CN102082780A - 安全验证的方法和装置 - Google Patents

安全验证的方法和装置 Download PDF

Info

Publication number
CN102082780A
CN102082780A CN2009102471323A CN200910247132A CN102082780A CN 102082780 A CN102082780 A CN 102082780A CN 2009102471323 A CN2009102471323 A CN 2009102471323A CN 200910247132 A CN200910247132 A CN 200910247132A CN 102082780 A CN102082780 A CN 102082780A
Authority
CN
China
Prior art keywords
user
safety regulation
safety
input
authentication
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN2009102471323A
Other languages
English (en)
Other versions
CN102082780B (zh
Inventor
张煜
罗琳
杨顺祥
孟繁晶
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
International Business Machines Corp
Original Assignee
International Business Machines Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by International Business Machines Corp filed Critical International Business Machines Corp
Priority to CN200910247132.3A priority Critical patent/CN102082780B/zh
Priority to DE112010004605T priority patent/DE112010004605T5/de
Priority to PCT/EP2010/066917 priority patent/WO2011064081A1/en
Priority to GB1203407.0A priority patent/GB2484879B/en
Priority to JP2012540350A priority patent/JP5543611B2/ja
Priority to US13/512,642 priority patent/US8826421B2/en
Publication of CN102082780A publication Critical patent/CN102082780A/zh
Application granted granted Critical
Publication of CN102082780B publication Critical patent/CN102082780B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0263—Rule management
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Business, Economics & Management (AREA)
  • General Business, Economics & Management (AREA)
  • Computer And Data Communications (AREA)
  • Telephonic Communication Services (AREA)
  • Storage Device Security (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

本发明提供一种用于在网络应用中对用户的输入进行安全验证的方法，包括：向部署在客户端的预验证组件提供服务器侧保护装置的安全规则的安全规则子集，以便由该预验证组件基于所提供的该安全规则子集在客户端侧执行对用户输入的安全验证；基于该保护装置的安全规则，对用户的输入进行验证；响应于检测到违规的用户的输入并且所违反的安全规则未被提供到该预验证组件，将该用户确定为第一类用户；以及响应于检测到违规的用户的输入并且所违反的安全规则已被提供到该预验证组件，将该用户确定为第二类用户。

