：将所述疑似IP的已支付数量与所述疑似IP的充值请求的数量相除，得到所述疑似IP的实际支付转化率；

当所述疑似IP的实际支付转化率小于所述预设支付转化率时，确定所述疑似IP为恶意IP；当所述疑似IP的实际支付转化率大于或等于所述预设支付转化率时，确定所述疑似IP不是恶意IP。

2.根据权利要求1所述的方法，其特征在于，在所述根据预设支付转化率、所述疑似IP的充值请求的数量和所述疑似IP的已支付数量确定所述疑似IP是否为恶意IP之后，所述方法还包括：

将所述恶意IP存入拦截数据库，并根据所述拦截数据库对所述恶意IP再发送的充值请求进行拦截。

3.根据权利要求1至2任一项所述的方法，其特征在于，所述获取所述疑似IP的每个充值请求的支付状态，并根据所述支付状态确定所述疑似IP的已支付数量包括：获取所述疑似IP的每个充值请求的支付状态，其中，支付状态为已支付或未支付；

对支付状态为已支付的数量进行统计，得到所述疑似IP的已支付数量。

4.根据权利要求1至2任一项所述的方法，其特征在于，所述预设数量为100，所述预设支付转化率为5％。

5.一种恶意IP处理系统，其特征在于，包括：获取单元，用于获取预设周期内充值服务器接收的至少一个充值请求，所述充值请求携带发送充值请求的客户端的IP；

分类单元，用于按照所述IP对至少一个所述充值请求进行分类，得到每个所述IP的充值请求；

比对单元，用于将每个所述IP的充值请求的数量与预设数量进行比对，将充值请求的数量大于所述预设数量的IP作为疑似IP；

处理单元，用于当所述疑似IP的每个充值请求的支付有效期截止时，获取所述疑似IP的每个充值请求的支付状态，并根据所述支付状态确定所述疑似IP的已支付数量；

识别单元，用于根据预设支付转化率、所述疑似IP的充值请求的数量和所述疑似IP的已支付数量确定所述疑似IP是否为恶意IP；

所述识别单元具体用于：

将所述疑似IP的已支付数量与所述疑似IP的充值请求的数量相除，得到所述疑似IP的实际支付转化率；

当所述疑似IP的实际支付转化率小于所述预设支付转化率时，确定所述疑似IP为恶意IP；当所述疑似IP的实际支付转化率大于或等于所述预设支付转化率时，确定所述疑似IP不是恶意IP。

6.根据权利要求5所述的系统，其特征在于，所述系统还包括：拦截单元，用于将所述恶意IP存入拦截数据库，并根据所述拦截数据库对所述恶意IP再发送的充值请求进行拦截。

7.根据权利要求5至6任一项所述的系统，其特征在于，所述处理单元具体用于：获取所述疑似IP的每个充值请求的支付状态，其中，支付状态为已支付或未支付；

对支付状态为已支付的数量进行统计，得到所述疑似IP的已支付数量。

8.根据权利要求5至6任一项所述的系统，其特征在于，所述预设数量为100，所述预设支付转化率为5％。

说明书

一种恶意IP处理方法及系统

技术领域

[0001] 本发明涉及通信技术领域，尤其涉及一种恶意IP处理方法及系统。

背景技术

[0002] 随着网上商城的开展，核心业务—充值中心的业务量突飞猛进，由日订单量135万笔，秒峰值203笔，增长到日订单量1123万笔，秒峰值1339笔。业务量增长了接近10倍，由此
给充值服务器和充值数据库带来了巨大的压力。另外，充值业务是联机事务处理过程(on-
line transaction processing，简称OLTP)，因而充值数据库的读写压力巨大。其中一些订
单是个别代理商恶意下单所造成的，这种恶意下单会占用带宽资源、充值服务器资源和充
值数据库资源，从而导致充值业务在高峰期可能无法及时响应，对正常普通用户的感知造
成一定影响。

发明内容

[0003] 本发明所要解决的技术问题是针对现有技术的不足，提供一种恶意IP处理方法及系统。

[0004] 本发明解决上述技术问题的技术方案如下：一种恶意IP处理方法，包括：

[0005] 获取预设周期内充值服务器接收的至少一个充值请求，充值请求携带发送充值请求的客户端的IP；

[0006] 按照IP对至少一个充值请求进行分类，得到每个IP的充值请求；

[0007] 将每个IP的充值请求的数量与预设数量进行比对，将充值请求的数量大于预设数量的IP作为疑似IP；

[0008] 当疑似IP的每个充值请求的支付有效期截止时，获取疑似IP的每个充值请求的支付状态，并根据支付状态确定疑似IP的已支付数量；

[0009] 根据预设支付转化率、疑似IP的充值请求的数量和疑似IP的已支付数量确定疑似IP是否为恶意IP。

[0010] 本发明的有益效果是：将预设周期内的充值请求的数量大于预设数量的IP作为疑似IP，在疑似IP的每个充值请求的支付有效期截止时统计其已支付数量，根据疑似IP的充
值请求的数量、已支付数量和预设支付转化率即可确定该疑似IP是否为恶意IP，从而可以
快速准确识别出恶意IP。

