CN102156832B - 一种Firefox扩展的安全缺陷检测方法 - Google Patents

Abstract

本发明公开了Firefox扩展的安全缺陷检测方法，涉及网络与软件安全交叉领域，构建用于静态分析的演绎数据库和用于动态分析的非安全动作序列数据库；提取扩展内容中的源代码信息；在非安全动作序列数据库中，建立起映射关系；将预处理后的源代码信息导入演绎数据库，按照预设规则查询演绎数据库中关系，将查询到的演绎数据库中的关系添加进预设结果集，获取静态分析结果；当预处理后的源代码信息需要检测，采用追踪方法检测注入内容的类型，并记录自恶意代码注入点之后的源代码信息的动作序列，与非安全动作序列数据库中的相应信息对比、匹配，若存在对挂马攻击敏感的安全缺陷，根据映射关系输出安全缺陷分析结果信息及可行的缓和方案建议。

Description

一种Firefox扩展的安全缺陷检测方法

技术领域

本发明涉及网络与软件安全交叉领域，本发明以Firefox浏览器扩展的安全性作为主要对象，致力于提高Firefox规避网页挂马攻击的能力；同时尽力保证其用户友好性和自由度，特别涉及一种Firefox扩展的安全缺陷检测方法。

背景技术

随着计算机和互联网的普及，浏览器已经成为信息时代资源搜索和获取的重要工具。在这种形势下，浏览器的安全就成为各项工作正常、高效进行的重要保障。而Firefox由于其开源性和较强大的功能(众多可用的插件和扩展)以及稳定性，受到众多用户的推崇和喜爱。从应对Firefox浏览器遭遇挂马攻击的角度讲，及时检测用户安装的扩展是否存在对挂马攻击敏感的缺陷，并尽可能早的发现和检测到攻击注入点和攻击模式，将对后续的防御和应对方案选择产生极为积极的影响，在此基础上，可以确保Firefox用户不受木马攻击的影响，从容浏览网上资源。如何有效的在预处理阶段检测、分析出扩展的安全缺陷和威胁，并给出缓和方案，对于Firefox安全问题的重要性不言自明。扩展可以为Firefox增加新的功能，它们可以通过增加工具条中的按钮的方式增加一项浏览器的全新功能，而且程序规模小、易于下载，在满足用户对Firefox的额外的功能需求方面，表现的很出色。

利用计算机程序漏洞侵入后窃取文件的程序被称为木马，它是一种具有隐藏性的、自发性的可被用来进行恶意行为的程序，一般不会直接对电脑产生危害，而是以控制为主。而所谓的挂马，就是黑客通过各种手段，包括SQL(Structured Query Language，结构化查询语言)注入、网站敏感文件扫描、服务器漏洞和网站程序等各种方法获得网站管理员账号，然后登陆网站后台，通过数据库备份/恢复或者上传漏洞获得一个webshell，利用获得的webshell修改网站页面的内容，向网站页面中加入恶意转向代码；也可以直接通过弱口令获得服务器或者网站的FTP(File Transfer Protocol，文件传输协议)，然后直接对网站页面进行修改。当用户应用浏览器访问被加入恶意代码的页面时，未检测到威胁的浏览器将自动访问被转向的地址或者下载木马病毒。被挂马的网站就是对浏览器能否正常、安全完成用户预期的任务的最大威胁之一。因为有些恶意网页脚本可以嵌套在正常网页中运行，且不容易被查杀。同时webshell可以穿越服务器防火墙，由于与被控制的服务器或远程主机交换的数据一般都是通过80端口传递的，因此不会被防火墙拦截；并且使用webshell一般不会在系统日志中留下记录，只会在网站的web日志中留下一些数据提交记录，对此，没有经验的管理员是很难看出入侵痕迹的。于是网站的挂马就有了可趁之机，出于对此的防范，现存的主要基本途径是从根本上解决动态网页脚本的安全问题，即防注入、防暴库、防COOKIES欺骗和防跨站攻击等等，主要是要求配置好服务器FSO(File System Object，文件系统对象)权限，具体挂马攻击流程如附图1所示，其中，①为制作或准备木马；②为制作网马；③为添加链到网马的恶意导航；④访问；⑤为返回含恶意导航的页面；⑥为导航；⑦返回网马；⑧为系统沦陷。

