安全提交请求的装置和方法、安全处理请求的装置和方法制造方法及图纸

本发明专利技术的实施例公开了安全提交请求的装置和方法，以及安全处理请求的装置和方法。根据本发明专利技术实施例的安全提交请求的装置包括请求预提交组件和请求确认组件，其中请求预提交组件被配置成将带有唯一标识符的请求发送到服务器，并将包含请求的唯一标识符和请求描述的告警消息发送到请求确认组件；以及请求确认组件包含不能被客户端中的其它组件访问的密钥，并被配置成响应于告警消息弹出显示有请求描述的请求确认窗口，并响应于确认了请求是合法请求，至少利用密钥和唯一标识符生成与请求相关联的请求确认消息，并将其发送到服务器。通过本发明专利技术实施例的技术方案，可以有效地阻止ＸＳＳ和ＣＳＲＦ的组合攻击，从而增强Ｗｅｂ应用的安全性。

Apparatus and method for secure submission request and device and method for secure processing request

Embodiments of the present invention disclose devices and methods for secure submission of requests, and devices and methods for secure processing requests. Safety device according to submit a request for an embodiment of the present invention includes pre assembly and submit the request to confirm the request where the request submitted pre assembly, assembly is configured with a unique identifier of the request is sent to the server, and will contain a unique identifier and request the description of the warning message to request confirmation and request to confirm the components contain components; other components can not be access to the client in the key, and is configured to respond to request description request confirmation window to display the warning message pops up, and in response to that request is legitimate request, generates at least associated with the request request confirmation message using the key and unique identifier, and sends it to the server. Through the technical scheme of the embodiment of the invention, the combination attack of the XSS and the CSRF can be effectively prevented, thereby enhancing the security of the Web application.

