專利名稱：保護(hù)網(wǎng)絡(luò)應(yīng)用數(shù)據(jù)的方法和系統(tǒng)的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及計(jì)算機(jī)網(wǎng)絡(luò)安全領(lǐng)域，特別涉及用于保護(hù)網(wǎng)絡(luò)應(yīng)用免受網(wǎng) 絡(luò)攻擊的方法和系統(tǒng)。
背景技術(shù)：
隨著計(jì)算機(jī)和互聯(lián)網(wǎng)技術(shù)的itA,諸如網(wǎng)上購(gòu)物、網(wǎng)上銀行等網(wǎng)絡(luò)應(yīng) 用日益普及。但是在過(guò)去十年針對(duì)網(wǎng)絡(luò)應(yīng)用的攻擊也已成為一大威脅。因 為即使防火墻具有強(qiáng)大的規(guī)則集，服務(wù)器也經(jīng)常及時(shí)安裝補(bǔ)丁，但如果網(wǎng)
絡(luò)應(yīng)用的開(kāi)發(fā)人員沒(méi)有遵循安全編碼實(shí)踐，攻擊者可通過(guò)端口 80輕而易 舉地ii^系統(tǒng)。最為流行的兩種攻擊是SQL注入和XSS (跨站點(diǎn)腳本)。 通過(guò)SQL注入可能盜取數(shù)據(jù)庫(kù)中的數(shù)據(jù)，甚至可能傾空整個(gè)數(shù)據(jù)庫(kù)，這 會(huì)給某些應(yīng)用帶來(lái)災(zāi)難。通過(guò)XSS還可能盜取普通用戶的秘密數(shù)據(jù)(例 如他們的用戶標(biāo)識(shí)或會(huì)話標(biāo)識(shí))。
目前有一些抵御這些攻擊的方法。 一種方法^K吏用一些黑箱測(cè)試工具 (例如AppScan)來(lái)掃描應(yīng)用，并手動(dòng)修復(fù)漏洞。但由于一些網(wǎng)絡(luò)應(yīng)用 不易被再部署，且一些情況下不可獲得源代碼，這種方法將不能始終有效。 另一種方法是在入口服務(wù)器之前使用WAF (網(wǎng)絡(luò)應(yīng)用防火墻)來(lái)過(guò)濾惡 意請(qǐng)求。該方法使過(guò)濾規(guī)則在應(yīng)用運(yùn)行時(shí)能夠更新，因此當(dāng)新的漏洞M 現(xiàn)時(shí)，該應(yīng)用不需被再部署。但該方法也有些缺點(diǎn)。首先，每個(gè)輸入字段 都需要被小心地人工配置，這將耗費(fèi)大量努力。其次，由于一些請(qǐng)求字段 可能在被提交之前用腳本來(lái)編碼，因此WAF不能識(shí)別它們。
除了 SQL注入和XSS之外，另 一種流行的威脅是對(duì)隱藏字段的篡改。 由于初級(jí)開(kāi)發(fā)人員可能使用隱藏字段來(lái)保存用戶信息而不在服務(wù)器站點(diǎn) 進(jìn)行檢查，因此篡改隱藏字段會(huì)破壞業(yè)務(wù)邏輯。解決這個(gè)問(wèn)題的一個(gè)方法 是在向用戶站點(diǎn)發(fā)送用戶信息之前標(biāo)記這些隱藏字段。當(dāng)包括這些字段的 請(qǐng)求返回時(shí)，該簽名將被校驗(yàn)以確保這些字段未被墓改。但一些表單可能 在應(yīng)用運(yùn)行時(shí)用腳本來(lái)創(chuàng)建，因此很難靜態(tài)地定義它們。此外， 一些開(kāi)發(fā) 人員可能不僅在隱藏字段中保存這些關(guān)鍵的用戶信息，還會(huì)在html文檔的任何標(biāo)簽中保存，并且在應(yīng)用運(yùn)行時(shí)通過(guò)腳本來(lái)獲得它們的值。因此， 定義哪個(gè)標(biāo)簽應(yīng)被標(biāo)記非常困難。
在一些極端情況下，在客戶站點(diǎn)通過(guò)腳本完成業(yè)務(wù)邏輯的一部分，而 在服務(wù)器站點(diǎn)卻忽略了校驗(yàn)。(例如，可在客戶站點(diǎn)通過(guò)對(duì)總數(shù)乘以單價(jià) 來(lái)計(jì)算總價(jià)，但總價(jià)并不在服務(wù)器站點(diǎn)校驗(yàn)。)目前沒(méi)有處理這個(gè)問(wèn)題的 好辦法。
另一個(gè)與網(wǎng)絡(luò)應(yīng)用相關(guān)的重要安全問(wèn)M未授權(quán)訪問(wèn)。黑客由于可通
it^見(jiàn)察來(lái)猜測(cè)被嵌入到網(wǎng)頁(yè)的鏈接，因此可獲得對(duì)未授權(quán)資源的訪問(wèn)。
一般而言，由于涉AJfr本，因此難以得到徹底解決這些安全問(wèn)題且不 改變?cè)创a的方案。

發(fā)明內(nèi)容
