[发明专利]跨站脚本过滤器

说明书

背景

跨站脚本(XSS)是一种记录在案的Web应用程序安全漏洞类别。XSS攻击的目的是允许攻击者控制用户和用户信任的网站或Web应用程序之间的关系。

在最常见的情况下，XSS涉及一种恶意URL，构造这种URL使得在生成的Web页面的HTML(超文本标记语言)输出中重复该URL中的嵌入的客户端脚本。当受害的客户端使用客户端Web浏览器导航到该URL时，所产生的客户端脚本在与受信任的服务器共享的会话的安全上下文中执行。假设的XSS攻击可能按如下方式进行：引诱受害者点击邮件消息中的链接；该链接将受害者的浏览器导航到看起来像著名的并且受信任的网站；然而，该URL链接包含恶意脚本块；由受信任的站点生成的Web页面将脚本块从包含恶意脚本evil.js的URL反射，导致客户端从evil.com加载evil.js脚本。恶意脚本在页面上显示其自己的新闻文章。受害者相信，新闻文章是来自受信任站点的真正的内容，因为受信任的站点的域出现在浏览器的地址栏中。

受信任的站点上的欺骗内容会是相当温和的；然而，由现代Web浏览器暴露的对象模型会允许潜在的更复杂的攻击。超出内容欺骗以外，这些攻击包括：盗窃cookie，包括可能允许攻击者作为受害用户远程登录到Web应用程序的会话cookie；监视输入到恶意网站的键击；代表用户在网站上执行操作(例如，对Windows LiveMail^TM的XSS攻击可能允许攻击者读取并转发电子邮件消息，设置新的日历约会等等)。

最近，网站开始汇编针对因特网上的网站报告的XSS问题的档案。归档了超过10,000个自愿地提交的针对网站的XSS问题。攻击者可以自由地阅读XSS攻击的档案来对任何特定的网站使用。传统的用于减轻XSS的技术不在客户端上进行，而是使用字符编码、安全库，以及Web应用程序扫描技术，在服务器上进行。如上文所指出地，网站服务器处于来自可以应用XSS攻击的无数可能的方式的压力之下。此外，已经提出的一些XSS减轻技术涉及客户端组件，但是，没有哪一个能够完全在客户端上有效地过滤XSS攻击。

发明内容

下面提供了简明的概要，以便提供对此处所描述的一些新颖的实施例的基本概念。本概要不是详尽的概述，旨在标识关键性元素或描述其范围。其唯一的目的是以简化形式呈现一些概念，作为稍后呈现的比较详细的描述的前奏。

所公开的跨站脚本(XSS)减轻技术通过安装能够消除当今存在的XSS漏洞的客户端过滤器而完全地聚焦于客户端上。完全地在客户端上执行的XSS过滤允许Web浏览器抵御涉及可能没有充分的XSS减轻措施的服务器的XSS。现代动态网站上普遍存在的XSS的性质使这一点成为必需。

该技术通过将URL和POST数据的可疑的部分与反射的页面内容进行匹配，准确地标识XSS攻击。过滤器所使用的技术快速地标识被认为是安全的通信流并将其放行，使过滤器对性能的影响保持最低。可以将非HTML MIME类型以及同一站点的请求快速放行。对于剩余的请求，不在完全的HTTP响应上运行正则表达式(用于匹配其他字符串的字母数字字符串)，除非XSS启发规则在HTTP请求URL中被匹配。

过滤器以不会打开否则将不会存在的新的XSS漏洞的方式使XSS攻击中性化。此外，过滤器以也不会对Web浏览产生不利的影响的方式使XSS中性化，不大可能将良性的内容标记为XSS攻击。

对过滤器的输入是完全HTTP请求/响应通信流。因此，在备选实现中，该技术可以在Web代理服务器或在Web服务器上起作用。使用这种能力，过滤器作为能够阻塞XSS的通用Web应用程序防火墙来起作用，而无需具有特定的应用程序级的知识。

为了达到前文所述以及其它的相关目的，此处结合下面的描述和附图描述了某些说明性方面。然而，这些方面只是表示可以使用此处所公开的原理的各种方式中的一些方式，并旨在包括所有这些方面和等效内容。通过与图形一起阅读下面的详细描述，本发明的其他优点和新颖的特点将变得显而易见。

附图说明

图1示出了用于过滤跨站脚本(XSS)攻击的系统。

图2示出了XSS过滤器逻辑的更详细的框图。

图3示出了可以使用的并且可随着检测到新的威胁而扩展的示范性启发规则集。

图4示出了包括用于过滤XSS攻击的过滤器组件的浏览器实现。

图5示出了其中在服务器上应用过滤器逻辑的服务器实现。

图6示出了其中在代理服务器上应用过滤器逻辑的服务器实现。