CN114244610B - 一种文件传输方法、装置，网络安全设备及存储介质 - Google Patents

Abstract

本申请提供一种文件传输方法、装置，网络安全设备及存储介质。该方法包括：接收第一终端发送的携带网络数据块的流量报文；获取流量报文中的指纹信息；其中，指纹信息用于标识网络数据块所属的文件，文件被拆分为多个网络数据块，且通过断点续传的方式进行传输；查询本地存储的恶意指纹信息中是否包含指纹信息；其中，恶意指纹信息为识别出的恶意文件对应的指纹信息；当恶意指纹信息中包含指纹信息时，基于第一预设处理方式对流量报文进行处理。通过该方式使得即使文件采用断点续传的方式进行传输，也能够对中断后继续传输的网络数据块进行有效地识别，进而阻断恶意文件的续传。

Description

一种文件传输方法、装置，网络安全设备及存储介质

技术领域

本申请涉及数据传输技术领域，具体而言，涉及一种文件传输方法、装置，网络安全设备及存储介质。

背景技术

目前防火墙、下代防火墙等网络安全设备中，具备入侵检测、病毒扫描、内容过滤、沙箱防护等功能。其可以对网络传输的文件进行安全检测，当发现文件包含特征、病毒或者特定关键字时会阻止文件的传播，以达到保护网络安全或者防止数据信息泄漏的目的。

为了保证文件的有效传输，目前的文件传输方式，通常是将一个较大的文件拆分为多个网络数据块进行传输。网络安全设备在检测时，会依次对各个网络数据块进行检测。由于组成病毒的字符串可能会分布在不同的网络数据块中，而网络安全设备只有检测出组成病毒的所有字符串后才会确定文件为恶意文件。此种文件传输方式会使得接收端已经有部分可能携带病毒字符串的网络数据块被接收，此时可以中断传输以防止所有组成病毒的字符串传输至接收端。但发明人在研究中发现，若是在文件传输过程中采用断点续传的方式，接收端在请求第二次传输文件时，发送端会将剩余的网络数据块进行传输，而不再传输已成功传递的网络数据块。由于断点续传的方式相当于重新建立了一条会话，使得网络安全设备在检测时会将剩余的网络数据块作为一个新的文件，进而导致剩余的携带病毒字符串的网络数据块可能被传输至接收端，造成接收端被恶意文件攻击。

发明内容

本申请实施例的目的在于提供一种文件传输方法、装置，网络安全设备及存储介质，以阻断恶意文件以断点续传的方式被接收端接收。

本发明是这样实现的：

第一方面，本申请实施例提供一种文件传输方法，应用于网络安全设备，包括：接收第一终端发送的携带网络数据块的流量报文；获取所述流量报文中的指纹信息；其中，所述指纹信息用于标识所述网络数据块所属的文件，所述文件被拆分为多个网络数据块，且通过断点续传的方式进行传输；查询本地存储的恶意指纹信息中是否包含所述指纹信息；其中，所述恶意指纹信息为识别出的恶意文件对应的指纹信息；当所述恶意指纹信息中包含所述指纹信息时，基于第一预设处理方式对所述流量报文进行处理。

在本申请实施例中，网络安全设备会预先存储有恶意文件对应的指纹信息，进而在接收到第一终端发送的携带网络数据块的流量报文后，能够通过流量报文所携带的指纹信息判断网络数据块是否属于恶意文件，若是，则对接收到的流量报文进行相应的处理。通过该方式使得即使文件采用断点续传的方式进行传输，也能够对中断后继续传输的网络数据块进行有效地识别，进而阻断恶意文件的续传。

结合上述第一方面提供的技术方案，在一些可能的实现方式中，所述基于第一预设处理方式对所述流量报文进行处理，包括：基于与所述指纹信息相同的恶意指纹信息所对应的处理方式，对所述流量报文进行处理。