与之对应的，在客户端，除去主机的防火墙和杀毒软件对一些恶意代码的拦截和对用户的危险信息提示，用户在应用浏览器对服务器端提供的可访网站访问时，存在较大的不可控性，即用户打开的网站可能是存在潜在危险性的网站；或者用户忽略安全提示，强制打开可能被挂马的网站等。同时因为Firefox的扩展可能在带来强大功能的同时，也引入对挂马攻击敏感的安全缺陷。

发明人在实现本发明的过程中，发现现有技术至少存在以下缺点：

对于Firefox浏览器的特定需求就自然导致可能存在安全隐患，而这种威胁的缓和与处理，只能依靠Firefox自身，这就需要Firefox浏览器能够根据威胁，检测和分析出安装的扩展中的安全缺陷，并提供给用户缓和方案，但现有技术还没有给出可行性的方法，无法满足实际应用中的需要。

发明内容

为了能够在保证安全的前提下，检测和分析出安装扩展中的安全缺陷，提供给用户缓和的方案，满足实际应用中的需要，本发明提供了一种Firefox扩展的安全缺陷检测方法，详见下文描述：

一种Firefox扩展的安全缺陷检测方法，所述方法包括以下步骤：

(1)构建用于静态分析的演绎数据库和用于动态分析的非安全动作序列数据库；

(2)提取扩展内容中的源代码信息；

(3)在所述非安全动作序列数据库中，建立起动作序列与威胁、威胁与安全缺陷、安全缺陷与缓和方案之间的映射关系；

(4)对所述源代码信息进行预处理，将预处理后的源代码信息导入所述演绎数据库，按照预设规则查询所述演绎数据库中关系，判断查询值是否为真，如果是，执行步骤(5)；如果否，流程结束；

(5)将查询到的所述演绎数据库中的关系添加进预设结果集，获取静态分析结果；

(6)根据所述静态分析结果，采用动态分析判断所述预处理后的源代码信息是否需要检测，如果是，执行步骤(7)；如果否，流程结束；

(7)采用追踪方法检测注入内容的类型，并记录自恶意代码注入点之后的源代码信息的动作序列；

(8)将所述恶意代码注入点之后的源代码信息的动作序列与所述非安全动作序列数据库中的相应信息对比、匹配，判断是否存在对挂马攻击敏感的安全缺陷，如果是，执行步骤(9)；如果否，流程结束；

(9)根据所述映射关系输出安全缺陷分析结果信息及可行的缓和方案建议，将所述安全缺陷分析结果信息及所述可行的缓和方案建议给用户，流程结束。

在步骤(9)中所述根据所述映射关系输出安全缺陷分析结果信息及可行的缓和方案建议之后，所述方法还包括：

对所述安全缺陷分析结果信息及所述可行的缓和方案建议进行人工审查。

本发明提供的技术方案的有益效果是：

本发明提供了一种Firefox扩展的安全缺陷检测方法，本发明中的演绎数据库和非安全动作序列数据库的构建完成了已有常用恶意代码、恶意代码注入点(IP)、注入内容(IC)、注入后动作序列(ES)以及相应的威胁，安全缺陷及缓和方案的总结、整理和分类，提供了标准的、较为全面的数据库，有助于动态分析和匹配过程的进行；而且为Firefox用户应用本发明提供的方法及时、正确的检测、分析出所要应用的扩展是否包含安全威胁或者对挂马攻击敏感的安全缺陷奠定了基础；输入及预处理可以成功完成扩展的基本信息提取；静态分析利用指针分析查找到相关注入点(IP)以及注入内容(IC)，并从静态角度分析出潜在威胁及缺陷；动态分析与匹配中采用动态分析对注入内容(IC)和动作序列(ES)进行分析，并检索非安全动作序列数据库中相关内容，两者比较、匹配，从而达到检测扩展的目的；通过最后的输出部分，将所有的检测结果提交给用户查看，包括威胁、安全缺陷的相关信息及可选的缓和方案，使得用户可以结合实际应用中的需求情况进行权衡，选择。该方法能够让用户在应用Firefox时，在保证安全的前提下，有较大的安装扩展的自由度；能够在安全的基础上充分发挥Firefox拥有强大扩展功能且人性化程度高的优势；可以有效的检测扩展中是否隐含威胁或者安全缺陷，在扩展的开发中或者在用户面对所需扩展时明确其可能面对的安全问题，有利于及早修改和解决，有利于Firefox浏览器功能的强化和安全性的提升。