本發(fā)明的目的是提供一種新穎的在服務(wù)器和客戶端之間保護(hù)網(wǎng)絡(luò)應(yīng) 用數(shù)據(jù)的方法和系統(tǒng)，旨在解決至少一種目前現(xiàn)有技術(shù)中有關(guān)網(wǎng)絡(luò)攻擊的 安全問(wèn)題。
根據(jù)本發(fā)明的一個(gè)方面， 一種用于在服務(wù)器和客戶端之間保護(hù)網(wǎng)絡(luò)應(yīng)
用數(shù)據(jù)的方法，包括備除由所述網(wǎng)絡(luò)應(yīng)用為所i^戶端構(gòu)建的響應(yīng)；通
所述響應(yīng)；將修改后的響應(yīng)發(fā)送至所i^戶端；接收所^戶端提交的請(qǐng) 求以及由所述捕獲代碼捕獲的用戶操作和/或用戶數(shù)據(jù)；根據(jù)接收的由所
證請(qǐng)求；根據(jù)所述!HiE請(qǐng)求驗(yàn)證所述客戶端提交的請(qǐng)求；以及將經(jīng)過(guò)IHE 的所i^戶端提交的請(qǐng)求發(fā)送至所述服務(wù)器的網(wǎng)絡(luò)應(yīng)用。
優(yōu)選地，為了方便運(yùn)行，可以在*步驟前對(duì)##的所述響應(yīng)進(jìn)行解 析，然后將所述響應(yīng)經(jīng)解析后獲得的文本對(duì)象和腳本對(duì)象進(jìn)行*，例如 針對(duì)基于html頁(yè)面的html響應(yīng)文檔，可將html響應(yīng)文檔被解析為包含 普通html對(duì)象和腳本對(duì)象的DOM樹(shù)，以便由腳本引擎運(yùn)行。還可以在 備份步驟之后對(duì)所述響應(yīng)進(jìn)行解析，在所述a^it請(qǐng)求的步驟中使用所述響 應(yīng)經(jīng)解析后獲得的文本對(duì)象和腳本對(duì)象。
在對(duì)用戶輸入操作進(jìn)行校驗(yàn)、防止篡改(增刪修改或繞過(guò))選擇框的 情況下，對(duì)#的所述響應(yīng)執(zhí)行接收的由所述捕獲代碼捕獲的用戶^Mt ， 產(chǎn)生所述用于驗(yàn)證所^Jl戶端提交的請(qǐng)求的JiHt請(qǐng)求。通常在防止通過(guò)篡改腳本文件破壞篡改業(yè)務(wù)邏輯、防止通過(guò)墓改(增
刪修改)隱藏字段或操控cookie來(lái)篡^l良務(wù)器狀態(tài)數(shù)據(jù)、和/或防止繞過(guò) 客戶端輸入有效函數(shù)的情況下，對(duì)備份的所述響應(yīng)和接收的由所述捕獲代
餘請(qǐng)求。
優(yōu)選地，所述捕獲代碼還用于根據(jù)捕獲的特定用戶操作發(fā)送所述客戶 端的用戶操作和/或用戶數(shù)據(jù)；所述接^戶端提交的請(qǐng)求以及由所述捕 獲代碼捕獲的用戶操作和/或用戶數(shù)據(jù)的步驟進(jìn)一步包括分別接收所述 客戶端提交的請(qǐng)求，以及根據(jù)特定用戶操作發(fā)送的所^戶端的用戶操作 和/或用戶數(shù)據(jù)。
而在僅對(duì)用戶輸入的合法性進(jìn)行校驗(yàn)的情況下，所述接^戶端提交 的請(qǐng)求以及所述捕獲的操作和/或數(shù)據(jù)的步驟進(jìn)一步包括接收所i^戶 端提交的請(qǐng)求，以及與所^戶端提交的請(qǐng)求一起提交的由所述捕獲代碼 捕獲的用戶數(shù)據(jù)。
優(yōu)選地，所述^客戶端提交的請(qǐng)求的步驟包括比較所述!Hi請(qǐng)求 和所i^戶端提交的請(qǐng)求。
對(duì)于所^戶端提交的請(qǐng)求未通過(guò)mt的情況，本發(fā)明的方法提出可 以拒絕所i^L戶端的請(qǐng)求并向所i^戶端發(fā)出警告消息；或者忽略所i^ 戶端提交的請(qǐng)求而向所述網(wǎng)絡(luò)應(yīng)用發(fā)送所述mi請(qǐng)求；或者向所述網(wǎng)絡(luò)應(yīng) 用發(fā)送所^戶端提交的請(qǐng)求但將警告消息記入日志。
根據(jù)本發(fā)明的另 一方面， 一種用于在服務(wù)器和客戶端之間保護(hù)網(wǎng)絡(luò)應(yīng) 用數(shù)據(jù)的系統(tǒng)，包括##裝置，被配置成M由所述網(wǎng)絡(luò)應(yīng)用為所i^ 戶端構(gòu)建的響應(yīng)；修改裝置，被配置為通過(guò)添加用于捕獲所^戶端的用 戶操作和/或用戶數(shù)據(jù)的捕獲代碼來(lái)修改所述響應(yīng)；發(fā)送裝置，被配置為 將修改后的響應(yīng)發(fā)送至所述客戶端；接收裝置，被配置為接收所述客戶端 提交的請(qǐng)求以及由所述捕獲代碼捕獲的用戶操作和/或用戶數(shù)據(jù)；產(chǎn)生裝
