[發明專利]用于防止跨站攻擊的方法和系統

有效

• 申請號: 200810092320.9
• 申請日: 2008-04-22
• 公開（公告）號: CN101296087A
• 公開（公告）日: 2008-10-29
• 發明（設計）人: 弗洛里安·克施鮑姆
• 申請（專利權）人: SAP股份公司
• 主分類號: H04L9/36
• 分類號: H04L9/36;H04L29/06
• 代理公司: 北京市柳沈律師事務所
• 代理人: 邵亞麗

1.一種用于防止跨站攻擊的方法，包括：

將網頁存儲在網站上，該網頁被組織成不接受輸入的入口網頁和不是入口網頁的保護的網頁；

從用戶應用接收請求以接收所請求的網頁，該請求包括指示引用網頁的引用字符串以及標識數據；

確定所請求的網頁是入口網頁還是保護的網頁；

如果所請求的網頁被確定為保護的網頁，則基于所述標識數據確定所述用戶應用是否被授權，以及基于所述引用字符串確定所述引用網頁是否存儲在網站上；

如果所述用戶應用被確定為被授權并且如果所述引用網頁被確定存儲在網站上，則將所請求的網頁傳送到所述用戶應用；以及

如果所述用戶應用被確定為未被授權或者如果所述引用網頁被確定沒有存儲在網站上，則將該請求重新定向到所述入口網頁之一。

2.如權利要求1所述的方法，還包括：

如果所請求的網頁被確定為入口網頁或者該請求被重新定向到入口網頁，則從請求中去除輸入數據，由此產生剝離的請求；以及

基于所述剝離的請求將所述入口網頁之一傳送到所述用戶應用。

3.如權利要求1所述的方法，還包括：

在網站授權所述用戶應用。

4.如權利要求3所述的方法，其中，所述授權所述用戶應用還包括認證所述用戶應用。

5.如權利要求4所述的方法，其中，使用秘密密鑰、使用會話統一資源定位符(″URL″)、使用超文本傳輸協議(″HTTP″)認證、或用戶應用端的安全套接字協議層(″SSL″)授權所述用戶應用。

6.如權利要求3所述的方法，還包括：

基于授權所述用戶應用，將所述標識數據從網站傳送到所述用戶應用。

7.如權利要求1所述的方法，其中，所述標識數據是cookie。

8.如權利要求1所述的方法，還包括在所述網站將所述網頁組織成入口網頁和保護的網頁。

9.如權利要求1所述的方法，其中，所述請求在網關被接收。

10.如權利要求1所述的方法，其中，所述保護的網頁還包括應用、小服務程序或腳本。

11.如權利要求1所述的方法，還包括使用用戶應用反向導航控制在保護的網頁之間進行導航。

12.如權利要求1所述的方法，其中，所述用戶應用是網絡瀏覽器應用。

13.如權利要求1所述的方法，其中，所述用戶應用在用戶設備上執行。

14.如權利要求1所述的方法，其中，所述引用字符串是超文本傳輸協議(″HTTP″)引用字符串。

15.如權利要求1所述的方法，其中，所述引用字符串存儲引用網頁的統一資源定位符(″URL″)。

16.如權利要求1所述的方法，其中，至少一個入口網頁是登錄頁、主頁或入口扉頁。

17.如權利要求1所述的方法，其中，所述保護的網頁是在線銀行交易頁、在線銀行菜單頁、在線銀行認證頁、在線拍賣搜索結果頁、在線拍賣登錄頁、在線拍賣認證頁、在線拍賣投標入口頁、在線拍賣投標驗證頁、在線零售商搜索結果頁、在線零售商購物推車頁、在線零售商登錄頁、在線零售商信用卡地址驗證頁、在線零售商確認頁、網絡郵件認證頁、網絡菜單頁、網絡郵件發送頁、網絡郵件搜索頁、網絡郵件讀取頁、搜索引擎搜索結果頁、入口認證頁或入口菜單頁。

18.如權利要求1所述的方法，其中，所述標識數據指示用戶被授權但是未被認證。