附图说明

图1为现有技术提供的挂马攻击过程的示意图；

图2为本发明提供的Firefox扩展的安全缺陷检测的结构示意图；

图3为本发明提供的Firefox扩展的安全缺陷检测方法的流程图；

图4为本发明提供的静态分析的架构图；

图5为本发明提供的扩展中的主要功能代码的结果示意图；

图6为本发明提供的扩展中的主要功能代码的另一结果示意图；

图7为本发明提供的打开本地的针对性检测网页的结果示意图；

图8为本发明提供的打开本地进程并修改网页的结果示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明实施方式作进一步地详细描述。

为了能够在保证安全的前提下，检测和分析出安装扩展中的安全缺陷，提供给用户缓和的方案，满足实际应用中的需要，本发明实施例提供了一种Firefox扩展的安全缺陷检测方法，参见图2和图3，基于现行Firefox中扩展开发和应用原则以及挂马攻击模式和规避攻击的常用技术、方法，本发明实施例的目的是通过静态分析与动态分析相结合，有针对性的对扩展中的安全缺陷进行检测。对挂马攻击模式中的恶意代码、恶意代码注入点、注入内容、注入后的事件序列进行抽象、形式化，在此基础上，利用演绎数据库，对Firefox扩展进行分析，检测其中的安全缺陷，并给出切实可行的缓和方案，从而提高浏览器的安全性，规避挂马攻击。继而使得Firefox浏览器能够在不牺牲其安全性的基础上得到所需的功能扩充(安装相应的扩展)，提高其用户友好性和可靠性，详见下文描述：

101：构建用于静态分析的演绎数据库和用于动态分析的非安全动作序列数据库；

演绎数据库和非安全动作序列数据库包含了大量常见恶意代码段、恶意代码注入点、注入内容、注入后动作序列、相应的安全威胁，以及它们之间的对应关联关系，这些信息都是进一步进行威胁匹配、安全缺陷检测及缓和建议的基础。非安全动作序列数据库用于注入后动作序列以及缓和方案的数据库。通过对现有的恶意代码段、恶意代码注入点、注入内容以及动作序列进行分类整理，找到其中足以相互区别的关键属性信息。

102：提取扩展内容中的源代码信息；

其中，该步骤用来读入用户所需的Firefox扩展，具体的讲就是将Firefox扩展源代码作为整个过程的起点和输入；同时，这部分负责静态分析Firefox扩展的源代码，将分布在各种文件(xul、xbl)中的JS代码进行转换、整理、集成。本发明实施例以JS代码为例进行说明，具体实现时，根据实际应用中的需要还可以为其他的代码，本发明实施例对此不做限制。

103：在非安全动作序列数据库中，建立起动作序列与威胁、威胁与安全缺陷、安全缺陷与缓和方案之间的映射关系；

其中，建立映射关系为之后的安全缺陷检测打下基础，恶意代码注入点、注入内容和动作序列等分别表示为IP(Injection Position)、IC(Injection Content)和ES(Event Sequence)，主要威胁组合内容如表1所示。

表1

104：对源代码信息进行预处理，将预处理后的源代码信息导入演绎数据库，按照预设规则查询演绎数据库中关系，判断查询值是否为真，如果是，执行步骤105；如果否，流程结束；

其中，参见图4，源代码信息主要包括源代码JS、XUL和XBL等，对Extension的源代码JS、XUL和XBL等进行静态分析，提取出用于缺陷检测的关键信息，并集中地形成一种中间表示，将中间表示的关键信息导入演绎数据库中，在演绎数据库的背景下，可以将缺陷检测形式化地表示为演绎数据库中的一条查询。