以及4^的所述響應(yīng)來(lái)產(chǎn)生JlHiE請(qǐng)求；以及驗(yàn)證裝置，被配置為根據(jù)所述 IHE請(qǐng)求發(fā)汪所i^戶端提交的請(qǐng)求，所i^送裝置還被配置為將經(jīng)過(guò)驗(yàn) 證的所^戶端提交的請(qǐng)求發(fā)送至所述服務(wù)器的網(wǎng)絡(luò)應(yīng)用。
根據(jù)本發(fā)明用于在服務(wù)器和客戶端之間保護(hù)網(wǎng)絡(luò)應(yīng)用數(shù)據(jù)的系統(tǒng)和 方法，可以解決以下至少一種在現(xiàn)有技術(shù)中存在的問(wèn)題。首先，許多SQL注入和XSS的漏洞在于在客戶端正常地校驗(yàn)用戶 輸入但在相應(yīng)的服務(wù)器站點(diǎn)忽略了校驗(yàn)。本發(fā)明對(duì)原始數(shù)據(jù)進(jìn)行再次校 驗(yàn)，從而使黑客無(wú)法繞開(kāi)腳;^驗(yàn)。此外，由于校驗(yàn)可以針對(duì)原始數(shù)據(jù)執(zhí) 行的，校驗(yàn)不會(huì)受到編碼的干擾。
其次，在響應(yīng)包括*用戶信息的隱藏字段的情況下，由于本發(fā)明對(duì) 之有*，因此即使黑客墓改了這些隱藏字段，利用本發(fā)明進(jìn)行驗(yàn)證也將 出現(xiàn)不一致，指出了墓改。
第三，還可以在本發(fā)明中再次執(zhí)行業(yè)務(wù)邏輯，由此本發(fā)明的校驗(yàn)可阻 止黑客入侵。
最后，本發(fā)明系統(tǒng)還可檢查所請(qǐng)求的URL是否在##響應(yīng)文檔中已 有，如果沒(méi)有，則說(shuō)明客戶端用戶試圖獲得授權(quán)訪問(wèn)。
與現(xiàn)有技術(shù)的技術(shù)方案相比，本發(fā)明可以獲得以下的至少一種有益效
果
提供了對(duì)各種網(wǎng)絡(luò)攻擊威脅的全面解決方案；
多數(shù)情況下不需手動(dòng)配置，從而節(jié)省了大量努力；
不需修改網(wǎng)絡(luò)服務(wù)的源代碼，使得該服務(wù)不需^L再部署；
為客戶業(yè)務(wù)邏輯篡改提供了解決方案，而這是其他方案不能處理的。
如果4吏用本發(fā)明系統(tǒng)，開(kāi)發(fā)人員不需編寫(xiě)將會(huì)縮短軟件的生命周期的 服務(wù)器站點(diǎn)輸入校驗(yàn)代碼，服務(wù)器站點(diǎn)授權(quán)代碼等等。


參照下面結(jié)合附圖對(duì)本發(fā)明實(shí)施例的說(shuō)明，會(huì)更加容易地理解本發(fā)明 的以上和其它目的、特點(diǎn)和優(yōu)點(diǎn)。在附圖中，相同的或?qū)?yīng)的技術(shù)特征或 部件將釆用相同或?qū)?yīng)的附圖標(biāo)記來(lái)表示。
圖l是示出可實(shí)現(xiàn)本發(fā)明的分布式數(shù)據(jù)處理系統(tǒng)的框圖。
圖2是應(yīng)用了本發(fā)明優(yōu)選實(shí)施例的系統(tǒng)的示意圖。
圖3是根據(jù)本發(fā)明優(yōu)選實(shí)施例的系統(tǒng)框圖。
圖4是根據(jù)本發(fā)明優(yōu)選實(shí)施例的方法的流程圖。
具體實(shí)施例方式
下面參照附圖來(lái)說(shuō)明本發(fā)明的實(shí)施例。應(yīng)當(dāng)注意，為了清楚的目的， 附圖和說(shuō)明中省略了與本發(fā)明無(wú)關(guān)的、本領(lǐng)域普通技術(shù)人員已知的部件和 處理的表示和描述。
系統(tǒng)體系
現(xiàn)在參考附圖，特別是圖l，描述了可實(shí)現(xiàn)本發(fā)明的分布式數(shù)據(jù)處理
系統(tǒng)的框圖。分布式數(shù)據(jù)處理系統(tǒng)100是可實(shí)現(xiàn)本發(fā)明的計(jì)算機(jī)網(wǎng)絡(luò)。分 布式數(shù)據(jù)處理系統(tǒng)100包含網(wǎng)絡(luò)102，網(wǎng)絡(luò)102是用于在不同的設(shè)備和分 布式數(shù)據(jù)處理系統(tǒng)100內(nèi)連接到一起的計(jì)算機(jī)之間提供通信鏈接的媒介。