在本申请实施例中，基于与指纹信息相同的恶意指纹信息所对应的处理方式，对流量报文进行处理，能够加快对流量报文的处理流程，提高处理效率。

结合上述第一方面提供的技术方案，在一些可能的实现方式中，所述方法还包括：当所述恶意指纹信息中不包含所述指纹信息时，对所述流量报文进行检测；当所述流量报文的检测结果表征所述文件为恶意文件时，基于第二预设处理方式对所述流量报文进行处理，并将所述指纹信息，以及所述流量报文的处理方式进行存储；当所述流量报文的检测结果表征所述文件为非恶意文件时，将所述流量报文转发至与所述流量报文对应的第二终端。

在本申请实施例中，当恶意指纹信息中不包含流量报文的指纹信息时，对流量报文进行检测，若是检测出该流量报文对应的文件为恶意文件时，对流量报文进行处理，并将指纹信息，以及流量报文的处理方式进行存储以便于后续网络安全设备在接收到相同的指纹信息的流量报文时，快速进行处理。

结合上述第一方面提供的技术方案，在一些可能的实现方式中，所述基于第二预设处理方式对所述流量报文进行处理，包括：将所述流量报文中的病毒字符串进行替换；将所述病毒字符串替换后的流量报文发送至所述第二终端。

在本申请实施例中，若是检测出该流量报文对应的文件为恶意文件时，则可以将流量报文中的病毒字符串进行替换，以去除网络数据块中的病毒字符串，进而使得网络数据块继续传输至第二终端后，也不会导致第二终端被病毒攻击。

结合上述第一方面提供的技术方案，在一些可能的实现方式中，当所述流量报文为IP协议承载的TCP协议报文或UDP协议报文时，所述获取所述流量报文中的指纹信息，包括：获取所述流量报文中的源IP地址、目的IP地址及目的端口；其中，所述流量报文中的源IP地址、目的IP地址及目的端口为所述指纹信息。

在本申请实施例中，当流量报文为IP协议承载的TCP协议报文或UDP协议报文时，提取流量报文中的源IP地址、目的IP地址及目的端口作为指纹信息，以便对IP协议承载的TCP协议报文或UDP协议报文的网络数据块进行有效地识别。

结合上述第一方面提供的技术方案，在一些可能的实现方式中，当所述流量报文为HTTP协议的报文时，所述获取所述流量报文中的指纹信息，包括：获取所述流量报文中的统一资源定位符、目的终端地址、文件编码方式及文件类型；其中，所述指纹信息包括所述流量报文中的统一资源定位符、目的终端地址、文件名、文件编码方式及文件类型。

在本申请实施例中，当流量报文为HTTP协议的报文时，提取流量报文中的统一资源定位符、目的终端地址、文件名、文件编码方式及文件类型，以便对HTTP协议的流量报文中的网络数据块进行有效地识别。

结合上述第一方面提供的技术方案，在一些可能的实现方式中，当所述流量报文为FTP协议的报文时，所述获取所述流量报文中的指纹信息，包括：解析所述流量报文以获取所述流量报文的传输路径及文件名称；其中，所述流量报文的传输路径及所述文件名称为所述指纹信息。

在本申请实施例中，当流量报文为FTP协议的报文时，提取流量报文的传输路径及文件名称作为指纹信息，以便对FTP协议的流量报文中的网络数据块进行有效地识别。

第二方面，本申请实施例提供一种文件传输装置，应用于网络安全设备，包括：接收模块，用于接收第一终端发送的携带网络数据块的流量报文；获取模块，获取所述流量报文中的指纹信息；其中，所述指纹信息用于标识所述网络数据块所属的文件，所述文件被拆分为多个网络数据块，且通过断点续传的方式进行传输；查询模块，用于查询本地存储的恶意指纹信息中是否包含所述指纹信息；其中，所述恶意指纹信息为识别出的恶意文件对应的指纹信息；处理模块，用于当所述恶意指纹信息中包含所述指纹信息时，基于第一预设处理方式对所述流量报文进行处理。

第三方面，本申请实施例提供一种网络安全设备，包括：处理器和存储器，所述处理器和所述存储器连接；所述存储器用于存储程序；所述处理器用于调用存储在所述存储器中的程序，执行如上述第一方面实施例和/或结合上述第一方面实施例的一些可能的实现方式提供的方法。

第四方面，本申请实施例提供一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序在被处理器运行时执行如上述第一方面实施例和/或结合上述第一方面实施例的一些可能的实现方式提供的方法。

