[发明专利]基于XSS和CSRF的Web攻击防御系统及其方法

摘要

本发明公开了一种基于XSS和CSRF的Web攻击防御系统及其方法，涉及网络安全领域。本系统包括过滤模块，白名单模块和令牌拦截模块。本方法是①过滤模块采用验证用户输入合法性，特殊字符处理，cookie防盗以及递归净化敏感词汇四种方式过滤用户输入；②白名单模块针对HTML脚本注入，使用HTML解析库遍历所有的节点，获取其中数据的原有标签属性，通过白名单模块中的标签重新构建HTML元素树，从根本上防范HTML脚本注入攻击；③令牌拦截模块通过Token验证功能对不符合要求的HTTP请求进行拦截。本发明具有精确度高，误报率低，可扩展性的特点。

主权项

一种基于XSS和CSRF的Web防御系统，其特征在于：本系统包括用户（100）和Web服务器（300）；设置有攻击防御服务器（200），攻击防御服务器（200）包括过滤模块（210）、白名单模块模块（220）和令牌拦截模块（230）；其交互关系是：用户（100）、过滤模块（210）、令牌拦截模块（230）和Web服务器（300）依次交互；白名单模块模块（220）分别与过滤模块（210）和令牌拦截模块（230）交互；所述的过滤模块（210）是一种采用Servlet技术，实现HTTP请求和响应过滤的方法；所述的白名单模块（220）是一种重新整理HTML标签及属性的方法；所述的令牌拦截模块（230）是一种插入令牌和拦截HTTP请求的方法。