在所描述的例子中，服務(wù)器104與存儲(chǔ)器106 —起連接到網(wǎng)絡(luò)102。 此外，例如工作站、個(gè)人計(jì)算機(jī)、手機(jī)、PDA等的客戶端108、 110和112 也被連接到網(wǎng)絡(luò)102。在所描述的例子中，服務(wù)器104向客戶端108、 110 和112提供如引導(dǎo)文件的數(shù)據(jù)、操作系統(tǒng)以及應(yīng)用程序。分布式數(shù)據(jù)處理 系統(tǒng)100可包括另外的服務(wù)器、客戶端以及其它未顯示的設(shè)備。在所描述 的例子中，分布式數(shù)據(jù)處理系統(tǒng)100是因特網(wǎng)，網(wǎng)絡(luò)102表示對(duì)使用 TCP/IP協(xié)議^^NM^此通信的網(wǎng)絡(luò)以及網(wǎng)關(guān)的集合。當(dāng)然，分布式數(shù)據(jù) 處理系統(tǒng)100還可被實(shí)現(xiàn)為不同類型的網(wǎng)絡(luò)。
企圖將圖l作為例子，而不是作為本發(fā)明所述過(guò)程的結(jié)構(gòu)限制。在不 偏離本發(fā)明精神和范圍的IHf下，可對(duì)圖l所示系統(tǒng)作出許多更改。
本發(fā)明可實(shí)現(xiàn)為如圖1所示的服務(wù)器104的數(shù)據(jù)處理系統(tǒng)。該數(shù)據(jù)處 理系統(tǒng)可以是包括連接到系統(tǒng)總線的多個(gè)處理器的對(duì)稱對(duì)處理器(SMP) 系統(tǒng)。亦可使用單處理器系統(tǒng)。本發(fā)明還可實(shí)現(xiàn)為圖1中客戶端計(jì)算機(jī)的 數(shù)據(jù)處理系統(tǒng)。
優(yōu)選實(shí)施例
以下結(jié)合圖2和圖3對(duì)本發(fā)明的優(yōu)選實(shí)施例進(jìn)行詳細(xì)說(shuō)明。圖2 M 用了本發(fā)明優(yōu)選實(shí)施例的系統(tǒng)的示意圖；圖3是根據(jù)本發(fā)明優(yōu)選實(shí)施例的 系統(tǒng)框圖。
當(dāng)用戶通過(guò)瀏覽器打開(kāi)網(wǎng)絡(luò)文件或者t URL輸入文件請(qǐng)求時(shí)或者 點(diǎn)擊超文本鏈接時(shí)，瀏覽器構(gòu)建HTTP請(qǐng)求。網(wǎng)絡(luò)瀏覽器作為網(wǎng)絡(luò)應(yīng)用的 客戶端220通常通過(guò)建立與遠(yuǎn)程主機(jī)的特定端口的TCP/IP連接發(fā)起請(qǐng)求。 監(jiān)視該端口的HTTP服務(wù)器230等待客戶端發(fā)送請(qǐng)求串。 一旦接收到請(qǐng)求串(以及可能的消息)，服務(wù)器可以通itiL回響應(yīng)串來(lái)完成協(xié)議。
如圖2的附圖標(biāo)記l所示，在服務(wù)器230的網(wǎng)絡(luò)應(yīng)用構(gòu)建響應(yīng)之后向 客戶端220的瀏覽器發(fā)送響應(yīng)，該響應(yīng)例如為基于html頁(yè)面的響應(yīng)文檔， 在該優(yōu)選實(shí)施例中該html頁(yè)面的響應(yīng)文檔包含了如輸入名以及輸入類型 (<inputname="a，，>， <inputtype= "submit")的請(qǐng)求信息。本領(lǐng)域普通 技術(shù)人員可以了解，該響應(yīng)亦可以是支持網(wǎng)絡(luò)應(yīng)用的其它類型的響應(yīng)。
如圖2所示，該響應(yīng)將首先經(jīng)過(guò)根據(jù)本發(fā)明的用于在服務(wù)器和客戶端 之間保護(hù)網(wǎng)絡(luò)應(yīng)用數(shù)據(jù)的系統(tǒng)200。根據(jù)優(yōu)選實(shí)施例，本發(fā)明的系統(tǒng)200 位于所述服務(wù)器230和所述客戶端220之間，例如在服務(wù)器之前的代理服 務(wù)器，可替代地本發(fā)明的系統(tǒng)亦可部署在所述服務(wù)器230，例如嵌入服務(wù) 器230的插件(例如WAS服務(wù)器或Apache服務(wù)器的插件)。
如圖2的附圖標(biāo)記2所示，本發(fā)明的保護(hù)系統(tǒng)將保存響應(yīng)文檔的*。
該系統(tǒng)的細(xì)節(jié)如圖3所示，該保護(hù)系統(tǒng)300的接收裝置301接^J良務(wù) 器330中某個(gè)網(wǎng)絡(luò)應(yīng)用331構(gòu)建的響應(yīng)文檔，并由*裝置302進(jìn)行*。 在備除前可選擇地利用諸如html解析器的解析裝置將響應(yīng)文檔解析為包 含例如普通html對(duì)象等文本對(duì)象和腳本對(duì)象(在優(yōu)選實(shí)施例中為Java腳 本對(duì)象)的DOM樹(shù)，并將文本對(duì)象和腳本對(duì)象發(fā)送至所述*裝置進(jìn)行 ，例如由作為M裝置的DOM存儲(chǔ)器存儲(chǔ)。可替換地，也可以在備 份裝置302之后對(duì)原始備除的響應(yīng)運(yùn)行腳本之前(即在產(chǎn)生裝置305之前) 再使用解析裝置進(jìn)行解析，即該解析裝置可替選地被配置為解析響應(yīng)的所 述*以獲得文本對(duì)象和腳本對(duì)象并將所述文本對(duì)象和腳本對(duì)象發(fā)送至 所述產(chǎn)生裝置。