附图说明

为了更清楚地说明本申请实施例的技术方案，下面将对本申请实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本申请的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。

图1为现有技术提供的文件断点续传的示意图。

图2为本申请实施例提供的一种网络系统的结构框图。

图3为本申请实施例提供的一种网络安全设备的结构框图。

图4为本申请实施例提供的一种文件传输方法的流程图。

图5为本申请实施例提供的一种文件传输装置的模块框图。

图标：10-网络系统；100-网络安全设备；110-处理器；120-存储器；200-第一终端；300-第二终端；400-文件传输装置；410-接收模块；420-获取模块；430-查询模块；440-处理模块。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行描述。

首先对现有技术提供的文件断点续传的方式进行说明。为了保证文件的有效传输，目前的文件传输方式，通常是将一个较大的文件拆分为多个网络数据块进行传输。请参阅图1，图1描述了文件(以病毒文件为例)从第一终端传输至第二终端的过程。假设该病毒文件被分成了十份网络数据块进行传输，分别用序号1～10进行表示，如第一个传输的网络数据块为网络数据块1，第二个传输的网络数据块为网络数据块2，依次类推，第十个传输的网络数据块为网络数据块10。病毒文件中组成病毒的三个病毒字符串A、B、C分别分布在网络数据块1、网络数据块3和网络数据块4中。

需要说明的是，病毒如果要在第二终端中起作用，需要在第二终端获取完整的文件，同时该文件包含构成该病毒的所有病毒字符串。也就是说，第二终端只有在接收完整文件，且完整文件包含三个病毒字符串A、B、C后(病毒字符串A、B、C可以用于表示这个文件是一个恶意文件或病毒文件)，该病毒才能起作用，而第二终端如果仅包括该三个病毒字符串中的任意两个病毒字符串，或仅包括一个病毒字符串，则该病毒无法起作用。因此，网络安全设备在进行检测时，只有在识别到所有组成该病毒的字符串后，才确定对应的文件为病毒文件。如图1所示，网络数据块依次通过网络传输，然后经过网络安全设备进行检测。其中，网络数据块1已经到达第二终端，即，网络数据块1被第二终端成功接收；网络数据块2和网络数据块3处于网络安全设备至第二终端的传输过程中；网络数据块4正在被网络安全设备检测；网络数据块5-8处于第一终端至网络安全设备的传输过程中，即，网络数据块5-8还没有到达网络安全设备；而网络数据块9和网络数据块10还未从第一终端发出。

网络安全设备在检测网络数据块4时，由于已经检测到病毒字符串A、B、C，因此，网络安全设备会阻断还未到达第二终端的所有网络数据块的传输，进而使得网络数据块2-10不会到达第二终端。但发明人在研究中发现，若是在文件传输过程中采用断点续传的方式，第二终端在请求第二次传输文件时，第一终端会将剩余的网络数据块进行传输(如图1中第二次传输过程中，从网络数据块2开始传输)，而不再传输已成功传递的网络数据块(网络数据块1)。而断点续传的方式相当于重新建立了一条会话，使得网络安全设备在检测时会将剩余的网络数据块(网络数据块2至网络数据块10)作为一个新的文件，此时由于网络安全设备检测不到病毒字符串A，则会将网络数据块2至网络数据块10确定为安全的文件传输至第二终端，进而导致携带病毒字符串B和C的网络数据块也被传输至第二终端，由于此前第二终端已经成功接收携带病毒字符串A的网络数据块，因此，所有网络数据块会合并为文件，进而形成包含三个病毒字符串A、B、C的恶意文件，使得第二终端遭受到病毒的攻击。

鉴于上述问题，本申请提供以下实施例以解决上述问题。

请参阅图2，本申请实施例提供一种网络系统10，其包括网络安全设备100、第一终端200及第二终端300。

网络安全设备100分别与第一终端200和第二终端300通信连接。

网络安全设备100可以具备入侵检测、病毒扫描、内容过滤、沙箱防护等功能。于本申请实施例中，网络安全设备100主要用于对第一终端200向第二终端300发送的携带网络数据块的流量报文进行检测。

