CN104468546B - 一种网络信息处理方法及防火墙装置、系统 - Google Patents

Abstract

本发明实施例提供一种网络信息处理方法及防火墙装置、系统，所述方法包括：当需要防护的页面在客户端浏览器被加载时，客户端浏览器脚本启用所述页面中的防护脚本；所述防护脚本捕获所述页面的页面信息；所述防护脚本将捕获的页面信息与预先设置的防护规则相比较，如果符合所述防护规则，则执行相应处理。所述页面信息包括静态模块和动态模块，防护脚本捕获页面信息包括：通过安装内联事件实现静态模块的捕获；和/或，通过重写原生应用程序编程接口API实现动态模块的捕获。本发明能够灵活的利用客户端浏览器脚本来观察注入脚本并做出拦截或者预警，便于安全人员能够在第一时间找到问题所在，减少用户所受的危害。

Description

一种网络信息处理方法及防火墙装置、系统

技术领域

本发明涉及网络通信技术领域，尤其涉及一种网络信息处理方法及防火墙装置、系统。

背景技术

Cross Site Scripting(CSS又叫XSS，跨站脚本攻击)，是指攻击者往Web(WorldWide Web，万维网)页面插入恶意的脚本代码，当用户启用浏览器访问该页面时，恶意的脚本代码会被执行并攻击用户。为了防止跨站脚本对用户浏览器所访问页面的攻击，出现了Content Security Policy(CSP，内容安全策略)，CSP主要是用来定义页面可以加载哪些资源。CSP旨在减少一种内容注入，这种内容比如说XSS跨站脚本。CSP是一种由开发者定义的公开的安全性策略申明。简单来说，CSP所约束的规则可以指定可信的来源内容，如脚本、图片、iframe(内联框架元素)、style(样式)等可能的远程资源。

在Web上，CSP策略是通过HTTP(超文本传输协议)Header(头)元素或者HTML((Hyper Text Mark-up Language，超文本标记语言或超文本链接标示语言)Meta(元)元素定义的。HTTP Header是在Response Header中增加一个Header来指定，而HTML Meta则是由Meta标签来指定。

HTTP Header：

“Content-Security-Policy”:策略

“Content-Security-Policy-Report-Only”:策略

Content-Security-Policy头部可以指定一个或多个资源是安全的，而Content-Security-Policy-Report-Only则是允许服务器检查(非强制)一个策略。多个头的策略定义优先采用最先定义的。

HTML Meta所用的Meta标签与HTML Header的作用是一样的，都是优先采用最先定义的策略，只是形式不同而已。如果HTTP Header和HTML Meta同时指定，则采用HTTPHeader中定义的策略。如果用户浏览器已经为当前文档执行了一个CSP策略，则会跳过Meta的定义。如果Meta标签缺少CSP策略同样也会跳过。为了防止人为的CSP策略注入，应该将Meta元素放在文档的开始位置来使策略生效。

CSP能在一定程度上防止普通的内容注入漏洞，但是并不能完全杜绝这类漏洞。

CSP防御策略还在逐渐完善中，暴露出来的缺点也是显而易见的：一，主要通过HTTP Header或HTML Meta来实现，策略的配置都必须在服务器端部署，修改策略都需要重启服务器，维护起来会比较麻烦；二，由于内容策略都是一些公开的策略，会有一定的局限性，不够灵活，不能设置一些自定义的规则；三，尽管目前主流浏览器都能够支持CSP，而IE10、11部分支持。但是对于IE10之前的浏览器，就无法适用了。

Web应用防火墙，是通过执行一系列针对HTTP/HTTPS的安全策略来专门为Web应用提供保护的一款产品。Web应用防火墙就是通过分析应用层用户的http请求数据，包括URL(Universal Resource Locator，统一资源定位符)、参数、Cookie(临时文件)、Headers、请求实体等，来识别恶意用户的攻击行为，并对恶意行为进行实时防御或者报警。

Web应用防火墙能够对包括脚本注入等一些常见的针对应用层漏洞的攻击进行有效的防范。常见的Web应用防火墙在安全防护体系中的位置和作用如图1所示。如图1可知，现有的Web应用防火墙的处理方法包括以下步骤：