Description

安全验证的方法和装置
技术领域
本发明涉及网络安全的解决方案，特别地，本发明涉及在网络应用中对用户的输入进行安全验证的方法和装置。
背景技术
现今，网络应用(Web application)中存在的安全漏洞的数目正在快速增加。网络应用可能遭受的攻击类型包括跨站脚本(XSS)攻击、SQL注入式攻击、LDAP注入式攻击、命令接入式攻击、PHP注入式攻击等等。统计数据表明，有75％的攻击是针对应用层的，而90％的站点对于网络应用攻击是脆弱的。
在Web应用安全的常规解决方案中，一方面，在客户端侧使用Web应用查看工具检查代码；另一方面，在Web应用服务器侧使用Web应用防火墙来过滤并且阻止恶意输入。由于恶意用户有可能绕过客户端侧的Web应用查看工具直接向Web应用服务器注入恶意代码或者脚本，因此在Web应用服务器侧进一步对用户的输入进行验证是非常必要的。
Web应用防火墙是一种Web应用服务器侧的透明的保护装置，其被配置为至少具有以下功能性：用于基于预先定义的安全规则验证用户的输入；对于违反安全规则的用户输入采取适当安全保护动作。当检测到违反预定义的安全规则的用户输入时，诸如Web应用防火墙的保护装置会根据预先设定的规则采取对应的行动，例如，阻止IP、拒绝请求、生成日志，或者重新写入有效负载等。
通过对在线Web应用的观察，可以发现在服务器侧由保护装置检测到的违反安全规则的情况可以归因为以下两种情况：
1.无辜用户误输入某些违反安全规则的值；
2.恶意用户通过使用某些工具绕过客户端侧的用户输入验证机制向Web应用服务器注入恶意输入值以进行攻击。
然而现有的对用户输入的验证方案并不能有效的识别无辜用户和恶意用户。保护装置难以有针对性的采取适当的安全保护动作。例如，如果对输入错误的无辜用户执行阻止其IP或者拒绝请求等动作，则会严重影响用户对于该Web应用的使用体验；如果无论恶意用户还是无辜用户造成违规时都拒绝请求并以用户友好的方式提供安全提示，或者重写用户的请求(Rewrite Request)进而提交给服务器端应用，则会增大安全验证系统的性能的消耗。
因此，需要提供一种网络应用的安全验证方案能够有效识别无辜用户和恶意用户。
发明内容
为了克服现有技术中的缺陷，本发明提出一种用于在网络应用中对用户的输入进行安全验证的方法。该方法包括：向部署在客户端的预验证组件提供服务器侧保护装置的安全规则的安全规则子集，以便由该预验证组件基于所提供的该安全规则子集在客户端侧执行对用户输入的安全验证；基于该保护装置的安全规则，对用户的输入进行验证；响应于检测到违规的用户的输入并且所违反的安全规则未被提供到该预验证组件，将该用户确定为第一类用户；以及响应于检测到违规的用户的输入并且所违反的安全规则已被提供到该预验证组件，将该用户确定为第二类用户。
本发明还提出一种用于在网络应用中对用户的输入进行安全验证的装置。该装置包括：用于向部署在客户端的预验证组件提供服务器侧保护装置的安全规则的安全规则子集、以便由该预验证组件基于所提供的该安全规则子集在客户端侧执行对用户输入的安全验证的装置；用于基于该保护装置的安全规则、对用户的输入进行验证的装置；用于响应于检测到违规的用户的输入并且所违反的安全规则未被提供到该预验证组件、将该用户确定为第一类用户的装置；以及用于响应于检测到违规的用户的输入并且所违反的安全规则已被提供到该预验证组件、将该用户确定为第二类用户的装置。
本发明还涉及包括该在网络应用中对用户的输入进行安全验证的装置的安全验证系统。
根据本发明的技术方案，能够有效地区分“第二类用户”和“第一类用户”。可以针对第二类用户和第一类用户配置不同的应对方案，由此提高验证过程的针对性。根据本发明的一个实施例，既能够尽量保证“第一类用户”对Web应用的使用体验，又可以最大限度地避免无谓的系统性能消耗。此外，根据本发明的技术方案还有利于减轻服务器侧保护装置的工作负荷，从而提高整个安全验证系统的性能。
附图说明
通过以下结合附图的说明，并且随着对本发明的更全面了解，本发明的其他目的和效果将变得更加清楚和易于理解，其中：
图1示意性示出根据本发明一个实施方式能够实现其中的系统结构；
图2示出了根据本发明一个实施方式的对用户的输入进行安全验证的方法流程图；
图3示出了根据本发明一个实施方式的服务器侧保护装置和客户端侧预验证组件的工作流程图；
图4示意性示出根据本发明一个实施方式的安全验证系统的模块间交互图。
在所有的上述附图中，相同的标号表示具有相同、相似或相应的特征或功能。
具体实施方式
图1示意性示出根据本发明一个实施方式能够实现其中的系统结构。其中标号11表示客户端侧的客户端浏览器，用于向Web应用服务器发送用户的HTTP请求并且接收相应的响应；标号12表示网络，经由该网络Web应用服务器能够响应用户通过客户端浏览器经由该网络发送的请求；标号10表示Web应用服务器侧的保护装置，用于在服务器侧验证用户请求中的输入值，为Web应用服务器提供安全保护；标号13表示Web应用服务器。
如图1所示，用户通过位于客户端侧的客户端浏览器11经由网络12向Web应用服务器13发送带有输入值的请求。需要对用户输入值进行验证，以便确保Web应用的安全。通常的用户在使用Web应用时不会在客户端侧键入逻辑代码(例如，JavaScript逻辑)等恶意值，然而潜在的恶意用户为了实现其攻击服务器或者窃取其它用户私人信息等的目的会向Web应用服务器13注入恶意逻辑代码，该恶意代码如JavaScript被服务器发送到其他客户端浏览器时，会窃取客户端的敏感信息。虽然客户端侧可以配置有Web应用查看工具(未示出)来对用户输入值进行检测，但是恶意用户可以使用某些工具绕过Web应用查看工具，例如以攻击脚本，注入工具如WebScrab的方式直接向Web应用服务器13注入恶意值。因此，服务器侧的诸如应用防火墙的保护装置10需要配置有预先定义的安全规则，并基于该预先定义的安全规则验证用户的输入值。当保护装置10检测到违反安全规则的用户输入值时，则需要对该用户采取适当安全保护措施，以消除潜在的安全隐患。表1示出了保护装置10可能采用的示例性的安全规则。
表1
Figure B2009102471323D0000041
在表1所示的安全规则的示例中包括应用特定的规则和否定规则。应用特定的规则规定了由具体应用确定的各种输入域的安全规则信息，例如表示“姓名”、“年龄”等域中允许的用户输入值的信息。例如，“姓名”所允许的输入值是由“安全文本”的正则表达式所定义的；“年龄”所允许的输入值是由“整数”的正则表达式所定义的。应用特定的规则还规定了违反该规则的攻击类型为“MALFORMED”以及所应采取的安全保护动作为“拒绝”。否定规则规定了用户输入的否定值，即否定所有符合“XSS(跨站脚本攻击)”的正则表达式的所有用户输入值。否定规则还规定了违反该安全规则的攻击类型为“XSS(跨站脚本攻击)”以及所应采取的安全保护动作为“拒绝”。
虽然在表1中示出了保护装置10所配置的安全规则的示例，但是保护装置10中的安全规则还可以包括其它形式。实际上，根据下文所述的内容本领域技术人员可以理解，安全规则的具体形式和内容并不对本发明构成限制。
