CN103067343A - 防止篡改ActiveX控件用途的方法和系统 - Google Patents

Abstract

本申请提供了一种防止篡改ActiveX控件用途的方法，包括以下步骤：ActiveX控件将接口的预置结果返回给宿主容器；ActiveX控件获取宿主容器的当前页面地址；ActiveX控件将获取的当前页面地址向验证服务器发送验证请求；验证服务器验证当前页面是否可信，并将结果返回给ActiveX控件；ActiveX控件根据返回结果确定是否允许自己被当前页面继续使用，若当前页面可信，则允许当前页面继续使用，反之，则不允许被当前页面继续使用。本申请还提供了一种实现前述方法的防止篡改ActiveX控件用途的系统。本申请的防止篡改ActiveX控件用途的方法及系统，能够识别恶意网页，解决ActiveX控件因为被恶意篡改用途而给用户计算机带来安全威胁的问题。

Description

防止篡改ActiveX控件用途的方法和系统

技术领域

本申请涉及计算机网络安全技术领域，特别是涉及一种防止篡改ActiveX控件用途的方法及系统。

背景技术

ActiveX是一个用于定义与编程语言无关的组件重用的架构，由此，软件就可以由这些与编程语言无关的组件所构成。ActiveX是微软(Microsoft)于1996年提出的，它是对组建对象模型(Component ObjectModel，COM)和链接嵌入对象(Object Linking and Embedding，OLE)技术的一个发展。

ActiveX控件(ActiveX Controls)作为一个用于定义与编程语言无关的组件重用的架构，可用于创建可通过web浏览器工作在互联网上的分布式应用程序。ActiveX控件日益成为开发应用于多种容器的可编程软件组件(programmable software components)的主流架构。ActiveX控件可以在本地计算机中以当前用户权限做任何的事情，比如：读写注册表、访问文件系统等。另外，ActiveX控件可以嵌入到脚本容器中并且可被脚本驱动。在比如IE浏览器(Internet Explorer)中的宿主容器中，驱动控件的脚本的来源是未知的、不可信任的。因此，如果ActiveX控件被恶意来源的站点使用恶意脚本调用，恶意篡改其用途(Repurposing)，而插件又具有无限制的运行权限，这将给用户的计算机系统带来极大的安全威胁。

发明内容

本申请所要解决的技术问题是提供一种防止篡改ActiveX控件用途的方法及系统，能够识别恶意网页，解决ActiveX控件因为被恶意篡改用途而给用户计算机带来安全威胁的问题。

为了解决上述问题，本申请公开了一种防止篡改ActiveX控件用途的方法，包括以下步骤：

ActiveX控件将接口的预置结果返回给宿主容器；

ActiveX控件获取宿主容器的当前页面地址；

ActiveX控件将获取的当前页面地址向验证服务器发送验证请求；

验证服务器验证当前页面是否可信，并将结果返回给ActiveX控件；

ActiveX控件根据返回结果确定是否允许自己被当前页面继续使用，若当前页面可信，则允许当前页面继续使用，反之，则不允许被当前页面继续使用。

进一步地，所述ActiveX控件不允许被当前页面继续使用包括：

ActiveX控件中断宿主容器创建ActiveX对象的操作；或

ActiveX控件拒绝当前页面访问ActiveX控件提供的接口。

进一步地，所述ActiveX控件根据返回结果确定是否允许自己被当前页面继续使用包括：

ActiveX控件通过接口方法的返回值控制ActiveX对象的创建过程；若当前页面可信，则接口方法返回预设的正确代码，允许ActiveX对象完成创建；若当前页面不可信，则接口方法返回预设的错误代码，宿主容器根据接收到的接口方法返回值中断创建ActiveX对象。

进一步地，所述ActiveX控件根据返回结果确定是否允许自己被当前页面继续使用包括：

ActiveX控件将结果存储在ActiveX控件内部的成员变量中；在ActiveX的所有接口实现中首先检查该成员变量，若当前页面不可信，则ActiveX控件提供的接口拒绝当前页面脚本对接口的调用。

进一步地，所述ActiveX控件获取宿主容器发送的当前页面地址包括：

宿主容器调用ActiveX控件的IObjectWithSite接口的SetSite方法将容器指针传递给ActiveX控件；

ActiveX控件根据获取的容器指针取得当前页面的地址HostUrl。

进一步地，所述ActiveX控件通过https向验证服务器发送验证请求。

进一步地，所述验证服务器验证当前页面是否可信包括：

验证服务器将获取的当前页面地址根据一定的逻辑与预先存储的可信列表中的地址进行查找，若包含在可信列表中，则认为当前页面是可信的，反之，则认为当前页面是不可信的，所述查找逻辑包括：域匹配、站点匹配、地址参数匹配、整个页面地址匹配。

