[發(fā)明專利]認(rèn)證腳本代碼源的方法和設(shè)備

無效

• 申請?zhí)枺?/td>: 200680034165.4
• 申請日: 2006-09-05
• 公開（公告）號: CN101268468A
• 公開（公告）日: 2008-09-17
• 發(fā)明（設(shè)計）人: D·E·哈伊斯;T·P·匹特森
• 申請（專利權(quán)）人: 國際商業(yè)機(jī)器公司
• 主分類號: G06F21/00
• 分類號: G06F21/00
• 代理公司: 中國國際貿(mào)易促進(jìn)委員會專利商標(biāo)事務(wù)所
• 代理人: 馬浩

技術(shù)領(lǐng)域

本發(fā)明大致涉及計算機(jī)之間的許可訪問，更特別地，涉及提供一種方式來認(rèn)證支持瀏覽器的腳本源從而篩選出惡意指令。

背景技術(shù)

Web瀏覽器是使得用戶顯示并與標(biāo)記語言文本(例如超文本鏈接標(biāo)記語言HTML文本)交互的軟件應(yīng)用，其由Web服務(wù)器作為主機(jī)或保持在文件系統(tǒng)中。流行的瀏覽器包括Opera^TM、Mozilla^TMFirefox及Internet?Explorer(Opera是Opera軟件學(xué)院的商標(biāo)、Mozilla是Netscape通信公司的商標(biāo)、Microsoft是微軟公司的商標(biāo))。

瀏覽器被命令來通過顯示高亮文本及圖形來連接數(shù)據(jù)，該高亮文本及圖形提供對額外內(nèi)容的鏈接，例如標(biāo)記語言文本。外部鏈接數(shù)據(jù)的能力提供了用于增強(qiáng)的出色方式，否則會難以被引用以定位腳注。

為了更好的擴(kuò)展瀏覽器的多樣性，瀏覽器創(chuàng)建者建立支持以處理指令。某些瀏覽器支持“腳本語言”。腳本語言是可嵌入在標(biāo)記語言文件內(nèi)的語言。這種語言在用戶操作在大多數(shù)現(xiàn)代瀏覽器中常見的“顯示源”功能時通常是可見的。支持腳本語言的瀏覽器是腳本支持瀏覽器。腳本的某些例子包括JavaScript^TM及Visual開發(fā)系統(tǒng)(JavaScript是Sun微系統(tǒng)公司的商標(biāo)，Visual?Basic是微軟公司的商標(biāo))。

由瀏覽器讀取或打開的腳本可向支持該瀏覽器的計算機(jī)提供指令。計算機(jī)執(zhí)行這些指令。有時候，標(biāo)記語言文本指令計算機(jī)在呈現(xiàn)該文本之后立即執(zhí)行該腳本。

某些計算機(jī)可支持除了支持腳本之外可允許腳本訪問操作系統(tǒng)的各種功能的瀏覽器。所述功能包括例如允許在支持該瀏覽器的本地機(jī)器上執(zhí)行該腳本的磁盤操作系統(tǒng)命令。除非在該計算機(jī)上提出了某些安全性或認(rèn)證，否則可能在瀏覽器上存在文件或標(biāo)記文本以執(zhí)行有敵意的命令。這些有敵意的命令包括例如在舊的磁盤操作系統(tǒng)(DOS)中執(zhí)行命令“命令/c?del＊.＊”，其可引起刪除當(dāng)前目錄中的所有文件。

某些瀏覽器廠商提供了任意的命令功能，其例如賦予在客戶端計算機(jī)上執(zhí)行文件讀取、文件寫入以及文件創(chuàng)建的權(quán)力。此外，存在如下潛力通過擴(kuò)展所述能力，在子窗口內(nèi)具有腳本的網(wǎng)頁可訪問父窗口的腳本。在該情況中，腳本假設(shè)有父窗口授權(quán)。在這種情況下，子窗口是由父窗口打開的窗口，例如通過用戶鼠標(biāo)點(diǎn)擊父窗口的超文本鏈接。在這種情形中，可在子窗口、或可能在子窗口的子窗口發(fā)現(xiàn)惡意代碼。客戶端瀏覽器從未知Web主機(jī)呈現(xiàn)網(wǎng)頁時，惡意代碼或惡意腳本與子窗口相關(guān)。當(dāng)瀏覽器呈現(xiàn)網(wǎng)頁時，瀏覽器打開子窗口。該網(wǎng)頁的腳本可命令客戶端瀏覽器在打開所述子窗口顯示所述網(wǎng)頁時執(zhí)行惡意代碼。由于每個窗口繼承了父窗口的背景，因而每個子窗口可執(zhí)行其祖先的腳本功能，該祖先優(yōu)先于惡意子窗口一個或多個級別。

由于功能能夠訪問信息，因而功能是強(qiáng)大的功能。允許具有未知網(wǎng)頁的未知Web主機(jī)執(zhí)行未知腳本以從可信Web主機(jī)訪問強(qiáng)大的功能可能是危險的。通過以已知正確標(biāo)準(zhǔn)來認(rèn)證未知腳本可消除某些風(fēng)險，該標(biāo)準(zhǔn)例如是客戶端瀏覽器在呈現(xiàn)窗口時設(shè)定的只讀特性。

強(qiáng)大的功能包括在本地客戶端瀏覽器上訪問、創(chuàng)建、修改或刪除文件的功能。文件可包括存儲到易失性存儲器的數(shù)據(jù)。允許可信web主機(jī)提供指令以執(zhí)行強(qiáng)大功能是可接受的。允許未知web主機(jī)提供指令來執(zhí)行強(qiáng)大功能是不明智的。特別有害的強(qiáng)大功能是“命令/c?del＊.＊”，其刪除本地客戶端瀏覽器當(dāng)前目錄中的所有文件。

字符串匹配是公知技術(shù)，用于確認(rèn)未知個人或代理發(fā)送的口令與具有已知正確口令的主機(jī)相比有效。由于某些操作系統(tǒng)可在字符解釋及回車(也稱為輸入)的存儲中變化，已知使用統(tǒng)一字符取代各種字符解釋，特別是在字符串與已知正確口令相同的地方，除了用于回車的解釋。將特殊字符解釋轉(zhuǎn)換為一般或統(tǒng)一字符的過程被稱為均化(homogenizing)字符串，或簡稱均化。