在为Web应用提供的安全验证方案中，应该避免保护装置10仅简单根据预先定义的安全策略，对误输入违反安全策略的值的无辜用户执行阻止其IP、拒绝请求等严重影响该用户对于Web应用的使用体验的安全保护动作；并且还应该避免保护装置10对注入恶意代码的无辜用户执行发出用户友好的安全提示、甚至重新为其写入有效载荷等的增加系统性能的消耗的安全保护动作。在根据本发明的安全验证方案中，保护装置10能够有效地区分违反安全规则的用户的类别，由此使得保护装置10能够有针对性的对违规采取适当的安全保护动作，即保证第一类用户(倾向于被判定为无辜用户)的用户体验，又不必为第二类用户(倾向于被判定为恶意用户)浪费宝贵的系统性能。
注意到，第一类用户倾向于根据系统所提供的安全提示修正违规输入，最终使得用户输入值符合安全规则；然而，第二类用户是以向Web应用服务器13注入恶意值为目的的，其输入不会由于验证过程中的用户友好的交互最终符合安全规则。因此，本发明提出保护装置10向客户端浏览器11部署预验证组件，并且使得预验证组件基于保护装置10提供的某些安全规则在客户端侧对用户输入进行预验证。保护装置10根据预定义的安全规则对该用户输入进行验证，并且根据客户端侧的预验证以及其自身验证，确定该用户是第一类用户还是第二类用户，由此选择所要执行的安全保护动作。
图2示出了根据本发明一个实施方式的对用户的输入进行安全验证的方法流程图。
在步骤S200中，该方法开始。
在步骤S210中，向部署在客户端的预验证组件提供服务器侧保护装置的安全规则的子集，以便由预验证组件基于所提供的安全规则子集在客户端侧执行对用户输入值的安全验证。
客户端的预验证组件可以由保护装置部署到客户端，也可以由客户端的插件通过网络从保护装置获取。例如，该预验证组件可以是独立Javascript组件。在一种实现方式中，保护装置将Javascript预验证组件插入到应用响应页面，通过客户端浏览器运行该预验证组件。
保护装置提供给客户端侧预验证组件的安全规则优选地是保护装置安全规则的真子集。可以向预验证组件提供表明安全规则的安全策略文件。在安全策略文件中可以简单包括：在客户端侧需要由预验证组件监控的URI、域名称、模式别名(例如，电子邮件、URL、安全文本、XSS等)，只要在客户端侧预验证组件中定义的模式正则表达式与在服务器端保护装置中定义的模式正则表达式相兼容即可。
在步骤S220中，当检测到违规用户输入值时，确定所违反的安全规则是否被提供到客户端侧的预验证组件。
如果在步骤S220中确定所违反的安全规则已经被提供到客户端侧的预验证组件，这意味着在服务器侧的保护装置检测到本应在客户端侧通过预验证模块解决的安全问题，该违规的用户通过攻击工具等手段绕过客户端侧的预验证机制，直接将违规恶意值注入Web应用服务器。由此，在步骤S230中将该违规的用户确定为“第二类用户”。其中该第二类用户倾向于被判定为恶意用户。
另一方面，如果在步骤S220中确定所违反的安全规则未被提供到客户端侧的预验证组件，则在步骤S240将该违规的用户确定为“第一类用户”。其中该第一类用户倾向于被判定为无辜用户。
优选地，在步骤S250中，异步地对提供给预验证组件的安全规则的子集进行动态更新。“异步地”执行该更新步骤意味着该更新步骤相对于整个验证过程来说是相对独立的执行的。例如，在一种实现中可以利用AJAX(Asynchronous JavaScript and XML)技术将该更新过程以后台运行的方式实现。该更新步骤可以周期性或者不定期的进行，其中由保护装置以一定策略从总的安全规则集合中筛选出将要提供给预验证组件的安全规则子集。保护装置可以根据安全验证日志的统计数据为各条安全规则按违规率进行排序，筛选出违规率高的安全规则提供给客户端侧的预验证组件。例如，还可以注意到，第二类用户可能会分析客户端侧预验证组件对输入值的响应(例如，各种安全提示等)来获取预验证组件中安全规则的信息，因此筛选对于预验证组件的安全规则子集时应该对某些特定规则有所保留。在一个优选的实施例中，所筛选的安全规则子集可以满足从以下组中选择的一项或多项：
1.选择违规率高的安全规则；
2.未包括安全规则集合中所有否定规则；
3.不包括高风险的安全规则，即一旦违规严重威胁系统安全性的规则。
通过动态更新客户端侧预验证组件的安全规则子集，增加了预验证机制可能覆盖的安全规则的范围，并且使得第二类用户难以通过尝试输入的方式获取有关安全规则的信息，因为更新动作以及更新内容完全由服务器方的保护装置决定，由此增加了预验证的准确性和系统的安全性。
在步骤S260中，该方法结束。
由于根据本发明的技术方案能够有效地区分用户的类别，因此可以将保护装置配置为针对确定的“第一类用户”和“第二类用户”执行不同的安全保护动作。例如，对于倾向于判定为“恶意用户”的“第二类用户”可以执行强制阻止其一切后续输入请求的安全保护动作，如阻止IP动作；对于倾向于被判定为“无辜用户”的“第一类用户”执行有利于保持该用户良好体验的安全保护动作，例如，拒绝请求并发出用户友好的安全提示和/或重新为其写入有效载荷等动作。
接下来，通过一个具体示例示出服务器侧和客户端侧各组件的工作流程及其交互，从而更加具体的描述根据本发明的技术方案。
图3示出了根据本发明一个实施方式的服务器侧保护装置和客户端侧预验证组件的工作流程图。
如图3所示，在步骤S301中，在保护装置10中建立预定义的安全规则的集合。安全规则的集合可以包括应用特定的规则以及否定规则。应该理解，该步骤与验证用户输入的过程是异步执行的，通常在部署保护装置10时就执行该步骤。
在步骤S302中，保护装置10重写应用响应页面，以便将独立Javascript预验证组件插入到应用响应页面。根据本发明的一个实现，Javascript预验证组件可以由表2中的代码实现：
表2由保护装置插入的Javascript预验证组件的代码示例
Figure B2009102471323D0000081
在步骤S303中，在客户端浏览器11中运行该Javascript预验证组件。
该Javascript预验证组件为页面中的各个用户输入域添加属性改变事件(onPropertyChange event)的监控器，以便通过监视用户输入域的属性改变事件，激活对用户输入的预验证过程。该Javascript预验证组件还提供获取来自保护装置10的安全策略文件的装置，其中该安全策略文件表示保护装置10的安全规则的一个规则子集。
表3添加onPropertyChange事件的监控器的代码示例
Figure B2009102471323D0000091
在步骤S304中，保护装置10向客户端浏览器11中的Javascript预验证组件发送或更新安全策略文件。该安全策略文件中所表示的安全规则子集是根据保护装置10检测的违规日志的统计数据，从保护装置10的总的安全规则集合中筛选的。该安全策略文件可以包括具有高违规率的输入域以及其对应模式的列表。
在步骤S305中，在客户端浏览器11中，Javascript预验证组件获取来自服务器侧保护装置10的安全策略文件。
在步骤S306中，在客户端浏览器11中，Javascript预验证组件响应于输入域属性改变事件，基于安全策略文件中的安全规则对用户输入域进行验证。在一个实现中，执行预验证的功能可以通过表4中所示代码实现。
