CN101741645A - 存储式跨站脚本攻击检测方法、装置及系统及攻击检测装置 - Google Patents

Abstract

本发明实施例所提供的存储式跨站脚本攻击的检测方法、装置及系统及攻击检测装置，可以通过对用户从服务器上访问的网页内容所提取的脚本标签结合标签所对应的脚本内容及脚本语句位置来综合判断网页是否存在存储式跨站脚本的攻击，防止攻击者利用网页脚本嵌入恶意代码损害网络安全，有效提高了用户终端网络安全及可靠性。

Description

存储式跨站脚本攻击检测方法、装置及系统及攻击检测装置

技术领域

本发明涉及网络安全领域，特别是涉及一种存储式跨站脚本攻击的检测方法、装置及系统及攻击检测装置。

背景技术

跨站脚本攻击(Cross-Site Scripting，XSS)主要发生在客户端，攻击者将恶意代码注入到Web客户端，攻击者在用户访问的页面代码中插入具有恶意目的的数据，当访问器访问该页面时，嵌入其中的脚本将被解释执行，对用户端进行攻击，如果攻击者使用跨站脚本制作蠕虫，则可能发生大量的跨站式脚本攻击，导致拒绝服务攻击。XSS攻击通常包括反射式跨站脚本攻击(Reflected XSS)及存储式跨站脚本攻击等。

现有技术对跨站脚本攻击的检测是基于规则检测的方法，对来源于网络的信息流进行检测，通过监视网络中的数据包，对每一个数据包进行特征分析，如果数据包与预先存储的攻击特征匹配的话，入侵检测系统就会发出报警。

但发明人发现，现有技术中的跨站脚本攻击的检测主要针对跨站攻击代码不存储在服务器端的情况，而当攻击者已经将跨站攻击代码存储到服务器上，用户终端从服务器端访问被注入恶意代码的网络页面时，对该网页是否可能存在跨站脚本攻击没有有效的检测方法，使得用户终端的网络安全可靠性降低。

发明内容

本发明实施例提供一种存储式跨站脚本攻击检测方法、装置及系统，能够有效提高用户终端网络安全可靠性。

本发明实施例提供了一种存储式跨站脚本攻击的检测方法，包括：

获取用户访问的网页内容脚本标签；

获取所述脚本标签对应的脚本内容可疑特征的危险值以及所述脚本语句位置的违规度；

对所述脚本内容可疑特征的危险值和脚本语句位置的违规度进行综合分析以检测所述用户访问的网页是否存在存储式跨站脚本攻击。

本发明实施例还提供一种存储式跨站脚本攻击检测装置，包括：

脚本标签获取单元，用于获取用户访问的网页内容脚本标签；

第一处理单元，用于获取所述脚本标签对应的脚本内容可疑特征的危险值；

第二处理单元，用于获取所述脚本语句位置的违规度；

分析检测单元，用于对所述脚本内容可疑特征的危险值和脚本语句位置的违规度进行综合分析以检测所述用户访问的网页是否存在存储式跨站脚本攻击。

本发明实施例还提供一种攻击检测装置，包括：

接收单元，用于接收服务器发送的网页数据；

存储式跨站脚本攻击检测单元，用于获取所述网页数据的网页内容脚本标签；获取所述脚本标签对应的脚本内容可疑特征的危险值以及所述脚本语句位置的违规度；对所述脚本内容特征的危险值和位置的违规度进行综合分析以检测所述用户访问的网页是否存在存储式跨站脚本攻击；

发送单元，用于将所述存储跨站脚本攻击检测单元的检测结果发送给用户终端。

本发明实施例还提供一种存储式跨站脚本攻击的检测系统，包括：

用户终端，用于向服务器发送网页访问请求；

服务器，用于存储用户访问数据并响应用户终端请求向用户终端发送网页数据；

攻击检测装置，用于接收服务器发送的网页数据，获取用户访问的网页内容脚本标签；获取所述脚本标签对应的脚本内容可疑特征的危险值以及所述脚本语句位置的违规度；对所述脚本内容特征的危险值和位置的违规度进行综合分析以检测所述用户访问的网页是否存在存储式跨站脚本攻击，并向所述用户终端发送检测结果信息。