进一步地，所述方法还包括：

自动或人工更新所述验证服务器中预先存储的可信列表。

为了解决上述问题，本申请还公开了一种防止篡改ActiveX控件用途的系统，包括：

ActiveX控件，用于将IobjectSafety的预置结果返回给宿主容器，从而获取当前页面地址，并将当前页面地址传送给验证服务器；

验证服务器，用于验证ActiveX控件传送的宿主容器的当前页面地址，并将结果返回给ActiveX控件；

所述ActiveX控件根据验证服务器的结果确定是否允许自己被当前页面继续使用，若当前页面可信，则允许被当前页面继续使用，反之，则不允许被当前页面继续使用。

进一步地，所述ActiveX控件包括：

操作确定模块，用于确定是否中断宿主容器创建ActiveX对象的操作；或

访问确定模块，用于确定是否允许当前页面访问ActiveX控件提供的接口。

进一步地，所述ActiveX控件包括：

验证模块，用于根据宿主容器传送的容器指针取得当前页面的地址HostUrl。

进一步地，所述验证模块包括：

发送单元，用于通过https向验证服务器发送验证请求。

进一步地，所述系统还包括：

列表管理器，用于维护更新验证服务器中存储的可信列表，可信列表的记录形式可以是以下所列中的一种或多种：域名、站点、页面地址、页面地址的中参数、匹配模式。

与现有技术相比，本申请包括以下优点：

本申请的防止篡改ActiveX控件用途的方法及系统通过在ActiveX控件预设返回结果，当宿主容器(JavaScript和VBScript引擎)调用IobjectSafety接口时，ActiveX控件首先返回预置结果，使得ActiveX对象的创建过程能够继续进行；然后，在宿主容器调用IObjectSafety接口的SetSite方法时，ActiveX控件获取当前页面地址(HostUrl)，并发送网页到验证服务器进行验证，通过验证服务器的返回结果判断当前页面是否合法，并采取相应的处理办法。由于宿主容器(JavaScript和VBScript引擎)是在调用IObjectSafety接口并得到“本ActiveX控件安全”的回复后才会调用SetSite方法，因此，通过控制IObjectSafety接口的返回值的传统验证方法不能适用于这类宿主容器。通过本方法，一方面，预置的安全回复结果能使宿主容器创建ActiveX对象的过程继续；另一方面，在后续的创建过程(即调用SetSite方法获取到HostUrl后)会被截断以验证HostUrl的合法性，以此为凭据来决定创建过程是否中止，或者决定宿主容器是否可以使用控件接口提供的功能。以此来阻止恶意脚本对控件接口的非法调用，从而避免ActiveX控件被非法篡改用途。

另外，通过将网页地址发送给验证服务器来进行验证，可以只在服务器端维护可信列表，并可以及时的维护更新。这就突破了传统方法中可信列表编译在控件内部，当可信列表变化时必须重新发布插件的限制，也就省去了用户端浏览器在可信站点变化时必须重新升级插件的步骤。

进一步地，使用https进行ActiveX控件与验证服务器的通信，保证了验证过程的保密性和完整性。

当然，实施本申请的任一产品不一定需要同时达到以上所述的所有优点。

附图说明

图1是本申请的防止篡改ActiveX控件用途的方法实施例一的流程图；

图2是本申请的防止篡改ActiveX控件用途的方法实例图；

图3是本申请的防止篡改ActiveX控件用途的方法中ActiveX控件识别恶意网页实例的流程图；

图4是本申请的防止篡改ActiveX控件用途的系统实施例一的结构示意图；

图5是本申请的防止篡改ActiveX控件用途的系统实施例二的结构示意图。

具体实施方式

为使本申请的上述目的、特征和优点能够更加明显易懂，下面结合附图和具体实施方式对本申请作进一步详细的说明。

参照图1，示出本申请的一种恶意网页识别的方法实施例一，包括以下步骤：

步骤101，ActiveX控件将接口的预置结果返回给宿主容器。

在一个页面需要使用ActiveX控件时，宿主容器(如Javascript或Vbscript)首先会创建ActiveX对象，而在创建ActiveX对象的过程中，宿主容器会首先询问ActiveX控件是否安全，只有ActiveX控件回复安全后才能继续创建ActiveX对象。因此，通过预先设置ActiveX控件的回复，使宿主容器能够继续创建ActiveX对象，以便进行后续操作。