表4基于从保护装置获得的策略文件执行预验证的代码示例
Figure B2009102471323D0000101
在检测到用户输入值违规时，向用户提供友好的提示，例如给出正确输入值的示例、指出当前输入值的问题等，以便用户能够根据提示正确完成对该输入域的输入。
在步骤S307中，客户端浏览器11将用户的HTTP请求发送给服务器侧的保护装置10。需要说明的是，由于Javascript预验证组件基于安全策略文件可能仅针对部分输入域或针对部分安全规则进行验证，因此并不是所有的用户输入值均经过Javascript预验证组件的预验证。也就是说，客户端浏览器11发送到保护装置10的用户HTTP请求即可能包括经过预验证的用户输入值，也可能包括未经预验证的用户输入值。应该理解，经过预验证的用户输入值符合安全规则，而未经过预验证的用户输入值有可能违反安全规则。
因此，在步骤S308中，在服务器侧的保护装置10基于预先定义的安全策略集合对HTTP请求中的所有用户输入值进行验证。
在步骤S309中，判断当保护装置10检测到违规时，所违反的安全规则是否已经被更新到客户端侧的Javascript预验证组件。
当保护装置10检测到违规，并且所违反的安全规则未被更新到客户端侧的Javascript预验证组件时，则在步骤S311中将对应的用户确定为“第一类用户”。其中该第二类用户倾向于被判定为恶意用户。
在步骤S312中，可以对该确定的“第一类用户”执行有利于保持该用户良好体验的安全保护动作，例如，重新构建用户的请求(Rewrite Reqeust)并发送到应用服务器应用中。其中该第一类用户倾向于被判定为无辜用户。
当保护装置10检测到违规，并且所违反的安全规则已经被更新到客户端侧的Javascript预验证组件时，则在步骤S313中将对应的用户确定为“第二类用户”。这是因为，该用户显然通过工具绕过客户端浏览器中的预验证机制，直接向应用服务器注入违反安全规则的恶意值。
在步骤S314中，可以对该确定的“第二类用户”执行强制阻止其一切后续请求的安全保护动作，例如阻止IP等动作。
本领域技术人员可以理解，对于不同的Web应用对于所确定的“第二类用户”或“第一类用户”所执行的相应安全保护动作可能不同。本领域的技术人员可以取决于应用的具体需求设定不同等级或特征的安全保护动作，并分配给所确定的“第二类用户”或“第一类用户”。
需要说明的是，虽然图3的示例通过Javascript预验证组件作为示例说明了本发明一种具体实施方式，应该理解，其它任何能够与Web应用兼容代码语言都能够用于实现在预验证组件，例如VBscript。而且，本领域技术人员可以任何已知方式，将该预验证组件部署到客户端。进一步的实现方式例如还可以包括在客户端侧提供特定的插件，从而主动获取预验证组件。因此，预验证组件的具体实现方式并不对本发明构成任何限制。
图4示意性示出根据本发明一个实施方式的安全验证系统的功能框图。
如图4所示，客户端浏览器11向Web应用服务器13发送HTTP请求，并从Web应用服务器13获得相应的响应。服务器侧的保护装置10基于预定义的安全规则集合对来自用户的请求进行输入验证，以确保Web应用服务器13的安全性。
保护装置10包括：可选的部署装置101，用于向客户端浏览器部署预验证组件；更新装置102，用于向客户端侧的预验证组件提供或者更新安全规则的子集；验证装置103，用于基于预先定义的安全规则集合对来自用户的请求进行输入验证；以及确定装置104，用于确定违规用户的类别，即倾向于被判定为无辜用户的“第一类用户”还是倾向于被判定为恶意用户的“第二类用户”。
在保护装置10中，可选地，由部署装置101例如通过重写应用响应页面，将独立Javascript组件插入到应用响应页面，在客户端浏览器11中部署预验证组件110。更新装置102向客户端浏览器11中的预验证组件110周期性地或者不定期地发送或更新安全策略文件，其中该安全策略文件中所表示的安全规则子集是根据保护装置10检测的违规日志的统计数据，从保护装置10的总的安全规则集合中筛选的。
预验证组件110在客户端浏览器11中运行，获取来自服务器侧保护装置10的安全策略文件，并基于安全策略文件中的安全规则对用户输入域进行验证，以确保用户输入不违反当前的安全规则子集。客户端浏览器11向Web应用服务器13侧发送用户的HTTP请求。
保护装置10的验证装置103基于预先定义的安全策略集合对来自用户的HTTP请求中所有用户输入值进行验证。当检测到违规时，确定装置104判断所违反的安全规则是否已经被更新到客户端浏览器11中的预验证组件110。如果所违反的安全规则还未被更新到客户端浏览器11中的预验证组件110，则确定装置104将该用户确定为“第一类用户”。如果所违反的安全规则已经被更新到客户端浏览器的预验证组件110，则确定装置104将该用户确定为“第二类用户”。保护装置可以被配置为针对确定的第一类用户和第二类用户执行不同的安全保护动作。例如，针对所确定的第一类用户执行有利于保持该用户良好体验的安全保护动作，如，重写用户的请求(Rewrite Request)等动作；针对所确定的第二类用户执行强制阻止其一切后续请求的安全保护动作，如阻止IP等动作。
根据本发明的安全验证方案，由Web应用服务器侧的保护装置向客户端侧部署预验证组件，并且为该预验证组件提供执行预验证的安全规则，优选地，动态更新该执行预验证的安全准则。由此保护装置在检测到违规的用户输入值时，通过确定该违反的规定是否已经在客户端侧的预验证组件进行了验证，就可以确定该用户是否为“第二类用户”，即该用户通过某种非法手段绕过客户端侧的预验证机制，直接向Web应用服务器发送恶意逻辑代码。可见，根据本发明的技术方案，能够有效地区分“第二类用户”和“第一类用户”，由此使得可以将保护装置配置为对于不同的用户采取不同的应对方案，即执行不同的安全保护动作。根据本发明的一个实施例，能够尽量保证“第一类用户”对Web应用的使用体验，又可以最大限度地避免无谓的系统性能消耗。此外，在客户端侧设置预验证机制，可以将部分验证过程分布到客户端侧执行，有利于减轻服务器侧保护装置的工作负荷，从而提高了整个验证系统的性能。
通过以上对具体实施例的描述，本领域技术人员可以理解，上述方法、装置以及相应系统可以使用计算机可执行指令和/或包含在处理器控制代码中来实现，例如在诸如磁盘、CD或DVD-ROM的载体介质、诸如只读存储器(固件)的可编程的存储器或者诸如光学或电子信号载体的数据载体上提供了这样的代码。本发明实施方式中的装置、单元可以由诸如超大规模集成电路或门阵列、诸如逻辑芯片、晶体管等的半导体、或者诸如现场可编程门阵列、可编程逻辑设备等的可编程硬件设备的硬件电路实现，也可以用由各种类型的处理器执行的软件实现，也可以由上述硬件电路和软件的结合实现。
提供本发明的说明书的目的是为了说明和描述，而不是用来穷举或将本发明限制为所公开的形式。对本领域的普通技术人员而言，许多修改和变更都是显而易见的。
因此，选择并描述实施方式是为了更好地解释本发明的原理及其实际应用，并使本领域普通技术人员明白，在不脱离本发明实质的前提下，所有修改和变更均落入由权利要求书所限定的本发明的保护范围之内。

