[發明專利]一種跨站腳本攻擊的檢測方法和裝置

有效

• 申請號: 200910085034.4
• 申請日: 2009-05-27
• 公開（公告）號: CN101901221A
• 公開（公告）日: 2010-12-01
• 發明（設計）人: 李博;葉潤國
• 申請（專利權）人: 北京啟明星辰信息技術股份有限公司;北京啟明星辰信息安全技術有限公司
• 主分類號: G06F17/30
• 分類號: G06F17/30;G06F21/00
• 代理公司: 北京安信方達知識產權代理有限公司 11262
• 代理人: 龍洪;霍育棟

1.一種跨站腳本攻擊的檢測方法，包括：

a、對于捕獲到的HTTP返回頁面，找到其中的活躍標簽；將所捕獲的HTTP返回頁面中包括該活躍標簽在內的各層標簽的概率P取倒數之后相加，并求出算術平均值作為所述活躍標簽的內嵌JavaScript合理指數EJSRF；提取出各活躍標簽內的JavaScript腳本；所述活躍標簽是與JavaScript腳本之間不存在其它HTML標簽的HTML標簽，所述標簽的概率P為該標簽內直接出現JavaScript腳本的概率；

b、對提取出的JavaScript腳本進行編碼還原，得到該JavaScript腳本被編碼的字節數量EBN；進行語義還原，得到該JavaScript腳本中使用字符串變量的次數SDN；將經過編碼和語義還原的JavaScript腳本與預設的跨站腳本攻擊特征進行匹配，得出該JavaScript腳本的特征匹配程度SMD；

c、將所述EJSRF、EBN、SDN和SMD加權相加，將相加得到的和與預定的閾值進行比較，如果計算結果超過了給定的閾值，則判定所捕獲到的HTTP返回頁面包含跨站腳本攻擊。

2.如權利要求1所述的方法，其特征在于，所述步驟a具體包括：

a1、存儲各HTTP標簽的統計信息，包括該HTML標簽的出現次數N、該HTML標簽作為活躍標簽出現的次數M；

a2、捕獲到的HTTP返回頁面后，按照嵌套的順序從外向內依次提取所捕獲的HTTP返回頁面中的一個HTML標簽；如果所有標簽都已提取完，則執行步驟b；

a3、將該標簽的N加1；如果該標簽直接嵌套了JavaScript腳本，將該標簽的M加1，記錄該標簽Tag的嵌套層次NL，提取該標簽中的JavaScript腳本，然后執行步驟a4；否則返回步驟a2；

a4、將該標簽的概率P的倒數，和所捕獲的HTTP返回頁面中位于該標簽外的各層標簽的概率P的倒數累加，然后求出累加所得的和的算數平均值作為該標簽的EJSRF；所述標簽的概率P的倒數為該標簽的N除以M；當沒有概率P為0的標簽時，除數為該標簽的NL，否則除數為該標簽的NL減去概率P為0的標簽的個數。

3.如權利要求1或2所述的方法，其特征在于，所述步驟b具體包括：

b1、首先對提取出的JavaScript腳本進行逐字符的編碼還原，把通過16進制或10進制編碼轉換的JavaScript腳本轉換成編碼前的腳本，得到被編碼的字符數量EBN；

b2、對經過步驟b1編碼還原之后的JavaScript腳本進行語義還原，代入字符串常量或字符串變量的語義以還原進行過字符串拼接的語句，得到對字符串拼接的次數SDN；

b3、將經過編碼還原和語義轉換后的JavaScript腳本與一預定的XSS攻擊特征數據庫中的XSS攻擊特征進行比對，得出該JavaScript腳本的SMD。

4.如權利要求3所述的方法，其特征在于，所述步驟b3中：

將所述JavaScript腳本所匹配的所有XSS攻擊特征的權重相加；各XSS攻擊特征的權重分別為1到10中的一個值，包括1和10。

5.如權利要求1或2所述的方法，其特征在于：

EJSRF、EBN、SDN和SMD的權重分別為0.4、0.3、0.2和0.1。