[发明专利]一种WEB邮件XSS攻击检测方法及相关装置

权利要求书

1.一种WEB邮件XSS攻击检测方法，其特征在于，所述方法包括：

获取网络数据包；

解析所述网络数据包，并过滤得到WEB邮件网络数据包；

从所述WEB邮件网络数据包中提取参数信息，所述参数信息包括URL、COOKIE、Agent以及邮件内容；

解码所述参数信息，将解码后的参数信息与XSS特征库内对应种类的参数通过正则表达式进行匹配；

若匹配满足预设规则，则判定所述WEB邮件网络数据包具有XSS攻击行为。

2.根据权利要求1所述的WEB邮件XSS攻击检测方法，其特征在于，所述解析所述网络数据包，并过滤得到WEB邮件网络数据包的步骤之后还包括：

将源IP、目的IP、源端口、目的端口及协议类型相同的WEB邮件网络数据包重新组成流数据并保存。

3.根据权利要求2所述的WEB邮件XSS攻击检测方法，其特征在于，若所述WEB邮件网络数据包具有XSS攻击行为，将WEB邮件网络数据包的相关信息进行记录，所述相关信息包括源IP地址、目的IP地址、源MAC地址、目的MAC地址，并依据所述相关信息定位攻击源和受攻击者。

4.根据权利要求1至3任一所述的WEB邮件XSS攻击检测方法，其特征在于，所述从所述WEB邮件网络数据包中提取参数信息的步骤之后还包括：

解码所述参数信息，并提取出引用页和主机地址；

将所述引用页与预存储的邮件地址名单比对，若所述引用页与所述邮件地址名单中的邮件服务器地址相匹配，则将所述主机地址与所述邮件服务器地址比对，若所述主机地址与所述邮件服务器地址不同，则判定所述WEB邮件网络数据包具有XSS攻击行为。

5.一种WEB邮件XSS攻击检测装置，其特征在于，所述装置包括：

捕获模块，用于获取网络数据包；

过滤模块，用于解析所述网络数据包，并过滤得到WEB邮件网络数据包；

第一提取模块，用于从所述WEB邮件网络数据包中提取参数信息，所述参数信息包括URL、COOKIE、Agent以及邮件内容；

匹配模块，用于解码所述参数信息，将解码后的参数信息与XSS特征库内对应种类的参数通过正则表达式进行匹配；

判定模块，用于若匹配满足预设规则，则判定所述WEB邮件网络数据包具有XSS攻击行为。

6.根据权利要求5所述的WEB邮件XSS攻击检测装置，其特征在于，还包括缓存模块，用于将源IP、目的IP、源端口、目的端口及协议类型相同的WEB邮件网络数据包重新组成流数据并保存。

7.根据权利要求6所述的WEB邮件XSS攻击检测装置，其特征在于，还包括定位模块，用于若所述WEB邮件网络数据包具有XSS攻击行为，将WEB邮件网络数据包的相关信息进行记录，所述相关信息包括源IP地址、目的IP地址、源MAC地址、目的MAC地址，并依据所述相关信息定位攻击源和受攻击者。

8.根据权利要求5至7任一所述的WEB邮件XSS攻击检测装置，其特征在于，还包括：

第二提取模块，用于解码所述参数信息，并提取出引用页和主机地址；

比对模块，用于将所述引用页与预存储的邮件地址名单比对，若所述引用页与所述邮件地址名单中的邮件服务器地址相匹配，则将所述主机地址与所述邮件服务器地址比对；

所述判定模块还用于若所述主机地址与所述邮件服务器地址不同，则判定所述WEB邮件网络数据包具有XSS攻击行为。

9.一种电子设备，其特征在于，包括：

一个或多个处理器；

存储器，用于存储一个或多个程序，

当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器实现如权利要求1-4中任一所述的方法。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，该计算机程序被处理器执行时实现如权利要求1-4中任一所述的方法。