Claims (14)

1.一种用于在网络应用中对用户的输入进行安全验证的方法，包括：
向部署在客户端的预验证组件提供服务器侧保护装置的安全规则的安全规则子集，以便由该预验证组件基于所提供的该安全规则子集在客户端侧执行对用户输入的安全验证；
基于该保护装置的安全规则，对用户的输入进行验证；
响应于检测到违规的用户的输入并且所违反的安全规则未被提供到该预验证组件，将该用户确定为第一类用户；以及
响应于检测到违规的用户的输入并且所违反的安全规则已被提供到该预验证组件，将该用户确定为第二类用户。
2.根据权利要求1所述的方法，还包括：
异步地对提供给该预验证组件的安全规则子集进行动态更新，
其中在向该预验证组件提供服务器侧保护装置的安全规则的安全规则子集的步骤中和异步地对提供给该预验证组件的安全规则子集进行动态更新的步骤中以一定策略从该保护装置的安全规则集合中筛选出所述安全规则子集。
3.根据权利要求1所述的方法，其中该预验证组件是能够在客户端浏览器中运行的独立Javascript组件。
4.根据权利要求1所述的方法，还包括：
针对确定的第一类用户和第二类用户执行不同的安全保护动作。
5.根据权利要求4所述的方法，其中针对确定的第一类用户和第二类用户执行不同的安全保护动作的步骤包括：
针对第二类用户执行强制阻止其一切后续请求的安全保护动作；以及
针对第一类用户执行有利于保持其良好体验的安全保护动作。
6.根据权利要求2所述的方法，其中所述策略包括从以下组中选择的一项或多项：
选择违规率高的安全规则；
未包括该安全规则集合中所有否定规则；
不包括该安全规则集合中高风险的安全规则。
7.根据权利要求3所述的方法，其中：
该预验证组件响应于输入域属性改变事件，基于所提供的该安全规则子集在客户端侧执行对用户输入的安全验证。
8.一种用于在网络应用中对用户的输入进行安全验证的装置，包括：
用于向部署在客户端的预验证组件提供服务器侧保护装置的安全规则的安全规则子集、以便由该预验证组件基于所提供的该安全规则子集在客户端侧执行对用户输入的安全验证的装置；
用于基于该保护装置的安全规则、对用户的输入进行验证的装置；
用于响应于检测到违规的用户的输入并且所违反的安全规则未被提供到该预验证组件、将该用户确定为第一类用户的装置；以及
用于响应于检测到违规的用户的输入并且所违反的安全规则已被提供到该预验证组件、将该用户确定为第二类用户的装置。
9.根据权利要求8所述的装置，还包括：
用于异步地对提供给该预验证组件的安全规则子集进行动态更新的装置，
其中用于向该预验证组件提供服务器侧保护装置的安全规则的安全规则子集、以便由该预验证组件基于所提供的该安全规则子集在客户端侧执行对用户输入的安全验证的装置和用于异步地对提供给该预验证组件的安全规则子集进行动态更新的装置以一定策略从该保护装置的安全规则集合中筛选出所述安全规则子集。
10.根据权利要求8所述的装置，其中该预验证组件是能够在客户端浏览器中运行的独立Javascript组件。
11.根据权利要求8所述的装置，还包括：
用于针对确定的第一类用户和第二类用户执行不同的安全保护动作的装置。
12.根据权利要求11所述的装置，其中用于针对确定的第一类用户和第二类用户执行不同的安全保护动作的装置包括：
用于针对第二类用户执行强制阻止其一切后续请求的安全保护动作的装置；以及
用于针对第一类用户执行有利于保持其良好体验的安全保护动作的装置。
13.根据权利要求9所述的装置，其中所述策略包括从以下组中选择的一项或多项：
选择违规率高的安全规则；
未包括该安全规则集合中所有否定规则；
不包括该安全规则集合中高风险的安全规则。
14.根据权利要求10所述的装置，其中：
该预验证组件响应于输入域属性改变事件，基于所提供的该安全规则子集在客户端侧执行对用户输入的安全验证。
CN200910247132.3A 2009-11-30 2009-11-30 安全验证的方法和装置 Active CN102082780B (zh)

