[發(fā)明專利]用于防止跨站腳本攻擊的Web服務(wù)器及方法

有效

• 申請?zhí)枺?/td>: 201310324271.8
• 申請日: 2013-07-30
• 公開（公告）號: CN104348789B
• 公開（公告）日: 2018-04-27
• 發(fā)明（設(shè)計(jì)）人: 楊曦;周繼恩;湯茂安;李偉;李巖;陳孟
• 申請（專利權(quán)）人: 中國銀聯(lián)股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 中國專利代理(香港)有限公司72001
• 代理人: 方世棟,朱海煜

1.一種防止跨站腳本攻擊的Web服務(wù)器，所述防止跨站腳本攻擊的Web服務(wù)器包括：

預(yù)處理單元,所述預(yù)處理單元接收到來自瀏覽器的HTTP請求后截獲所述HTTP請求，并根據(jù)過濾器映射表確定是否需要執(zhí)行針對所述HTTP請求的過濾操作，并且如果確定需要執(zhí)行針對所述HTTP請求的過濾操作，則將所述HTTP請求傳送到過濾器;

過濾器,所述過濾器接收到所述HTTP請求后根據(jù)預(yù)定的跨站腳本攻擊判斷規(guī)則和跨站腳本攻擊處理規(guī)則執(zhí)行針對所述HTTP請求的過濾操作，如果所述過濾操作的結(jié)果是“不滿足跨站腳本攻擊規(guī)則”，則將所述HTTP請求傳送到Web資源處理單元，如果所述過濾操作的結(jié)果是“滿足跨站腳本攻擊規(guī)則且不中斷Web資源請求”，則對所述HTTP請求進(jìn)行轉(zhuǎn)義處理并將經(jīng)轉(zhuǎn)義的HTTP請求傳送到Web資源處理單元，如果所述過濾操作的結(jié)果是“滿足跨站腳本攻擊規(guī)則且中斷Web資源請求”，則構(gòu)造表示“Web瀏覽器公共報(bào)錯(cuò)頁面”的HTTP應(yīng)答并將該HTTP應(yīng)答傳送回所述瀏覽器以終止本次HTTP會(huì)話;

Web資源處理單元,所述Web資源處理單元解析并處理接收到的HTTP請求或經(jīng)轉(zhuǎn)義的HTTP請求以構(gòu)造相應(yīng)的HTTP應(yīng)答，以及將所述HTTP應(yīng)答傳送到所述過濾器，

其中，通過Web應(yīng)用部署描述符文件定義所述過濾器映射表，其中，所述過濾器映射表定義過濾器和HTTP請求之間的映射關(guān)系。

2.根據(jù)權(quán)利要求1所述的防止跨站腳本攻擊的Web服務(wù)器，其特征在于，所述跨站腳本攻擊處理規(guī)則包括下列規(guī)則中的一個(gè)或多個(gè)：是否開啟消息頭校驗(yàn)、是否記錄攻擊日志、是否中斷Web資源請求、是否轉(zhuǎn)義非法數(shù)據(jù)，其中，是否中斷Web資源請求和是否轉(zhuǎn)義非法數(shù)據(jù)之間是互斥的。

3.根據(jù)權(quán)利要求2所述的防止跨站腳本攻擊的Web服務(wù)器，其特征在于，所述過濾操作包括下列步驟：

（1）加載并解析安全審核配置文件以獲得所述預(yù)定的跨站腳本攻擊判斷規(guī)則和跨站腳本攻擊處理規(guī)則，其中，所述預(yù)定的跨站腳本攻擊判斷規(guī)則是正則表達(dá)式的形式；

（2）將所述HTTP請求的消息頭和/或請求正文與所述正則表達(dá)式形式的跨站腳本攻擊判斷規(guī)則進(jìn)行匹配操作，如果匹配不成功，則停止本次過濾操作并且過濾操作的結(jié)果是“不滿足跨站腳本攻擊規(guī)則”，如果匹配成功并且所述跨站腳本攻擊處理規(guī)則中包括“中斷Web資源請求”，則構(gòu)造表示“Web瀏覽器公共報(bào)錯(cuò)頁面”的HTTP應(yīng)答并將該HTTP應(yīng)答傳送回所述瀏覽器以終止本次HTTP會(huì)話，如果匹配成功并且所述跨站腳本攻擊處理規(guī)則中包括“轉(zhuǎn)義非法數(shù)據(jù)”，則對所述HTTP請求中的非法數(shù)據(jù)進(jìn)行轉(zhuǎn)義替換處理并將經(jīng)轉(zhuǎn)義的HTTP請求傳送到Web資源處理單元。

4.根據(jù)權(quán)利要求3所述的防止跨站腳本攻擊的Web服務(wù)器，其特征在于，所述安全審核配置文件是XML文件的形式。

5.根據(jù)權(quán)利要求4所述的防止跨站腳本攻擊的Web服務(wù)器，其特征在于，所述過濾器以如下方式執(zhí)行針對接收到的HTTP應(yīng)答的過濾操作：將所述HTTP應(yīng)答的消息頭和/或應(yīng)答正文與所述正則表達(dá)式形式的跨站腳本攻擊判斷規(guī)則進(jìn)行匹配操作，如果匹配不成功，則停止本次過濾操作并且過濾操作的結(jié)果是“不滿足跨站腳本攻擊規(guī)則”并將所述HTTP應(yīng)答傳送到所述瀏覽器，如果匹配成功，則對所述HTTP應(yīng)答中的非法數(shù)據(jù)進(jìn)行轉(zhuǎn)義替換處理并將經(jīng)轉(zhuǎn)義的HTTP應(yīng)答傳送到所述瀏覽器。

6.一種用于防止跨站腳本攻擊的方法,所述方法包括下列步驟：

（A1）Web服務(wù)器接收到來自瀏覽器的HTTP請求后截獲所述HTTP請求，并根據(jù)過濾器映射表確定是否需要執(zhí)行針對所述HTTP請求的過濾操作；

（A2）如果確定需要執(zhí)行針對所述HTTP請求的過濾操作，則Web服務(wù)器根據(jù)預(yù)定的跨站腳本攻擊判斷規(guī)則和跨站腳本攻擊處理規(guī)則執(zhí)行針對所截獲的HTTP請求的過濾操作，如果所述過濾操作的結(jié)果是“不滿足跨站腳本攻擊規(guī)則”，則解析并處理所述HTTP請求以構(gòu)造相應(yīng)的HTTP應(yīng)答，如果所述過濾操作的結(jié)果是“滿足跨站腳本攻擊規(guī)則且不中斷Web資源請求”，則對所述HTTP請求進(jìn)行轉(zhuǎn)義處理以及隨后解析并處理經(jīng)轉(zhuǎn)義的HTTP請求以構(gòu)造相應(yīng)的HTTP應(yīng)答，如果所述過濾操作的結(jié)果是“滿足跨站腳本攻擊規(guī)則且中斷Web資源請求”，則構(gòu)造表示“Web瀏覽器公共報(bào)錯(cuò)頁面”的HTTP應(yīng)答并將該HTTP應(yīng)答傳送回所述瀏覽器以終止本次HTTP會(huì)話，

其中，通過Web應(yīng)用部署描述符文件定義所述過濾器映射表，其中，所述過濾器映射表定義過濾器和HTTP請求之間的映射關(guān)系。