CN102780684A

CN102780684A - Xss防御系统

Info

Publication number: CN102780684A
Application number: CN2011101219991A
Authority: CN
Inventors: 蒋昌俊; 陈闳中; 闫春钢; 丁志军; 许华杰; 寿辰
Original assignee: Tongji University
Current assignee: Tongji University
Priority date: 2011-05-12
Filing date: 2011-05-12
Publication date: 2012-11-14
Anticipated expiration: 2031-05-12
Also published as: CN102780684B

Abstract

一种XSS防御系统，主要是通过建模模块预先建立欲浏览的网站的网站行为模型，并由检测模块检测对该网站的浏览行为，然后，通过认证模块使用相应的网站行为模型对用户的浏览行为进行认证，只有网站的行为模型中存在定义的行为才能通过认证并允许执行，而未通过认证的浏览行为就作为非法行为加以阻止与报警，从而避免潜在XSS攻击对客户端造成的危害。

Description

XSS防御系统

技术领域

本发明涉及一种XSS防御系统，尤指一种基于行为认证的XSS防御系统。

背景技术

当今，网络正成为现实生活中各种服务的一个新的平台和载体。为了提高用户体验，脚本语言(大多数为JavaScript)在网络应用中被大量使用。不幸的是，这个趋势让XSS(跨站脚本攻击)成为了目前互联网最为严重的安全问题之一。XSS(跨站脚本攻击)又称为CSS(Cross Site Script)，指的是恶意攻击者往Web页面里插入恶意脚本程序代码，当用户浏览该页面时，嵌入其中Web里面的脚本代码会被执行，从而达到恶意攻击用户的特殊目的。“跨站脚本攻击”名称的由来起源于这类攻击方法最初的“跨站”的特点，如今XSS已不再局限于“跨站”攻击的方式，而成为利用恶意脚本发动的注入式攻击的总称。XSS攻击往往会产生比较严重的后果：如泄露用户隐私、使客户端电脑感染病毒、控制企业数据、盗窃企业重要的具有商业价值的资料、非法转账、强制发送电子邮件、网站挂马以及控制受害者机器向其它网站发起攻击等。一些著名的社交网站，如Facebook，MySpace和Twitter都曾被XSS攻击。XSS具有自传播、传播速度快、实施简单等特性，使其受到越来越多的关注。

XSS大都发生在有数据交互的页面，比如某个显示用户评论的页面或者需要参数传递的页面。当这些数据包含恶意代码，被浏览器Javascript解释器认为是Javascript代码而被解释执行。值得注意的是，网页编程语言HTML和Javascript虽然有一个国际标准，但在解释器的具体实现上，每个浏览器都对标准进行了增减，并没有完全按照标准执行，这导致对HTML和Javascript解释的不严格，有些写法在浏览器A可以执行，在浏览器B就不能执行，有些写法标准上没有但有的浏览器却支持。浏览器语法解释上的不严格是XSS能够发生且难于彻底防范的根本原因之一。传统的脚本安全执行机制如沙盒机制和同源策略等对于XSS不起作用，这也是造成XSS在网络软件安全问题中所占比例逐年提高的重要原因。

当前主要的针对XSS的防御方法包括内容过滤方法和浏览器协作方法。内容过滤方法是通过字符(串)过滤避免非法脚本程序的注入，但该方法的缺点很明显：首先是功能受到限制，因为XSS中所用到的字符也是用户合法输入所用到的字符；其次是难度大、不彻底，由于不同浏览器在语法解释上的差异以及转义字符的使用，要实现正确和完全的内容过滤很难甚至是不大可能的，如此，只能亡羊补牢而不能实现防患于未然。而浏览器协作方法是通过客户端的浏览器与服务器协作的方式将合法和非法的脚本区别对待，该方法的一个典型例子如BEEP方法：先设计一个服务器-浏览器协作协议用于传递合法脚本，然后修改浏览器使其采用该协议并禁止非法脚本的执行。缺点主要包括：需要在各种各样的浏览器上进行部署，难以实现和普及；方法的成功率依赖于对非法脚本的识别率；有可能会对浏览速度造成影响。以上这些方法都只从XSS攻击点着手，没有抓住导致XSS攻击能够发生以及产生危害的本质原因，因此只能说是治标不治本，难以根本杜绝XSS攻击的发生。