[0011] 本发明解决上述技术问题的技术方案如下：一种恶意IP处理系统，包括：

[0012] 获取单元，用于获取预设周期内充值服务器接收的至少一个充值请求，充值请求携带发送充值请求的客户端的IP；

[0013] 分类单元，用于按照IP对至少一个充值请求进行分类，得到每个IP的充值请求；

[0014] 比对单元，用于将每个IP的充值请求的数量与预设数量进行比对，将充值请求的数量大于预设数量的IP作为疑似IP；

[0015] 处理单元，用于当疑似IP的每个充值请求的支付有效期截止时，获取疑似IP的每个充值请求的支付状态，并根据支付状态确定疑似IP的已支付数量；

[0016] 识别单元，用于根据预设支付转化率、疑似IP的充值请求的数量和疑似IP的已支付数量确定疑似IP是否为恶意IP。

[0017] 本发明的有益效果是：将预设周期内的充值请求的数量大于预设数量的IP作为疑似IP，在疑似IP的每个充值请求的支付有效期截止时统计其已支付数量，根据疑似IP的充
值请求的数量、已支付数量和预设支付转化率即可确定该疑似IP是否为恶意IP，从而可以
快速准确识别出恶意IP。

附图说明

[0018] 图1为本发明一实施例提供的一种恶意IP处理方法的流程示意图；

[0019] 图2为本发明另一实施例提供的一种恶意IP处理方法的流程示意图；

[0020] 图3为本发明一实施例提供的一种恶意IP处理系统的结构示意图；

[0021] 图4为本发明另一实施例提供的一种恶意IP处理系统的结构示意图。

具体实施方式

[0022] 以下结合附图对本发明的原理和特征进行描述，所举实例只用于解释本发明，并非用于限定本发明的范围。

[0023] 如图1所示，本发明一实施例提供的一种恶意IP处理方法，包括：

[0024] S1，获取预设周期内充值服务器接收的至少一个充值请求，充值请求携带发送充值请求的客户端的IP；

[0025] S2，按照IP对至少一个充值请求进行分类，得到每个IP的充值请求；

[0026] S3，将每个IP的充值请求的数量与预设数量进行比对，将充值请求的数量大于预设数量的IP作为疑似IP；

[0027] S4，当疑似IP的每个充值请求的支付有效期截止时，获取疑似IP的每个充值请求的支付状态，并根据支付状态确定疑似IP的已支付数量；

[0028] S5，根据预设支付转化率、疑似IP的充值请求的数量和疑似IP的已支付数量确定疑似IP是否为恶意IP。

[0029] 本发明实施例提供的一种恶意IP处理方法，将预设周期内的充值请求的数量大于预设数量的IP作为疑似IP，在疑似IP的每个充值请求的支付有效期截止时统计其已支付数
量，根据疑似IP的充值请求的数量、已支付数量和预设支付转化率即可确定该疑似IP是否
为恶意IP，从而可以快速准确识别出恶意IP。

[0030] 可选地，作为本发明另外一个实施例，S5包括：

[0031] S51，将疑似IP的已支付数量与疑似IP的充值请求的数量相除，得到疑似IP的实际支付转化率；

[0032] S52，当疑似IP的实际支付转化率小于预设支付转化率时，确定疑似IP为恶意IP；当疑似IP的实际支付转化率大于或等于预设支付转化率时，确定疑似IP不是恶意IP。

[0033] 上述实施例中，通过将疑似IP的已支付数量与疑似IP的充值请求的数量相除，得到疑似IP的实际支付转化率，当疑似IP的实际支付转化率小于预设支付转化率时，确定疑
似IP为恶意IP，否则不是恶意IP，从而快速准确地识别出恶意IP，提高了恶意IP的识别速
度。

