[發明專利]跨站腳本攻擊的防御方法

無效

• 申請號: 201210245041.8
• 申請日: 2012-07-13
• 公開（公告）號: CN103544433A
• 公開（公告）日: 2014-01-29
• 發明（設計）人: 孫揚
• 申請（專利權）人: 北京一銘昌和科技發展有限公司
• 主分類號: G06F21/52
• 分類號: G06F21/52
• 代理公司: 北京市立方律師事務所 11330
• 代理人: 鄭瑜生

1.一種跨站腳本攻擊的防御方法，其特征在于，包括以下步驟：

S1、當有用戶提交內容展示時，先集中編寫所述頁面內所有需要使用的腳本函數；

S2、將隨后可能調用到且不會產生安全問題的全局函數賦給新的變量，以便隨后調用時不被攔截；

S3、增加對應所述用戶提交內容的字符串，以表示其后為用戶提交內容展示區域；

S4、在展示用戶提交內容時，只有調用前面編寫的所述腳本函數或通過前述賦予了全局函數的變量調用的函數會被執行，其他任何語句都被攔截。

2.根據權利要求1所述的跨站腳本攻擊的防御方法，其特征在于，所述步驟S1包括：

判斷當前頁面是否有用戶提交內容展示；

如果否，則以普通方式編寫頁面內容；以及

如果是，則以集中方式編寫頁面內容。

3.根據權利要求1所述的跨站腳本攻擊的防御方法，其特征在于，所述步驟S3包括：

通過所述字符串提示馬上要進入用戶提交內容展示區域；

在遇到所述提示后，除所述集中編寫的腳本函數以及通過賦予全局函數的變量調用的函數外，其他語句都不被執行，以自動防御跨站腳本的攻擊。

4.根據權利要求1所述的跨站腳本攻擊的防御方法，其特征在于，所述步驟S4包括：

S41、通過腳本引擎判斷對應進入用戶提交內容展示區域的所述字符串；

S42、如果是，則進一步判斷是否是調用所述字符串前定義的函數；以及

S43、如果否，則處理當前語句并進一步判斷是否還有其他語句要執行。

5.根據權利要求4所述的跨站腳本攻擊的防御方法，其特征在于，所述步驟S42包括：

S421、如果是，則處理當前語句并進一步判斷是否還有其他語句要執行；

S422、如果否，則進一步判斷是否還有其他語句要執行。

6.根據權利要求5所述的跨站腳本攻擊的防御方法，其特征在于，所述步驟S421和所述步驟S422包括：

當沒有其他語句要執行時，則結束；

當還有其他語句要執行時，則返回所述步驟S42。

7.根據權利要求4所述的跨站腳本攻擊的防御方法，其特征在于，所述步驟S43包括：

當沒有其他語句要執行時，則結束；

當還有其他語句要執行時，則返回所述步驟S41。