另外，原始的響應(yīng)文檔還將被本發(fā)明系統(tǒng)的修改裝置303 (優(yōu)選為 html處理器)修改，修改后的響應(yīng)文檔由發(fā)送裝置304發(fā)送到客戶端320， 如圖3所示。其中修改細(xì)節(jié)如下描述。
圖2的附圖標(biāo)記3示出了修^的添加了 JavaScript代碼/函數(shù)的響 應(yīng)文檔。具體地在原響應(yīng)文檔的輸入標(biāo)簽中添加了用于捕獲用戶操作和原 始數(shù)據(jù)的一些操作(例如，"onchange"; "onsubmit"),可以通過(guò)使用腳 本代碼/函數(shù)(在本優(yōu)選實(shí)施例中為JavaScript函數(shù))作為捕獲代碼來(lái)捕 獲用戶操作和原始數(shù)據(jù)。附加地或可替代地還可利用該腳本代碼/函數(shù)來(lái) 管理操作列表并決定向本發(fā)明系統(tǒng)發(fā)送操作隊(duì)列和相關(guān)數(shù)據(jù)的時(shí)間，由此如圖2的附圖標(biāo)記4所示，當(dāng)客戶端用戶有操作時(shí)，例如將值"123" 填入輸入框a或按壓提交按鈕，相應(yīng)的操作信息將被所嵌入的"onchange" / "onsubmit"方法捕獲并被推入操作隊(duì)列。當(dāng)捕獲代碼捕獲關(guān)鍵操作(例 如用戶按壓提交掩組)時(shí)，當(dāng)前的操作隊(duì)列和相應(yīng)的原始婆:據(jù)(如圖2的 附圖標(biāo)^己5所示，Action01: setValue"a""123"; Action02: submit Form) 將被單獨(dú)地發(fā)送到本發(fā)明系統(tǒng)。
當(dāng)本發(fā)明系統(tǒng)接收到操作隊(duì)列和相應(yīng)的原始數(shù)據(jù)時(shí)，它將4吏用*的 響應(yīng)文檔和接收到的原始數(shù)據(jù)在JavaScript引擎上按順序執(zhí)行捕獲到的 操作。例如，捕獲到的"setValue"操作將使*文檔的相應(yīng)輸入標(biāo)簽的 值設(shè)定為接收到的原始數(shù)據(jù)。最后，本發(fā)明系統(tǒng)生成J^iE請(qǐng)求(在本實(shí)施 例中是自請(qǐng)求表單)。
如圖2的附圖標(biāo)記7所示，瀏覽器提交用戶的請(qǐng)求(即表單"a = 123")。 如果客戶端用戶沒(méi)有黑掉數(shù)據(jù)(例如提交偽造的表單)，本發(fā)明系統(tǒng)中生 成的!Hi請(qǐng)求(即自請(qǐng)求表單)將與客戶提交的表單完全相同，如圖2的 附圖標(biāo)記6所示。如果表單沒(méi)有被黑，則將其提交到服務(wù)器，如圖2的附 圖標(biāo)記8所示。如果它們不同，這說(shuō)明提交的表單被黑了 (例如用戶破壞 了 JavaScript所執(zhí)行的校驗(yàn)函數(shù))。
執(zhí)行圖2的附圖標(biāo)記5-8所示步驟的部件細(xì)節(jié)如圖3所示。
接收裝置301同時(shí)或先后地接收所^戶端提交的請(qǐng)求以及由所述 修改后的響應(yīng)中的捕獲代碼捕獲的用戶操作和數(shù)據(jù)，產(chǎn)生裝置305對(duì)來(lái)自 所述##裝置302的所述*的響應(yīng)和接收的由所述捕獲代碼捕獲的用 戶數(shù)據(jù)執(zhí)行接收的由所述捕獲代碼捕獲的用戶操作，產(chǎn)生mt請(qǐng)求； 裝置306才艮據(jù)所述m^請(qǐng)求驗(yàn)證所述客戶端提交的請(qǐng)求，經(jīng)過(guò)驗(yàn)證的所述 客戶端提交的請(qǐng)求將由發(fā)送裝置304發(fā)送至所述服務(wù)器的網(wǎng)絡(luò)應(yīng)用。
