TW201423471A - 跨站腳本攻擊監控系統及方法 - Google Patents

Abstract

本發明涉及一種跨站腳本攻擊監控系統，包括應用服務模組、監控模組及分析模組。應用服務模組包括業務模組及重定義模組；所述業務模組接收並回應用戶端的服務請求，所述重定義模組對跨站腳本攻擊中採用的腳本內置函數進行重定義，並將腳本內置函數的重定義資訊返回至用戶端；監控模組，監控用戶端對所述重定義的腳本內置函數的調用資訊；分析模組，對所述調用資訊進行安全性分析。所述跨站腳本攻擊監控系統能實現對跨站腳本攻擊來源、攻擊時間、洩漏資料，攻擊的漏洞點等進行精確的定位。另外，本發明還提供了一種跨站腳本攻擊監控方法。

Description

跨站腳本攻擊監控系統及方法

本發明涉及網路安全技術領域，尤其涉及一種跨站腳本攻擊監控系統及方法。

近年來，軟體安全領域的關注焦點已經逐漸由伺服器端攻擊轉變為用戶端攻擊，而跨站腳本(XSS，英文全稱是Cross Site Script)攻擊已被人們視為網路應用程式面臨的最主要的安全威脅。跨站腳本常常利用應用程式的安全缺陷，與其他漏洞一起造成破壞性的後果，有時跨站腳本攻擊也可能轉變成某種病毒或能夠自我繁殖的蠕蟲，帶來更嚴重的破壞。2005年，Myspace受到了基於跨站腳本蠕蟲的攻擊，使大量用戶收到百萬級別的請求，而不得不被迫關閉它的應用程式。2009年，Twitter受到了兩個跨站腳本蠕蟲的攻擊，大量用戶被動發送宣傳蠕蟲的推文。2010年，Apache Foundation被攻擊者利用其問題追蹤應用程式中的漏洞，藉由反射型跨站腳本攻擊攻破。2011年6月28日，新浪微博出現了一次比較大的跨站腳本攻擊事件，造成帳號安全嚴重崩潰。

自從跨站腳本攻擊被發現以來，人們開始了跨站腳本攻擊檢測和防禦方面的研究。目前跨站腳本攻擊檢測工具主要包括集中檢測型工具和用戶端檢查型工具。

所述集中檢測型工具一般是藉由對網路站點發送構造的攻擊字串攻擊訪問鏈結，將攻擊字串插入應用程式的傳遞參數中，然後監控相應的回應，判別網路站點是否存在跨站腳本安全隱患。如果攻擊字串原樣出現在回應中，則可確定應用程式存在跨站腳本漏洞。但是這種檢測方式所構造的攻擊字串是有限的，並不能窮盡所有攻擊情形，因此，這種方式覆蓋面比較低，只能用來初級檢查，防護效率低。

所述用戶端檢查型工具是藉由用戶自行安裝在用戶端的檢測工具，檢查用戶作業系統介面，是否執行作業系統的危險函數，藉由對作業系統函數的調用進行分析來判別用戶端是否受到攻擊。在對作業系統級的函數調用和分析需要取得相關的許可權，同時需要在用戶端安裝該檢測工具，實現成本高，而且傾向於用戶端的保護，對網路站點的防護不夠明顯。此外，這種檢測方式也不能自動通知漏洞服務的提供者來幫助其完善該漏洞服務。

此外，現有的跨站腳本攻擊檢測工具無法監控用戶端的行為，因此，難以有效獲取攻擊來源，且不能實現在攻擊發生時的預警和通知功能，更不能在攻擊發生時自動防範攻擊。

有鑒於此，有必要提供一種低成本實現、防護效率高的跨站腳本攻擊監控系統及方法。

本發明提供一種跨站腳本攻擊監控系統，跨站腳本攻擊監控系統包括：應用服務模組，其包括業務模組及重定義模組；所述業務模組接收並回應用戶端的服務請求，所述重定義模組對跨站腳本攻擊中採用的腳本內置函數進行重定義，並將腳本內置函數的重定義資訊返回至用戶端；監控模組，監控用戶端對所述重定義的腳本內置函數的調用資訊；及分析模組，對所述調用資訊進行安全性分析。