参照图2，其中，ActiveX控件实现了IObjectSafety接口，宿主调用IObjectSafety接口来询问ActiveX控件“是否可初始化”或“是否可以和脚本交互”。因为预先设置，ActiveX控件都会回答“是”，即直接返回IObjectSafety接口中的预置结果，从而继续进行后续步骤。

步骤102，ActiveX控件获取宿主容器的当前页面地址。

宿主容器在得到预置回复后会继续创建ActiveX对象，并调用ActiveX控件的IObjectWithSite接口的SetSite方法以将容器指针(IUnknown*pUnkSite)传递给ActiveX控件。ActiveX控件拿到容器指针后就可以取得当前页面的地址HostUrl，然后向服务器发起验证请求，例如，queryIsValid(HostUrl)。

步骤103，ActiveX控件将获取的当前页面地址向验证服务器发送验证请求。

向验证服务器发起的验证请求通过https进行通信，可以防止参数被修改，保证通信过程的保密性和完整性。

步骤104，验证服务器验证当前页面是否可信，并将结果返回给ActiveX控件。

验证服务器中会预先存储可信列表，当获取到当前页面地址之后，便会与可信列表中的地址进行查找，若包含在可信列表中，则认为当前页面是可信的，反之，则认为当前页面是不可信的，并将查询结果返回给ActiveX控件。查找逻辑包括：域(Domain)匹配、站点(Host)匹配、地址参数匹配、整个页面地址匹配

具体的，验证服务器在收到HostUrl后，对HostUrl进行分析，通过服务器端的控制逻辑判断该引用页面是否是合法可信的，验证服务器将查询结果返回给ActiveX控件。

进一步地，服务器可对存储的可信列表进行实时更新，保证可信站点的时效性，更灵活地满足业务需求。

步骤105，ActiveX控件根据验证服务器的结果确定是否允许自己被当前页面继续使用，若当前页面可信，则允许被当前页面继续使用，反之，则不允许被当前页面继续使用。

其中，是否允许自己被当前页面继续使用有两种处置方法：一种为，ActiveX控件根据IObjectWithSite接口方法，如SetSite方法的返回值来控制ActiveX对象的创建过程；若当前页面是可信站点，则SetSite方法返回预设的正确代码，如S_OK；若当前页面是不可信站点，则SetSite方法返回预设的错误代码，如E_FAIL或E_ACCESSDENIED。宿主容器根据接收的SetSite方法的返回值来确实是否允许继续创建ActiveX对象。若SetSite方法的返回值为S_OK，则允许ActiveX对象完成创建，若SetSite方法的返回值为E_FAIL或E_ACCESSDENIED，会中断创建ActiveX对象。

另一种为，IObjectWithSite接口方法，如SetSite方法会始终返回预设的正确代码，即会允许ActiveX对象完成创建，但是通过禁止调用接口的方式来禁止当前网页对ActiveX控件的继续使用，从而避免ActiveX控件用途被篡改。具体的，包括：将验证服务器的结果存储在ActiveX对象内部的成员变量中以作为后续对接口访问合法性判断的依据(假设变量名为flag_isValid)。具体地，在所有接口实现的方法的开始部分检查该成员变量flag_isValid便可以判断当前页面是否可信，如果当前页面不可信，则接口立即返回预设的错误代码，如E_ACCESSDENIED，来拒绝当前页面脚本对接口的调用，这样，恶意脚本就很难篡改控件用途。

例如，参照图3，以将验证结果作为ActiveX控件内部的成员变量作为后续判定依据为例，宿主容器通过脚本调用创建完成ActiveX对象的过程中，都会检查flag_isValid的状态，如果是合法来源，则进入正常功能的执行流程，为宿主容器提供相应功能；如果是非法来源，则立即中断执行，不再执行任何功能。采取这种方式，所有接口都被保护起来，具有较好的隐蔽性，使攻击者无法利用ActiveX控件内部的潜在漏洞对用户系统造成危害。