所述產(chǎn)生裝置305和驗(yàn)證裝置306均可由腳本引擎來(lái)實(shí)現(xiàn)，例如在捕 獲代碼為Java腳本的情況下，所述產(chǎn)生裝置和驗(yàn)證裝置由Java腳本引擎 來(lái)實(shí)現(xiàn)。所述發(fā)汪裝置306還包括驗(yàn)證結(jié)果處理器，該驗(yàn)證結(jié)果處理器被 配置為響應(yīng)于所^Jl戶端提交的請(qǐng)求未通過(guò)miE,拒絕所i^戶端的請(qǐng)求 并經(jīng)由所U送裝置304向所^J1戶端320發(fā)出例如指出該請(qǐng)求已M改 的警告消息；或者忽略所^戶端提交的請(qǐng)求而經(jīng)由所述發(fā)送裝置304 向所述網(wǎng)絡(luò)應(yīng)用331發(fā)送所述l^ii請(qǐng)求；或者經(jīng)由所述發(fā)送裝置304向所交的請(qǐng)求但將警告消息記入日志。在以上的優(yōu)選實(shí)施例中，所述捕獲代碼用于捕獲所^戶端用戶操作 和數(shù)據(jù)，例如可以應(yīng)用于通過(guò)防止篡改腳本文件破壞篡改業(yè)務(wù)邏輯、防止 通過(guò)墓改隱藏字段或操控cookie來(lái)墓^J艮務(wù)器狀態(tài)數(shù)據(jù)、和/或防止繞過(guò) 客戶端輸入有效函數(shù)的情況。但是可以理解，在對(duì)用戶輸入操作進(jìn)行校驗(yàn)、 防止篡改選擇框的情況下，所述添加的捕獲代碼用于捕獲所^戶端的用 戶操作，所述產(chǎn)生裝置305被配置成對(duì)所述*的響應(yīng)執(zhí)行接收的由所述 捕獲代碼捕獲的用戶操作，產(chǎn)生所述用于驗(yàn)證所^戶端提交的請(qǐng)求的驗(yàn) 證請(qǐng)求。而在僅對(duì)用戶輸入的合法性進(jìn)行校驗(yàn)的情況下，所述添加的捕獲代碼 用于捕獲所^戶端的用戶lt據(jù)，所述接收裝置301被配置成接收所^ 戶端提交的請(qǐng)求，以及與所述客戶端提交的請(qǐng)求一起提交的由所述捕獲代 碼捕獲的用戶數(shù)據(jù)，即這種情況下由于捕獲代碼可不用于捕獲用戶的操 作，則由所述捕獲代碼捕獲的用戶數(shù)據(jù)將與所^戶端提交的請(qǐng)求一起而 不是相互獨(dú)立地發(fā)送至本發(fā)明的系統(tǒng)。本發(fā)明的方法圖4示出了根據(jù)本發(fā)明優(yōu)選實(shí)施例的用于在服務(wù)器和客戶端之間保 護(hù)網(wǎng)絡(luò)應(yīng)用數(shù)據(jù)的方法400的流程圖。在步驟S401開(kāi)始后發(fā)送由網(wǎng)絡(luò)應(yīng)用為客戶端構(gòu)建的響應(yīng)(S402); 首先*所述響應(yīng)(S403 )，同時(shí)或隨后通過(guò)添加用于捕獲所ii^戶端的 用戶操作和/或用戶數(shù)據(jù)的捕獲代碼來(lái)修改所述響應(yīng)，并將修改后的響應(yīng) 發(fā)送至所i^戶端(S404)。在客戶端用戶填寫(xiě)輸入框并例如按下提交^之后，接收所^戶端 提交的請(qǐng)求(S405),同時(shí)或先后地接收由所述修改后的響應(yīng)中的捕獲代 碼捕獲的用戶操作和/或用戶數(shù)據(jù)(S406); ^根據(jù)接收的由所述捕獲代(S407 ),并根據(jù)所述lHiE請(qǐng)求驗(yàn)證所述客戶端提交的請(qǐng)求(S408 )。如果所i^戶端提交的請(qǐng)求經(jīng)過(guò)m^ ( S409中的是)，則將所i^戶 端提交的請(qǐng)求發(fā)送至所述月良務(wù)器的網(wǎng)絡(luò)應(yīng)用(S410 )，并結(jié)束流程(S412 )。 如果所i^戶端提交的請(qǐng)求經(jīng)過(guò)mt ( S409中的否)，則拒絕所il^戶端 的請(qǐng)求并發(fā)出例如指出該請(qǐng)求已被篡改的警告消息(S411),結(jié)束流程(S412 )。 其它實(shí)施例對(duì)本領(lǐng)域的普通技術(shù)人員而言，能夠理解本發(fā)明的方法和裝置的全部 或者任何步驟或者部件，可以在任何計(jì)算設(shè)備(包括處理器、存儲(chǔ)^^質(zhì)等) 或者計(jì)算設(shè)備的網(wǎng)絡(luò)中，以硬件、固件、軟件或者它們的組合加以實(shí)現(xiàn)，本編程技能就能實(shí)現(xiàn)的，因此在這里省略了詳細(xì)i兌明。因此，基于上述理解，本發(fā)明的目的還可以通過(guò)在任何信息處理設(shè)備 上運(yùn)行一個(gè)程序或者一組程序來(lái)實(shí)現(xiàn)。所述信息處理設(shè)備可以是公知的通 用設(shè)備。因此，本發(fā)明的目的也可以僅僅通過(guò)提供包含實(shí)現(xiàn)所述方法或者 設(shè)備的程序代碼的程序產(chǎn)品來(lái)實(shí)現(xiàn)。也就是說(shuō)，這樣的程序產(chǎn)品也構(gòu)成本 發(fā)明，并且存儲(chǔ)有這樣的程序產(chǎn)品的存儲(chǔ)介質(zhì)也構(gòu)成本發(fā)明。顯然，所述質(zhì)，因此也沒(méi)有必要在此對(duì)各種存儲(chǔ)介質(zhì)——列舉。在本發(fā)明的系統(tǒng)和方法中，顯然，各部件或步驟是可以分解和/或重 新組合的。這些分解和/或重新組合應(yīng)視為本發(fā)明的等效方案。并且，執(zhí)并不需要一定按照時(shí)間順序執(zhí)行。某些步驟可以并行或彼此獨(dú)立地執(zhí)行。以上描述了本發(fā)明的優(yōu)選實(shí)施方式。本領(lǐng)域的普通技術(shù)人員知道，本 發(fā)明的保護(hù)范圍不限于這里所公開(kāi)的具體細(xì)節(jié)，而可以具有在本發(fā)明的精 神實(shí)質(zhì)范圍內(nèi)的各種變化和等效方案。