网络安全设备100具体可以是但不限于路由器、网关设备、防火墙。

请参阅图3，在结构上，网络安全设备100可以包括处理器110和存储器120。

处理器110与存储器120直接或间接地电性连接，以实现数据的传输或交互，例如，这些元件相互之间可通过一条或多条通讯总线或信号线实现电性连接。文件传输装置包括至少一个可以软件或固件(Firmware)的形式存储在存储器120中或固化在网络安全设备100的操作系统(Operating System，OS)中的软件模块。处理器110用于执行存储器120中存储的可执行模块，例如，文件传输装置所包括的软件功能模块及计算机程序等，以实现文件传输方法。处理器110可以在接收到执行指令后，执行计算机程序。

其中，处理器110可以是一种集成电路芯片，具有信号处理能力。处理器110也可以是通用处理器，例如，可以是中央处理器(Central Processing Unit，CPU)、数字信号处理器(Digital Signal Processor，DSP)、专用集成电路(Application Specific IntegratedCircuit，ASIC)、分立门或晶体管逻辑器件、分立硬件组件，可以实现或者执行本申请实施例中的公开的各方法、步骤及逻辑框图。此外，通用处理器可以是微处理器或者任何常规处理器等。

存储器120可以是，但不限于，随机存取存储器(Random Access Memory，RAM)、只读存储器(Read Only Memory，ROM)、可编程只读存储器(Programmable Read-OnlyMemory，PROM)、可擦可编程序只读存储器(Erasable Programmable Read-Only Memory，EPROM)，以及电可擦编程只读存储器(Electric Erasable Programmable Read-OnlyMemory，EEPROM)。存储器120用于存储程序，处理器110在接收到执行指令后，执行该程序。

需要说明的是，图3所示的结构仅为示意，本申请实施例提供的网络安全设备100还可以具有比图3更少或更多的组件，或是具有与图3所示不同的配置。此外，图3所示的各组件可以通过软件、硬件或其组合实现。

上述的第一终端200可用于向第二终端300传输流量报文。比如，第二终端300向第一终端200请求获取目标文件，则第一终端200将目标文件拆分为多个网络数据块，然后依次向第二终端300发送携带网络数据块的流量报文。

本申请实施例中，第一终端200可以是终端或者服务器，终端可以是，但不限于个人计算机(Personal Computer，PC)、智能手机、平板电脑、个人数字助理(PersonalDigital Assistant，PDA)、移动上网设备(Mobile Internet Device，MID)等。服务器可以是但不限于网络服务器、数据库服务器、云服务器或由多个子服务器构成的服务器集成等。第二终端300可以是但不限于个人计算机、智能手机、平板电脑等。

当然，上述列举的硬件设备仅用于便于理解本申请实施例，其不应作为对本实施例的限定。

请参阅图4，图4为本申请实施例提供的文件传输方法的流程图，该方法应用于图3所示的网络安全设备100。需要说明的是，本申请实施例提供的文件传输方法不以图4及以下所示的顺序为限制，该方法包括：步骤S101-步骤S104。

步骤S101：接收第一终端发送的携带网络数据块的流量报文。

步骤S102：获取流量报文中的指纹信息。

其中，指纹信息用于标识网络数据块所属的文件。文件被第一终端拆分为多个网络数据块，且文件通过断点续传的方式进行传输。

步骤S103：查询本地存储的恶意指纹信息中是否包含指纹信息。

其中，恶意指纹信息为识别出的恶意文件对应的指纹信息。网络安全可预先存储恶意文件对应的指纹信息，进而当接收到携带网络数据块的流量报文时，可以直接根据该流量报文的指纹信息确定该流量报文携带的网络数据块所属的文件是否属于恶意文件。

步骤S104：当恶意指纹信息中包含指纹信息时，基于第一预设处理方式对流量报文进行处理。

当恶意指纹信息中包含该流量报文的指纹信息时，则说明该流量报文携带的网络数据块所属的文件属于恶意文件，此时可以根据第一预设处理方式对流量报文进行处理。

其中，第一预设处理方式为针对恶意文件所制定的处理方式。第一预设处理方式在后文中进行阐述。

综上，在本申请实施例中，网络安全设备会预先存储有恶意文件对应的指纹信息，进而在接收到第一终端发送的携带网络数据块的流量报文后，能够通过流量报文所携带的指纹信息判断网络数据块是否属于恶意文件，若是，则对接收到的流量报文进行相应的处理。通过该方式使得即使文件采用断点续传的方式进行传输，也能够对中断后继续传输的网络数据块进行有效地识别，进而阻断恶意文件的续传。