综上所述，现有的针对XSS攻击的防御方法在健壮性和可用性方面还是存在明显的局限性。同时，现实中许多网站都是在管理者不知情的情况下受到了XSS攻击，此时采用上述方法实现对浏览这些网站的用户客户端进行保护基本上是不大可能的。因此，有必要提出一种健壮的XSS防御系统，即使在服务器已遭受XSS攻击的情况下也能够对客户端进行有效保护，且相应的XSS防御系统可以在普通浏览器进行部署，具有良好的可用性，便成为目前业界急待克服的课题。

发明内容

鉴于上述现有技术的缺点，本发明所要解决的技术问题是：从XSS攻击可能发生的环节上有效地杜绝XSS攻击行为的发生，即使在网站服务器已经遭受XSS攻击的情况下也能对用户客户端提供安全保障。

为达到上述目的及其他目的，本发明所提供的XSS防御系统，搭建在连接有网络系统的客户端中，且所述客户端利用所述网络系统通过一浏览器实现对网站提供商提供的网站进行访问，该XSS防御系统包括：建模模块，其用以通过所述网络系统获取网站提供商所提供的网站的源码，并对所获取的网站的源码进行分析，以建立网站行为模型；解析模块，其用以将建模模块所建立的网站行为模型转换成XML文件，并予以存储；检测模块，其用以检测客户端是否通过浏览器浏览所述网站提供商提供的网站，若是，则捕捉相应的浏览行为，并产生一触发信号，以触发解析模块将所存储的XML文件恢复为网站行为模型；运行模块，其用于当接收到检测模块所产生的触发信号时，依据解析模块所恢复的网站行为模型，创建一网站行为模型实例并加以运行，以得到合法行为；以及认证模块，其用以依据运行模块所得到的合法行为，对由检测模块所捕捉到的浏览行为进行认证，判断所述浏览行为是否符合所述合法行为，若否，则断定当前的浏览行为包含由XSS攻击引发的非法行为，而阻止此浏览行为的发生并发出警报。

具体而言，建模模块包括：分析单元，其用以通过所述网络系统获取网站提供商所提供的网站的源码，并从中提取网站的HTML代码，且基于网站的HTML代码进行分析处理，以得到该网站的逻辑结构和用户允许的操作序列；以及建模单元，其用以依据所述分析单元所得到的分析结果，通过行为序列的方法建立网站行为模型，并予以存储。其中，网站提供商可例如为网站开发者或网站运营商(ISP)。

此外，该合法行为包括符合网站行为模型的多个行为序列以及符合网站行为模型的多个行为特征，而该浏览行为包括行为序列以及行为特征。相应地，认证模块还包括用以依据运行模块所得到的合法行为，首先判断由检测模块所捕捉到的浏览行为的行为序列是否与所述合法行为的多个行为序列中的其中一个相符，若否，则断定当前的浏览行为包含由XSS攻击引发的非法行为，若是，则进一步判断所述浏览行为的行为特征是否与所述合法行为的多个行为特征的其中一个相符，若是，则允许所述浏览行为在浏览器中执行，若否，则断定当前的浏览行为包含由XSS攻击引发的非法行为，而阻止此浏览行为的发生并发出警报。

以下结合上述技术方案，说明本发明的有益技术效果。相比于现有技术，本发明主要涉及一种基于行为认证的XSS防御方法，通过对网站逻辑结构以及用户浏览行为的分析，基于网站逻辑和用户预期行为实现对网站的建模，基于所得出的网站行为模型实现对用户浏览行为的认证，从XSS攻击可能发生的环节上杜绝XSS攻击行为的发生，即使在网站服务器已经遭受XSS攻击的情况下也能对用户客户端提供安全保障。

附图说明

图1为本发明的XSS防御系统的方块示意图。

【主要元件符号说明】

1 网络系统

2 客户端

21 建模模块

211 分析单元

213 建模单元

23 解析模块

25 检测模块

27 运行模块

29 认证模块

具体实施方式

以下通过特定的具体实例说明本发明的实施方式，所属领域的普通技术人员可由本说明书所揭示的内容轻易地了解本发明的其他优点与功效。本发明亦可通过其他不同的具体实例加以施行或应用，本说明书中的各项细节亦可基于不同观点与应用，在不背离本发明的精神下进行各种修饰与变更。