[0034] 如图2所示，本发明另一实施例提供的一种恶意IP处理方法，包括：

[0035] S1，获取预设周期内充值服务器接收的至少一个充值请求，充值请求携带发送充值请求的客户端的IP；

[0036] 预设周期可以包括：每十分钟、每小时或者每天等。

[0037] S2，按照IP对至少一个充值请求进行分类，得到每个IP的充值请求；

[0038] S3，将每个IP的充值请求的数量与预设数量进行比对，将充值请求的数量大于预设数量的IP作为疑似IP；

[0039] 具体地，预设数量可以为100。

[0040] S4，当疑似IP的每个充值请求的支付有效期截止时，获取疑似IP的每个充值请求的支付状态，并根据支付状态确定疑似IP的已支付数量；

[0041] S5，根据预设支付转化率、疑似IP的充值请求的数量和疑似IP的已支付数量确定疑似IP是否为恶意IP；

[0042] 具体地，预设支付转化率可以为5％。在识别出恶意IP后，还可以将恶意IP进行展示，以便于运营和维护人员查看。

[0043] 该方法还可以包括：对预设数量和预设支付转化率进行实时调整。从而限制代理商的套利或是增加代理商的套利。

[0044] S6，将恶意IP存入拦截数据库，并根据拦截数据库对恶意IP再发送的充值请求进行拦截。

[0045] 具体地，恶意IP即为大量发送充值请求，却不为充值请求支付的IP。恶意IP对应的客户通过上述操作可以非法获取其他客户的状态，进而非法买卖其他客户信息，本发明意
在禁止这种非法行为。

[0046] 该方法还可以包括：在拦截数据库中设置恶意IP的拦截有效期，在拦截有效期内只要收到恶意IP发送的充值请求即拦截，在拦截有效期截止后对恶意IP发送的充值请求不
再拦截。

[0047] 拦截数据库可以是memcache(分布式的高速缓存系统)，也可以是redis(key-value存储系统)。对恶意IP再发送的充值请求进行拦截的具体过程可以包括：采用高性能
反向代理服务器将错误码发送至恶意IP的客户端。由于恶意IP存储在拦截数据库，因而当
充值服务器瘫痪时也可以对恶意IP再发送的充值请求进行拦截。

[0048] 上述实施例中，将预设周期内的充值请求的数量大于预设数量的IP作为疑似IP，在疑似IP的每个充值请求的支付有效期截止时统计其已支付数量，根据疑似IP的充值请求
的数量、已支付数量和预设支付转化率即可确定该疑似IP是否为恶意IP，从而可以快速准
确识别出恶意IP，在识别出恶意IP后将恶意IP存入拦截数据库，根据拦截数据库对恶意IP
再发送的充值请求进行拦截，从而避免恶意IP占用宽带资源、充值服务器资源、充值数据库
资源导致资源浪费的问题，进而提高充值服务器响应速度，提高用户体验度。

[0049] 可选地，作为本发明另外一个实施例，S4包括：

[0050] S41，当疑似IP的每个充值请求的支付有效期截止时，获取疑似IP的每个充值请求的支付状态，其中，支付状态为已支付或未支付；

[0051] 具体地，每个充值请求的支付有效期均相同，可以设置支付有效期为30分钟，支付有效期是自充值服务器接收到充值请求后30分钟。

[0052] S42，对支付状态为已支付的数量进行统计，得到疑似IP的已支付数量；

[0053] 上述实施例中，通过在疑似IP的每个充值请求的支付有效期截止时，获取疑似IP的每个充值请求的支付状态，统计支付状态为已支付的数量，使已支付数量的统计更接近
于客户实际愿意支付的数量，从而获得准确的疑似IP的实际支付转化率，利用疑似IP的实
际支付转化率提高识别恶意IP的准确性。

[0054] 如图3所示，本发明一实施例提供的一种恶意IP处理系统，包括：

[0055] 获取单元，用于获取预设周期内充值服务器接收的至少一个充值请求，充值请求携带发送充值请求的客户端的IP；

[0056] 分类单元，用于按照IP对至少一个充值请求进行分类，得到每个IP的充值请求；

[0057] 比对单元，用于将每个IP的充值请求的数量与预设数量进行比对，将充值请求的数量大于预设数量的IP作为疑似IP；

[0058] 处理单元，用于当疑似IP的每个充值请求的支付有效期截止时，获取疑似IP的每个充值请求的支付状态，并根据支付状态确定疑似IP的已支付数量；

[0059] 识别单元，用于根据预设支付转化率、疑似IP的充值请求的数量和疑似IP的已支付数量确定疑似IP是否为恶意IP。

[0060] 本发明实施例提供的一种恶意IP处理系统，将预设周期内的充值请求的数量大于预设数量的IP作为疑似IP，在疑似IP的每个充值请求的支付有效期截止时统计其已支付数
量，根据疑似IP的充值请求的数量、已支付数量和预设支付转化率即可确定该疑似IP是否
为恶意IP，从而可以快速准确识别出恶意IP。

[0061] 可选地，作为本发明另外一个实施例，识别单元具体用于：

[0062] 将疑似IP的已支付数量与疑似IP的充值请求的数量相除，得到疑似IP的实际支付转化率；

[0063] 当疑似IP的实际支付转化率小于预设支付转化率时，确定疑似IP为恶意IP；当疑似IP的实际支付转化率大于或等于预设支付转化率时，确定疑似IP不是恶意IP。