本发明实施例所提供的存储式跨站脚本攻击的检测方法、装置及系统及攻击检测装置，可以通过对用户从服务器上访问的网页内容所提取的脚本标签结合标签所对应的脚本内容及脚本语句位置来综合判断网页是否存在存储式跨站脚本的攻击，防止攻击者利用网页脚本嵌入恶意代码损害网络安全，有效提高了用户终端网络安全及可靠性。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例提供的一种存储式跨站脚本攻击的检测方法流程图；

图2是本发明实施例提供的另一种存储式跨站脚本攻击检测方法流程图；

图3是本发明实施例提供的一种存储式跨站脚本攻击检测装置；

图4是本发明实施例提供的另一种存储式跨站脚本攻击检测装置；

图5是本发明实施例提供的提供一种攻击检测装置；

图6是本发明实施例提供的一种存储式跨站脚本攻击的检测系统。

具体实施方式

为使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图和具体实施方式对本发明作进一步详细的说明。

图1为本发明实施例所提供的一种存储式跨站脚本攻击的检测方法的流程图，参见图1，本发明实施例方法包括：

步骤101：获取用户访问的网页内容脚本标签；

对用户访问的网页内容进行流扫描，识别并提取网页内容的<script>脚本标签；

步骤102：获取所提取的脚本标签对应的脚本内容可疑特征的危险值；

其中，对脚本内容危险值的获取可以通过将<script>脚本内容特征和预先存储的存储式跨站脚本攻击特征库进行匹配；当所述<script>脚本内容特征匹配到对应的存储式跨站脚本攻击特征数据时，确定该脚本内容特征为脚本内容可疑特征，按照预先设定的危险值对应策略，确定该脚本内容可疑特征的危险值；

步骤103：获取所述脚本语句位置的违规度；

其中，可以通过将所获取的网页内容<script>脚本标签所在位置与该标签对应的内嵌脚本合理性向量进行关联分析获得该脚本语句位置的合理性分值；

根据所述合理性分值，获得所述脚本语句位置的违规度；

需要说明的是，步骤102和步骤103在具体执行时没有执行顺序的限定，并且可以同时执行也可以分开执行；

步骤104：对所述<script>脚本内容特征的危险值和位置的违规度进行综合分析以检测所述用户访问的网页是否存在存储式跨站脚本攻击；

其中，可以通过将所获得的位置违规度的值和脚本内容特征的危险值进行加权和，根据所获取的值来最终判断用户所访问的网页中是否存在存储式跨站脚本攻击。

本发明实施例所提供的存储式跨站脚本攻击的检测方法，可以通过对用户访问的网页内容所提取的脚本标签结合标签所对应的脚本内容及脚本语句位置来综合判断网页是否存在存储式跨站脚本的攻击，防止攻击者利用网页脚本嵌入病毒损害网络安全，有效提高了用户终端网络安全及可靠性。

图2为本发明实施例提供的另一种存储式跨站脚本攻击检测方法的流程图，参见图2，该方法包括：

步骤201：对用户访问网页的内容文件进行流扫描，识别并提取标签；

步骤202：提取标签名，提取标签名的脚本类型；

步骤203：当所提取的标签类型为脚本标签时，提取该标签所对应的脚本内容；

通常所提取的<script>脚本标签为标签对，所提取的该标签对应的脚本内容包括标签对中间所包括的脚本内容；

步骤204：获取脚本语句位置的违规度；

步骤205：获取脚本内容可疑特征的危险值；

其中，步骤204和步骤205的执行顺序不做限定，本实施例仅为其中一种执行方式；

步骤206：对所述脚本内容特征的危险值和脚本语句位置的违规度进行综合分析以检测所述用户访问的网页是否存在存储式跨站脚本攻击。

其中，获取脚本语句位置的违规度可以通过对所提取的脚本标签名计算该标签所在的标签层，根据脚本标签所在的标签层并结合脚本内容的父标签，判断该脚本标签对应的脚本语句位置的合理性分值；

其中，可以事先设定不同位置出现标签的合理性分值，通过获取脚本标签所在标签层，以及脚本内容的父标签来判断在脚本语句所出现位置的合理性，并可以按照预先设定的合理性分值分配策略，获得所分析的脚本语句出现位置的合理性分值；