请参阅图1，其为显示本发明的XSS防御系统的方块示意图。如图所示，本发明的XSS防御系统搭建在连接有网络系统1的客户端2中，且所述客户端2利用所述网络系统1通过一浏览器实现对网站提供商3提供的网站进行访问。其中，所述网站提供商3可以为网站开发者或网站运营商(ISP)。

如图1所示，本发明的XSS防御系统包括建模模块21、解析模块23、检测模块25、运行模块27以及认证模块29。以下即详细说明本发明的XSS防御系统的上述各部件：

建模模块21是用以通过所述网络系统1获取网站提供商3所提供的网站的源码，并对所获取的网站的源码进行分析，以建立网站行为模型。更详而言之，该建模模块21包括分析单元211以及建模单元213，其中，分析单元211是用以通过所述网络系统1获取网站提供商3所提供的网站的源码，并从中提取网站的HTML代码，且基于网站的HTML代码进行分析处理，以得到该网站的逻辑结构和用户允许的操作序列；而建模单元213是用以依据所述分析单元211所得到的分析结果，通过行为序列的方法建立网站行为模型，并予以存储，换而言之，该建模单元213通过行为序列的方式对网站的逻辑结构以及所允许的用户操作行为进行描述和刻画，网站的行为序列的集合最终构成网站的行为模型。假设网页的状态标记为S，则用户在浏览网站过程中与网站的交互过程通常可表示为：网页->用户操作->相应结果->网页，可用行为序列的方式表示为：S->{O，I}′->{N，D，P}′->S({}′表示闭包)，其中，O表示用户对各类网页元素操作的事件(例如点击超链接、点击按钮等)；I表示用户输入的事件；N表示页面产生导航事件；D表示文件下载事件；P表示数据传输相关的Post或Get事件。采用行为序列表示的常见的浏览过程包括：①在主页(状态)->用户点击超链接(行为)->网页发生跳转导航(行为)->新页面(状态)；②在主页(状态)->用户在表单中输入(行为)->用户点击“提交”按钮(行为)->网页发生跳转导航(行为)->用户输入的信息被Post(行为)->新页面(状态)。上述两种序列上网站中常见的行为序列。

解析模块23是用以将建模模块21所建立的网站行为模型转换成XML文件，并予以存储，并在检测模块25检测到客户端通过浏览器浏览网络提供商3所提供的网站(即在进行行为认证需要使用网站行为模型的时候)时，将XML文件恢复为网站行为模型。此处需予以说明的是，该解析模块23以XML文件的形式存储网站行为模型，是出于数据交互以及跨平台的考虑。

检测模块25是用以检测客户端2是否通过浏览器浏览所述网站提供商3提供的网站，若是，则捕捉相应的浏览行为，并产生一触发信号，以触发解析模块23将所存储的XML文件恢复为网站行为模型。在本实施例中，该浏览行为包括行为序列以及行为特征。

运行模块27是用于当接收到检测模块25所产生的触发信号时，依据解析模块23所恢复的网站行为模型，创建一网站行为模型实例并加以运行，以得到合法行为。合法行为包括符合网站行为模型的多个行为序列以及符合网站行为模型的多个行为特征。

认证模块29是用以依据运行模块27所得到的合法行为，对由检测模块25所捕捉到的浏览行为进行认证，判断所述浏览行为是否符合所述合法行为，若否，则断定当前的浏览行为包含由XSS攻击引发的非法行为，而阻止此浏览行为的发生并发出警报，通过这样的方法对网站用户的客户端安全提供保障。

具体而言，该认证模块29是依据运行模块27所得到的合法行为，首先判断由检测模块25所捕捉到的浏览行为的行为序列是否与所述合法行为的多个行为序列中的其中一个相符，若否，则断定当前的浏览行为包含由XSS攻击引发的非法行为，若是，则进一步判断所述浏览行为的行为特征是否与所述合法行为的多个行为特征的其中一个相符，若是，则允许所述浏览行为在浏览器中执行，若否，则断定当前的浏览行为包含由XSS攻击引发的非法行为，而阻止此浏览行为的发生并发出警报。假设当前由检测模块25检测到的浏览行为(通过事件)为a，在网站行为模型中，网站当前状态为si，其中包括该状态下所有行为的集合actions以及各行为的类型type，则基于网站行为模型的浏览器行为认证过程如下：

