[發(fā)明專利]一種防止腳本攻擊的方法及裝置有效
| 申請(qǐng)?zhí)枺?/td> | 201610497347.0 | 申請(qǐng)日: | 2016-06-29 |
| 公開(kāi)(公告)號(hào): | CN107547487B | 公開(kāi)(公告)日: | 2020-11-24 |
| 發(fā)明(設(shè)計(jì))人: | 肖世康 | 申請(qǐng)(專利權(quán))人: | 阿里巴巴集團(tuán)控股有限公司 |
| 主分類號(hào): | H04L29/06 | 分類號(hào): | H04L29/06 |
| 代理公司: | 北京安信方達(dá)知識(shí)產(chǎn)權(quán)代理有限公司 11262 | 代理人: | 韓輝峰;李丹 |
| 地址: | 英屬開(kāi)曼群島大開(kāi)*** | 國(guó)省代碼: | 暫無(wú)信息 |
| 權(quán)利要求書(shū): | 查看更多 | 說(shuō)明書(shū): | 查看更多 |
| 摘要: | |||
| 搜索關(guān)鍵詞: | 一種 防止 腳本 攻擊 方法 裝置 | ||
本申請(qǐng)公開(kāi)了一種防止腳本攻擊的方法及裝置,該方法包括:客戶端在加載頁(yè)面時(shí),監(jiān)視頁(yè)面中標(biāo)記出的動(dòng)態(tài)內(nèi)容;客戶端過(guò)濾監(jiān)視到的動(dòng)態(tài)內(nèi)容,以攔截腳本攻擊。本申請(qǐng)防止腳本攻擊的技術(shù)方案,不依賴網(wǎng)站服務(wù)器對(duì)用戶輸入內(nèi)容進(jìn)行安全性校驗(yàn),而僅依賴客戶端對(duì)用戶輸入后再由客戶端展示的輸出內(nèi)容進(jìn)行安全限制,整個(gè)過(guò)濾處理在客戶端實(shí)現(xiàn),且過(guò)濾規(guī)則分散在客戶端頁(yè)面具體節(jié)點(diǎn)中可靈活配置,彌補(bǔ)了Web瀏覽器本身的設(shè)計(jì)不安全的問(wèn)題,完善了對(duì)腳本攻擊的保護(hù),同時(shí)也節(jié)省了服務(wù)端計(jì)算資源。
技術(shù)領(lǐng)域
本申請(qǐng)涉及計(jì)算機(jī)技術(shù),尤指一種防止腳本攻擊的方法及裝置。
背景技術(shù)
腳本攻擊是指攻擊者利用網(wǎng)站程序?qū)τ脩糨斎脒^(guò)濾不足,輸入可以顯示在頁(yè)面上的對(duì)其他用戶造成影響的超文本標(biāo)記語(yǔ)言(HTML)代碼;甚至進(jìn)一步以此為基礎(chǔ),盜取用戶資料、利用用戶身份進(jìn)行某種動(dòng)作或者對(duì)訪問(wèn)者進(jìn)行病毒侵害等的一種攻擊方式。簡(jiǎn)單來(lái)講,就是利用網(wǎng)站漏洞從用戶那里惡意盜取信息。
腳本攻擊就是將非法的Javascript、Vbscript等腳本注入到用戶瀏覽的網(wǎng)頁(yè)上執(zhí)行,相關(guān)技術(shù)中,Web瀏覽器只負(fù)責(zé)解釋和執(zhí)行Javascript等腳本語(yǔ)言,而不會(huì)判斷代碼本身是否對(duì)用戶有害,因此,Web瀏覽器本身的設(shè)計(jì)是不安全的。
為了防止腳本攻擊,通常網(wǎng)站會(huì)在服務(wù)端對(duì)用戶輸入內(nèi)容進(jìn)行分析或者在用戶輸入的內(nèi)容輸出到頁(yè)面上進(jìn)行展示前對(duì)其進(jìn)行分析,以過(guò)濾掉惡意腳本代碼。