进一步，根据所获得的合理性分值，计算得到所分析的脚本语句出现位置的违规度；例如：

标签对：<marque>...</marque>，因为<marque>标签的内容是用来提供滚动字幕功能，在该标签对中出现脚本就非常可疑，但考虑到有些极特殊的情况下可能采用脚本进行描述滚动的字幕内容，因此，按照预先设定的合理性分值分配策略，这种情况下，该标签所对应的合理性分值比较低，可以设定为0.15；根据所获取的合理性分值，该标签所对应脚本的违规度可以为：1-0.15＝0.85，因此，该标签所对应脚本的违规度为0.85；

其中，对脚本内容可疑特征危险值的获取可以通过将脚本内容特征和预先存储的存储式跨站脚本攻击特征库进行匹配；当所述脚本内容特征匹配到对应的存储式跨站脚本攻击特征数据时，确定该脚本内容特征为脚本内容可疑特征，按照预先设定的危险值对应策略，确定该脚本内容可疑特征的危险值；

在本实施例中，对所述脚本内容特征的危险值和位置的违规度进行综合分析以检测所述用户访问的网页是否存在存储式跨站脚本攻击，可以是通过对所述脚本内容可疑特征的危险值和脚本语句位置的违规度进行加权求和获取存储式跨站脚本攻击可能性值，当所得到的存储式跨站脚本攻击可能性值大于预先设定的门限值，则判断所述用户访问的网页存在存储式跨站脚本攻击。

其中，可以采用静态加权法计算获得存储式跨占脚本攻击可能性值，包括：不同脚本标签所对应的脚本内容可疑特征危险值分配相同的特征权重值，并且，不同标签所对应的脚本语句位置的违规度也分配相同的标签权重值，存储式跨占脚本攻击可能性值＝危险值*特征权重值+违规度*标签权重值，其中，静态加权法计算存储式跨站脚本攻击可能性值时，特征权重值和标签权重值的和为1；也可以采用动态加权法计算获得存储式跨占脚本攻击可能性值，包括：不同脚本标签所对应的脚本内容可疑特征危险值分配不同的特征权重值，并且不同标签所对应的脚本语句位置的违规度分配不同的标签权重值，存储式跨占脚本攻击可能性值＝危险值*特征权重值+违规度*标签权重值，其中，动态加权法计算存储式跨站脚本攻击可能性值时，特征权重值和标签权重值的和可能不为1，当动态加权法计算中所采用的特征权重值和标签权重值的和大于1的时候，可以通过以下方法对权重作修改：

特征权重值＝特征权重值+标签权重值-1；

标签权重值＝特征权重值+标签权重值-1；

存储式跨占脚本攻击可能性值通过所述修改后的特征权重值和标签权重值进行计算获得。

参见图3，本发明实施例还提供一种存储式跨占脚本攻击检测装置，包括：

脚本标签获取单元301，用于获取用户访问的网页内容脚本标签；

第一处理单元302，用于获取所述脚本标签对应的脚本内容可疑特征的危险值；

其中，对脚本内容危险值的获取可以通过将脚本内容特征和预先存储的存储式跨站脚本攻击特征库进行匹配；当所述脚本内容可疑特征匹配到对应的存储式跨站脚本攻击特征数据时，确定该脚本内容特征为脚本内容可疑特征，按照预先设定的危险值对应策略，确定该脚本内容可疑特征的危险值；

第二处理单元303，用于获取所述脚本语句位置的违规度；

其中，可以通过将所获取的网页内容脚本标签所在位置与该标签对应的内嵌脚本合理性向量进行关联分析获得该脚本语句位置的合理性分值；

根据所述合理性分值，获得所述脚本语句位置的违规度；

分析检测单元304，用于对所述脚本内容特征的危险值和位置的违规度进行综合分析以检测所述用户访问的网页是否存在存储式跨站脚本攻击；

其中，分析检测单元304，可以包括：

计算单元3041，用于将对所述脚本内容可疑特征的危险值和脚本语句位置的违规度进行加权求和获取存储式跨站脚本攻击可能性值；

判断单元3042，用于当所得到的存储式跨站脚本攻击可能性值大于预先设定的门限值，则判断所述用户访问的网页存在存储式跨站脚本攻击。

本发明实施例所提供的存储式跨站脚本攻击的检测方法，可以通过对用户从服务器上访问的网页内容所提取的脚本标签结合标签所对应的脚本内容及脚本语句位置来综合判断网页是否存在存储式跨站脚本的攻击，防止攻击者利用网页脚本嵌入病毒损害网络安全，有效提高了用户终端网络安全及可靠性。