下面结合具体的示例对上述步骤进行说明。

于本申请实施例中，不同协议的流量报文对应的指纹信息不同。

一实施例中，流量报文可以为IP(Internet Protocol，网际互联协议)协议承载的TCP(Transmission Control Protocol，传输控制协议)协议报文或UDP(User DatagramProtocol，用户数据报协议)协议报文。当流量报文为IP协议承载的TCP协议报文或UDP协议报文时，则上述步骤S102可以具体包括：获取流量报文中的源IP地址、目的IP地址及目的端口。

其中，流量报文中的源IP地址、目的IP地址及目的端口为指纹信息。相应的，本地存储的恶意指纹信息则为恶意文件对应的源IP地址、目的IP地址及目的端口。

可见，在本申请实施例中，当流量报文为IP协议承载的TCP协议报文或UDP协议报文时，提取流量报文中的源IP地址、目的IP地址及目的端口作为指纹信息，以便对IP协议承载的TCP协议报文或UDP协议报文中的网络数据块进行有效地识别。

另一实施例中，流量报文可以为HTTP(Hyper Text Transfer Protocol，超文本传输协议)协议的报文。当流量报文为HTTP协议的报文，则上述步骤S102可以具体包括：获取流量报文中的统一资源定位符、目的终端地址(如第二终端的MAC(Media Access ControlAddress，媒体存取控制位址)地址)、文件名、文件编码方式及文件类型。

其中，指纹信息包括流量报文中的统一资源定位符、目的终端地址、文件名、文件编码方式及文件类型。相应的，本地存储的恶意指纹信息则为恶意文件对应的统一资源定位符、目的终端地址、文件名、文件编码方式及文件类型。

可见，在本申请实施例中，当流量报文为HTTP协议的报文时，提取流量报文中的统一资源定位符、目的终端地址、文件名、文件编码方式及文件类型，以便对HTTP协议的流量报文中的网络数据块进行有效地识别。

又一实施例中，流量报文可以为FTP(File Transfer Protocol，文件传输协议)协议的报文。当流量报文为FTP协议的报文，则上述步骤S102可以具体包括：解析流量报文以获取流量报文的传输路径及文件名称。

其中，流量报文的传输路径及文件名称为指纹信息。相应的，本地存储的恶意指纹信息则为恶意文件对应的传输路径及文件名称。

需要说明的是，在FTP协议的流量报文中，由于数据流和控制流是分开的，所以流量报文的指纹信息提取主要在控制流中。网络安全设备可以通过解析目录切换命令(cd)提取传输路径，通过解析文件获取命令(get)提取文件名称，然后将传输路径和文件名称组合成指纹信息。

可见，在本申请实施例中，当流量报文为FTP协议的报文时，提取流量报文的传输路径及文件名称作为指纹信息，以便对FTP协议的流量报文中的网络数据块进行有效地识别。

此外，流量报文还可以是SMB(Server Message Block，服务器信息块)协议的报文。上述的各协议的报文对应的指纹信息也可以根据实现情况而定，本申请不作限定。此外，当流量报文采用不同协议的方式传输时，网络安全设备需先识别出该流量报文为何种协议的报文，然后再根据配置的与该协议报文对应的指纹信息对该流量报文进行指纹信息的提取。

一实施例中，上述步骤S104中基于第一预设处理方式对流量报文进行处理具体包括：将流量报文中的病毒字符串进行替换；将病毒字符串替换后的流量报文发送至第二终端。

继续以图1为例，若当前第一终端发送的流量报文携带的网络数据块为网络数据块4，则此时网络安全设备在识别出网络数据块4中的病毒字符串C后，将病毒字符串进行替换。需要说明的是，此处的替换可以是将病毒字符串C替换为任意的除字符串C以外的字符串。字符串的形式本申请不作限定。网络安全设备在将病毒字符串C替换后，则可将该流量报文发送至第二终端。由于该网络数据块中已不包含字符串C，文件内容遭到破坏导致病毒失效，因此，将网络数据块4发送至第二终端，第二终端不会遭受到病毒的攻击。