101、客户端发送HTTP请求到服务器；

102、服务器将请求分发到防火墙引擎；

103、防火墙会根据预先设置好的攻击行为的规则去匹配这个请求，如果匹配上，则执行步骤104，没有匹配上，则执行步骤105；

104、认为是攻击行为，会进行拦截或者报警处理，结束；

105、交由Web服务器正常处理，结束。

尽管Web应用防火墙如此强大，但是还是不可避免有一些缺点。一，匹配规则不好定，太少的话会有漏报，太多的话又会影响服务器性能；二，部署麻烦，一旦修改规则就需要重启服务器，维护起来不太方便；在防护XSS方面，只能够防护反射型XSS，对于存储型XSS就无能为力了。并且由于Web应用防火墙是基于字符特征的，防护准确率不高。

由上可知，现有技术在防护XSS方面还不尽如人意，因此如何设置出新的防护装置和防护方法，成为技术人员需要考虑的问题。

发明内容

本发明所要解决的技术问题是提供一种网络信息处理方法及防火墙装置、系统，更好地降低跨站脚本攻击的可能性。

为了解决上述技术问题，本发明实施例提供一种网络信息处理方法，所述方法包括：

当需要防护的页面在客户端浏览器被加载时，客户端浏览器脚本启用所述页面中的防护脚本；

所述防护脚本捕获所述页面的页面信息；

所述防护脚本将捕获的页面信息与预先设置的防护规则相比较，如果符合所述防护规则，则执行相应处理。

另一方面，本发明实施例提供一种防火墙装置，所述装置包括：

客户端浏览器脚本和防护脚本，其中：

所述客户端浏览器脚本，用于当需要防护的页面在客户端浏览器被加载时，启用所述页面中的防护脚本；

所述防护脚本，用于捕获所述页面的页面信息；以及将捕获的页面信息与预先设置的防护规则相比较，如果符合所述防护规则，则执行相应处理。

另一个方面，本发明实施例还提供一种防火墙系统，所述系统包括：

设置在服务器端的服务器插入脚本，以及设置在客户端的客户端浏览器脚本和防护脚本，其中：

所述服务器插入脚本，用于在需要防护的页面中的客户端浏览器脚本中插入防护脚本；

所述客户端浏览器脚本，用于当需要防护的页面在客户端浏览器被加载时，启用所述页面中的防护脚本；

所述防护脚本，用于捕获所述页面的页面信息；以及将捕获的页面信息与预先设置的防护规则相比较，如果符合所述防护规则，则执行相应处理。

上述技术方案具有如下有益效果：由于XSS跨站脚本注入的攻击主要是出现在客户端浏览器上，利用的是客户端浏览器脚本，现有的相关技术手段在自定义实现以及部署维护上不够灵活，而本发明基于客户端浏览器脚本的防火墙装置及网络信息处理方法能够灵活的利用客户端浏览器脚本来观察注入脚本并做出拦截或者预警，便于安全人员能够在第一时间找到问题所在，减少用户所受的危害。并且本发明在实际使用及维护过程中不需要重启服务器，维护起来更加方便。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为现有技术中Web防火墙工作原理示意图；

图2为本发明实施例一种网络信息处理方法流程图；

图3为本发明实施例一种防火墙装置结构示意图；

图4为本发明实施例一种防火墙系统结构示意图；

图5为本发明实施例一种具体的防火墙处理网络信息的方法流程图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明的主要思想是通过客户端浏览器脚本进行XSS的防护，而区别于以往的基于服务器配置的防火墙装置。

如图2所示，为本发明实施例一种网络信息处理方法流程图，所述方法包括：

203、当需要防护的页面在客户端浏览器被加载时，客户端浏览器脚本启用所述页面中的防护脚本；

204、所述防护脚本捕获所述页面的页面信息；

205、所述防护脚本将捕获的页面信息与预先设置的防护规则相比较，如果符合所述防护规则，则执行相应处理。

在本发明的一个实施例中，在步骤203之前，还包括：在需要防护的页面中的客户端浏览器脚本中插入防护脚本。

优选的，在本发明的一个实施例中，步骤204中所述页面信息包括静态模块和动态模块，所述防护脚本捕获所述页面的页面信息包括：通过安装内联事件实现静态模块的捕获；和/或，通过重写原生应用程序编程接口API实现动态模块的捕获；其中，所述静态模块是服务器直接向客户端浏览器返回的页面信息，所述动态模块是通过外部脚本在客户端浏览器中动态生成的页面信息。