[0064] 上述实施例中，通过将疑似IP的已支付数量与疑似IP的充值请求的数量相除，得到疑似IP的实际支付转化率，当疑似IP的实际支付转化率小于预设支付转化率时，确定疑
似IP为恶意IP，否则不是恶意IP，从而快速准确地识别出恶意IP，提高了恶意IP的识别速
度。

[0065] 如图4所示，本发明另一实施例提供的一种恶意IP处理系统，包括：

[0066] 获取单元，用于获取预设周期内充值服务器接收的至少一个充值请求，充值请求携带发送充值请求的客户端的IP；

[0067] 具体地，充值服务器每接收一个充值请求，就对该一个充值请求进行处理，从而得到日志。充值服务器对充值请求的处理过程可以包括：下单处理、支付处理和充值处理等。
日志中可以包括：发送充值请求的客户端的IP、充值请求的订单号、充值请求的被充值号
码、充值请求的处理状态(例如支付状态或充值状态等)、支付金额、到账信息和处理充值请
求的时刻(例如充值服务器接收充值请求的时刻或充值请求的支付时刻)等。分布式日志采
集系统对充值服务器内的日志进行采集，并将采集的日志发送给分布式消息中间件。由于
采用分布式消息中间件传递日志，因而充值服务器处理充值请求和一种恶意IP处理系统之
间互相不影响。一种恶意IP处理系统从分布式消息中间件中获取预设周期内充值服务器接
收的至少一个充值请求。

[0068] 分类单元，用于按照IP对至少一个充值请求进行分类，得到每个IP的充值请求；

[0069] 比对单元，用于将每个IP的充值请求的数量与预设数量进行比对，将充值请求的数量大于预设数量的IP作为疑似IP；

[0070] 具体地，预设数量可以为100。

[0071] 处理单元，用于当疑似IP的每个充值请求的支付有效期截止时，获取疑似IP的每个充值请求的支付状态，并根据支付状态确定疑似IP的已支付数量；

[0072] 识别单元，用于根据预设支付转化率、疑似IP的充值请求的数量和疑似IP的已支付数量确定疑似IP是否为恶意IP；

[0073] 具体地，预设支付转化率可以为5％。

[0074] 拦截单元，用于将恶意IP存入拦截数据库，并根据拦截数据库对恶意IP再发送的充值请求进行拦截。

[0075] 上述实施例中，将预设周期内的充值请求的数量大于预设数量的IP作为疑似IP，在疑似IP的每个充值请求的支付有效期截止时统计其已支付数量，根据疑似IP的充值请求
的数量、已支付数量和预设支付转化率即可确定该疑似IP是否为恶意IP，从而可以快速准
确识别出恶意IP，在识别出恶意IP后将恶意IP存入拦截数据库，根据拦截数据库对恶意IP
再发送的充值请求进行拦截，从而避免恶意IP占用宽带资源、充值服务器资源、充值数据库
资源导致资源浪费的问题，进而提高充值服务器响应速度，提高用户体验度。

[0076] 可选地，作为本发明另外一个实施例，处理单元具体用于：

[0077] 当疑似IP的每个充值请求的支付有效期截止时，获取疑似IP的每个充值请求的支付状态，其中，支付状态为已支付或未支付；

[0078] 具体地，一种恶意IP处理系统从分布式消息中间件中获取疑似IP的每个充值请求的支付状态。

[0079] 对支付状态为已支付的数量进行统计，得到疑似IP的已支付数量。

[0080] 上述实施例中，通过在疑似IP的每个充值请求的支付有效期截止时，获取疑似IP的每个充值请求的支付状态，统计支付状态为已支付的数量，使已支付数量的统计更接近
于客户实际愿意支付的数量，从而获得准确的疑似IP的实际支付转化率，利用疑似IP的实
际支付转化率提高识别恶意IP的准确性。

[0081] 该系统的各部件所执行的功能已经在上述实施例一种恶意IP处理方法中做了详细的介绍，这里不再赘述。

[0082] 所属领域的技术人员可以清楚地了解到，为了描述的方便和简洁，上述描述的装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

[0083] 在本申请所提供的几个实施例中，应该理解到，所揭露的装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，单元的划分，仅仅为
一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或
者可以集成到另一个系统，或一些特征可以忽略，或不执行。

[0084] 作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络
单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本发明实施例方案的目
的。

[0085] 另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以是两个或两个以上单元集成在一个单元中。上述集成的
单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

[0086] 集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者
说对现有技术做出贡献的部分，或者该技术方案的全部或部分可以以软件产品的形式体现
出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备
(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例方法的全部或部分
步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机
存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介
质。

[0087] 以上所述仅为本发明的较佳实施例，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。