步骤1：进行行为序列的匹配。在网站行为模型实例中遍历当前状态si下所有actions，寻找存在type与当前所发生的浏览行为a相同的行为集。如果没有发现，则认为此浏览行为此时出现是不合法的，给予终止；如果发现存在，则继续执行步骤2。

步骤2：进行行为特征的匹配。对步骤1所得的行为集，进行进一步的特征匹配，在网站行为模型实例中查找与当前所发生的浏览行为a特征完全相符的行为。如果没找到，则认为此浏览行为为非法行为，给予终止；如果找到，则表示该行为合法，网站行为模型实例迁移到相应状态，即保持与浏览器中实际网站的状态同步，并允许相应浏览行为在浏览器中执行。

在进行行为特征匹配的时候，针对XSS攻击的特点，需要检测的关键行为(即行为序列中某一个行为)及其行为特征如表1所示。关键行为的特征用于在行为认证过程中判断一个行为是否合法，是通过浏览器事件(即浏览行为)检测获得的重要信息之一。

表1需检测的关键行为及其特征

综上所述，本发明主要通过检测特定的浏览行为并采用事先建立的网站行为模型对相应的浏览行为进行认证，以达到保护网站以及浏览该网站的客户端免受XSS攻击的目的，如果检测到的浏览行为不符合网站行为模型中的描述，则这样的浏览行为会被认作是非法的从而被终止。

上述实施例仅例示性说明本发明的原理及其功效，而非用于限制本发明。任何所属技术领域的普通技术人员均可在不违背本发明的精神及范畴下，对上述实施例进行修饰与改变。因此，本发明的权利保护范围，应如所附的权利要求书的范围所列。

Claims

1.一种XSS防御系统，其搭建在连接有网络系统的客户端中，且所述客户端利用所述网络系统通过一浏览器实现对网站提供商提供的网站进行访问，所述XSS防御系统包括：

建模模块，其用以通过所述网络系统获取网站提供商所提供的网站的源码，并对所获取的网站的源码进行分析，以建立网站行为模型；

解析模块，其用以将建模模块所建立的网站行为模型转换成XML文件，并予以存储；

检测模块，其用以检测客户端是否通过浏览器浏览所述网站提供商提供的网站，若是，则捕捉相应的浏览行为，并产生一触发信号，以触发解析模块将所存储的XML文件恢复为网站行为模型；

运行模块，其用于当接收到检测模块所产生的触发信号时，依据解析模块所恢复的网站行为模型，创建一网站行为模型实例并加以运行，以得到合法行为；以及

认证模块，其用以依据运行模块所得到的合法行为，对由检测模块所捕捉到的浏览行为进行认证，判断所述浏览行为是否符合所述合法行为，若否，则断定当前的浏览行为包含由XSS攻击引发的非法行为，而阻止此浏览行为的发生并发出警报。

2.根据权利要求1所述的XSS防御系统，其特征在于，建模模块包括：

分析单元，其用以通过所述网络系统获取网站提供商所提供的网站的源码，并从中提取网站的HTML代码，且基于网站的HTML代码进行分析处理，以得到所述网站的逻辑结构和用户允许的操作序列；以及

建模单元，其用以依据所述分析单元所得到的分析结果，通过行为序列的方法建立网站行为模型，并予以存储。

3.根据权利要求2所述的XSS防御系统，其特征在于，所述网站提供商为网站开发者或网站运营商。

4.根据权利要求1所述的XSS防御系统，其特征在于，所述合法行为包括符合网站行为模型的多个行为序列以及符合网站行为模型的多个行为特征，而所述浏览行为包括行为序列以及行为特征。

5.根据权利要求4所述的XSS防御系统，其特征在于，认证模块还包括用以依据运行模块所得到的合法行为，首先判断由检测模块所捕捉到的浏览行为的行为序列是否与所述合法行为的多个行为序列中的其中一个相符，若否，则断定当前的浏览行为包含由XSS攻击引发的非法行为，若是，则进一步判断所述浏览行为的行为特征是否与所述合法行为的多个行为特征的其中一个相符，若是，则允许所述浏览行为在浏览器中执行，若否，则断定当前的浏览行为包含由XSS攻击引发的非法行为，而阻止此浏览行为的发生并发出警报。