[發(fā)明專利]一種防止腳本攻擊的方法及裝置

有效

• 申請(qǐng)?zhí)枺?/td>: 201610497347.0
• 申請(qǐng)日: 2016-06-29
• 公開(kāi)（公告）號(hào): CN107547487B
• 公開(kāi)（公告）日: 2020-11-24
• 發(fā)明（設(shè)計(jì)）人: 肖世康
• 申請(qǐng)（專利權(quán)）人: 阿里巴巴集團(tuán)控股有限公司
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06
• 代理公司: 北京安信方達(dá)知識(shí)產(chǎn)權(quán)代理有限公司 11262
• 代理人: 韓輝峰;李丹

本申請(qǐng)公開(kāi)了一種防止腳本攻擊的方法及裝置，該方法包括：客戶端在加載頁(yè)面時(shí)，監(jiān)視頁(yè)面中標(biāo)記出的動(dòng)態(tài)內(nèi)容；客戶端過(guò)濾監(jiān)視到的動(dòng)態(tài)內(nèi)容，以攔截腳本攻擊。本申請(qǐng)防止腳本攻擊的技術(shù)方案，不依賴網(wǎng)站服務(wù)器對(duì)用戶輸入內(nèi)容進(jìn)行安全性校驗(yàn)，而僅依賴客戶端對(duì)用戶輸入后再由客戶端展示的輸出內(nèi)容進(jìn)行安全限制，整個(gè)過(guò)濾處理在客戶端實(shí)現(xiàn)，且過(guò)濾規(guī)則分散在客戶端頁(yè)面具體節(jié)點(diǎn)中可靈活配置，彌補(bǔ)了Web瀏覽器本身的設(shè)計(jì)不安全的問(wèn)題，完善了對(duì)腳本攻擊的保護(hù)，同時(shí)也節(jié)省了服務(wù)端計(jì)算資源。

技術(shù)領(lǐng)域

本申請(qǐng)涉及計(jì)算機(jī)技術(shù)，尤指一種防止腳本攻擊的方法及裝置。

背景技術(shù)

腳本攻擊是指攻擊者利用網(wǎng)站程序?qū)τ脩糨斎脒^(guò)濾不足，輸入可以顯示在頁(yè)面上的對(duì)其他用戶造成影響的超文本標(biāo)記語(yǔ)言(HTML)代碼；甚至進(jìn)一步以此為基礎(chǔ)，盜取用戶資料、利用用戶身份進(jìn)行某種動(dòng)作或者對(duì)訪問(wèn)者進(jìn)行病毒侵害等的一種攻擊方式。簡(jiǎn)單來(lái)講，就是利用網(wǎng)站漏洞從用戶那里惡意盜取信息。

腳本攻擊就是將非法的Javascript、Vbscript等腳本注入到用戶瀏覽的網(wǎng)頁(yè)上執(zhí)行，相關(guān)技術(shù)中，Web瀏覽器只負(fù)責(zé)解釋和執(zhí)行Javascript等腳本語(yǔ)言，而不會(huì)判斷代碼本身是否對(duì)用戶有害，因此，Web瀏覽器本身的設(shè)計(jì)是不安全的。

為了防止腳本攻擊，通常網(wǎng)站會(huì)在服務(wù)端對(duì)用戶輸入內(nèi)容進(jìn)行分析或者在用戶輸入的內(nèi)容輸出到頁(yè)面上進(jìn)行展示前對(duì)其進(jìn)行分析，以過(guò)濾掉惡意腳本代碼。

現(xiàn)有的實(shí)現(xiàn)過(guò)濾惡意腳本代碼的技術(shù)主要是在服務(wù)端進(jìn)行的，嚴(yán)重依賴服務(wù)器進(jìn)行處理；而現(xiàn)有客戶端的過(guò)濾技術(shù)過(guò)于簡(jiǎn)單，靈活性不高，難以滿意復(fù)雜場(chǎng)景下的需求。也就是說(shuō)，一方面，如果過(guò)濾規(guī)則不夠完備，很容易讓攻擊者繞過(guò)安全檢查機(jī)制，從而無(wú)法達(dá)到腳本攻擊保護(hù)的目的；另一方面，依賴服務(wù)端進(jìn)行處理的方式，浪費(fèi)了服務(wù)端的計(jì)算資源。

