[发明专利]一种网站防护方法、系统及装置

权利要求书

1.一种网站防护方法，其特征在于，该方法包括：

网站安全服务器接收客户端发送的访问应用服务器的请求；

判断该请求中是否携带WEB容器的私有变量；

当该请求中携带WEB容器的私有变量时，将该WEB容器的私有变量与本地针对该应用服务器保存的具有SET方法的每个WEB容器的私有变量进行匹配；

当匹配成功时，将该请求过滤，否则，将该请求发送到所述应用服务器。

2.如权利要求1所述的方法，其特征在于，所述判断该请求中是否携带WEB容器的私有变量之前，所述方法还包括：

判断所述请求是否是对OGNL的调用；

当该请求是对OGNL的调用时，根据本地保存的OGNL过滤库，判断该请求中是否包含该OGNL过滤库中的特殊字符或命令对象；

当该请求中包含该OGNL过滤库中的特殊字符或命令对象时，过滤该请求，否则，进行后续步骤。

3.如权利要求2所述的方法，其特征在于，所述OGNL过滤库中包含的特殊字符为#、@和/。

4.如权利要求1或2所述的方法，其特征在于，将该WEB容器的私有变量与本地针对该应用服务器保存的具有SET方法的每个WEB容器的私有变量进行匹配之前，所述方法还包括：

判断该WEB容器的私有变量是否为字符串；

当该WEB容器的私有变量非字符串时，将该请求发送到所述应用服务器，否则，进行后续步骤。

5.如权利要求1所述的方法，其特征在于，所述WEB容器的私有变量包括：

Tomcat内置私有变量和Jboss内置私有变量。

6.一种网站防护装置，其特征在于，所述装置包括：

接收模块，用于接收客户端发送的访问应用服务器的请求；

判断模块，用于判断该请求中是否携带WEB容器的私有变量；

匹配模块，用于当判断模块判断该请求中携带WEB容器的私有变量时，将该WEB容器的私有变量与本地针对该应用服务器保存的具有SET方法的每个WEB容器的私有变量进行匹配；

处理模块，用于当匹配模块匹配成功时，将该请求过滤，否则，将该请求发送到所述应用服务器。

7.如权利要求6所述的方法，其特征在于，所述判断模块，还用于判断所述请求是否是对OGNL的调用；及当该请求是对OGNL的调用时，根据本地保存的OGNL过滤库，判断该请求中是否包含该OGNL过滤库中的特殊字符或命令对象；

处理模块，还用于当判断模块判断该请求中包含该OGNL过滤库中的特殊字符或命令对象时，过滤该请求，否则，返回判断模块进行判断请求中是否携带WEB容器的私有变量的操作。

8.如权利要求6或7所述的方法，其特征在于，所述判断模块，还用于判断该WEB容器的私有变量是否为字符串；

所述处理模块，还用于当判断模块判断该WEB容器的私有变量非字符串时，将该请求发送到所述应用服务器，否则，将该请求发送到匹配模块进行处理。

9.一种网站安全服务器，其特征在于，包括权利要求6～8任一所述的装置。

10.一种网站防护系统，其特征在于，所述系统包括：客户端、应用服务器以及权利要求9所述的网站安全服务器。