参照图4，示出本申请的恶意网页识别的系统，包括ActiveX控件10和验证服务器20。

其中，ActiveX控件10用于将接口的预置结果返回给宿主容器，从而获取当前页面地址，并将当前页面地址传送给验证服务器20，并根据验证服务器20的返回结果确定是否允许自己被当前页面继续使用，若当前页面可信，则允许被当前页面继续使用，反之，则不允许被当前页面继续使用。

优选地，ActiveX控件包括操作确定模块或访问确定模块。

其中，操作确定模块，用于确定是否中断宿主容器创建ActiveX对象的操作。具体的，操作确定模块通过IObjectWithSite接口方法，如SetSite方法的返回值控制ActiveX对象的创建过程；若当前页面可信，则SetSite方法返回预设的正确代码，如S_OK，允许ActiveX对象完成创建；若当前页面不可信，则SetSite方法返回预设的错误代码，如E_FAIL或E_ACCESSDENIED，宿主容器根据接收到的SetSite返回值中断创建ActiveX对象。

访问确定模块，用于确定是否允许当前页面访问ActiveX控件提供的接口。具体的，访问确定模块将结果存储在ActiveX控件内部的成员变量中；在所有接口实现的方法的开始部分检查该成员变量，若当前页面不可信，则ActiveX控件提供的接口拒绝当前页面脚本对接口的调用。

验证服务器20用于验证ActiveX控件10传送的页面地址，并将结果返回给ActiveX控件10。其中，验证服务器中存储可信站点的可信列表(即白名单)，并在收到ActiveX控件10请求后将验证结果通过验证模块反馈给ActiveX控件10。可信列表的记录形式可以是以下所列中的一种或多种：域名(Domain)、站点(Host)、页面地址(URL)、页面地址的中参数、匹配模式。

优选地，ActiveX控件10包括预置模块和验证模块。预置模块，用于预先设置IObjectSafety接口的返回结果，使宿主容器能够继续创建ActiveX对象，从而使验证模块能够获取宿主容器传送的当前页面地址HostUrl。验证模块，用于获取当前页面地址HostUrl，并将HostUrl传送给验证服务器20。优选地，验证模块根据宿主容器传送的容器指针取得当前页面的地址HostUrl。

优选地，ActiveX控件10的验证模块包括发送单元，通过https与验证服务器20链接，确保了通信的内容不易被篡改，使系统的整体安全性得到了较好地保证。

参照图5，优选地，系统还包括列表管理器30，用于维护验证服务器20中的可信列表，可以由人工完成，也可以根据程序逻辑自动完成。

本申请的防止篡改ActiveX控件用途的方法及系统通过在ActiveX控件预设返回结果，当宿主容器(JavaScript和VBScript引擎)调用IObjectSafety时，ActiveX控件首先返回预置结果，使得ActiveX对象的创建过程能够继续进行；然后，在宿主容器调用SetSite方法时，ActiveX控件获取当前页面地址(以下称HostUrl)，并发送网页到验证服务器进行验证，通过验证服务器的返回结果判断当前页面是否合法，并采取相应的处理办法。由于宿主容器(JavaScript和VBScript引擎)是在调用IObjectSafety接口并得到“本ActiveX控件安全”的回复后才会调用SetSite获取当前页面地址，因此，先调用SetSite验证后再返回IObjectSafety接口值的传统验证方法不能适用于这类宿主容器。通过本方法，一方面，预置的安全回复结果能使宿主容器创建ActiveX对象的过程继续；另一方面，在后续的创建过程(即调用SetSite方法获取到HostUrl后)会被截断以验证HostUrl的合法性，以此为凭据来决定创建过程是否中止，或者决定宿主容器是否可以使用控件接口提供的功能。以此来阻止恶意脚本对控件接口的非法调用，从而避免ActiveX控件被非法篡改用途。

另外，通过将网页地址发送给验证服务器来进行验证，可以只在服务器端维护可信列表，并可以及时的维护更新，从而使验证结果更为及时准确。进一步地，这也突破了传统方法中可信列表编译在控件内部，当可信列表变化时必须重新发布插件的限制，也就省去了用户端浏览器在可信站点变化时必须重新升级插件的步骤。

进一步地，使用https进行ActiveX控件与验证服务器的通信，保证了验证过程的保密性和完整性。

本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。对于系统实施例而言，由于其与方法实施例基本相似，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

以上对本申请所提供的防止篡改ActiveX控件用途的方法及系统进行了详细介绍，本文中应用了具体个例对本申请的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本申请的方法及其核心思想；同时，对于本领域的一般技术人员，依据本申请的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本申请的限制。

Claims (13)

