[发明专利]一种在线实时脚本检测方法及系统

摘要

本发明提供了一种在线实时脚本检测方法及系统，方法包括：在每个数据报文中扫描脚本的起始标志及结束标志，如果在一个报文中能同时找到上述标志，则调用脚本检测引擎对脚本进行检测；如果只发现脚本起始标志，则把当前报文中内嵌脚本缓存，然后与同一连接中的后续报文进行重组，直至找出脚本的结束标志，还原出完整脚本，在调用脚本检测引擎对脚本进行检测；同时为了防止缓存内容过多，设定了最大缓存长度阀值，如果在重组过程中，缓存的长度超出阀值，则停止缓存，将已有缓存内容直接送入脚本检测引擎进行检测。本发明还提供了在线实时脚本检测系统。通过本发明的方法，极大减少了网页缓存数量，提高了设备的处理性能。

主权项

一种在线实时脚本检测方法，其特征在于，包括：步骤1、捕获网络数据包；步骤2、对捕获的网络数据包进行协议解码，分离出HTTP报文；步骤3、判断是否存在连接缓存标志，如果是，则当前HTTP报文已经缓存脚本内容，执行步骤4，否则执行步骤8；步骤4、扫描报文中是否存在脚本结束标志，如果是，则执行步骤5，否则执行步骤6；步骤5、清除连接缓存标志，并将当前报文中的脚本与已缓存的脚本内容重组后，送入脚本引擎进行检测，如果发现威胁，则发送报警，脚本引擎检测后，执行步骤8；步骤6、判断当前报文长度与已缓存的脚本内容长度之和，是否超出预设长度阀值，如果是，则执行步骤7，否则缓存报文的全部内容，返回步骤1；步骤7、清除连接缓存标志，并将当前报文中的脚本与已缓存的脚本内容重组后，送入脚本引擎进行检测，如果发现威胁，则发送报警，结束当前报文检测；步骤8、从报文已处理到的位置扫描是否存在脚本起始标志，如果是，则执行步骤9，否则结束当前报文检测；步骤9、从报文已处理到的位置扫描是否存在脚本结束标志，如果是，则执行步骤10，否则执行步骤11；步骤10、从报文中提取脚本起始标志到脚本结束标志的内容，送入脚本引擎检测，如果发现威胁，则发送报警，脚本引擎检测后，返回步骤8；步骤11、缓存报文中脚本起始标志到脚本结束标志的内容，并返回步骤1。