Priority Applications (6)

Application Number Priority Date Filing Date Title
CN200910247132.3A CN102082780B (zh) 2009-11-30 2009-11-30 安全验证的方法和装置
DE112010004605T DE112010004605T5 (de) 2009-11-30 2010-11-05 Verfahren und Vorrichtung zur Sicherheitsprüfung
PCT/EP2010/066917 WO2011064081A1 (en) 2009-11-30 2010-11-05 Method and apparatus for security validation of input data
GB1203407.0A GB2484879B (en) 2009-11-30 2010-11-05 Method and apparatus for security validation
JP2012540350A JP5543611B2 (ja) 2009-11-30 2010-11-05 セキュリティ検証のための方法、装置、およびコンピュータ・プログラム
US13/512,642 US8826421B2 (en) 2009-11-30 2010-11-05 Method and apparatus for security validation of user input

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN200910247132.3A CN102082780B (zh) 2009-11-30 2009-11-30 安全验证的方法和装置

Publications (2)

Publication Number Publication Date
CN102082780A true CN102082780A (zh) 2011-06-01
CN102082780B CN102082780B (zh) 2014-03-05

Family

ID=43805708

Family Applications (1)

Application Number Title Priority Date Filing Date
CN200910247132.3A Active CN102082780B (zh) 2009-11-30 2009-11-30 安全验证的方法和装置

Country Status (6)

