[发明专利]一种脚本注入攻击检测方法和系统

权利要求书

1.一种脚本注入攻击检测方法，包括HTTP请求获取、从HTTP请求中提取用户输入数据、对用户输入数据进行脚本注入攻击检测和脚本注入攻击事件报警的步骤，其特征在于：所述的对用户输入数据进行脚本注入攻击检测的步骤包括用户输入数据解码、文档对象模型结构分析、通过遍历整个文档对象模型树中各HTML标签全面提取所有可能的注入脚本和对提取的脚本进行语法检测步骤，只要从用户输入数据中提取到至少一段语法正确的脚本就产生脚本注入攻击报警，其中，所述的文档对象模型结构分析步骤为：将解码后的用户输入数据看成是一段HTML格式的内容，按照HTML文档对象模型规范将解码后的用户输入数据转换为一个符合HTML文档对象模型的文档对象模型树。

2.如权利要求1所述的一种脚本注入攻击检测方法，其特征在于，所述的用户输入数据解码步骤包括基于HTTP编码规范的解码步骤和基于HTML编码规范的解码步骤。

3.如权利要求1所述的一种脚本注入攻击检测方法，其特征在于，所述的从文档对象模型树中提取的脚本包括JavaScript脚本和VBScript脚本。

4.如权利要求1所述的一种脚本注入攻击检测方法，其特征在于，所述的从文档对象模型树中提取脚本的步骤为以下5种脚本提取方法的任意组合：

1)、从文档对象模型树各<script>标签中提取Javascript/VBScript脚本；

2)、从文档对象模型树各HTML标签的事件驱动函数中提取Javascript/VBScript脚本；

3)、从文档对象模型树各HTML标签的特定属性值中提取Javascript/VBScript脚本；

4)、从文档对象模型树各<STYLE>标签定义的样式表中提取Javascript/VBScript脚本；

5)、从文档对象模型树各HTML标签的Style属性引入的样式表中提取JavaScript/VBScript脚本。

5.如权利要求1所述的一种脚本注入攻击检测方法，其特征在于，所述的对提取的脚本进行语法检测步骤为：如果提取的脚本为Javascript脚本，则采用标准Javascript语法规范对提取的JavaScript脚本进行语法检测；如果提取的脚本类型为VBScript，则采用标准VBScript语法规范对提取的VBScript脚本进行语法检测。

6.一种脚本注入攻击检测系统，包括HTTP请求获取模块、用户输入数据提取模块、脚本注入攻击检测模块和脚本注入攻击报警模块，其特征在于，所述的脚本注入攻击检测模块包括：

接收来自用户输入数据提取模块输出的用户输入数据，按照HTTP编码规范和HTML编码规范进行解码的用户输入数据解码模块；

接收用户输入数据解码模块输出的解码数据，按照HTML文档对象模型规范构造相应的文档对象模型树的文档对象模型结构分析模块；

接收并遍历文档对象模型结构分析模块输出的文档对象模型树，从中提取出所有可能的Javascript/VBScript脚本的注入脚本提取模块；

接收文档对象模型脚本提取模块提取的JavaScript/VBScript脚本，按照JavaScript/VBScript语法规范对其进行语法正确性分析，只要从HTTP请求中提取到至少一段语法正确的JavaScript/VBScript脚本，就产生脚本注入攻击报警的脚本语法检测模块；

7.如权利要求6所述的一种脚本注入攻击检测系统，其特征在于，在产生脚本注入攻击报警时，将整个HTTP请求消息作为脚本注入攻击事件的报警内容。