当然，也可以通过其他方式捕获当前页面信息，本领域技术人员不需要创造性劳动就可以想到的其他的捕获页面信息的方法，也在本发明的保护范围之内。

优选的，在本发明的一个实施例中，步骤205中，对于静态模块，所述防护规则包括：页面信息中存在恶意代码；所述执行相应处理包括：拦截恶意代码的执行；以及对于动态模块，所述防护规则包括：页面信息对应的脚本为外部脚本；所述执行相应处理包括：禁止外部脚本的加载。当然实际使用中也可以根据需要设置其他的防护规则。

为了实现监控数据，优选的，在本发明的一个实施例中，步骤205中所述执行相应处理还包括：所述防护脚本向后台监控服务器发送监控信息，提供给安全人员分析定位存在XSS漏洞的出处。

具体来说，安装内联事件：其实是对当前页面所有元素进行内联事件的监控。内联事件即onlick,onload之类的on开头的页面元素的属性，大部分的dom元素(页面元素)都有这些属性，这些属性后面的值是javascript代码。认为xss的利用可能会在这些属性后面植入，所以会对当前页面元素进行这些内联事件的监控，扫描属性值中的javascript代码是否存在恶意代码。若发现恶意代码，可以执行拦截处理，不让恶意代码执行，同时将当前页面及出现恶意代码的位置等信息发到后台；在本发明另外的实施例中，也可以对发现的恶意代码不进行拦截处理，仅将当前页面及出现恶意代码的位置等信息发到后台监控服务器。

重写原生API(应用程序编程接口)：原生的API在一些页面元素加载的时候javascript会自动调用执行。我们通过代码重新定义这些API，可以在不影响该API原有逻辑的情况下，额外的插入我们想要执行的代码来作一些监控，比如发现当前页面引入的脚本是否为外部脚本。若判定为外部脚本，非本站白名单内的脚本，可以执行拦截处理，就是禁止所述外部脚本加载，并将外部脚本相关信息发送到后台监控服务器；在本发明另外的实施例中，也可以不执行拦截处理，仅将外部脚本相关信息发到后台监控服务器。

在本发明另外的实施例中，步骤203之前还包括以下步骤：

202、确定需要防护的页面，在所述需要防护的页面中的客户端浏览器脚本中插入所述防护脚本；

需要说明的是，在步骤202中，可以根据实际使用需求确定需要防护的页面，比如，如果判断到页面可能会受到攻击，则确定该页面为需要进行防护的页面。优选的，在本发明的一个实施例中，步骤202中在所述需要防护的页面中插入所述防护脚本，包括：在页面文档的head标签内引入所述防护脚本。当然也可以通过其他方式引入所述防护脚本，本发明对此不加以限定。

在本发明另外的实施例中，步骤202之前还包括以下步骤：

201、设置防护规则并设置防护脚本。

所述防护规则和防护脚本可以根据实际使用需求进行调整，本发明对此不加以限定。

参照如图3所示，为本发明实施例一种防火墙装置结构示意图，所述装置设置在客户端，包括：

客户端浏览器脚本303，用于当需要防护的页面在客户端浏览器被加载时，客户端浏览器脚本启用防护脚本；

防护脚本304，用于捕获所述页面的页面信息；以及将捕获的页面信息与预先设置的防护规则相比较，如果符合所述防护规则，则执行相应处理。

优选的，在本发明的一个实施例中，所述防护脚本304，，用于通过安装内联事件捕获静态模块，和/或通过重写原生API捕获动态模块。所述静态模块是服务器直接返回的页面信息，所述动态模块是通过外部脚本动态生成的页面信息。当然，也可以通过其他方式捕获当前页面信息，本领域技术人员不需要创造性劳动就可以想到的其他的捕获页面信息的方法，也在本发明的保护范围之内。