参见图4，本发明实施例还提供另一种存储式跨站脚本攻击检测装置，包括：

脚本标签获取单元401，用于获取用户访问的网页内容脚本标签；

第一处理单元402，用于获取所述脚本标签对应的脚本内容可疑特征的危险值；

第二处理单元403，用于所述脚本语句位置的违规度；

分析检测单元404，用于对所述脚本内容可疑特征的危险值和脚本语句位置的违规度进行综合分析以检测所述用户访问的网页是否存在存储式跨站脚本攻击；

其中，第一处理单元可以包括：

匹配子单元4021，用于将所获取的脚本标签对应的脚本内容特征和预先存储的存储式跨站脚本攻击特征数据进行匹配；

危险值获取子单元4022，用于当所述脚本内容特征匹配到对应的存储式跨站脚本攻击特征数据时，确定该脚本内容特征为脚本内容可疑特征，按照预先设定的危险值对应策略，确定该脚本内容可疑特征的危险值；

第二处理单元403可以包括：

合理性分析子单元4031，用于通过将所获取的网页内容脚本标签所在层数和所述标签中的父标签与该标签对应的内嵌脚本合理性向量进行关联分析获得该脚本语句位置的合理性分值；

违规度获取子单元4032，用于根据所述合理性分值，获得所述脚本语句位置的违规度。

参见图5，本发明实施例还提供一种攻击检测装置，包括：

接收单元501，用于接收服务器发送的网页数据；

存储式跨站脚本攻击检测单元502，用于获取所述网页数据的网页内容脚本标签；获取所述脚本标签对应的脚本内容可疑特征的危险值以及所述脚本语句位置的违规度；对所述脚本内容特征的危险值和位置的违规度进行综合分析以检测所述用户访问的网页是否存在存储式跨站脚本攻击；

发送单元503，用于将所述存储跨站脚本攻击检测单元的检测结果发送给用户终端。

参见图6，本发明实施例还提供一种存储式跨站脚本攻击的检测系统，包括：

用户终端601，用于向服务器发送网页访问请求；

服务器602，用于存储用户访问数据并响应用户请求向用户终端发送网页数据；

攻击检测装置603，用于接收服务器发送的网页数据，获取用户访问的网页内容脚本标签；获取所述脚本标签对应的脚本内容可疑特征的危险值以及所述脚本语句位置的违规度；对所述脚本内容特征的危险值和位置的违规度进行综合分析以检测所述用户访问的网页是否存在存储式跨站脚本攻击，并向所述用户终端发送检测结果信息。

本发明实施例所提供的存储式跨站脚本攻击的检测方法，可以通过对用户从服务器上访问的网页内容所提取的脚本标签结合标签所对应的脚本内容及脚本语句位置来综合判断网页是否存在存储式跨站脚本的攻击，防止攻击者利用网页脚本嵌入恶意代码损害网络安全，有效提高了用户终端网络安全及可靠性。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明可借助软件加必需的硬件平台的方式来实现，当然也可以全部通过硬件来实施，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案对背景技术做出贡献的全部或者部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例或者实施例的某些部分所述的方法。

以上对本发明进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (11)

1.一种存储式跨站脚本攻击的检测方法，其特征在于，包括：

获取用户访问的网页内容脚本标签；

获取所述脚本标签对应的脚本内容可疑特征的危险值以及所述脚本语句位置的违规度；

对所述脚本内容可疑特征的危险值和脚本语句位置的违规度进行综合分析以检测所述用户访问的网页是否存在存储式跨站脚本攻击。

2.根据权利要求1所述的存储式跨站脚本攻击的检测方法，其特征在于，所述获取所述脚本标签对应的脚本语句位置的违规度，包括：

通过将所获取的网页内容脚本标签所在标签层和所述标签中的父标签与该标签对应的内嵌脚本合理性向量进行关联分析获得该脚本语句位置的合理性分值；

根据所述合理性分值，获得所述脚本语句位置的违规度。

3.根据权利要求1或2所述的存储式跨站脚本攻击的检测方法，其特征在于，所述获取所述脚本标签对应的脚本内容可疑特征的危险值，包括：

将所获取的脚本标签对应的脚本内容特征和预先存储的存储式跨站脚本攻击特征数据进行匹配；

当所述脚本内容特征匹配到对应的存储式跨站脚本攻击特征数据时，确定该脚本内容特征为脚本内容可疑特征，按照预先设定的危险值对应策略，确定该脚本内容可疑特征的危险值。

4.根据权利要求1或2所述的存储式跨站脚本攻击的检测方法，其特征在于，所述对所述脚本内容特征的危险值和位置的违规度进行综合分析以检测所述用户访问的网页是否存在存储式跨站脚本攻击，包括：