1.一种防止篡改ActiveX控件用途的方法，其特征在于，包括以下步骤：

ActiveX控件将接口的预置结果返回给宿主容器；

ActiveX控件获取宿主容器的当前页面地址；

ActiveX控件将获取的当前页面地址向验证服务器发送验证请求；

验证服务器验证当前页面是否可信，并将结果返回给ActiveX控件；

ActiveX控件根据返回结果确定是否允许自己被当前页面继续使用，若当前页面可信，则允许当前页面继续使用，反之，则不允许被当前页面继续使用。

2.如权利要求1所述的防止篡改ActiveX控件用途的方法，其特征在于，所述ActiveX控件不允许被当前页面继续使用包括：

ActiveX控件中断宿主容器创建ActiveX对象的操作；或

ActiveX控件拒绝当前页面访问ActiveX控件提供的接口。

3.如权利要求2所述的防止篡改ActiveX控件用途的方法，其特征在于，所述ActiveX控件根据返回结果确定是否允许自己被当前页面继续使用包括：

ActiveX控件通过接口方法的返回值控制ActiveX对象的创建过程；若当前页面可信，则接口方法返回预设的正确代码，允许ActiveX对象完成创建；若当前页面不可信，则接口方法返回预设的错误代码，宿主容器根据接收到的接口方法返回值中断创建ActiveX对象。

4.如权利要求2所述的防止篡改ActiveX控件用途的方法，其特征在于，所述ActiveX控件根据返回结果确定是否允许自己被当前页面继续使用包括：

ActiveX控件将结果存储在ActiveX控件内部的成员变量中；在ActiveX的所有接口实现中首先检查该成员变量，若当前页面不可信，则ActiveX控件提供的接口拒绝当前页面脚本对接口的调用。

5.如权利要求1所述的防止篡改ActiveX控件用途的方法，其特征在于，所述ActiveX控件获取宿主容器发送的当前页面地址包括：

宿主容器调用ActiveX控件的IObjectWithSite接口的SetSite方法将容器指针传递给ActiveX控件；

ActiveX控件根据获取的容器指针取得当前页面的地址HostUrl。

6.如权利要求1所述的防止篡改ActiveX控件用途的方法，其特征在于，所述ActiveX控件通过https向验证服务器发送验证请求。

7.如权利要求1所述的防止篡改ActiveX控件用途的方法，其特征在于，所述验证服务器验证当前页面是否可信包括：

验证服务器将获取的当前页面地址根据一定的逻辑与预先存储的可信列表中的地址进行查找，若包含在可信列表中，则认为当前页面是可信的，反之，则认为当前页面是不可信的，所述查找逻辑包括：域匹配、站点匹配、地址参数匹配、整个页面地址匹配。

8.如权利要求7所述的防止篡改ActiveX控件用途的方法，其特征在于，所述方法还包括：

自动或人工更新所述验证服务器中预先存储的可信列表。

9.一种防止篡改ActiveX控件用途的系统，其特征在于，包括：

ActiveX控件，用于将接口的预置结果返回给宿主容器，从而获取当前页面地址，并将当前页面地址传送给验证服务器；

验证服务器，用于验证ActiveX控件传送的宿主容器的当前页面地址，并将结果返回给ActiveX控件；

所述ActiveX控件根据验证服务器的结果确定是否允许自己被当前页面继续使用，若当前页面可信，则允许被当前页面继续使用，反之，则不允许被当前页面继续使用。

10.如权利要求9所述的防止篡改ActiveX控件用途的系统，其特征在于，所述ActiveX控件包括：

操作确定模块，用于确定是否中断宿主容器创建ActiveX对象的操作；或

访问确定模块，用于确定是否允许当前页面访问ActiveX控件提供的接口。

11.如权利要求9所述的防止篡改ActiveX控件用途的系统，其特征在于，所述ActiveX控件包括：

验证模块，用于根据宿主容器传送的容器指针取得当前页面的地址HostUrl。

12.如权利要求11所述的防止篡改ActiveX控件用途的系统，其特征在于，所述验证模块包括：

发送单元，用于通过https向验证服务器发送验证请求。

13.如权利要求9所述的防止篡改ActiveX控件用途的系统，其特征在于，所述系统还包括：

列表管理器，用于维护更新验证服务器中存储的可信列表，可信列表的记录形式可以是以下所列中的一种或多种：域名、站点、页面地址、页面地址的中参数、匹配模式。

Images