權(quán)利要求
1.一種用于在服務(wù)器的網(wǎng)絡(luò)應(yīng)用和客戶端之間保護(hù)網(wǎng)絡(luò)應(yīng)用數(shù)據(jù)的方法，包括備份由所述網(wǎng)絡(luò)應(yīng)用為所述客戶端構(gòu)建的響應(yīng)；通過(guò)添加用于捕獲所述客戶端的用戶操作和/或用戶數(shù)據(jù)的捕獲代碼來(lái)修改所述響應(yīng)；將修改后的響應(yīng)發(fā)送至所述客戶端；接收所述客戶端提交的請(qǐng)求以及由所述捕獲代碼捕獲的用戶操作和/或用戶數(shù)據(jù)；根據(jù)接收的由所述捕獲代碼捕獲的用戶操作和/或用戶數(shù)據(jù)以及備份的所述響應(yīng)來(lái)產(chǎn)生驗(yàn)證請(qǐng)求；根據(jù)所述驗(yàn)證請(qǐng)求驗(yàn)證所述客戶端提交的請(qǐng)求；以及將經(jīng)過(guò)驗(yàn)證的所述客戶端提交的請(qǐng)求發(fā)送至所述服務(wù)器的網(wǎng)絡(luò)應(yīng)用。
2. 根據(jù)權(quán)利要求1所述的方法，其中對(duì)M的所述響應(yīng)執(zhí)行接收的 由所述捕獲代碼捕獲的用戶操作產(chǎn)生所述IHt請(qǐng)求。
3. 根據(jù)權(quán)利要求1所述的方法，其中對(duì)*的所述響應(yīng)以及接收的操作，產(chǎn)生所述mt請(qǐng)求。
4. 根據(jù)權(quán)利要求1所述的方法，其中所述捕獲代碼還用于根據(jù)捕獲 的特定用戶^^作發(fā)送所^戶端的用戶^Mt和/或用戶數(shù)據(jù)；或用戶數(shù)據(jù)的步驟進(jìn)一步包括f分別接收所^戶端提交的請(qǐng)求以及根據(jù) 特定用戶操作發(fā)送的所^戶端的用戶^Mt和/或用戶數(shù)據(jù)。
5. 根據(jù)權(quán)利要求1所述的方法，其中所述接收客戶端提交的請(qǐng)求以 及由所述捕獲代碼捕獲的用戶操作和/或用戶數(shù)據(jù)的步驟進(jìn)一步包括接 收所述客戶端提交的請(qǐng)求以及與所述客戶端提交的請(qǐng)求一起提交的由所 述捕獲代碼捕獲的用戶lt據(jù)。
6. 根據(jù)權(quán)利要求1所述的方法，其中所述備份由所述網(wǎng)絡(luò)應(yīng)用為所 ^戶端構(gòu)建的響應(yīng)的步驟進(jìn)一步包括解析所述響應(yīng)以獲得文本對(duì)象和 腳本對(duì)象，*所述文本對(duì)象和腳本對(duì)象。
7. 根據(jù)權(quán)利要求6所述的方法，其中根據(jù)接收的由所述捕獲代碼捕 獲的用戶操作和/或用戶數(shù)據(jù)以及所述文本對(duì)象和腳本對(duì)象來(lái)產(chǎn)生驗(yàn)證請(qǐng) 求。
8. 根據(jù)權(quán)利要求1所述的方法，其中通過(guò)比較所述IHE請(qǐng)求和所述 客戶端提交的請(qǐng)求來(lái)IHE客戶端提交的請(qǐng)求。
9. 根據(jù)權(quán)利要求1所述的方法，進(jìn)一步包括響應(yīng)于所i^戶端提交 的請(qǐng)求未通過(guò)IHE，拒絕所^戶端的請(qǐng)求并向所i^戶端發(fā)出警告消息；或者忽略所iiJ:戶端提交的請(qǐng)求而向所述網(wǎng)絡(luò)應(yīng)用發(fā)送所述IHi請(qǐng)求；或者向所述網(wǎng)絡(luò)應(yīng)用發(fā)送所^Jl戶端提交的請(qǐng)求但將警告消息記入日志。