本發明還提供一種跨站腳本攻擊監控方法，其包括：接收並回應用戶端的服務請求；對在跨站腳本攻擊中採用的腳本內置函數進行重定義，並將重定義的腳本內置函數返回用戶端；監控用戶端對所述重定義的腳本內置函數的調用資訊；及對所述重定義的腳本內置函數的調用資訊進行安全性分析。

本發明實施例的跨站腳本攻擊監控系統及方法中，藉由監控用戶端對跨站腳本攻擊中採用的腳本函數的調用來達到檢測目的，能有效地檢測各種類型的跨站腳本攻擊，覆蓋面高，監測效果好，應用匹配度高。

其次，本發明實施例可以藉由即時地記錄腳本異常時的用戶端行為、用戶的帳號、IP、腳本執行的上下文環境、異常調用的函數等資訊，能實現對跨站腳本攻擊來源、攻擊時間、洩漏資料，攻擊的漏洞點等進行精確的定位。

再次，本發明實施例所述的跨站腳本攻擊監控系統跨平臺，跨終端部署，不受終端和用戶作業系統影響，不用在終端上另外安裝軟體，能夠對使用服務的用戶都提供保護。

上述說明僅是本發明技術方案的概述，為了能夠更清楚瞭解本發明的技術手段，而可依照說明書的內容予以實施，並且為了讓本發明的上述和其他目的、特徵和優點能夠更明顯易懂，以下特舉實施例，並配合圖式，詳細說明如下。

10‧‧‧應用服務模組

11‧‧‧業務模組

12‧‧‧重定義模組

20‧‧‧監控模組

30‧‧‧分析模組

40‧‧‧儲存模組

50‧‧‧報警模組

60‧‧‧攔截模組

100‧‧‧跨站腳本攻擊監控系統

200‧‧‧跨站腳本攻擊監控系統

以下結合圖式描述本發明的實施例，其中：圖1是本發明實施例提供的一種跨站腳本攻擊監控系統的功能模組圖；圖2是本發明另一實施例提供的一種跨站腳本攻擊監控系統的功能模組圖；圖3是本發明實施例提供的一種跨站腳本攻擊監控方法的流程圖；及圖4是本發明另一實施例提供的一種跨站腳本攻擊監 控方法的流程圖。

以下基於圖式對本發明的具體實施例進行進一步詳細說明。應當理解，此處所描述的具體實施例僅僅作為實施例，並不用於限定本發明的保護範圍。

請參閱圖1，為本發明實施例提供的跨站腳本攻擊監控系統100。

跨站腳本攻擊監控系統100包括應用服務模組10、監控模組20及分析模組30。

應用服務模組10包括業務模組11及重定義模組12。所述業務模組11接收用戶端60的服務請求並回應該服務請求。所述重定義模組12確定跨站腳本攻擊常用的腳本內置函數，並對其進行重定義。

所述腳本內置函數為腳本語言的內置函數，包括用於創建頁面元素的函數(例如document.createElement)、執行外鏈代碼的函數(例如document.write、window.location)及用於頁面呈現的函數(例如window.alert、window.confirm、window.prompt)。所述腳本語言為JavaScript。由於隨著駭客技術的不斷發展，可能會有更多的腳本語言內置函數會被用於進行跨站腳本攻擊，可以理解，所述跨站腳本攻擊中常採用的腳本語言內置函數並不限定為某個具體時間點時跨站腳本攻擊中常採用的函數，而應該理解為是一個可以隨著技術發展不斷更新的函 數庫。

本發明實施例在對腳本內置函數的重定義包括在根據服務請求返回給用戶端的資料中增加對該腳本內置函數的調用進行監控的代碼。具體的，可以在返回給用戶端的資料中添加用於實現記錄所述腳本內置函數被調用時的調用資訊和發送該調用資訊至監控模組20的代碼。本發明具體實施例中，重定義的函數可以在業務模組11回應用戶瀏覽器端的服務請求時包含於回應頁面的頁面頭中，並發送回用戶瀏覽器端。由於頁面頭在用戶瀏覽器端不易被改變，因此增加了重定義的函數的安全性。所述服務請求為http請求。

監控模組20監控用戶端對由應用服務模組返回的重定義的腳本內置函數的調用資訊。具體的，監控模組20監測用戶端是否調用了重定義的腳本內置函數，若有重定義的所述腳本內置函數，則記錄該重定義的腳本內置函數的調用資訊，並將該調用資訊發送給所述分析模組30，否則不進行處理。所述調用資訊可包括該重定義的腳本內置函數調用時腳本執行的上下文環境、該重定義的腳本內置函數調用的時間、該重定義的腳本內置函數的調用次數中的一個或多個。進一步的，所述調用資訊還可以包括調用該重定義的腳本內置函數的用戶行為、該用戶的帳號及IP地址等中的一個或多個。本發明實施例的用戶端通常包括終端上安裝的瀏覽器。

具體地，對所述重定義的腳本內置函數的調用進行監 控的代碼可以藉由監控模組嵌入到應用服務頁面中。該應用服務頁面可以是由第三方提供，本發明對所述重定義的腳本內置函數的調用進行監控可以是藉由監控模組向第三方的頁面嵌入監控代碼實現。

所述分析模組30用於對監控模組20發送的調用資訊進行安全性分析，並判斷是否為跨站腳本攻擊。所述分析模組30可根據行為特徵等判斷該重定義的腳本內置函數調用是否為跨站腳本攻擊。所述行為特徵具體可包括該重定義的腳本內置函數所調用的應用、該腳本內置函數被調用的次數、訪問的敏感資料(例如用戶Cookie、用戶帳號、用戶密碼等)、傳輸的敏感資料等。

在本發明另外一個實施例中，如圖2所示，跨站腳本攻擊監控系統200包括應用服務模組10、監控模組20及分析模組30。跨站腳本攻擊監控系統200還進一步包括儲存模組40、報警模組50及攔截模組60。

儲存模組40用於在分析模組30判斷用戶端對重定義的腳本內置函數的調用為跨站腳本攻擊時，儲存該腳本內置函數的調用資訊。

報警模組50用於當分析模組30判斷對重定義的腳本內置函數的調用為跨站腳本攻擊時，發出安全警告。具體地，報警模組50可將所述安全警告藉由電子郵件發給被攻擊網站的安全負責人員。這樣安全負責人員接到警告郵件後，即可迅速採取防禦措施，保證業務安全，同時修復安全漏洞。藉由發出安全警告，可以在跨站腳本攻擊發生 時提供的預警和通知功能，可以即時發現和監控跨站腳本攻擊的發生。

所述攔截模組60用於當所述分析模組30判斷存在跨站腳本攻擊時，所述攔截模組攔截所述重定義腳本內置函數的後續執行，終止頁面的繼續渲染，使用安全頁面替換當前被攻擊頁面。藉由攔截該重定義的腳本內置函數的調用可以在跨站腳本攻擊發生時自動防範攻擊。

請參閱圖3，本發明實施例的一種跨站腳本攻擊監控方法包括步驟S101-S104。

步驟S101，接收並回應用戶端的服務請求。

當用戶端請求某個應用的服務時，用戶端將服務請求發給網路應用伺服器。網路應用伺服器接收用戶端的服務請求，並對用戶端的服務請求進行回應。

步驟S102，對在跨站腳本攻擊中採用的腳本內置函數進行重定義，並將腳本內置函數的重定義資訊返回用戶端。

網路應用伺服器對跨站腳本攻擊中常用的腳本內置函數進行重定義，在保證腳本內置函數正常功能的情況下，增加獲取所述腳本內置函數的調用資訊和發送調用資訊的功能。即，所述腳本內置函數的重定義包括在回應所述服務請求的返回資料中添加用於獲取所述腳本內置函數的調用資訊和發送調用資訊的代碼。對腳本內置函數的重定義的資訊包含於網路伺服器根據所述服務請求返回的回應頁面的頁面頭中。

所述腳本內置函數為腳本語言內置函數，包括用於創建頁面元素的函數(例如document.createElement)、執行外鏈代碼的函數(例如document.write、window.location)及用於頁面呈現的函數(例如window.alert、window.confirm、window.prompt)。所述腳本語言為JavaScript。由於隨著駭客技術的不斷發展，可能會有更多的腳本語言內置函數會被用於進行跨站腳本攻擊，可以理解，所述跨站腳本攻擊中常採用的腳本語言內置函數並不限定為某個具體時間點時跨站腳本攻擊中常採用的函數，而應該理解為是一個可以隨著技術發展不斷更新的函數庫。

步驟S103，監控用戶端對所述重定義的腳本內置函數的調用資訊。

用戶端在根據網路伺服器返回的資料進行頁面渲染時，使用重定義的腳本內置函數覆蓋用戶端的腳本解釋器對腳本內置函數的定義。如此，對於具有跨站腳本攻擊風險的服務請求，在進行頁面渲染時，會觸發所述腳本內置函數的調用，用戶端則調用重定義的腳本內置函數對頁面資料進行渲染。在重定義的腳本內置函數被調用時，對該重定義的腳本內置函數的調用資訊進行監控。

具體地，對所述重定義的腳本內置函數的調用進行監控的代碼可以藉由監控模組嵌入到應用服務頁面中。該應用服務頁面可以是由第三方提供，本發明的跨站腳本攻擊監控方法可以是藉由監控模組向第三方的頁面嵌入監控代 碼實現。

所述調用資訊可包括該重定義的腳本內置函數調用時腳本執行的上下文環境、該重定義的腳本內置函數調用的時間、該重定義的腳本內置函數的調用次數中的一個或多個。進一步的，所述調用資訊還可以包括調用該重定義的腳本內置函數的用戶行為、該用戶的帳號及IP地址等中的一個或多個。

步驟S104，對所述重定義的腳本內置函數的調用資訊進行安全性分析。

具體地，可根據對所述調用資訊來判斷執行所述重定義腳本內置函數的調用行為是否為跨站腳本攻擊。所述行為特徵具體可包括腳本內置函數調用位置，腳本內置函數調用應用、腳本內置函數調用次數、訪問敏感資料、傳輸敏感資料等。

本發明實施例藉由對腳本內置函數的調用的監控來實現跨站腳本攻擊的預警分析，不受用戶端作業系統影響，不用在用戶端安裝額外的軟體，能夠對使用服務的用戶都提供保護。

在本發明另外一個實施例中，如圖4所示，一種跨站腳本攻擊監控方法還包括步驟S105、S106及S107。

步驟S105，儲存所述重定義的腳本內置函數的調用資訊。

步驟S106，當根據所述安全性分析判斷對重定義的腳本內置函數的調用為跨站腳本攻擊時，發出安全警告。 具體地，可將所述安全警告藉由電子郵件發給被攻擊網站的安全負責人員。這樣安全負責人員接到警告郵件後，即可迅速採取防禦措施，保證業務安全，同時修復安全漏洞。藉由發出安全警告，可以在跨站腳本攻擊發生時提供的預警和通知功能，可以即時發現和監控跨站腳本攻擊的發生。

步驟S107，攔截所述重定義腳本內置函數調用。藉由攔截所述重定義腳本內置函數調用可以在跨站腳本攻擊發生時自動防範攻擊。

與現有技術相比，本發明實施例所述的跨站腳本攻擊監控系統及方法中，藉由監控用戶端瀏覽器異常的腳本執行來達到檢測目的，能有效地檢測各種類型的跨站腳本攻擊，覆蓋面高，監測效果好，應用匹配度高。其次，藉由即時地記錄腳本異常時的用戶端行為、用戶的帳號、IP、腳本執行的上下文環境、異常調用的函數等資訊，能實現對跨站腳本攻擊來源、攻擊時間、洩漏資料，攻擊的漏洞點等進行精確的定位。再次，本發明實施例所述的跨站腳本攻擊監控系統跨平臺，跨終端部署，不受終端和用戶作業系統影響，不用在用戶端另外安裝軟體，能夠對使用服務的用戶都提供保護。

以上所述僅為本發明的較佳實施例而已，並不用以限制本發明，凡在本發明的精神和原則之內所作的任何修改、等同替換和改進等，均應包含在本發明的保護範圍之內。

10‧‧‧應用服務模組

11‧‧‧業務模組

12‧‧‧重定義模組

20‧‧‧監控模組

30‧‧‧分析模組

100‧‧‧跨站腳本攻擊監控系統

Claims (15)

1. 一種跨站腳本攻擊監控系統，其特徵在於，包括：應用服務模組，其包括業務模組及重定義模組；該業務模組接收並回應用戶端的服務請求，該重定義模組對跨站腳本攻擊中採用的腳本內置函數進行重定義，並將腳本內置函數的重定義資訊返回至用戶端；監控模組，監控用戶端對該重定義的腳本內置函數的調用資訊；及分析模組，對該調用資訊進行安全性分析。
2. 如申請專利範圍第1項的跨站腳本攻擊監控系統，其中，該對腳本內置函數的重定義包括增加對該腳本內置函數的調用進行監控的代碼。
3. 如申請專利範圍第1項的跨站腳本攻擊監控系統，其中對腳本內置函數的重定義資訊包含於網路伺服器根據該服務請求返回的回應頁面的頁面頭中。
4. 如申請專利範圍第1項的跨站腳本攻擊監控系統，其中，該重定義的腳本內置函數為腳本語言的內置函數包括用於創建頁面元素的函數、執行外鏈代碼的函數及用於頁面呈現的函數。
5. 如申請專利範圍第4項的跨站腳本攻擊監控系統，其中，該腳本語言為Javascript，該重定義的腳本內置函數包括document.createElement、document.write、window.location、window.alert、window.confirm及 window.prompt中的一種或多種。
6. 如申請專利範圍第1項的跨站腳本攻擊監控系統，其中，該重定義的腳本內置函數的調用資訊包括重定義的腳本內置函數被調用時該腳本內置函數執行的上下文環境、該重定義的腳本內置函數調用的時間、該重定義的腳本內置函數的調用次數、調用該重定義的腳本內置函數的用戶行為、該用戶的帳號及IP地址中的一個或多個。
7. 如申請專利範圍第1項的跨站腳本攻擊監控系統，其中，分析模組根據行為特徵等判斷該重定義的腳本內置函數調用是否為跨站腳本攻擊，該行為特徵包括該重定義的腳本內置函數所調用的應用、該腳本內置函數被調用的次數、訪問的敏感資料及傳輸的敏感資料。
8. 如申請專利範圍第1項的跨站腳本攻擊監控系統，其中，該跨站腳本攻擊監控系統還包括一個攔截模組，當該分析模組判斷對重定義的腳本內置函數的調用為跨站腳本攻擊時，該攔截模組攔截該重定義腳本內置函數的後續執行，終止網頁的繼續渲染，使用安全頁面替換當前被攻擊頁面。
9. 一種跨站腳本攻擊監控方法，其包括：接收並回應用戶端的服務請求；對在跨站腳本攻擊中採用的腳本內置函數進行重定義，並將重定義的腳本內置函數返回用戶端；監控用戶端對該重定義的腳本內置函數的調用資訊；及 對該重定義的腳本內置函數的調用資訊進行安全性分析。
10. 如申請專利範圍第8項的跨站腳本攻擊監控方法，其中，該對腳本內置函數的重定義包括增加對該腳本內置函數的調用進行監控的代碼；對腳本內置函數的重定義資訊包含於網路伺服器根據該服務請求返回的回應頁面的頁面頭中。
11. 如申請專利範圍第8項的跨站腳本攻擊監控方法，其中，該重定義的腳本內置函數為腳本語言的內置函數包括用於創建頁面元素的函數、執行外鏈代碼的函數及用於頁面呈現的函數。
12. 如申請專利範圍第11項的跨站腳本攻擊監控方法，其中，該腳本語言為JavaScript，該重定義的腳本內置函數包括document.createElement、document.write、window.location、window.alert、window.confirm及window.prompt中的一種或多種。
13. 如申請專利範圍第8項的跨站腳本攻擊監控方法，其中，該重定義的腳本內置函數的調用資訊包括重定義的腳本內置函數被調用時該腳本內置函數執行的上下文環境、該重定義的腳本內置函數調用的時間、該重定義的腳本內置函數的調用次數、調用該重定義的腳本內置函數的用戶行為、該用戶的帳號及IP地址中的一個或多個。
14. 如申請專利範圍第8項的跨站腳本攻擊監控方法，其中，分析模組根據行為特徵等判斷該重定義的腳本 內置函數調用是否為跨站腳本攻擊；該行為特徵包括該重定義的腳本內置函數所調用的應用、該腳本內置函數被調用的次數、訪問的敏感資料及傳輸的敏感資料。
15. 如申請專利範圍第8項的跨站腳本攻擊監控方法，其中，該跨站腳本攻擊監控方法還包括，當該分析模組判斷對重定義的腳本內置函數的調用為跨站腳本攻擊時，攔截該重定義的腳本內置函數的後續執行，終止頁面的繼續渲染，使用安全頁面替換當前被攻擊頁面。