优选的，在本发明的一个实施例中，所述防护脚本304，，用于判断捕获的静态模块的页面信息中是否存在恶意代码；并拦截恶意代码的执行；和/或判断捕获的动态模块的页面信息对应的脚本是否为外部脚本，并禁止外部脚本的加载。

为了实现数据监控，在本发明的一个实施例中，设置后台监控服务器，所述防护脚本304，用于向后台监控服务器发送监控信息，所述监控信息为实时数据，由后台监控服务器收集防护脚本发送的一些监控信息，比如存在恶意代码的内联事件或者外部脚本的相关信息，或者存在可疑代码的相关信息，提供给安全人员来分析定位存在XSS漏洞的出处。

参照图4所示，在本发明的另一个实施例中，可以提供一种防火墙系统，包括如图3所示的设置在客户端的客户端浏览器脚本303和防护脚本304，还包括设置在服务端的服务器插入脚本302：用于确定需要防护的页面，在所述需要防护的页面中的客户端浏览器脚本中插入所述防护脚本；

优选的，在本发明的一个实施例中，所述服务器插入脚本302用于在页面文档的head标签内引入所述防护脚本。当然，也可以通过其他的方式引入所述防护脚本，本发明对此不加以限定。

优选的，在本发明的另一个实施例中，上述的防火墙系统，还包括：

设置脚本301，用于设置防护规则并设置防护脚本。

在实际使用中可以根据需要对防护规则和防护脚本进行设置。

下面通过一个具体的实例来对本发明技术方案进行进一步详细说明。

参照如图5所示，为本发明实施例一种具体的防火墙处理网络信息的方法流程图。在本实施例中，工作流程如下：

步骤401、页面元素加载；

步骤402、载入防护脚本；

步骤403、静态模块和/或动态模块扫描；如果扫描到恶意代码，执行步骤404；如果扫描到可疑代码，执行步骤405；

步骤404、直接拦截，执行步骤405；

步骤405、发送消息到后台监控服务器。

具体来说，如果一个页面存在XSS漏洞，攻击者在发现这个漏洞的过程中，或者利用这个漏洞的时候，往往会构造一系列恶意代码试图去嵌入当前页面。攻击者一般通过构造javascript(一种直译式脚本语言，为浏览器的一部分，广泛用于客户端的脚本语言，主要在HTML网页上使用，用来给HTML网页增加动态功能)内联事件或者引入外部脚本来执行自己的恶意代码，来达到攻击受害者的目的。

概括来说，在实现上，本发明基于客户端浏览器脚本的防火墙装置及系统会提供一个javascript防护脚本，在需要进行防护的页面中插入这段脚本，可以通过<script src＝””></script>的形式在文档的head标签内引入。作为另外的实施方式，也可以通过js(javascript)动态加载防护脚本。

网络浏览器向服务器发起页面访问请求，页面开始加载，防护脚本引入之后，当前页面的所有内联事件以及引入外部模块的API(Application Program Interface，应用程序编程接口)都处于被监控状态。防护脚本通过重写javascript原生的类或方法，在浏览器页面可以监控引入外部模块的行为，如通过src(source，来源)引入或Ajax(异步JavaScript及可扩展标记语言)引入等。如果监控到的内容有匹配的信息，防护脚本认为当前页面被嵌入了恶意或可疑代码，存在XSS漏洞，根据设定的规则会拦截内联事件或者来自客户端浏览器外部脚本的执行，并将相关信息发送到后台监控服务器实施预警。

具体来说，当页面开始加载，防护脚本载入之后，防护脚本捕获当前页面信息，包括：防护脚本会根据指定的很多规则去捕获当前页面信息，在本实施例中，主要分两类捕获，静态模块的捕获和动态模块的捕获。静态模块就是服务器直接返回的页面信息，动态模块就是通过javascript脚本动态生成的页面信息。对于静态模块，防护脚本会遍历所有的内联事件，如onload(加载)、onclick(点击触发)等,以及利用javascript自带的MutationObserver类来捕获能够引入外部脚本的元素，如script(脚本)、iframe、embed(嵌入)等，然后对获取的信息进行一定规则的匹配。