現(xiàn)有的實(shí)現(xiàn)過(guò)濾惡意腳本代碼的技術(shù)主要是在服務(wù)端進(jìn)行的,嚴(yán)重依賴服務(wù)器進(jìn)行處理;而現(xiàn)有客戶端的過(guò)濾技術(shù)過(guò)于簡(jiǎn)單,靈活性不高,難以滿意復(fù)雜場(chǎng)景下的需求。也就是說(shuō),一方面,如果過(guò)濾規(guī)則不夠完備,很容易讓攻擊者繞過(guò)安全檢查機(jī)制,從而無(wú)法達(dá)到腳本攻擊保護(hù)的目的;另一方面,依賴服務(wù)端進(jìn)行處理的方式,浪費(fèi)了服務(wù)端的計(jì)算資源。
發(fā)明內(nèi)容
為了解決上述技術(shù)問(wèn)題,本申請(qǐng)?zhí)峁┝艘环N防止腳本攻擊的方法及裝置,能夠完善對(duì)腳本攻擊的保護(hù),并節(jié)省服務(wù)端計(jì)算資源。
為了達(dá)到本申請(qǐng)目的,本申請(qǐng)?zhí)峁┮环N防止腳本攻擊的方法,包括:
客戶端在加載頁(yè)面時(shí),監(jiān)視頁(yè)面中標(biāo)記出的動(dòng)態(tài)內(nèi)容;
客戶端過(guò)濾監(jiān)視到的動(dòng)態(tài)內(nèi)容,以攔截腳本攻擊;
其中,動(dòng)態(tài)內(nèi)容的標(biāo)記用于標(biāo)識(shí)出動(dòng)態(tài)內(nèi)容的范圍,以及對(duì)該動(dòng)態(tài)內(nèi)容進(jìn)行過(guò)濾處理的類型。
可選地,所述加載頁(yè)面之前還包括:
響應(yīng)來(lái)自所述客戶端的頁(yè)面應(yīng)用請(qǐng)求時(shí),服務(wù)端生成包括至少一個(gè)所述動(dòng)態(tài)內(nèi)容的頁(yè)面,并對(duì)其中的至少一個(gè)動(dòng)態(tài)內(nèi)容添加標(biāo)記;
其中,所述動(dòng)態(tài)內(nèi)容的標(biāo)記用于標(biāo)識(shí)出動(dòng)態(tài)內(nèi)容的范圍,以及對(duì)該動(dòng)態(tài)內(nèi)容進(jìn)行過(guò)濾處理的類型。
可選地,該方法還包括:對(duì)應(yīng)不同類型的所述過(guò)濾處理,所述客戶端預(yù)先設(shè)置有對(duì)應(yīng)的過(guò)濾規(guī)則;
所述客戶端過(guò)濾監(jiān)視到的動(dòng)態(tài)內(nèi)容,以攔截腳本攻擊包括:當(dāng)所述監(jiān)視到的動(dòng)態(tài)內(nèi)容不滿足對(duì)應(yīng)的過(guò)濾規(guī)則,攔截該動(dòng)態(tài)內(nèi)容。
可選地,所述監(jiān)視到的動(dòng)態(tài)內(nèi)容的標(biāo)記表明進(jìn)行過(guò)濾處理的類型為節(jié)點(diǎn)及其屬性類型;
所述當(dāng)監(jiān)視到的動(dòng)態(tài)內(nèi)容不滿足對(duì)應(yīng)的過(guò)濾規(guī)則,對(duì)該動(dòng)態(tài)內(nèi)容予以攔截具體包括:
當(dāng)頁(yè)面文檔對(duì)象樹(shù)每插入一個(gè)節(jié)點(diǎn)時(shí),從被插入的節(jié)點(diǎn)依次向父節(jié)點(diǎn)進(jìn)行遍歷,以查看新插入節(jié)點(diǎn)是否是滿足所述過(guò)濾規(guī)則的節(jié)點(diǎn)、或者插入后的頁(yè)面文檔對(duì)象樹(shù)是否滿足符合所述標(biāo)記的范圍;