Country Link
US (1) US8826421B2 (zh)
JP (1) JP5543611B2 (zh)
CN (1) CN102082780B (zh)
DE (1) DE112010004605T5 (zh)
GB (1) GB2484879B (zh)
WO (1) WO2011064081A1 (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104601540A (zh) * 2014-12-05 2015-05-06 华为技术有限公司 一种跨站脚本XSS攻击防御方法及Web服务器
CN112417391A (zh) * 2020-10-28 2021-02-26 深圳市橡树黑卡网络科技有限公司 信息数据安全处理方法、装置、设备及存储介质

Families Citing this family (21)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20130085907A1 (en) * 2011-10-01 2013-04-04 Oracle International Corporation Calendar entry for mobile expense solutions
US20130085905A1 (en) * 2011-10-01 2013-04-04 Oracle International Corporation Mobile device for mobile expense solutions architecture
US20130085904A1 (en) * 2011-10-01 2013-04-04 Oracle International Corporation Mobile Expense Solutions Architecture
CN103139138B (zh) * 2011-11-22 2016-02-03 飞塔公司 一种基于客户端检测的应用层拒绝服务防护方法及系统
EP2806385A1 (en) * 2013-05-24 2014-11-26 Ubs Ag Client identifying data (CID) target-state-compliant computer-executable applications
US9166995B1 (en) * 2013-09-23 2015-10-20 Symantec Corporation Systems and methods for using user-input information to identify computer security threats
US10063654B2 (en) 2013-12-13 2018-08-28 Oracle International Corporation Systems and methods for contextual and cross application threat detection and prediction in cloud applications
US9692789B2 (en) * 2013-12-13 2017-06-27 Oracle International Corporation Techniques for cloud security monitoring and threat intelligence
US9231938B2 (en) 2014-01-15 2016-01-05 International Business Machines Corporation Determination and classification of defense measures in web applications
WO2017020962A1 (en) * 2015-08-06 2017-02-09 Huawei Technologies Co., Ltd. Offloading web security services to client side
US10498762B1 (en) * 2015-10-22 2019-12-03 Versafe Ltd. Methods for hypertext markup language (HTML) input field obfuscation and devices thereof
US10693901B1 (en) * 2015-10-28 2020-06-23 Jpmorgan Chase Bank, N.A. Techniques for application security
US10536478B2 (en) * 2016-02-26 2020-01-14 Oracle International Corporation Techniques for discovering and managing security of applications
US10410010B2 (en) * 2016-03-08 2019-09-10 Oracle International Corporation Language-localized policy statements
KR101893518B1 (ko) * 2016-10-28 2018-10-04 한국전자통신연구원 제어 시스템의 업데이트 관리 장치, 업데이트 검증 장치 및 그 방법
CN107204982B (zh) * 2017-06-13 2019-02-05 成都四方伟业软件股份有限公司 交互式数据系统通用安全防护系统
US11658995B1 (en) 2018-03-20 2023-05-23 F5, Inc. Methods for dynamically mitigating network attacks and devices thereof
WO2020136837A1 (ja) 2018-12-27 2020-07-02 三菱電機株式会社 アタックツリー生成装置、アタックツリー生成方法およびアタックツリー生成プログラム
US11689487B1 (en) * 2020-07-16 2023-06-27 Kynami, Inc. System and method for identifying and blocking trolls on social networks
US11934393B2 (en) 2021-01-12 2024-03-19 Sap Se Input validation API using machine learning and database input validation framework
US11256557B1 (en) 2021-03-16 2022-02-22 Coforge Business Process Solutions Private Limited Efficient processing of rule-based computing workflows