当然，若是该流量报文中不包括病毒字符串，则可以直接将该流量报文发送至第二终端。如当前第一终端发送的流量报文携带的网络数据块为网络数据块2，则网络安全设备直接将该流量报文发送至第二终端。

一实施例中，上述步骤S104中基于第一预设处理方式对流量报文进行处理具体包括：阻断该流量报文的发送。

继续以图1为例，若当前第一终端发送的流量报文携带的网络数据块为网络数据块4，则此时网络安全设备会中断网络数据块4的传输。

当然，此时还可以阻断还未到达第二终端的所有网络数据块的传输。如当前第一终端发送的流量报文携带的网络数据块为网络数据块4，则此时网络安全设备会中断网络数据块2-4的传输。

一实施例中，上述步骤S104中基于第一预设处理方式对流量报文进行处理具体包括：基于与指纹信息相同的恶意指纹信息所对应的处理方式，对流量报文进行处理。

也即，网络安全设备会在本地存储与恶意指纹信息所对应的处理方式。进而可以直接基于与指纹信息相同的恶意指纹信息所对应的处理方式，对流量报文进行处理。

此处对恶意指纹信息的处理方式，可以是前述实施例中的两种实施方式。比如，与指纹信息相同的恶意指纹信息所对应的处理方式为病毒字符串的替换，则此处将流量报文中的病毒字符串进行替换，若，该流量报文中不包括病毒字符串，则直接将该流量报文发送至第二终端。又比如，与指纹信息相同的恶意指纹信息所对应的处理方式为阻断流量报文的发送，则此时网络安全设备中断该流量报文的传输。

可见，在本申请实施例中，基于与指纹信息相同的恶意指纹信息所对应的处理方式，对流量报文进行处理，能够加快对流量报文的处理流程，提高处理效率。

当然，当恶意指纹信息中不包含指纹信息时，上述文件传输方法还包括：对流量报文进行检测。

当流量报文的检测结果表征文件为非恶意文件时，将流量报文转发至与流量报文对应的第二终端。

也即，网络安全设备会对该流量报文中的病毒字符串进行识别，若该流量报文对应的文件中未包含组成病毒的所有病毒字符串，则确定该流量报文对应的文件为非恶意文件，此时，将该流量报文直接进行转发。

而当流量报文的检测结果表征文件为恶意文件时，基于第二预设处理方式对流量报文进行处理，并将指纹信息，以及流量报文的处理方式进行存储。

继续以图1为例，假设此时携带病毒字符串A、B、C的文件为Q。网络安全设备为第一次接收到文件Q对应的报文。在网络安全设备检测携带网络数据块1-3的流量报文时，均不会确定文件Q为恶意文件。而当检测到携带网络数据块4的流量报文时，此时由于检测到病毒字符串A、B、C，则确定文件Q为恶意文件。此时，网络安全设备会基于第二预设处理方式对流量报文进行处理，并将指纹信息，以及流量报文的处理方式进行存储。

此处的第二预设处理方式，可以是但不限于前述实施例中的将病毒字符串进行替换、阻断流量报文的发送。

以第二预设处理方式为将病毒字符串进行替换为例，此时网络安全设备将网络数据块4中的病毒字符串C进行替换。需要说明的是，此处的替换可以是将病毒字符串C替换为任意的除字符串C以外的字符串。字符串的形式本申请不作限定。网络安全设备在将病毒字符串C替换后，则可将该流量报文发送至第二终端。由于该网络数据块中已不包含字符串C，文件内容遭到破坏导致病毒失效，因此，将网络数据块4发送至第二终端后，第二终端不会受到病毒的攻击。网络安全设备在处理后，将文件Q的指纹信息，以及该流量报文的处理方式进行存储。

当网络安全设备再次接收到与文件Q对应的流量报文时，如网络安全设备再次接收到携带网络数据块3的流量报文时，可以直接将网络数据块3中的病毒字符串B进行替换，然后再将该流量报文发送至第二终端。