如果不滿足,則移除該插入節(jié)點(diǎn)或?qū)⒐?jié)點(diǎn)內(nèi)容轉(zhuǎn)化為安全形式后輸出;如果滿足,則正常插入該節(jié)點(diǎn)。
可選地,所述監(jiān)視到的動(dòng)態(tài)內(nèi)容的標(biāo)記表明進(jìn)行過(guò)濾處理的類型為事件;
該專利技術(shù)資料僅供研究查看技術(shù)是否侵權(quán)等信息,商用須獲得專利權(quán)人授權(quán)。該專利全部權(quán)利屬于阿里巴巴集團(tuán)控股有限公司,未經(jīng)阿里巴巴集團(tuán)控股有限公司許可,擅自商用是侵權(quán)行為。如果您想購(gòu)買此專利、獲得商業(yè)授權(quán)和技術(shù)合作,請(qǐng)聯(lián)系【客服】
本文鏈接:http://www.szxzyx.cn/pat/books/201610497347.0/2.html,轉(zhuǎn)載請(qǐng)聲明來(lái)源鉆瓜專利網(wǎng)。
- 上一篇:一種用于天線掛載的自鎖式掛座
- 下一篇:一種高效散熱機(jī)箱
- 腳本處理方法及裝置
- 一種實(shí)現(xiàn)腳本引擎的系統(tǒng)及方法
- 代理自動(dòng)配置腳本的處理方法及代理自動(dòng)配置腳本服務(wù)器
- 一種腳本執(zhí)行方法、裝置及計(jì)算設(shè)備
- 腳本轉(zhuǎn)換方法、裝置、計(jì)算機(jī)設(shè)備及存儲(chǔ)介質(zhì)
- 性能測(cè)試平臺(tái)腳本存儲(chǔ)方法、裝置、設(shè)備及存儲(chǔ)介質(zhì)
- 一種實(shí)現(xiàn)測(cè)試腳本驗(yàn)證的方法及系統(tǒng)
- 結(jié)構(gòu)化查詢語(yǔ)言腳本審查方法及相關(guān)設(shè)備
- 基于FitNesse框架的數(shù)據(jù)驅(qū)動(dòng)腳本庫(kù)的方法、系統(tǒng)及介質(zhì)
- 一種腳本審計(jì)方法、裝置、設(shè)備及存儲(chǔ)介質(zhì)
- 一種基于FPGA的網(wǎng)絡(luò)行為攻擊方法與裝置
- 一種網(wǎng)絡(luò)攻擊防御方法與裝置
- 一種防火墻攻擊防御方法
- 一種網(wǎng)絡(luò)行為攻擊裝置
- 一種網(wǎng)絡(luò)行為攻擊方法
- 一種網(wǎng)絡(luò)攻擊路線還原方法及系統(tǒng)
- 滲透攻擊評(píng)價(jià)方法和裝置、以及電子設(shè)備和可讀存儲(chǔ)介質(zhì)
- 一種攻擊檢測(cè)方法、裝置、電子設(shè)備及存儲(chǔ)介質(zhì)
- 一種基于攻擊者特性指標(biāo)的網(wǎng)絡(luò)攻擊路徑預(yù)測(cè)方法
- APT攻擊事件溯源分析方法、裝置和計(jì)算機(jī)可讀介質(zhì)
- 一種數(shù)據(jù)庫(kù)讀寫分離的方法和裝置
- 一種手機(jī)動(dòng)漫人物及背景創(chuàng)作方法
- 一種通訊綜合測(cè)試終端的測(cè)試方法
- 一種服裝用人體測(cè)量基準(zhǔn)點(diǎn)的獲取方法
- 系統(tǒng)升級(jí)方法及裝置
- 用于虛擬和接口方法調(diào)用的裝置和方法
- 線程狀態(tài)監(jiān)控方法、裝置、計(jì)算機(jī)設(shè)備和存儲(chǔ)介質(zhì)
- 一種JAVA智能卡及其虛擬機(jī)組件優(yōu)化方法
- 檢測(cè)程序中方法耗時(shí)的方法、裝置及存儲(chǔ)介質(zhì)
- 函數(shù)的執(zhí)行方法、裝置、設(shè)備及存儲(chǔ)介質(zhì)