10. —種用于在服務(wù)器的網(wǎng)絡(luò)應(yīng)用和客戶端之間保護(hù)網(wǎng)絡(luò)應(yīng)用數(shù)據(jù) 的系統(tǒng)，包括##裝置，被配置成*由所述網(wǎng)絡(luò)應(yīng)用為所^戶端構(gòu)建的響應(yīng)；修改裝置，被配置為通過(guò)添加用于捕獲所^Jl戶端的用戶操作和/或 用戶數(shù)據(jù)的捕獲代碼來(lái)修改所述響應(yīng)；發(fā)送裝置，被配置為將修改后的響應(yīng)發(fā)送至所^Jl戶端；接收裝置，被配置為接收所述客戶端提交的請(qǐng)求以及由所述捕獲代碼 捕獲的用戶^Mt和/或用戶翁:據(jù)；產(chǎn)生裝置，被配置為根據(jù)接收的由所述捕獲代碼捕獲的用戶^Mt和/ 或用戶數(shù)據(jù)以及備盼的所述響應(yīng)來(lái)產(chǎn)生IHE請(qǐng)求；以及驗(yàn)證裝置，被配置為根據(jù)所述IHE請(qǐng)求驗(yàn)證所^Ji戶端提交的請(qǐng)求，所述發(fā)送裝置還被配置為將經(jīng)過(guò)驗(yàn)證的所述客戶端提交的請(qǐng)求發(fā)送 至所述服務(wù)器的網(wǎng)絡(luò)應(yīng)用。
11. 根據(jù)權(quán)利要求10所述的系統(tǒng)，其中所述產(chǎn)生裝置還被配置為對(duì)證請(qǐng)求。
12.根據(jù)權(quán)利要求10所述的系統(tǒng)，其中所述產(chǎn)生裝置還被配置為對(duì)所述捕獲代碼捕獲的用戶操作，產(chǎn)生所述^^請(qǐng)求,
13. 根據(jù)權(quán)利要求10所述的系統(tǒng)，其中所述捕獲代碼還用于根據(jù)所 捕獲的特定用戶操作發(fā)送所ii^戶端的用戶操作和/或用戶數(shù)據(jù)；所述接收裝置還被配置為分別接收所述客戶端提交的請(qǐng)求以及根據(jù)特定用戶操作發(fā)送的所^戶端的用戶操作和/或用戶數(shù)據(jù)。
14. 根據(jù)權(quán)利要求10所述的系統(tǒng)，其中所述接收裝置還被配置為接 收所述客戶端提交的請(qǐng)求以及與所述客戶端提交的請(qǐng)求一起提交的由所 述捕獲代碼捕獲的用戶數(shù)據(jù)。
15. 根據(jù)權(quán)利要求10所述的系統(tǒng)，還包括解析裝置，被配置為解析至所述##裝置進(jìn)行*。
16. 根據(jù)權(quán)利要求11所述的系統(tǒng)，其中還包括解析裝置，還被配置 為對(duì)*的所述響應(yīng)進(jìn)行解析，并將所述響應(yīng)經(jīng)解析后獲得的文本對(duì)象和 腳本對(duì)象發(fā)送至所述產(chǎn)生裝置。
17. 根據(jù)權(quán)利要求10所述的系統(tǒng)，其中所述g裝置被配置為比較 所述mit請(qǐng)求和所述客戶端提交的請(qǐng)求。
18. 根據(jù)權(quán)利要求10所述的系統(tǒng)，其中所述驗(yàn)證裝置還包括驗(yàn)證結(jié) 果處理器，被配置為響應(yīng)于所i^戶端提交的請(qǐng)求未通過(guò)發(fā)汪，拒絕所述客戶端的請(qǐng)求并經(jīng)由所述發(fā)送裝置向所述客戶端發(fā)出警告 消息；或者忽略所^戶端提交的請(qǐng)求而經(jīng)由所述發(fā)送裝置向所述網(wǎng)絡(luò)應(yīng)用發(fā) 送所述!Hit請(qǐng)求；或者經(jīng)由所述發(fā)送裝置向所述網(wǎng)絡(luò)應(yīng)用發(fā)送所述客戶端提交的請(qǐng)求但將 警告消息記入曰志。
全文摘要
本發(fā)明公開(kāi)了一種用于在服務(wù)器和客戶端之間保護(hù)網(wǎng)絡(luò)應(yīng)用數(shù)據(jù)的系統(tǒng)和方法。該方法包括備份由所述網(wǎng)絡(luò)應(yīng)用為所述客戶端構(gòu)建的響應(yīng)；通過(guò)添加用于捕獲所述客戶端的用戶操作和/或用戶數(shù)據(jù)的捕獲代碼來(lái)修改所述響應(yīng)；將修改后的響應(yīng)發(fā)送至所述客戶端；接收所述客戶端提交的請(qǐng)求以及由所述捕獲代碼捕獲的用戶操作和/或用戶數(shù)據(jù)；根據(jù)接收的由所述捕獲代碼捕獲的用戶操作和/或用戶數(shù)據(jù)以及所述備份的響應(yīng)來(lái)產(chǎn)生驗(yàn)證請(qǐng)求；根據(jù)所述驗(yàn)證請(qǐng)求驗(yàn)證所述客戶端提交的請(qǐng)求；以及將經(jīng)過(guò)驗(yàn)證的所述客戶端提交的請(qǐng)求發(fā)送至所述服務(wù)器的網(wǎng)絡(luò)應(yīng)用。
文檔編號(hào)H04L9/36GK101616008SQ20081012753
公開(kāi)日2009年12月30日 申請(qǐng)日期2008年6月27日 優(yōu)先權(quán)日2008年6月27日
發(fā)明者黨亞斌, 鵬 嵇, 煜 張, 琳 羅, 郝大明 申請(qǐng)人:國(guó)際商業(yè)機(jī)器公司