[發明專利]一種防止腳本攻擊的方法及裝置

有效

• 申請號: 201610497347.0
• 申請日: 2016-06-29
• 公開（公告）號: CN107547487B
• 公開（公告）日: 2020-11-24
• 發明（設計）人: 肖世康
• 申請（專利權）人: 阿里巴巴集團控股有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京安信方達知識產權代理有限公司 11262
• 代理人: 韓輝峰;李丹

本申請公開了一種防止腳本攻擊的方法及裝置，該方法包括：客戶端在加載頁面時，監視頁面中標記出的動態內容；客戶端過濾監視到的動態內容，以攔截腳本攻擊。本申請防止腳本攻擊的技術方案，不依賴網站服務器對用戶輸入內容進行安全性校驗，而僅依賴客戶端對用戶輸入后再由客戶端展示的輸出內容進行安全限制，整個過濾處理在客戶端實現，且過濾規則分散在客戶端頁面具體節點中可靈活配置，彌補了Web瀏覽器本身的設計不安全的問題，完善了對腳本攻擊的保護，同時也節省了服務端計算資源。

技術領域

本申請涉及計算機技術，尤指一種防止腳本攻擊的方法及裝置。

背景技術

腳本攻擊是指攻擊者利用網站程序對用戶輸入過濾不足，輸入可以顯示在頁面上的對其他用戶造成影響的超文本標記語言(HTML)代碼；甚至進一步以此為基礎，盜取用戶資料、利用用戶身份進行某種動作或者對訪問者進行病毒侵害等的一種攻擊方式。簡單來講，就是利用網站漏洞從用戶那里惡意盜取信息。

腳本攻擊就是將非法的Javascript、Vbscript等腳本注入到用戶瀏覽的網頁上執行，相關技術中，Web瀏覽器只負責解釋和執行Javascript等腳本語言，而不會判斷代碼本身是否對用戶有害，因此，Web瀏覽器本身的設計是不安全的。

為了防止腳本攻擊，通常網站會在服務端對用戶輸入內容進行分析或者在用戶輸入的內容輸出到頁面上進行展示前對其進行分析，以過濾掉惡意腳本代碼。

現有的實現過濾惡意腳本代碼的技術主要是在服務端進行的，嚴重依賴服務器進行處理；而現有客戶端的過濾技術過于簡單，靈活性不高，難以滿意復雜場景下的需求。也就是說，一方面，如果過濾規則不夠完備，很容易讓攻擊者繞過安全檢查機制，從而無法達到腳本攻擊保護的目的；另一方面，依賴服務端進行處理的方式，浪費了服務端的計算資源。

發明內容

為了解決上述技術問題，本申請提供了一種防止腳本攻擊的方法及裝置，能夠完善對腳本攻擊的保護，并節省服務端計算資源。

為了達到本申請目的，本申請提供一種防止腳本攻擊的方法，包括：

客戶端在加載頁面時，監視頁面中標記出的動態內容；

客戶端過濾監視到的動態內容，以攔截腳本攻擊；

其中，動態內容的標記用于標識出動態內容的范圍，以及對該動態內容進行過濾處理的類型。

可選地，所述加載頁面之前還包括：

響應來自所述客戶端的頁面應用請求時，服務端生成包括至少一個所述動態內容的頁面，并對其中的至少一個動態內容添加標記；

其中，所述動態內容的標記用于標識出動態內容的范圍，以及對該動態內容進行過濾處理的類型。

可選地，該方法還包括：對應不同類型的所述過濾處理，所述客戶端預先設置有對應的過濾規則；

所述客戶端過濾監視到的動態內容，以攔截腳本攻擊包括：當所述監視到的動態內容不滿足對應的過濾規則，攔截該動態內容。

可選地，所述監視到的動態內容的標記表明進行過濾處理的類型為節點及其屬性類型；

所述當監視到的動態內容不滿足對應的過濾規則，對該動態內容予以攔截具體包括：

當頁面文檔對象樹每插入一個節點時，從被插入的節點依次向父節點進行遍歷，以查看新插入節點是否是滿足所述過濾規則的節點、或者插入后的頁面文檔對象樹是否滿足符合所述標記的范圍；

如果不滿足，則移除該插入節點或將節點內容轉化為安全形式后輸出；如果滿足，則正常插入該節點。

可選地，所述監視到的動態內容的標記表明進行過濾處理的類型為事件；