Family Cites Families (25)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6341359B1 (en) * 1998-12-14 2002-01-22 International Business Machines Corporation Self-diagnosing and self correcting data entry components
US6374254B1 (en) 1999-06-30 2002-04-16 International Business Machines Corporation Scalable, distributed, asynchronous data collection mechanism
US7225460B2 (en) * 2000-05-09 2007-05-29 International Business Machine Corporation Enterprise privacy manager
US20020029384A1 (en) 2000-07-20 2002-03-07 Griggs Theodore L. Mechanism for distributing content data
US7143143B1 (en) 2000-10-27 2006-11-28 Microsoft Corporation System and method for distributed caching using multicast replication
US6874025B2 (en) * 2000-12-22 2005-03-29 Intel Corporation System and method of application input validation
US20020133603A1 (en) * 2001-03-13 2002-09-19 Fujitsu Limited Method of and apparatus for filtering access, and computer product
US7590859B2 (en) * 2001-08-24 2009-09-15 Secure Computing Corporation System and method for accomplishing two-factor user authentication using the internet
JP4020912B2 (ja) * 2002-05-28 2007-12-12 富士通株式会社 不正アクセス検知装置、不正アクセス検知プログラムおよび不正アクセス検知方法
TWI244297B (en) * 2002-06-12 2005-11-21 Thomson Licensing Sa Apparatus and method adapted to communicate via a network
CA2547630A1 (en) 2003-11-26 2005-06-16 Hewlett-Packard Development Company, L.P. System and method for management and installation of operating system images for computers
US7398382B2 (en) 2004-12-29 2008-07-08 Intel Corporation Method and apparatus to enhance platform boot efficiency
JP2007047884A (ja) * 2005-08-05 2007-02-22 Recruit Co Ltd 情報処理システム
CN100571125C (zh) * 2005-12-30 2009-12-16 上海贝尔阿尔卡特股份有限公司 一种用于用户设备与内部网络间安全通信的方法及装置
US7434002B1 (en) 2006-04-24 2008-10-07 Vmware, Inc. Utilizing cache information to manage memory access and cache utilization
US7934253B2 (en) * 2006-07-20 2011-04-26 Trustwave Holdings, Inc. System and method of securing web applications across an enterprise
US8424073B2 (en) * 2006-11-13 2013-04-16 Microsoft Corporation Refreshing a page validation token
US9178705B2 (en) * 2007-04-13 2015-11-03 International Business Machines Corporation Method and system for stateless validation
US9262366B2 (en) 2007-09-21 2016-02-16 Microsoft Technology Licensing, Llc Software deployment in large-scale networked systems
US20090171903A1 (en) * 2007-12-29 2009-07-02 Aetna Inc. Business Rules Externalization System
JP2009181320A (ja) * 2008-01-30 2009-08-13 Toshiba Corp 情報処理システム、サーバ装置、クライアント装置および情報処理プログラム
US20090199175A1 (en) 2008-01-31 2009-08-06 Microsoft Corporation Dynamic Allocation of Virtual Application Server
CN101571858B (zh) * 2008-04-28 2013-06-19 国际商业机器公司 多个对象的安全性设定及检查的方法和装置
US8504693B2 (en) 2009-05-26 2013-08-06 Intel Corporation Method and apparatus for operating system streaming
US8918866B2 (en) * 2009-06-29 2014-12-23 International Business Machines Corporation Adaptive rule loading and session control for securing network delivered services

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104601540A (zh) * 2014-12-05 2015-05-06 华为技术有限公司 一种跨站脚本XSS攻击防御方法及Web服务器
CN104601540B (zh) * 2014-12-05 2018-11-16 华为技术有限公司 一种跨站脚本XSS攻击防御方法及Web服务器
CN112417391A (zh) * 2020-10-28 2021-02-26 深圳市橡树黑卡网络科技有限公司 信息数据安全处理方法、装置、设备及存储介质
CN112417391B (zh) * 2020-10-28 2023-12-19 深圳市橡树黑卡网络科技有限公司 信息数据安全处理方法、装置、设备及存储介质

Also Published As

Publication number Publication date
US20120304249A1 (en) 2012-11-29
DE112010004605T5 (de) 2013-01-24
JP5543611B2 (ja) 2014-07-09
JP2013512489A (ja) 2013-04-11
WO2011064081A1 (en) 2011-06-03
CN102082780B (zh) 2014-03-05
US8826421B2 (en) 2014-09-02
GB201203407D0 (en) 2012-04-11
GB2484879B (en) 2012-08-15
GB2484879A (en) 2012-04-25

Similar Documents

Publication Publication Date Title
CN102082780B (zh) 安全验证的方法和装置
Gupta et al. XSS-secure as a service for the platforms of online social network-based multimedia web applications in cloud
KR101514984B1 (ko) 홈페이지 악성코드 유포 탐지 시스템 및 방법
Liu et al. Chrome Extensions: Threat Analysis and Countermeasures.
Mitropoulos et al. Defending against web application attacks: Approaches, challenges and implications
CN101356535B (zh) 一种检测和防止java脚本程序中不安全行为的方法和装置
Shar et al. Automated removal of cross site scripting vulnerabilities in web applications
Gupta et al. JS‐SAN: defense mechanism for HTML5‐based web applications against javascript code injection vulnerabilities
CN104063309A (zh) 基于模拟攻击的Web应用程序漏洞检测方法
Yusof et al. Preventing persistent Cross-Site Scripting (XSS) attack by applying pattern filtering approach
CN103701795A (zh) 拒绝服务攻击的攻击源的识别方法和装置
CN109977673B (zh) 一种基于web网站系统安全的漏洞修复方法及系统
Gupta et al. XSS‐immune: a Google chrome extension‐based XSS defensive framework for contemporary platforms of web applications
CN102664876A (zh) 网络安全检测方法及系统
Skrupsky et al. TamperProof: a server-agnostic defense for parameter tampering attacks on web applications
Ronda et al. Itrustpage: a user-assisted anti-phishing tool
Trunde et al. Wordpress security: An analysis based on publicly available exploits
Chaudhary et al. Cross-site scripting (XSS) worms in Online Social Network (OSN): Taxonomy and defensive mechanisms
KR101372906B1 (ko) 악성코드를 차단하기 위한 방법 및 시스템
Gupta et al. Evaluation and monitoring of XSS defensive solutions: a survey, open research issues and future directions
Criscione et al. ZARATHUSTRA: Extracting Webinject signatures from banking trojans
Gokkaya et al. Software supply chain: review of attacks, risk assessment strategies and security controls
Singh et al. Detection and prevention of sql injection
Stephen et al. Prevention of cross site scripting with E-Guard algorithm
Ceponis et al. Evaluation of open source server-side XSS protection solutions

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant