TWI621962B - 跨站腳本攻擊監控系統及方法 - Google Patents

跨站腳本攻擊監控系統及方法 Download PDF

Info

Publication number
TWI621962B
TWI621962B TW102109492A TW102109492A TWI621962B TW I621962 B TWI621962 B TW I621962B TW 102109492 A TW102109492 A TW 102109492A TW 102109492 A TW102109492 A TW 102109492A TW I621962 B TWI621962 B TW I621962B
Authority
TW
Taiwan
Prior art keywords
script
function
built
cross
redefined
Prior art date
Application number
TW102109492A
Other languages
English (en)
Other versions
TW201423471A (zh
Inventor
Rong Zhu
Xiao-Shuan Li
Zi-Yi Yi
tian-he Xu
Original Assignee
Alibaba Group Services Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Alibaba Group Services Ltd filed Critical Alibaba Group Services Ltd
Publication of TW201423471A publication Critical patent/TW201423471A/zh
Application granted granted Critical
Publication of TWI621962B publication Critical patent/TWI621962B/zh

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/52—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow
    • G06F21/54—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow by adding security routines or objects to programs
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1466—Active attacks involving interception, injection, modification, spoofing of data unit addresses, e.g. hijacking, packet injection or TCP sequence number attacks
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2119—Authenticating web pages, e.g. with suspicious links

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Virology (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Computer And Data Communications (AREA)
  • Stored Programmes (AREA)

Abstract

本發明涉及一種跨站腳本攻擊監控系統，包括應用服務模組、監控模組及分析模組。應用服務模組包括業務模組及重定義模組；所述業務模組接收並回應用戶端的服務請求，所述重定義模組對跨站腳本攻擊中採用的腳本內置函數進行重定義，並將腳本內置函數的重定義資訊返回至用戶端；監控模組，監控用戶端對所述重定義的腳本內置函數的調用資訊；分析模組，對所述調用資訊進行安全性分析。所述跨站腳本攻擊監控系統能實現對跨站腳本攻擊來源、攻擊時間、洩漏資料，攻擊的漏洞點等進行精確的定位。另外，本發明還提供了一種跨站腳本攻擊監控方法。

Description

跨站腳本攻擊監控系統及方法
本發明涉及網路安全技術領域，尤其涉及一種跨站腳本攻擊監控系統及方法。
近年來，軟體安全領域的關注焦點已經逐漸由伺服器端攻擊轉變為用戶端攻擊，而跨站腳本(XSS，英文全稱是Cross Site Script)攻擊已被人們視為網路應用程式面臨的最主要的安全威脅。跨站腳本常常利用應用程式的安全缺陷，與其他漏洞一起造成破壞性的後果，有時跨站腳本攻擊也可能轉變成某種病毒或能夠自我繁殖的蠕蟲，帶來更嚴重的破壞。2005年，Myspace受到了基於跨站腳本蠕蟲的攻擊，使大量用戶收到百萬級別的請求，而不得不被迫關閉它的應用程式。2009年，Twitter受到了兩個跨站腳本蠕蟲的攻擊，大量用戶被動發送宣傳蠕蟲的推文。2010年，Apache Foundation被攻擊者利用其問題追蹤應用程式中的漏洞，藉由反射型跨站腳本攻擊攻破。2011年6月28日，新浪微博出現了一次比較大的跨站腳本攻擊事件，造成帳號安全嚴重崩潰。
自從跨站腳本攻擊被發現以來，人們開始了跨站腳本攻擊檢測和防禦方面的研究。目前跨站腳本攻擊檢測工具主要包括集中檢測型工具和用戶端檢查型工具。
所述集中檢測型工具一般是藉由對網路站點發送構造的攻擊字串攻擊訪問鏈結，將攻擊字串插入應用程式的傳遞參數中，然後監控相應的回應，判別網路站點是否存在跨站腳本安全隱患。如果攻擊字串原樣出現在回應中，則可確定應用程式存在跨站腳本漏洞。但是這種檢測方式所構造的攻擊字串是有限的，並不能窮盡所有攻擊情形，因此，這種方式覆蓋面比較低，只能用來初級檢查，防護效率低。
所述用戶端檢查型工具是藉由用戶自行安裝在用戶端的檢測工具，檢查用戶作業系統介面，是否執行作業系統的危險函數，藉由對作業系統函數的調用進行分析來判別用戶端是否受到攻擊。在對作業系統級的函數調用和分析需要取得相關的許可權，同時需要在用戶端安裝該檢測工具，實現成本高，而且傾向於用戶端的保護，對網路站點的防護不夠明顯。此外，這種檢測方式也不能自動通知漏洞服務的提供者來幫助其完善該漏洞服務。
此外，現有的跨站腳本攻擊檢測工具無法監控用戶端的行為，因此，難以有效獲取攻擊來源，且不能實現在攻擊發生時的預警和通知功能，更不能在攻擊發生時自動防範攻擊。
有鑒於此，有必要提供一種低成本實現、防護效率高的跨站腳本攻擊監控系統及方法。
本發明提供一種跨站腳本攻擊監控系統，跨站腳本攻擊監控系統包括：應用服務模組，其包括業務模組及重定義模組；所述業務模組接收並回應用戶端的服務請求，所述重定義模組對跨站腳本攻擊中採用的腳本內置函數進行重定義，並將腳本內置函數的重定義資訊返回至用戶端；監控模組，監控用戶端對所述重定義的腳本內置函數的調用資訊；及分析模組，對所述調用資訊進行安全性分析。
本發明還提供一種跨站腳本攻擊監控方法，其包括：接收並回應用戶端的服務請求；對在跨站腳本攻擊中採用的腳本內置函數進行重定義，並將重定義的腳本內置函數返回用戶端；監控用戶端對所述重定義的腳本內置函數的調用資訊；及對所述重定義的腳本內置函數的調用資訊進行安全性分析。
本發明實施例的跨站腳本攻擊監控系統及方法中，藉由監控用戶端對跨站腳本攻擊中採用的腳本函數的調用來達到檢測目的，能有效地檢測各種類型的跨站腳本攻擊，覆蓋面高，監測效果好，應用匹配度高。
其次，本發明實施例可以藉由即時地記錄腳本異常時的用戶端行為、用戶的帳號、IP、腳本執行的上下文環境、異常調用的函數等資訊，能實現對跨站腳本攻擊來源、攻擊時間、洩漏資料，攻擊的漏洞點等進行精確的定位。
再次，本發明實施例所述的跨站腳本攻擊監控系統跨平臺，跨終端部署，不受終端和用戶作業系統影響，不用在終端上另外安裝軟體，能夠對使用服務的用戶都提供保護。
上述說明僅是本發明技術方案的概述，為了能夠更清楚瞭解本發明的技術手段，而可依照說明書的內容予以實施，並且為了讓本發明的上述和其他目的、特徵和優點能夠更明顯易懂，以下特舉實施例，並配合圖式，詳細說明如下。
10‧‧‧應用服務模組
11‧‧‧業務模組
12‧‧‧重定義模組
20‧‧‧監控模組
30‧‧‧分析模組
40‧‧‧儲存模組
50‧‧‧報警模組
60‧‧‧攔截模組
100‧‧‧跨站腳本攻擊監控系統
200‧‧‧跨站腳本攻擊監控系統
以下結合圖式描述本發明的實施例，其中：圖1是本發明實施例提供的一種跨站腳本攻擊監控系統的功能模組圖；圖2是本發明另一實施例提供的一種跨站腳本攻擊監控系統的功能模組圖；圖3是本發明實施例提供的一種跨站腳本攻擊監控方法的流程圖；及圖4是本發明另一實施例提供的一種跨站腳本攻擊監 控方法的流程圖。
以下基於圖式對本發明的具體實施例進行進一步詳細說明。應當理解，此處所描述的具體實施例僅僅作為實施例，並不用於限定本發明的保護範圍。
請參閱圖1，為本發明實施例提供的跨站腳本攻擊監控系統100。
跨站腳本攻擊監控系統100包括應用服務模組10、監控模組20及分析模組30。
應用服務模組10包括業務模組11及重定義模組12。所述業務模組11接收用戶端的服務請求並回應該服務請求。所述重定義模組12確定跨站腳本攻擊常用的腳本內置函數，並對其進行重定義。
所述腳本內置函數為腳本語言的內置函數，包括用於創建頁面元素的函數(例如document.createElement)、執行外鏈代碼的函數(例如document.write、window.location)及用於頁面呈現的函數(例如window.alert、window.confirm、window.prompt)。所述腳本語言為JavaScript。由於隨著駭客技術的不斷發展，可能會有更多的腳本語言內置函數會被用於進行跨站腳本攻擊，可以理解，所述跨站腳本攻擊中常採用的腳本語言內置函數並不限定為某個具體時間點時跨站腳本攻擊中常採用的函數，而應該理解為是一個可以隨著技術發展不斷更新的函 數庫。
本發明實施例在對腳本內置函數的重定義包括在根據服務請求返回給用戶端的資料中增加對該腳本內置函數的調用進行監控的代碼。具體的，可以在返回給用戶端的資料中添加用於實現記錄所述腳本內置函數被調用時的調用資訊和發送該調用資訊至監控模組20的代碼。本發明具體實施例中，重定義的函數可以在業務模組11回應用戶瀏覽器端的服務請求時包含於回應頁面的頁面頭中，並發送回用戶瀏覽器端。由於頁面頭在用戶瀏覽器端不易被改變，因此增加了重定義的函數的安全性。所述服務請求為http請求。
監控模組20監控用戶端對由應用服務模組返回的重定義的腳本內置函數的調用資訊。具體的，監控模組20監測用戶端是否調用了重定義的腳本內置函數，若有重定義的所述腳本內置函數，則記錄該重定義的腳本內置函數的調用資訊，並將該調用資訊發送給所述分析模組30，否則不進行處理。所述調用資訊可包括該重定義的腳本內置函數調用時腳本執行的上下文環境、該重定義的腳本內置函數調用的時間、該重定義的腳本內置函數的調用次數中的一個或多個。進一步的，所述調用資訊還可以包括調用該重定義的腳本內置函數的用戶行為、該用戶的帳號及IP地址等中的一個或多個。本發明實施例的用戶端通常包括終端上安裝的瀏覽器。
具體地，對所述重定義的腳本內置函數的調用進行監 控的代碼可以藉由監控模組嵌入到應用服務頁面中。該應用服務頁面可以是由第三方提供，本發明對所述重定義的腳本內置函數的調用進行監控可以是藉由監控模組向第三方的頁面嵌入監控代碼實現。
所述分析模組30用於對監控模組20發送的調用資訊進行安全性分析，並判斷是否為跨站腳本攻擊。所述分析模組30可根據行為特徵等判斷該重定義的腳本內置函數調用是否為跨站腳本攻擊。所述行為特徵具體可包括該重定義的腳本內置函數所調用的應用、該腳本內置函數被調用的次數、訪問的敏感資料(例如用戶Cookie、用戶帳號、用戶密碼等)、傳輸的敏感資料等。
在本發明另外一個實施例中，如圖2所示，跨站腳本攻擊監控系統200包括應用服務模組10、監控模組20及分析模組30。跨站腳本攻擊監控系統200還進一步包括儲存模組40、報警模組50及攔截模組60。
儲存模組40用於在分析模組30判斷用戶端對重定義的腳本內置函數的調用為跨站腳本攻擊時，儲存該腳本內置函數的調用資訊。
報警模組50用於當分析模組30判斷對重定義的腳本內置函數的調用為跨站腳本攻擊時，發出安全警告。具體地，報警模組50可將所述安全警告藉由電子郵件發給被攻擊網站的安全負責人員。這樣安全負責人員接到警告郵件後，即可迅速採取防禦措施，保證業務安全，同時修復安全漏洞。藉由發出安全警告，可以在跨站腳本攻擊發生 時提供的預警和通知功能，可以即時發現和監控跨站腳本攻擊的發生。
所述攔截模組60用於當所述分析模組30判斷存在跨站腳本攻擊時，所述攔截模組攔截所述重定義腳本內置函數的後續執行，終止頁面的繼續渲染，使用安全頁面替換當前被攻擊頁面。藉由攔截該重定義的腳本內置函數的調用可以在跨站腳本攻擊發生時自動防範攻擊。
請參閱圖3，本發明實施例的一種跨站腳本攻擊監控方法包括步驟S101-S104。
步驟S101，接收並回應用戶端的服務請求。
當用戶端請求某個應用的服務時，用戶端將服務請求發給網路應用伺服器。網路應用伺服器接收用戶端的服務請求，並對用戶端的服務請求進行回應。
步驟S102，對在跨站腳本攻擊中採用的腳本內置函數進行重定義，並將腳本內置函數的重定義資訊返回用戶端。
網路應用伺服器對跨站腳本攻擊中常用的腳本內置函數進行重定義，在保證腳本內置函數正常功能的情況下，增加獲取所述腳本內置函數的調用資訊和發送調用資訊的功能。即，所述腳本內置函數的重定義包括在回應所述服務請求的返回資料中添加用於獲取所述腳本內置函數的調用資訊和發送調用資訊的代碼。對腳本內置函數的重定義的資訊包含於網路伺服器根據所述服務請求返回的回應頁面的頁面頭中。
所述腳本內置函數為腳本語言內置函數，包括用於創建頁面元素的函數(例如document.createElement)、執行外鏈代碼的函數(例如document.write、window.location)及用於頁面呈現的函數(例如window.alert、window.confirm、window.prompt)。所述腳本語言為JavaScript。由於隨著駭客技術的不斷發展，可能會有更多的腳本語言內置函數會被用於進行跨站腳本攻擊，可以理解，所述跨站腳本攻擊中常採用的腳本語言內置函數並不限定為某個具體時間點時跨站腳本攻擊中常採用的函數，而應該理解為是一個可以隨著技術發展不斷更新的函數庫。
步驟S103，監控用戶端對所述重定義的腳本內置函數的調用資訊。
用戶端在根據網路伺服器返回的資料進行頁面渲染時，使用重定義的腳本內置函數覆蓋用戶端的腳本解釋器對腳本內置函數的定義。如此，對於具有跨站腳本攻擊風險的服務請求，在進行頁面渲染時，會觸發所述腳本內置函數的調用，用戶端則調用重定義的腳本內置函數對頁面資料進行渲染。在重定義的腳本內置函數被調用時，對該重定義的腳本內置函數的調用資訊進行監控。
具體地，對所述重定義的腳本內置函數的調用進行監控的代碼可以藉由監控模組嵌入到應用服務頁面中。該應用服務頁面可以是由第三方提供，本發明的跨站腳本攻擊監控方法可以是藉由監控模組向第三方的頁面嵌入監控代 碼實現。
所述調用資訊可包括該重定義的腳本內置函數調用時腳本執行的上下文環境、該重定義的腳本內置函數調用的時間、該重定義的腳本內置函數的調用次數中的一個或多個。進一步的，所述調用資訊還可以包括調用該重定義的腳本內置函數的用戶行為、該用戶的帳號及IP地址等中的一個或多個。
步驟S104，對所述重定義的腳本內置函數的調用資訊進行安全性分析。
具體地，可根據對所述調用資訊來判斷執行所述重定義腳本內置函數的調用行為是否為跨站腳本攻擊。所述行為特徵具體可包括腳本內置函數調用位置，腳本內置函數調用應用、腳本內置函數調用次數、訪問敏感資料、傳輸敏感資料等。
本發明實施例藉由對腳本內置函數的調用的監控來實現跨站腳本攻擊的預警分析，不受用戶端作業系統影響，不用在用戶端安裝額外的軟體，能夠對使用服務的用戶都提供保護。
在本發明另外一個實施例中，如圖4所示，一種跨站腳本攻擊監控方法還包括步驟S105、S106及S107。
步驟S105，儲存所述重定義的腳本內置函數的調用資訊。
步驟S106，當根據所述安全性分析判斷對重定義的腳本內置函數的調用為跨站腳本攻擊時，發出安全警告。 具體地，可將所述安全警告藉由電子郵件發給被攻擊網站的安全負責人員。這樣安全負責人員接到警告郵件後，即可迅速採取防禦措施，保證業務安全，同時修復安全漏洞。藉由發出安全警告，可以在跨站腳本攻擊發生時提供的預警和通知功能，可以即時發現和監控跨站腳本攻擊的發生。
步驟S107，攔截所述重定義腳本內置函數調用。藉由攔截所述重定義腳本內置函數調用可以在跨站腳本攻擊發生時自動防範攻擊。
與現有技術相比，本發明實施例所述的跨站腳本攻擊監控系統及方法中，藉由監控用戶端瀏覽器異常的腳本執行來達到檢測目的，能有效地檢測各種類型的跨站腳本攻擊，覆蓋面高，監測效果好，應用匹配度高。其次，藉由即時地記錄腳本異常時的用戶端行為、用戶的帳號、IP、腳本執行的上下文環境、異常調用的函數等資訊，能實現對跨站腳本攻擊來源、攻擊時間、洩漏資料，攻擊的漏洞點等進行精確的定位。再次，本發明實施例所述的跨站腳本攻擊監控系統跨平臺，跨終端部署，不受終端和用戶作業系統影響，不用在用戶端另外安裝軟體，能夠對使用服務的用戶都提供保護。
以上所述僅為本發明的較佳實施例而已，並不用以限制本發明，凡在本發明的精神和原則之內所作的任何修改、等同替換和改進等，均應包含在本發明的保護範圍之內。

Claims (14)

  1. 一種跨站腳本攻擊監控系統，其特徵在於，包括：應用服務模組，其包括業務模組及重定義模組；該業務模組接收並回應用戶端的服務請求，該重定義模組對跨站腳本攻擊中採用的腳本內置函數進行重定義，並將腳本內置函數的重定義資訊返回至用戶端，該對腳本內置函數的重定義包括增加對該腳本內置函數的調用進行監控的代碼，以及該進行監控的代碼被嵌入於第三方的應用服務頁面中；監控模組，監控用戶端對該重定義的腳本內置函數的調用資訊；及分析模組，對該調用資訊進行安全性分析。
  2. 如申請專利範圍第1項的跨站腳本攻擊監控系統，其中對腳本內置函數的重定義資訊包含於網路伺服器根據該服務請求返回的回應頁面的頁面頭中。
  3. 如申請專利範圍第1項的跨站腳本攻擊監控系統，其中，該重定義的腳本內置函數為腳本語言的內置函數包括用於創建頁面元素的函數、執行外鏈代碼的函數及用於頁面呈現的函數。
  4. 如申請專利範圍第3項的跨站腳本攻擊監控系統，其中，該腳本語言為Javascript，該重定義的腳本內置函數包括document.createElement、document.write、window.location、window.alert、window.confirm及 window.prompt中的一種或多種。
  5. 如申請專利範圍第1項的跨站腳本攻擊監控系統，其中，該重定義的腳本內置函數的調用資訊包括重定義的腳本內置函數被調用時該腳本內置函數執行的上下文環境、該重定義的腳本內置函數調用的時間、該重定義的腳本內置函數的調用次數、調用該重定義的腳本內置函數的用戶行為、該用戶的帳號及IP地址中的一個或多個。
  6. 如申請專利範圍第1項的跨站腳本攻擊監控系統，其中，分析模組根據行為特徵等判斷該重定義的腳本內置函數調用是否為跨站腳本攻擊，該行為特徵包括該重定義的腳本內置函數所調用的應用、該腳本內置函數被調用的次數、訪問的敏感資料及傳輸的敏感資料。
  7. 如申請專利範圍第1項的跨站腳本攻擊監控系統，其中，該跨站腳本攻擊監控系統還包括一個攔截模組，當該分析模組判斷對重定義的腳本內置函數的調用為跨站腳本攻擊時，該攔截模組攔截該重定義腳本內置函數的後續執行，終止網頁的繼續渲染，使用安全頁面替換當前被攻擊頁面。
  8. 一種跨站腳本攻擊監控方法，其包括：接收並回應用戶端的服務請求；對在跨站腳本攻擊中採用的腳本內置函數進行重定義，並將重定義的腳本內置函數返回用戶端，該對腳本內置函數的重定義包括增加對該腳本內置函數的調用進行監控的代碼，以及該進行監控的代碼被嵌入於第三方的應用 服務頁面中；監控用戶端對該重定義的腳本內置函數的調用資訊；及對該重定義的腳本內置函數的調用資訊進行安全性分析。
  9. 如申請專利範圍第8項的跨站腳本攻擊監控方法，其中，對腳本內置函數的重定義資訊包含於網路伺服器根據該服務請求返回的回應頁面的頁面頭中。
  10. 如申請專利範圍第8項的跨站腳本攻擊監控方法，其中，該重定義的腳本內置函數為腳本語言的內置函數包括用於創建頁面元素的函數、執行外鏈代碼的函數及用於頁面呈現的函數。
  11. 如申請專利範圍第10項的跨站腳本攻擊監控方法，其中，該腳本語言為JavaScript，該重定義的腳本內置函數包括document.createElement、document.write、window.location、window.alert、window.confirm及window.prompt中的一種或多種。
  12. 如申請專利範圍第8項的跨站腳本攻擊監控方法，其中，該重定義的腳本內置函數的調用資訊包括重定義的腳本內置函數被調用時該腳本內置函數執行的上下文環境、該重定義的腳本內置函數調用的時間、該重定義的腳本內置函數的調用次數、調用該重定義的腳本內置函數的用戶行為、該用戶的帳號及IP地址中的一個或多個。
  13. 如申請專利範圍第8項的跨站腳本攻擊監控方 法，其中，分析模組根據行為特徵等判斷該重定義的腳本內置函數調用是否為跨站腳本攻擊；該行為特徵包括該重定義的腳本內置函數所調用的應用、該腳本內置函數被調用的次數、訪問的敏感資料及傳輸的敏感資料。
  14. 如申請專利範圍第8項的跨站腳本攻擊監控方法，其中，該跨站腳本攻擊監控方法還包括，當該分析模組判斷對重定義的腳本內置函數的調用為跨站腳本攻擊時，攔截該重定義的腳本內置函數的後續執行，終止頁面的繼續渲染，使用安全頁面替換當前被攻擊頁面。
TW102109492A 2012-12-06 2013-03-18 跨站腳本攻擊監控系統及方法 TWI621962B (zh)

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201210521400.8A CN103856471B (zh) 2012-12-06 2012-12-06 跨站脚本攻击监控系统及方法

Publications (2)

Publication Number Publication Date
TW201423471A TW201423471A (zh) 2014-06-16
TWI621962B true TWI621962B (zh) 2018-04-21

Family

ID=49918811

Family Applications (1)

Application Number Title Priority Date Filing Date
TW102109492A TWI621962B (zh) 2012-12-06 2013-03-18 跨站腳本攻擊監控系統及方法

Country Status (5)

Country Link
US (1) US9378362B2 (zh)
EP (1) EP2929669B1 (zh)
CN (1) CN103856471B (zh)
TW (1) TWI621962B (zh)
WO (1) WO2014088963A1 (zh)

Families Citing this family (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20150271196A1 (en) * 2014-03-20 2015-09-24 International Business Machines Corporation Comparing source and sink values in security analysis
CN104951700B (zh) * 2014-10-11 2018-11-06 腾讯科技（深圳）有限公司 网页漏洞检测方法和装置
CN105512559B (zh) * 2014-10-17 2019-09-17 阿里巴巴集团控股有限公司 一种用于提供访问页面的方法与设备
US9781145B2 (en) * 2014-11-25 2017-10-03 International Business Machines Corporation Persistent cross-site scripting vulnerability detection
CN104468546B (zh) * 2014-11-27 2018-01-09 微梦创科网络科技（中国）有限公司 一种网络信息处理方法及防火墙装置、系统
CN104683180B (zh) * 2015-02-12 2019-05-03 北京蓝海讯通科技有限公司 一种性能监控方法、系统及应用服务器
US10599662B2 (en) * 2015-06-26 2020-03-24 Mcafee, Llc Query engine for remote endpoint information retrieval
CN105354126B (zh) * 2015-10-13 2018-07-27 金蝶软件（中国）有限公司 监控页面脚本文件中异常的方法和装置
CN106790287A (zh) * 2017-03-03 2017-05-31 努比亚技术有限公司 一种恶意软件拦截方法及装置
CN108959572A (zh) * 2018-07-04 2018-12-07 北京知道创宇信息技术有限公司 一种网络溯源方法、装置、电子设备及存储介质
CN109165507B (zh) * 2018-07-09 2021-02-19 深圳开源互联网安全技术有限公司 跨站脚本攻击漏洞检测方法、装置及终端设备
CN110968870A (zh) * 2019-11-28 2020-04-07 广发证券股份有限公司 一种软件运行时安全的检测方法
CN111898128B (zh) * 2020-08-04 2024-04-26 北京丁牛科技有限公司 一种针对跨站脚本攻击的防御方法及装置
AU2021414145A1 (en) * 2020-12-31 2023-07-06 Virsec Systems, Inc. Automated detection of cross site scripting attacks
CN114298684A (zh) * 2021-12-27 2022-04-08 北京安天网络安全技术有限公司 电子邮件安全检测方法、装置、电子设备及存储介质

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20090282480A1 (en) * 2008-05-08 2009-11-12 Edward Lee Apparatus and Method for Monitoring Program Invariants to Identify Security Anomalies
CN102224505A (zh) * 2008-11-19 2011-10-19 安全工程有限公司 用于运行时攻击预防的系统和方法

Family Cites Families (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7343626B1 (en) 2002-11-12 2008-03-11 Microsoft Corporation Automated detection of cross site scripting vulnerabilities
US7359976B2 (en) 2002-11-23 2008-04-15 Microsoft Corporation Method and system for improved internet security via HTTP-only cookies
US20040260754A1 (en) 2003-06-20 2004-12-23 Erik Olson Systems and methods for mitigating cross-site scripting
US8112799B1 (en) 2005-08-24 2012-02-07 Symantec Corporation Method, system, and computer program product for avoiding cross-site scripting attacks
US20090119769A1 (en) 2007-11-05 2009-05-07 Microsoft Corporation Cross-site scripting filter
US9172707B2 (en) 2007-12-19 2015-10-27 Microsoft Technology Licensing, Llc Reducing cross-site scripting attacks by segregating HTTP resources by subdomain
US9686288B2 (en) * 2008-01-25 2017-06-20 Ntt Docomo, Inc. Method and apparatus for constructing security policies for web content instrumentation against browser-based attacks
US8806618B2 (en) 2008-03-31 2014-08-12 Microsoft Corporation Security by construction for distributed applications
US8413239B2 (en) * 2009-02-22 2013-04-02 Zscaler, Inc. Web security via response injection
US8615804B2 (en) 2010-02-18 2013-12-24 Polytechnic Institute Of New York University Complementary character encoding for preventing input injection in web applications
CA2694326A1 (en) 2010-03-10 2010-05-18 Ibm Canada Limited - Ibm Canada Limitee A method and system for preventing cross-site request forgery attacks on a server
TWI439097B (zh) 2011-08-26 2014-05-21 Univ Nat Taiwan Science Tech 跨站腳本攻擊產生方法

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20090282480A1 (en) * 2008-05-08 2009-11-12 Edward Lee Apparatus and Method for Monitoring Program Invariants to Identify Security Anomalies
CN102224505A (zh) * 2008-11-19 2011-10-19 安全工程有限公司 用于运行时攻击预防的系统和方法

Also Published As

Publication number Publication date
US20140165192A1 (en) 2014-06-12
US9378362B2 (en) 2016-06-28
TW201423471A (zh) 2014-06-16
CN103856471B (zh) 2018-11-02
EP2929669B1 (en) 2019-05-08
WO2014088963A1 (en) 2014-06-12
CN103856471A (zh) 2014-06-11
EP2929669A1 (en) 2015-10-14

Similar Documents

Publication Publication Date Title
TWI621962B (zh) 跨站腳本攻擊監控系統及方法
Oest et al. {PhishTime}: Continuous longitudinal measurement of the effectiveness of anti-phishing blacklists
US9979726B2 (en) System and method for web application security
US8949988B2 (en) Methods for proactively securing a web application and apparatuses thereof
US8413239B2 (en) Web security via response injection
Tajalizadehkhoob et al. Herding vulnerable cats: a statistical approach to disentangle joint responsibility for web security in shared hosting
US7752662B2 (en) Method and apparatus for high-speed detection and blocking of zero day worm attacks
US8572750B2 (en) Web application exploit mitigation in an information technology environment
WO2016058489A1 (zh) 一种用于提供访问页面的方法与设备
US20120222117A1 (en) Method and system for preventing transmission of malicious contents
US8839424B2 (en) Cross-site request forgery protection
CN109922062B (zh) 源代码泄露监控方法及相关设备
CN104468546A (zh) 一种网络信息处理方法及防火墙装置、系统
CN105704120A (zh) 一种基于自学习形式的安全访问网络的方法
KR102159399B1 (ko) 웹서버 모니터링 및 악성코드 분석 장치
TW201502845A (zh) 網站防毒資安系統
CN111131168A (zh) 基于Web应用的自适应防护方法
KR101968633B1 (ko) 실시간 최신 악성코드 및 침해 진단 서비스 제공 방법
US20230216885A1 (en) Techniques for protecting web-browsers against cross-site scripting exploitation attacks
Rongzhou et al. Web protection scheme based on a cloud computing platform
Wang et al. Detecting and Defending CSRF at API-Level
Kox Cybersecurity in the perspective of Internet traffic growth
Endencio-Robles et al. Assessment of the Security Threats of an Institution’s Virtual Online Resources
KR101283440B1 (ko) 부비트랩 시그너처를 이용한 정보유출 차단시스템 및 그 방법
CN118353713A (zh) 安全防护系统和方法