以第二预设处理方式为阻断流量报文的发送为例，此时网络安全设备中断携带网络数据块4的流量报文的传输。网络安全设备在处理后，将文件Q的指纹信息，以及该流量报文的处理方式进行存储。

当网络安全设备再次接收到与文件Q对应的流量报文时，如网络安全设备再次接收到携带网络数据块2的流量报文时，可以直接中断携带网络数据块2的流量报文的传输，也即，该方式能够有效地阻止图1中的第一终端向第二终端断点续传文件Q。

需要说明的是，本申请实施例中所涉及的断点续传的中断方式可以是第一终端或第二终端触发的传输中断，也可以是网络安全设备在检查到恶意文件后的中断，还可以是由于网络信号较差造成的传输中断，但无论何种中断方式，均可以采用上述文件传输方法来阻断恶意文件以断点续传的方式被第二终端接收。

请参阅图5，基于同一发明构思，本申请实施例还提供一种文件传输装置400，该装置包括：

接收模块410，用于接收第一终端发送的携带网络数据块的流量报文。

获取模块420，获取所述流量报文中的指纹信息；其中，所述指纹信息用于标识所述网络数据块所属的文件，所述文件被拆分为多个网络数据块，且通过断点续传的方式进行传输。

查询模块430，用于查询本地存储的恶意指纹信息中是否包含所述指纹信息；其中，所述恶意指纹信息为识别出的恶意文件对应的指纹信息。

处理模块440，用于当所述恶意指纹信息中包含所述指纹信息时，基于第一预设处理方式对所述流量报文进行处理。

可选地，处理模块440还用于基于与所述指纹信息相同的恶意指纹信息所对应的处理方式，对所述流量报文进行处理。

可选地，该装置还包括检测模块。

检测模块用于当所述恶意指纹信息中不包含所述指纹信息时，对所述流量报文进行检测；当所述流量报文的检测结果表征所述文件为恶意文件时，基于第二预设处理方式对所述流量报文进行处理，并将所述指纹信息，以及所述流量报文的处理方式进行存储；当所述流量报文的检测结果表征所述文件为非恶意文件时，将所述流量报文转发至与所述流量报文对应的第二终端。

可选地，检测模块还具体用于将所述流量报文中的病毒字符串进行替换；将所述病毒字符串替换后的流量报文发送至所述第二终端。

可选地，当所述流量报文为IP协议承载的TCP协议报文或UDP协议报文时，获取模块420具体用于获取所述流量报文中的源IP地址、目的IP地址及目的端口；其中，所述流量报文中的源IP地址、目的IP地址及目的端口为所述指纹信息。

可选地，当所述流量报文为HTTP协议的报文时，获取模块420具体用于获取所述流量报文中的统一资源定位符、目的终端地址、文件编码方式及文件类型；其中，所述指纹信息包括所述流量报文中的统一资源定位符、目的终端地址、文件名、文件编码方式及文件类型。

可选地，当所述流量报文为FTP协议的报文时，获取模块420具体用于解析所述流量报文以获取所述流量报文的传输路径及文件名称；其中，所述流量报文的传输路径及所述文件名称为所述指纹信息。

需要说明的是，由于所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统、装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

基于同一发明构思，本申请实施例还提供一种计算机可读存储介质，其上存储有计算机程序，计算机程序在被运行时执行上述实施例中提供的方法。

该存储介质可以是计算机能够存取的任何可用介质或者是包含一个或多个可用介质集成的服务器、数据中心等数据存储设备。所述可用介质可以是磁性介质，(例如软盘、硬盘、磁带)、光介质(例如DVD)、或者半导体介质(例如固态硬盘Solid State Disk(SSD))等。

在本申请所提供的实施例中，应该理解到，所揭露装置和方法，可以通过其它的方式实现。以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，又例如，多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些通信接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

另外，作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

再者，在本申请各个实施例中的各功能模块可以集成在一起形成一个独立的部分，也可以是各个模块单独存在，也可以两个或两个以上模块集成形成一个独立的部分。

在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。

以上所述仅为本申请的实施例而已，并不用于限制本申请的保护范围，对于本领域的技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本申请的保护范围之内。