动态模块可以通过javascript动态创建一个标签，定义src(source，来源)属性，然后再添加到当前页面中来引入外部脚本。当设置src属性时，HTMLScriptElement.prototype.src这个访问器会被调用。防护脚本会重写这个访问器，使得外部脚本被引入之前就能检测到并拦截和预警。当然，动态模块还有可能通过Ajax(异步JavaScript及可扩展标记语言)、WebSocket协议、EventSource(事件源)等javascript的类或方法来引入外部脚本，防护脚本重写这些类或方法来监控具体操作。

本发明防护脚本是通过安装各种内联事件和重写原生API来实现的，可能会引起一些性能耗损，必须通过一个后台监控服务器来观察数据，而且后台监控服务器还可以用来收集防护脚本发送的一些监控信息，提供给安全人员来分析定位存在XSS漏洞的出处。

由于采用了本发明这种基于客户端浏览器脚本的防火墙装置、方法及系统，使得XSS漏洞的触发以及产生的危害能够被拦截和预警，因而可以有效减缓XSS漏洞的危害以及预警XSS漏洞的出处，便于开发人员及时修改漏洞。

本领域技术人员还可以了解到本发明实施例列出的各种说明性逻辑块(illustrative logical block)，单元，和步骤可以通过电子硬件、电脑软件，或两者的结合进行实现。为清楚展示硬件和软件的可替换性(interchangeability)，上述的各种说明性部件(illustrative components)，单元和步骤已经通用地描述了它们的功能。这样的功能是通过硬件还是软件来实现取决于特定的应用和整个系统的设计要求。本领域技术人员可以对于每种特定的应用，可以使用各种方法实现所述的功能，但这种实现不应被理解为超出本发明实施例保护的范围。

本发明实施例中所描述的各种说明性的逻辑块，或单元都可以通过通用处理器，数字信号处理器，专用集成电路(ASIC)，现场可编程门阵列或其它可编程逻辑装置，离散门或晶体管逻辑，离散硬件部件，或上述任何组合的设计来实现或操作所描述的功能。通用处理器可以为微处理器，可选地，该通用处理器也可以为任何传统的处理器、控制器、微控制器或状态机。处理器也可以通过计算装置的组合来实现，例如数字信号处理器和微处理器，多个微处理器，一个或多个微处理器联合一个数字信号处理器核，或任何其它类似的配置来实现。

本发明实施例中所描述的方法或算法的步骤可以直接嵌入硬件、处理器执行的软件模块或脚本、或者这两者的结合。软件模块或脚本可以为存储于RAM存储器、闪存、ROM存储器、EPROM存储器、EEPROM存储器、寄存器、硬盘、可移动磁盘、CD-ROM或本领域中其它任意形式的存储媒介中。示例性地，存储媒介可以与处理器连接，以使得处理器可以从存储媒介中读取信息，并可以向存储媒介存写信息。可选地，存储媒介还可以集成到处理器中。处理器和存储媒介可以设置于ASIC中，ASIC可以设置于用户终端中。可选地，处理器和存储媒介也可以设置于用户终端中的不同的部件中。

在一个或多个示例性的设计中，本发明实施例所描述的上述功能可以在硬件、软件、固件或这三者的任意组合来实现。如果在软件中实现，这些功能可以存储与电脑可读的媒介上，或以一个或多个指令或代码形式传输于电脑可读的媒介上。电脑可读媒介包括电脑存储媒介和便于使得让电脑程序从一个地方转移到其它地方的通信媒介。存储媒介可以是任何通用或特殊电脑可以接入访问的可用媒体。例如，这样的电脑可读媒体可以包括但不限于RAM、ROM、EEPROM、CD-ROM或其它光盘存储、磁盘存储或其它磁性存储装置，或其它任何可以用于承载或存储以指令或数据结构和其它可被通用或特殊电脑、或通用或特殊处理器读取形式的程序代码的媒介。此外，任何连接都可以被适当地定义为电脑可读媒介，例如，如果软件是从一个网站站点、服务器或其它远程资源通过一个同轴电缆、光纤电缆、双绞线、数字用户线(DSL)或以例如红外、无线和微波等无线方式传输的也被包含在所定义的电脑可读媒介中。所述的碟片(disk)和磁盘(disc)包括压缩磁盘、镭射盘、光盘、DVD、软盘和蓝光光盘，磁盘通常以磁性复制数据，而碟片通常以激光进行光学复制数据。上述的组合也可以包含在电脑可读媒介中。

