[发明专利]保护网络应用数据的方法和系统

说明书

技术领域

本发明涉及计算机网络安全领域，特别涉及用于保护网络应用免受网 络攻击的方法和系统。

背景技术

随着计算机和互联网技术的发展，诸如网上购物、网上银行等网络应 用日益普及。但是在过去十年针对网络应用的攻击也已成为一大威胁。因 为即使防火墙具有强大的规则集，服务器也经常及时安装补丁，但如果网 络应用的开发人员没有遵循安全编码实践，攻击者可通过端口80轻而易 举地进入系统。最为流行的两种攻击是SQL注入和XSS(跨站点脚本)。 通过SQL注入可能盗取数据库中的数据，甚至可能倾空整个数据库，这 会给某些应用带来灾难。通过XSS还可能盗取普通用户的秘密数据(例 如他们的用户标识或会话标识)。

目前有一些抵御这些攻击的方法。一种方法是使用一些黑箱测试工具 (例如AppScan)来扫描应用，并手动修复漏洞。但由于一些网络应用 不易被再部署，且一些情况下不可获得源代码，这种方法将不能始终有效。 另一种方法是在入口服务器之前使用WAF(网络应用防火墙)来过滤恶 意请求。该方法使过滤规则在应用运行时能够更新，因此当新的漏洞被发 现时，该应用不需被再部署。但该方法也有些缺点。首先，每个输入字段 都需要被小心地人工配置，这将耗费大量努力。其次，由于一些请求字段 可能在被提交之前用脚本来编码，因此WAF不能识别它们。

除了SQL注入和XSS之外，另一种流行的威胁是对隐藏字段的篡改。 由于初级开发人员可能使用隐藏字段来保存用户信息而不在服务器站点 进行检查，因此篡改隐藏字段会破坏业务逻辑。解决这个问题的一个方法 是在向用户站点发送用户信息之前标记这些隐藏字段。当包括这些字段的 请求返回时，该签名将被校验以确保这些字段未被篡改。但一些表单可能 在应用运行时用脚本来创建，因此很难静态地定义它们。此外，一些开发 人员可能不仅在隐藏字段中保存这些关键的用户信息，还会在html文档 的任何标签中保存，并且在应用运行时通过脚本来获得它们的值。因此， 定义哪个标签应被标记非常困难。

在一些极端情况下，在客户站点通过脚本完成业务逻辑的一部分，而 在服务器站点却忽略了校验。(例如，可在客户站点通过对总数乘以单价 来计算总价，但总价并不在服务器站点校验。)目前没有处理这个问题的 好办法。

另一个与网络应用相关的重要安全问题是未授权访问。黑客由于可通 过观察来猜测被嵌入到网页的链接，因此可获得对未授权资源的访问。

一般而言，由于涉及脚本，因此难以得到彻底解决这些安全问题且不 改变源代码的方案。

发明内容

本发明的目的是提供一种新颖的在服务器和客户端之间保护网络应 用数据的方法和系统，旨在解决至少一种目前现有技术中有关网络攻击的 安全问题。

根据本发明的一个方面，一种用于在服务器和客户端之间保护网络应 用数据的方法，包括：备份由所述网络应用为所述客户端构建的响应；通 过添加用于捕获所述客户端的用户操作和/或用户数据的捕获代码来修改 所述响应；将修改后的响应发送至所述客户端；接收所述客户端提交的请 求以及由所述捕获代码捕获的用户操作和/或用户数据；根据接收的由所 述捕获代码捕获的用户操作和/或用户数据以及所述备份的响应来产生验 证请求；根据所述验证请求验证所述客户端提交的请求；以及将经过验证 的所述客户端提交的请求发送至所述服务器的网络应用。

优选地，为了方便运行，可以在备份步骤前对备份的所述响应进行解 析，然后将所述响应经解析后获得的文本对象和脚本对象进行备份，例如 针对基于html页面的html响应文档，可将html响应文档被解析为包含 普通html对象和脚本对象的DOM树，以便由脚本引擎运行。还可以在 备份步骤之后对所述响应进行解析，在所述验证请求的步骤中使用所述响 应经解析后获得的文本对象和脚本对象。

在对用户输入操作进行校验、防止篡改(增删修改或绕过)选择框的 情况下，对备份的所述响应执行接收的由所述捕获代码捕获的用户操作， 产生所述用于验证所述客户端提交的请求的验证请求。

通常在防止通过篡改脚本文件破坏篡改业务逻辑、防止通过篡改(增 删修改)隐藏字段或操控cookie来篡改服务器状态数据、和/或防止绕过 客户端输入有效函数的情况下，对备份的所述响应和接收的由所述捕获代 码捕获的用户数据执行接收的由所述捕获代码捕获的用户操作，产生所述 验证请求。