具体为：通过预处理对扩展中的源代码信息进行转换、整理后，添加到演绎数据库中，主要添加到演绎数据库中内容为表1中IP和IC域中，按照预设规则(即下文中R)，查询演绎数据库中关系。

其中，预设规则根据实际应用中的需要进行设定，具体实现时，本发明实施例对此不做限制。例如：本发明实施例中的预设规则为R1(IP1，IC1)，其中R1为所有关系域R中元素，IP1属于表1中IP域，IC1属于表1中IC域，以表中数据顺序进行查询，即以：

R1(Ondragover，Event.dataTransfer.mozGetDataAt)、R2(AddEventListener，Event)、R3(SetTimeout，URI)......查询演绎数据库中关系，使得可以在基本事实的基础上，推理出更加丰富的信息用于缺陷检测。

105：将查询到的演绎数据库中的关系添加进预设结果集，获取静态分析结果；

其中，预设结果集根据实际应用中的需要进行设定，具体实现时，本发明实施例对此不做限制。整个查询过程结束后，返回查询值为真的项，添加进预设结果集；如果预设结果集中无元素，则整个安全缺陷查询过程结束；否则，静态分析认为存在潜在安全缺陷，并将所需检测的安全缺陷可能存在的范围提供给动态分析。如，查询R(Eval，JSON)，值为真，添加进预设结果集，此时，动态分析则只需在JSON出现的范围内进行动态检测。

106：根据静态分析结果，采用动态分析判断预处理后的源代码信息是否需要检测，如果是，执行步骤107；如果否，流程结束；

107：采用追踪方法检测注入内容的类型，并记录自恶意代码注入点之后的源代码信息的动作序列；

108：将恶意代码注入点之后的源代码信息的动作序列与非安全动作序列数据库中的相应信息对比、匹配，判断是否存在对挂马攻击敏感的安全缺陷，如果是，执行步骤109；如果否，流程结束；

109：根据映射关系输出安全缺陷分析结果信息及可行的缓和方案建议，将安全缺陷分析结果信息及可行的缓和方案建议给用户，流程结束。

其中，为了提高安全缺陷分析结果信息及可行的缓和方案建议的准确性及其真实性，在步骤(9)中根据映射关系输出安全缺陷分析结果信息及可行的缓和方案建议之后，该方法还包括：

对安全缺陷分析结果信息及可行的缓和方案建议进行人工审查。

其中，该步骤具体为根据映射关系将相应的安全缺陷分析结果信息及可行的缓和方案建议呈现给用户，用户可通过自身对网站的浏览需求来决定是否采取或采取什么样的缓和方案，满足了实际应用中的需要。

下面以一个较为简单的有缺陷的扩展为例，进一步验证本发明实施例提供的一种Firefox扩展的安全缺陷检测方法的可行性，详见下文描述：

Firefox用户欲安装一个未经缺陷检测的扩展，提供其所需功能，对其进行缺陷检测，首先提取扩展中的src.crome.content目录下的xul文件，其中主要功能性代码段示意图如图5和图6所示。对xul中javascript代码进行预处理，将代码中存在于表1中的IP，IC域中的元素提取，添加到演绎数据库中，形成用于静态分析的演绎数据库中的事实，在事实的基础上，依据预设规则，推理得到相应演绎数据库中的信息。在静态分析过程中，按照表1中第一列元素顺序，在演绎数据库中进行潜在威胁查询，轻易发现其中存在来自非安全域的关键字，addEventListener(图6，表1中均已列出)的注入内容IC为Event，即按照规定的演绎数据库的datalog，此处查询R1(IP1，IC1)，其中IP1＝addEventListener，属于IP域，IC1＝Event，来自IC域。即R(addEventListener，Event)的查询值为真，添加到预设结果集中。而其他查询对应的查询值均为假，即不存在其他潜在安全缺陷。因此静态分析阶段认为扩展中存在潜在安全缺陷，给出报告，并给出动态分析所需检测的范围，即执行addEventListener的方法customerListener的内部。根据静态分析结果，进行动态分析与匹配，分析过程中发现，在customerListener内部执行document.loadOverlay(...，...)函数，此时对照非安全动作序列数据库中的内容，查询loadOverlay，发现非安全动作序列数据库中存在loadOverlay存储记录，即确认威胁，给出检测报告。对检测过程给出的报告进行人工分析，根据安全缺陷类型，针对性审查，编写下javascript代码，保存成htm，打开此网页。

