[發(fā)明專利]跨站攻擊的檢測方法、裝置和具有該裝置的防火墻

有效

• 申請?zhí)枺?/td>: 201210346751.X
• 申請日: 2012-09-18
• 公開（公告）號: CN102833269A
• 公開（公告）日: 2012-12-19
• 發(fā)明（設(shè)計）人: 張斌;常磊
• 申請（專利權(quán)）人: 蘇州山石網(wǎng)絡(luò)有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京康信知識產(chǎn)權(quán)代理有限責(zé)任公司 11240
• 代理人: 吳貴明;張永明

1.一種跨站攻擊的檢測方法，其特征在于，包括：

對用戶提交的數(shù)據(jù)進(jìn)行參數(shù)分解，得到分解后的參數(shù)；

對所述分解后的參數(shù)進(jìn)行HTTP編碼的解碼，得到解碼后的參數(shù)；

對所述解碼后的參數(shù)進(jìn)行詞法分析，得到詞法分析后的參數(shù)；

對所述詞法分析后的參數(shù)進(jìn)行語法分析，并建立語法樹；以及

當(dāng)所述語法樹建立成功時，確定所述用戶提交的數(shù)據(jù)對應(yīng)的行為是跨站攻擊。

2.根據(jù)權(quán)利要求1所述的跨站攻擊的檢測方法，其特征在于，對用戶提交的數(shù)據(jù)進(jìn)行參數(shù)分解包括以下任意一種或多種參數(shù)分解：

對數(shù)據(jù)請求行中的URI進(jìn)行參數(shù)分解；

對數(shù)據(jù)請求的Cookie首部進(jìn)行參數(shù)分解；

對數(shù)據(jù)請求的Cookie2首部進(jìn)行參數(shù)分解；

對數(shù)據(jù)請求的Referer首部進(jìn)行參數(shù)分解；以及

對POST請求的實體進(jìn)行參數(shù)分解。

3.根據(jù)權(quán)利要求1所述的跨站攻擊的檢測方法，其特征在于，在對所述解碼后的參數(shù)進(jìn)行詞法分析之前，所述方法還包括：

判斷所述解碼后的參數(shù)是否由數(shù)字和/或字母組成，

其中，對所述解碼后的參數(shù)進(jìn)行詞法分析包括：當(dāng)所述解碼后的參數(shù)不是由數(shù)字和/或字母組成時，對所述解碼后的參數(shù)進(jìn)行詞法分析。

4.根據(jù)權(quán)利要求1所述的跨站攻擊的檢測方法，其特征在于，對所述解碼后的參數(shù)進(jìn)行詞法分析，以得到詞法分析后的參數(shù)包括：

對所述解碼后的參數(shù)進(jìn)行HTML的詞法分析，以得到HTML詞法分析后的參數(shù)；以及

對所述解碼后的參數(shù)進(jìn)行CSS的詞法分析，以得到CSS詞法分析后的參數(shù)。

5.根據(jù)權(quán)利要求4所述的跨站攻擊的檢測方法，其特征在于，對所述詞法分析后的參數(shù)進(jìn)行語法分析包括：

對所述HTML詞法分析后的參數(shù)進(jìn)行HTML語法分析；以及

對所述CSS詞法分析后的參數(shù)進(jìn)行CSS語法分析。

6.根據(jù)權(quán)利要求1至5中任一項所述的跨站攻擊的檢測方法，其特征在于，在確定所述用戶提交的數(shù)據(jù)對應(yīng)的行為是跨站攻擊后，所述方法還包括：

對成功建立的語法樹進(jìn)行語義分析；以及

根據(jù)語義分析的結(jié)果確定所述跨站攻擊的目的。

7.根據(jù)權(quán)利要求1至5中任一項所述的跨站攻擊的檢測方法，其特征在于，在確定所述用戶提交的數(shù)據(jù)對應(yīng)的行為是跨站攻擊后，所述方法還包括：

將所述用戶提交的數(shù)據(jù)在虛擬機中執(zhí)行；以及

根據(jù)執(zhí)行結(jié)果確定所述跨站攻擊的目的。

8.一種跨站攻擊的檢測裝置，其特征在于，包括：

協(xié)議分析器，用于對用戶提交的數(shù)據(jù)進(jìn)行參數(shù)分解，并對分解后的參數(shù)進(jìn)行HTTP編碼的解碼，得到解碼后的參數(shù)；

詞法分析器，用于對所述解碼后的參數(shù)進(jìn)行詞法分析，得到詞法分析后的參數(shù)；以及

語法分析器，用于對所述詞法分析后的參數(shù)進(jìn)行語法分析，并建立語法樹，以及當(dāng)所述語法樹建立成功時，確定所述用戶提交的數(shù)據(jù)對應(yīng)的行為是跨站攻擊。

9.根據(jù)權(quán)利要求8所述的跨站攻擊的檢測裝置，其特征在于，還包括：

判斷單元，用于在對所述解碼后的參數(shù)進(jìn)行詞法分析之前，判斷所述解碼后的參數(shù)是否由數(shù)字和/或字母組成，

其中，所述詞法分析器還用于當(dāng)所述解碼后的參數(shù)不是由數(shù)字和/或字母組成時，對所述解碼后的參數(shù)進(jìn)行詞法分析。

10.根據(jù)權(quán)利要求8或9所述的跨站攻擊的檢測方法，其特征在于，還包括：

語義解析器，用于在確定所述用戶提交的數(shù)據(jù)對應(yīng)的行為是跨站攻擊后，對成功建立的語法樹進(jìn)行語義分析，以及根據(jù)語義分析的結(jié)果確定所述跨站攻擊的目的。

11.根據(jù)權(quán)利要求8或9所述的跨站攻擊的檢測裝置，其特征在于，還包括：

虛擬機，用于在確定所述用戶提交的數(shù)據(jù)對應(yīng)的行為是跨站攻擊后，執(zhí)行所述用戶提交的數(shù)據(jù)，以及根據(jù)執(zhí)行結(jié)果確定所述跨站攻擊的目的。

12.一種防火墻，其特征在于，包括：權(quán)利要求8至11中任一項所述的跨站攻擊的檢測裝置。