Claims (8)

1.一种文件传输方法，其特征在于，应用于网络安全设备，包括：

接收第一终端发送的携带网络数据块的流量报文；

获取所述流量报文中的指纹信息；其中，所述指纹信息用于标识所述网络数据块所属的文件，所述文件被拆分为多个网络数据块，且通过断点续传的方式进行传输；

查询本地存储的恶意指纹信息中是否包含所述指纹信息；其中，所述恶意指纹信息为识别出的恶意文件对应的指纹信息；

当所述恶意指纹信息中包含所述指纹信息时，基于第一预设处理方式对所述流量报文进行处理；

其中，当所述恶意指纹信息中不包含所述指纹信息时，对所述流量报文进行检测；

当所述流量报文的检测结果表征所述文件为恶意文件时，将所述流量报文的网络数据块中的病毒字符串进行替换；将所述病毒字符串替换后的流量报文发送至第二终端，并将所述指纹信息，以及所述流量报文的处理方式进行存储；

当所述流量报文的检测结果表征所述文件为非恶意文件时，将所述流量报文转发至与所述流量报文对应的所述第二终端。

2.根据权利要求1所述的方法，其特征在于，所述基于第一预设处理方式对所述流量报文进行处理，包括：

基于与所述指纹信息相同的恶意指纹信息所对应的处理方式，对所述流量报文进行处理。

3.根据权利要求1所述的方法，其特征在于，当所述流量报文为IP协议承载的TCP协议报文或UDP协议报文时，所述获取所述流量报文中的指纹信息，包括：

获取所述流量报文中的源IP地址、目的IP地址及目的端口；其中，所述流量报文中的源IP地址、目的IP地址及目的端口为所述指纹信息。

4.根据权利要求1所述的方法，其特征在于，当所述流量报文为HTTP协议的报文时，所述获取所述流量报文中的指纹信息，包括：

获取所述流量报文中的统一资源定位符、目的终端地址、文件编码方式及文件类型；其中，所述指纹信息包括所述流量报文中的统一资源定位符、目的终端地址、文件名、文件编码方式及文件类型。

5.根据权利要求1所述的方法，其特征在于，当所述流量报文为FTP协议的报文时，所述获取所述流量报文中的指纹信息，包括：

解析所述流量报文以获取所述流量报文的传输路径及文件名称；其中，所述流量报文的传输路径及所述文件名称为所述指纹信息。

6.一种文件传输装置，其特征在于，应用于网络安全设备，包括：

接收模块，用于接收第一终端发送的携带网络数据块的流量报文；

获取模块，获取所述流量报文中的指纹信息；其中，所述指纹信息用于标识所述网络数据块所属的文件，所述文件被拆分为多个网络数据块，且通过断点续传的方式进行传输；

查询模块，用于查询本地存储的恶意指纹信息中是否包含所述指纹信息；其中，所述恶意指纹信息为识别出的恶意文件对应的指纹信息；

处理模块，用于当所述恶意指纹信息中包含所述指纹信息时，基于第一预设处理方式对所述流量报文进行处理；

其中，该装置还包括检测模块，所述检测模块用于当所述恶意指纹信息中不包含所述指纹信息时，对所述流量报文进行检测；当所述流量报文的检测结果表征所述文件为恶意文件时，将所述流量报文的网络数据块中的病毒字符串进行替换；将所述病毒字符串替换后的流量报文发送至第二终端，并将所述指纹信息，以及所述流量报文的处理方式进行存储；

其中，所述检测模块还具体用于当所述流量报文的检测结果表征所述文件为非恶意文件时，将所述流量报文转发至与所述流量报文对应的所述第二终端。

7.一种网络安全设备，其特征在于，包括：处理器和存储器，所述处理器和所述存储器连接；

所述存储器用于存储程序；

所述处理器用于运行存储在所述存储器中的程序，执行如权利要求1-5中任一项所述的方法。

8.一种计算机可读存储介质，其特征在于，其上存储有计算机程序，所述计算机程序在被计算机运行时执行如权利要求1-5中任一项所述的方法。