發(fā)明內(nèi)容

為了解決上述技術(shù)問(wèn)題，本申請(qǐng)?zhí)峁┝艘环N防止腳本攻擊的方法及裝置，能夠完善對(duì)腳本攻擊的保護(hù)，并節(jié)省服務(wù)端計(jì)算資源。

為了達(dá)到本申請(qǐng)目的，本申請(qǐng)?zhí)峁┮环N防止腳本攻擊的方法，包括：

客戶端在加載頁(yè)面時(shí)，監(jiān)視頁(yè)面中標(biāo)記出的動(dòng)態(tài)內(nèi)容；

客戶端過(guò)濾監(jiān)視到的動(dòng)態(tài)內(nèi)容，以攔截腳本攻擊；

其中，動(dòng)態(tài)內(nèi)容的標(biāo)記用于標(biāo)識(shí)出動(dòng)態(tài)內(nèi)容的范圍，以及對(duì)該動(dòng)態(tài)內(nèi)容進(jìn)行過(guò)濾處理的類型。

可選地，所述加載頁(yè)面之前還包括：

響應(yīng)來(lái)自所述客戶端的頁(yè)面應(yīng)用請(qǐng)求時(shí)，服務(wù)端生成包括至少一個(gè)所述動(dòng)態(tài)內(nèi)容的頁(yè)面，并對(duì)其中的至少一個(gè)動(dòng)態(tài)內(nèi)容添加標(biāo)記；

其中，所述動(dòng)態(tài)內(nèi)容的標(biāo)記用于標(biāo)識(shí)出動(dòng)態(tài)內(nèi)容的范圍，以及對(duì)該動(dòng)態(tài)內(nèi)容進(jìn)行過(guò)濾處理的類型。

可選地，該方法還包括：對(duì)應(yīng)不同類型的所述過(guò)濾處理，所述客戶端預(yù)先設(shè)置有對(duì)應(yīng)的過(guò)濾規(guī)則；

所述客戶端過(guò)濾監(jiān)視到的動(dòng)態(tài)內(nèi)容，以攔截腳本攻擊包括：當(dāng)所述監(jiān)視到的動(dòng)態(tài)內(nèi)容不滿足對(duì)應(yīng)的過(guò)濾規(guī)則，攔截該動(dòng)態(tài)內(nèi)容。

可選地，所述監(jiān)視到的動(dòng)態(tài)內(nèi)容的標(biāo)記表明進(jìn)行過(guò)濾處理的類型為節(jié)點(diǎn)及其屬性類型；

所述當(dāng)監(jiān)視到的動(dòng)態(tài)內(nèi)容不滿足對(duì)應(yīng)的過(guò)濾規(guī)則，對(duì)該動(dòng)態(tài)內(nèi)容予以攔截具體包括：

當(dāng)頁(yè)面文檔對(duì)象樹(shù)每插入一個(gè)節(jié)點(diǎn)時(shí)，從被插入的節(jié)點(diǎn)依次向父節(jié)點(diǎn)進(jìn)行遍歷，以查看新插入節(jié)點(diǎn)是否是滿足所述過(guò)濾規(guī)則的節(jié)點(diǎn)、或者插入后的頁(yè)面文檔對(duì)象樹(shù)是否滿足符合所述標(biāo)記的范圍；

如果不滿足，則移除該插入節(jié)點(diǎn)或?qū)⒐?jié)點(diǎn)內(nèi)容轉(zhuǎn)化為安全形式后輸出；如果滿足，則正常插入該節(jié)點(diǎn)。

可選地，所述監(jiān)視到的動(dòng)態(tài)內(nèi)容的標(biāo)記表明進(jìn)行過(guò)濾處理的類型為事件；