通过对所述脚本内容可疑特征的危险值和脚本语句位置的违规度进行加权求和获取存储式跨站脚本攻击可能性值，当所述得到的存储式跨站脚本攻击可能性值大于预先设定的门限值时，则判断所述用户访问的网页存在存储式跨站脚本攻击。

5.根据权利要求4中所述的存储式跨站脚本攻击的检测方法，所述加权求和获取存储式跨站脚本攻击可能性值，包括：

采用静态加权法计算获得存储式跨占脚本攻击可能性值，其中，不同脚本标签所对应的脚本内容可疑特征的危险值被分配相同的特征权重值，并且，不同标签所对应的脚本语句位置的违规度也分配相同的标签权重值；

或

采用动态加权法计算获得存储式跨占脚本攻击可能性值，其中，不同脚本标签所对应的脚本内容可疑特征危险值分配不同的特征权重值，并且不同标签所对应的脚本语句位置的违规度分配不同的标签权重值。

6.一种存储式跨站脚本攻击检测装置，其特征在于，包括：

脚本标签获取单元，用于获取用户访问的网页内容脚本标签；

第一处理单元，用于获取所述脚本标签对应的脚本内容可疑特征的危险值；

第二处理单元，用于获取所述脚本语句位置的违规度；

分析检测单元，用于对所述脚本内容可疑特征的危险值和脚本语句位置的违规度进行综合分析以检测所述用户访问的网页是否存在存储式跨站脚本攻击。

7.根据权利要求6所述的存储式跨站脚本攻击检测装置，其特征在于，所述第一处理单元，包括：

匹配子单元，用于将所获取的脚本标签对应的脚本内容特征和预先存储的存储式跨站脚本攻击特征数据进行匹配；

危险值获取子单元，用于当所述脚本内容可疑特征匹配到对应的存储式跨站脚本攻击特征数据时，确定该脚本内容特征为脚本内容可疑特征，按照预先设定的危险值对应策略，确定该脚本内容可疑特征的危险值。

8.根据权利要求6或7所述的存储式跨站脚本攻击检测装置，其特征在于，所述第二处理单元包括：

合理性分析子单元，用于通过将所获取的网页内容脚本标签所在层数和所述标签中的父标签与该标签对应的内嵌脚本合理性向量进行关联分析获得该脚本语句位置的合理性分值；

违规度获取子单元，用于根据所述合理性分值，获得所述脚本语句位置的违规度。

9.根据权利要求6或7所述的存储式跨站脚本攻击检测装置，其特征在于，所述分析检测单元包括：

计算单元，用于将对所述脚本内容可疑特征的危险值和脚本语句位置的违规度进行加权求和获取存储式跨站脚本攻击可能性值；

判断单元，用于当所得到的存储式跨站脚本攻击可能性值大于预先设定的门限值，则判断所述用户访问的网页存在存储式跨站脚本攻击。

10.一种攻击检测装置，其特征在于，包括：

接收单元，用于接收服务器发送的网页数据；

存储式跨站脚本攻击检测单元，用于获取所述网页数据的网页内容脚本标签；获取所述脚本标签对应的脚本内容可疑特征的危险值以及所述脚本语句位置的违规度；对所述脚本内容特征的危险值和位置的违规度进行综合分析以检测所述用户访问的网页是否存在存储式跨站脚本攻击；

发送单元，用于将所述存储跨站脚本攻击检测单元的检测结果发送给用户终端。

11.一种存储式跨站脚本攻击的检测系统，其特征在于，包括：

用户终端，用于向服务器发送网页访问请求；

服务器，用于存储用户访问数据并响应用户终端请求向用户终端发送网页数据；

攻击检测装置，用于接收服务器发送的网页数据，获取用户访问的网页内容脚本标签；获取所述脚本标签对应的脚本内容可疑特征的危险值以及所述脚本语句位置的违规度；对所述脚本内容特征的危险值和位置的违规度进行综合分析以检测所述用户访问的网页是否存在存储式跨站脚本攻击，并向所述用户终端发送检测结果信息。

Images