[发明专利]跨站脚本攻击检测方法和装置

说明书

本公开公开了一种跨站脚本攻击检测方法和装置，涉及信息安全领域。其中的方法包括：提取数据包中被跨站脚本攻击利用的风险位置的相关载荷；将相关载荷构建为语法树；遍历语法树，判断语法树是否符合语法规范；若语法树符合语法规范，则确定检测到跨站脚本攻击；若语法树不符合语法规范，则基于确定有限状态自动机，计算相关载荷的威胁分值；若相关载荷的威胁分值大于等于威胁阈值，则确定检测到跨站脚本攻击。本公开相比于静态匹配式跨站脚本攻击检测，提高了跨站脚本攻击检测的准确性。

技术领域

本公开涉及信息安全领域，尤其涉及一种跨站脚本攻击检测方法和装置。

背景技术

传统跨站脚本攻击的检测，基本使用静态匹配的检测方式，即判断载荷中的关键字是否与正则表达式库相匹配，若匹配，则判断网页被跨站脚本攻击。

但上述检测方式存在误报率高、无法识别新版语法以及规则死板等问题，导致检测结果不准确。

发明内容

本公开要解决的一个技术问题是，提供一种跨站脚本攻击检测方法和装置，能够提高跨站脚本攻击检测的准确性。

根据本公开一方面，提出一种跨站脚本攻击检测方法，包括：提取数据包中被跨站脚本攻击利用的风险位置的相关载荷；将相关载荷构建为语法树；遍历语法树，判断语法树是否符合语法规范；若语法树符合语法规范，则确定检测到跨站脚本攻击，若语法树不符合语法规范，则基于确定有限状态自动机，计算相关载荷的威胁分值；若相关载荷的威胁分值大于等于威胁阈值，则确定检测到跨站脚本攻击。

在一些实施例中，对相关载荷构建语法树之前，还包括：对相关载荷进行递归解码，直到解码字符串不再变化。

在一些实施例中，对相关载荷进行递归解码之后，还包括：对解码处理后的相关载荷进行上下文语义填充。

在一些实施例中，基于确定有限状态自动机，计算相关载荷的威胁分值包括：根据语法树中节点之间的关系，确定该确定有限状态自动机的状态转换矩阵；确定状态转换矩阵、相关载荷中符号和关键字的分值、权重和可重复计分次数；根据状态转换矩阵、相关载荷中负荷和关键字的分值、权重和可重复计分次数，计算相关载荷的威胁分值。

在一些实施例中，根据网站业务对威胁阈值进行反馈调整。

在一些实施例中，若相关载荷的威胁分值小于威胁阈值，则确定没有检测到跨站脚本攻击。

根据本公开的另一方面，还提出一种跨站脚本攻击检测装置，包括：载荷提取单元，被配置为提取数据包中被跨站脚本攻击利用的风险位置的相关载荷；语法树构建单元，被配置为将相关载荷构建为语法树；语法判断单元，被配置为遍历语法树，判断语法树是否符合语法规范；分值计算单元，被配置为若语法树不符合语法规范，则基于确定有限状态自动机，计算相关载荷的威胁分值；攻击判断单元，被配置为若语法树符合语法规范，或相关载荷的威胁分值大于等于威胁阈值，则确定检测到跨站脚本攻击。

在一些实施例中，解码处理单元，被配置为对相关载荷进行递归解码，直到解码字符串不再变化。

在一些实施例中，语义填充单元，被配置为对解码处理后的相关载荷进行上下文语义填充。

根据本公开的另一方面，还提出一种跨站脚本攻击检测装置，包括：存储器；以及耦接至存储器的处理器，处理器被配置为基于存储在存储器的指令执行如上述的跨站脚本攻击检测方法。

根据本公开的另一方面，还提出一种计算机可读存储介质，其上存储有计算机程序指令，该指令被处理器执行时实现上述的跨站脚本攻击检测方法。

与相关技术相比，本公开实施例利用语法树和确定有限状态自动机，计算出数据包中风险位置的相关载荷的威胁分数后，若威胁分数大于威胁阈值，则确定检测到跨站脚本攻击，相比于静态匹配式跨站脚本攻击检测，该实施例使得跨站脚本攻击的检测更加准确。