得到结果的示意图如图7所示，弹出对话框“You got hacked！”，接着开启了一个本地进程，且浏览器界面被修改，如图8所示。检测结果中的安全缺陷得到人工验证，确认缺陷存在。此时可提供给用户针对性较强的可行的缓和方案，如屏蔽javascript代码执行等。

综上所述，本发明实施例提供了一种Firefox扩展的安全缺陷检测方法，本发明实施例中的演绎数据库和非安全动作序列数据库的构建完成了已有常用恶意代码、恶意代码注入点(IP)、注入内容(IC)、注入后动作序列(ES)以及相应的威胁，安全缺陷及缓和方案的总结、整理和分类，提供了标准的、较为全面的数据库，有助于动态分析和匹配过程的进行；而且为Firefox用户应用本发明实施例提供的方法及时、正确的检测、分析出所要应用的扩展是否包含安全威胁或者对挂马攻击敏感的安全缺陷奠定了基础；输入及预处理可以成功完成扩展的基本信息提取；静态分析利用指针分析查找到相关注入点(IP)以及注入内容(IC)，并从静态角度分析出潜在威胁及缺陷；动态分析与匹配中采用动态分析对注入内容(IC)和动作序列(ES)进行分析，并检索非安全动作序列数据库中相关内容，两者比较、匹配，从而达到检测扩展的目的；通过最后的输出部分，将所有的检测结果提交给用户查看，包括威胁、安全缺陷的相关信息及可选的缓和方案，使得用户可以结合实际应用中的需求情况进行权衡，选择。该方法能够让用户在应用Firefox时，在保证安全的前提下，有较大的安装扩展的自由度；能够在安全的基础上充分发挥Firefox拥有强大扩展功能且人性化程度高的优势；可以有效的检测扩展中是否隐含威胁或者安全缺陷，在扩展的开发中或者在用户面对所需扩展时明确其可能面对的安全问题，有利于及早修改和解决，有利于Firefox浏览器功能的强化和安全性的提升。

本领域技术人员可以理解附图只是一个优选实施例的示意图，上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。

以上所述仅为本发明的较佳实施例，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (1)

1.一种Firefox扩展的安全缺陷检测方法，其特征在于，所述方法包括以下步骤：

(1)构建用于静态分析的演绎数据库和用于动态分析的非安全动作序列数据库；

(2)提取Firefox扩展中的源代码信息；

(3)在所述非安全动作序列数据库中，建立起动作序列与威胁、威胁与安全缺陷、安全缺陷与缓和方案之间的映射关系；

(4)对所述源代码信息进行预处理，将预处理后的源代码信息导入所述演绎数据库，按照预设规则查询所述演绎数据库中关系，判断查询值是否为真，如果是，执行步骤(5)；如果否，流程结束；

(5)将查询到的所述演绎数据库中的关系添加进预设结果集，获取静态分析结果；

(6)根据所述静态分析结果，采用动态分析判断所述预处理后的源代码信息是否需要检测，如果是，执行步骤(7)；如果否，流程结束；

(7)采用追踪方法检测注入内容的类型，并记录自恶意代码注入点之后的源代码信息的动作序列；

(8)将所述恶意代码注入点之后的源代码信息的动作序列与所述非安全动作序列数据库中的相应信息对比、匹配，判断是否存在对挂马攻击敏感的安全缺陷，如果是，执行步骤(9)；如果否，流程结束；

(9)根据所述映射关系输出安全缺陷分析结果信息及可行的缓和方案建议，将所述安全缺陷分析结果信息及所述可行的缓和方案建议给用户，流程结束。

Images