以上所述的具体实施方式，对本发明的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上所述仅为本发明的具体实施方式而已，并不用于限定本发明的保护范围，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (8)

1.一种网络信息处理方法，其特征在于，所述方法包括：

当需要防护的页面在客户端浏览器被加载时，客户端浏览器脚本启用所述页面中的防护脚本；

所述防护脚本捕获所述页面的页面信息；

所述防护脚本将捕获的页面信息与预先设置的防护规则相比较，如果符合所述防护规则，则执行相应处理；

其中，所述页面信息包括静态模块和动态模块，所述防护脚本捕获所述页面的页面信息包括：通过安装内联事件实现静态模块的捕获；和/或，通过重写原生应用程序编程接口API实现动态模块的捕获；其中，所述静态模块是服务器直接向客户端浏览器返回的页面信息，所述动态模块是通过外部脚本在客户端浏览器中动态生成的页面信息。

2.如权利要求1所述方法，其特征在于，在所述需要防护的页面在客户端浏览器被加载的步骤之前，还包括：在需要防护的页面中的客户端浏览器脚本中插入防护脚本。

3.如权利要求1所述方法，其特征在于，

对于静态模块，所述防护规则包括：页面信息中存在恶意代码；所述执行相应处理包括：拦截恶意代码的执行；以及

对于动态模块，所述防护规则包括：页面信息对应的脚本为外部脚本；所述执行相应处理包括：禁止外部脚本的加载。

4.如权利要求1所述方法，其特征在于，所述执行相应处理包括：所述防护脚本向后台监控服务器发送监控信息。

5.一种防火墙装置，其特征在于，所述装置包括客户端浏览器脚本和防护脚本，其中：

所述客户端浏览器脚本，用于当需要防护的页面在客户端浏览器被加载时，启用所述页面中的防护脚本；

所述防护脚本，用于捕获所述页面的页面信息；以及将捕获的页面信息与预先设置的防护规则相比较，如果符合所述防护规则，则执行相应处理；

其中，所述防护脚本，具体用于通过安装内联事件捕获静态模块；和/或，通过重写原生应用程序编程接口API捕获动态模块；其中，所述静态模块是服务器直接向客户端浏览器返回的页面信息，所述动态模块是通过外部脚本在客户端浏览器中动态生成的页面信息。

6.如权利要求5所述装置，其特征在于，所述防护脚本，具体用于判断捕获的静态模块的页面信息中是否存在恶意代码，若是则拦截恶意代码的执行；判断捕获的动态模块的页面信息对应的脚本是否为外部脚本，若是则禁止外部脚本的加载。

7.如权利要求5所述装置，其特征在于，所述防护脚本，具体用于如果符合所述防护规则，则向后台监控服务器发送监控信息。

8.一种防火墙系统，其特征在于，所述系统包括设置在服务器端的服务器插入脚本，以及设置在客户端的客户端浏览器脚本和防护脚本，其中：

所述服务器插入脚本，用于在需要防护的页面中的客户端浏览器脚本中插入防护脚本；

所述客户端浏览器脚本，用于当需要防护的页面在客户端浏览器被加载时，启用所述页面中的防护脚本；

所述防护脚本，用于捕获所述页面的页面信息；以及将捕获的页面信息与预先设置的防护规则相比较，如果符合所述防护规则，则执行相应处理；

其中，所述防护脚本，具体用于通过安装内联事件捕获静态模块；和/或，通过重写原生应用程序编程接口API捕获动态模块；其中，所述静态模块是服务器直接向客户端浏览器返回的页面信息，所述动态模块是通过外部脚本在客户端浏览器中动态生成的页面信息。