[发明专利]跨站攻击的检测方法、装置和具有该装置的防火墙

权利要求书

1.一种跨站攻击的检测方法，其特征在于，包括：

对用户提交的数据进行参数分解，得到分解后的参数；

对所述分解后的参数进行HTTP编码的解码，得到解码后的参数；

对所述解码后的参数进行词法分析，得到词法分析后的参数；

对所述词法分析后的参数进行语法分析，并建立语法树；以及

当所述语法树建立成功时，确定所述用户提交的数据对应的行为是跨站攻击。

2.根据权利要求1所述的跨站攻击的检测方法，其特征在于，对用户提交的数据进行参数分解包括以下任意一种或多种参数分解：

对数据请求行中的URI进行参数分解；

对数据请求的Cookie首部进行参数分解；

对数据请求的Cookie2首部进行参数分解；

对数据请求的Referer首部进行参数分解；以及

对POST请求的实体进行参数分解。

3.根据权利要求1所述的跨站攻击的检测方法，其特征在于，在对所述解码后的参数进行词法分析之前，所述方法还包括：

判断所述解码后的参数是否由数字和/或字母组成，

其中，对所述解码后的参数进行词法分析包括：当所述解码后的参数不是由数字和/或字母组成时，对所述解码后的参数进行词法分析。

4.根据权利要求1所述的跨站攻击的检测方法，其特征在于，对所述解码后的参数进行词法分析，以得到词法分析后的参数包括：

对所述解码后的参数进行HTML的词法分析，以得到HTML词法分析后的参数；以及

对所述解码后的参数进行CSS的词法分析，以得到CSS词法分析后的参数。

5.根据权利要求4所述的跨站攻击的检测方法，其特征在于，对所述词法分析后的参数进行语法分析包括：

对所述HTML词法分析后的参数进行HTML语法分析；以及

对所述CSS词法分析后的参数进行CSS语法分析。

6.根据权利要求1至5中任一项所述的跨站攻击的检测方法，其特征在于，在确定所述用户提交的数据对应的行为是跨站攻击后，所述方法还包括：

对成功建立的语法树进行语义分析；以及

根据语义分析的结果确定所述跨站攻击的目的。

7.根据权利要求1至5中任一项所述的跨站攻击的检测方法，其特征在于，在确定所述用户提交的数据对应的行为是跨站攻击后，所述方法还包括：

将所述用户提交的数据在虚拟机中执行；以及

根据执行结果确定所述跨站攻击的目的。

8.一种跨站攻击的检测装置，其特征在于，包括：

协议分析器，用于对用户提交的数据进行参数分解，并对分解后的参数进行HTTP编码的解码，得到解码后的参数；

词法分析器，用于对所述解码后的参数进行词法分析，得到词法分析后的参数；以及

语法分析器，用于对所述词法分析后的参数进行语法分析，并建立语法树，以及当所述语法树建立成功时，确定所述用户提交的数据对应的行为是跨站攻击。

9.根据权利要求8所述的跨站攻击的检测装置，其特征在于，还包括：

判断单元，用于在对所述解码后的参数进行词法分析之前，判断所述解码后的参数是否由数字和/或字母组成，

其中，所述词法分析器还用于当所述解码后的参数不是由数字和/或字母组成时，对所述解码后的参数进行词法分析。

10.根据权利要求8或9所述的跨站攻击的检测方法，其特征在于，还包括：

语义解析器，用于在确定所述用户提交的数据对应的行为是跨站攻击后，对成功建立的语法树进行语义分析，以及根据语义分析的结果确定所述跨站攻击的目的。

11.根据权利要求8或9所述的跨站攻击的检测装置，其特征在于，还包括：

虚拟机，用于在确定所述用户提交的数据对应的行为是跨站攻击后，执行所述用户提交的数据，以及根据执行结果确定所述跨站攻击的目的。

12.一种防火墙，其特征在于，包括：权利要求8至11中任一项所述的跨站攻击的检测装置。