【技术实现步骤摘要】

本专利技术涉及计算机网^全领域，特别涉及在客户端中安全提交请求的装置和方法以;Mu艮务器中安全处理请求的装置和方法。
技术介绍
随着计算机和互联网技术的;^A，诸如网上购物、网上银行等Web 应用日益普及。在这些Web应用中经常使用客户端脚本来改善用户体验。 但是，由此带来的安全性问题也日益严峻，其中比较常见的有跨站点脚本 (XSS )攻击和跨站点请求伪装(CSRF)攻击。XSS攻击是指攻击者将恶意脚本插入到表面上是来自受信任的来源 的链接中，当受害者点击该^#时，所插入的恶意脚本就拔良送到受害者 的客户端加以执行，例如窃取用户的敏感信息等。另外，利用与XML 相结合的异步Java脚本，，(AJAX)， XSS攻击可以以受害者的名义发出恶 意请求而无需刷新网页，从而这种攻击的隐蔽性和危害性都大大提高。而 CSRF攻击是指例如通过向被攻击者发送电子邮件或图片并在其中内嵌 恶意脚本等各种方式，利用受害者的已打开会话，使受害者在不知情的情 况下向服务器发送恶意请求。XSS和CSRF的组合攻击则更加危险。对于暴露在这种组合攻击下 的有漏洞的Web应用，服务器几乎不能辨别所收到的请求是由合法用户 发出的还是由嵌入的恶意脚本发出的。结果，服务器仅仅盲目地处理诸如 转帐请求之类的请求，从而使用户的利益遭到重大损失。US20040260754 ziHf了一种用于减轻XSS攻击的系统和方法。在该 专利文献中，在服务器端过滤HTTP请求中的恶意脚本，即在服务器端 执行输AjHiE,以阻止恶意脚本的注入和在用户的浏览器端传播执行。然 而，该技术方案不能解决无需向服务器端注入脚本的CSRF攻击问题。另外，在现有技术中提出了在客户端中安装诸如浏览器插件或ActiveX组件等形式的安全防卫工具，以在客户端侧识别合法的脚本和欺 骗性的脚本注入攻击。然而，出于安全性和用户体验等方面的考虑，用户 有可能不愿意在客户端中安装新插件，并且对于不同的应用有可能存在潜 在的插件冲突。此外，为了防止CSRF攻击，在现有技术中提出了采用不可预测的 参数或秘密令牌，这增加了伪装请求的难度。但是，该不可预测的^或 秘密令牌有可能被攻击者以XSS攻击方式取得，从而这种技术方案不能 防范XSS与CSRF的组合攻击。而对于要求用户对于每个请求都输入其 密码的方案，用户体验非常差，同时，密码盗用的可能性增大。
技术实现思路
在下文中给出了关于本专利技术的简要概述，以便提供关于本专利技术的某些 方面的基本理解。但是，应当理解，这个概述并不是关于本专利技术的穷举性 概述。它并不是意图用来确定本专利技术的关键性部分或重要部分，也不是意 图用来限定本专利技术的范围。其目的仅仅是以简化的形式给出关于本专利技术的 某些概念，以此作为稍后给出的更详细描述的前序。鉴于现有技术的上述情形，本专利技术的目的是提供一种在客户端中安全 提交请求的装置和方法，以及在服务器中安全处理请求的装置和方法，以 阻止XSS和CSRF的组合攻击，从而增强Web应用的安全性。为了实现上述目的，本专利技术的一个实施例4^供了 一种在客户端中安全 提交请求的装置，包括请求预提交组件，被配置成将带有唯一标识符的 请求发送到服务器；以及请求确认组件，包含不能被包^ifr求预提交组件 在内的其它组件访问的密钥；其中，请求预提交组件还被配置成将包含所 述唯一标识符和请求描述的告警消息发送到请求确认组件；请求确认组件 被配置成响应于所述告警消息，弹出显示有所述请求描述的请求确认窗 口；以及请求确认组件还被配置成响应于确认所述请求是合法请求，至少 利用所述密钥和所述唯一标识符生成与所述请求相关联的请求确认消息， 并将其发送到服务器。本专利技术的一个实施例提供了一种在客户端中安全提交请求的方法，其 中客户端包括请求确iU且件，该请求确认组件包含不能M户端中的其它 组件访问的密钥，该方法包括将带有唯一标识符的请求发送到服务器； 利用请求确认组件弹出显示有所述请求的请求描述的请求确认窗口；以及响应于确认所述请求是合法请求，利用请求确认组件至少根据所述密钥和 所述唯一标识符生成与所述请,1M目关联的请求确认消息，并将其发送到服 务器。本专利技术的一个实施例提供了 一种在服务器中安全处理请求的装置，包括请求桂起单元，被配置成挂起来自客户端的带有唯一标识符的请求； 请求验证单元，被配置成根据来自客户端的按照所述唯一标识符与所述请 求相关联的请求确认消息，验证所述请求是否是合法请求；以及请求执行 单元，被配置成在所述请求是合法请求时，执行所述请求。本专利技术的一个实施例提供了一种在服务器中安全处理请求的方法，包 括挂起来自客户端的带有唯一标识符的请求；根据来自客户端的按照所述 唯一标识符与所述请*^目关联的请求确认消息，验证所述请求是否是合法 请求；以及在所述请求是合法请求时，执行所述请求。另外，本专利技术的实施例还提供用于实现上述安全提交请求的方法和/ 或安全处理请求的方法的计算机程序产品。此外，本专利技术的实施例还提供计算机可读介质，其上记录有用于实现 上述安全提交请求的方法和/或安全处理请求的方法的计算M序代码。根据本专利技术实施例的上述技术方案，由于请求确i人消息是利用存储在 请求确认组件中的、不能M户端中的其它组件访问的密钥生成的，因此 可以确保该请求确认消息不能被可能注入到客户端内的其它组件中的恶 意脚本伪造，由此服务器能够通过与请求相关联的非伪造请求确认消息来 识别请求是否合法，从而可以有效地阻止XSS和CSRF的组合进攻。附图说明参照下面结合附图对本专利技术实施例的说明，会更加容易地理解本专利技术 的以上和其它目的、特点和优点。在附图中，相同的或对应的技术特征或 部件将釆用相同或对应的附图标记M示。图1示出了可实现本专利技术的示例性分布式数据处理系统的框图。图2示出了根据本专利技术实施例的分布式数据处理系统中的服务器和 客户端的结构才匡图。图3示出了根据本专利技术实施例的客户端的示例性设计。 图4示出了根据本专利技术实施例的安全提交和处理请求的方法的总体流程图。具体实施例方式下面参照附图来说明本专利技术的实施例。应当注意，为清ft^见，附图 和说明书中省略了与本专利技术无关的、本领域普通技术人员已知的部件和处 理的表示和描述。现在参考附图，特别是图l，首先描述可实现本专利技术的分布式数据处理系统的原理框图。分布式数据处理系统100是可实现本专利技术的计算机网 络。分布式数据处理系统100包含网络102，网络102是用于在分布式数 据处理系统100内连接到一起的计算机或其它各种设备之间提供通信链接 的媒介。在所描述的例子中，服务器104与存储器106 —起连接到网络102。 此外，例如工作站、个人计算机、手机、PDA等客户端108、 110和112 也被连接到网络102。在所描述的例子中，服务器104向客户端108、 110 和112提供诸如引导文件、操作系统以及应用程序之类的数据。分布式数 据处理系统100可包括另外的服务器、客户端以及其它未显示的设备。在 所描述的例子中，分布式数据处理系统100是因特网，网络102表示对使 用TCP/IP协议^4NML此通信的网络以及网关的集合。处于因特网心脏 的是位于主节点或者主机计算机之间的高速数据通信线路中枢，其包含 数以千计的用于路由数据和消息的商业、政本文档来自技高网...

【技术保护点】
一种在客户端中安全提交请求的装置，包括：　请求预提交组件，被配置成将带有唯一标识符的请求发送到服务器；以及　请求确认组件，包含不能被包括请求预提交组件在内的其它组件访问的密钥；　其中，请求预提交组件还被配置成将包含所述唯一 标识符和请求描述的告警消息发送到请求确认组件；　请求确认组件被配置成响应于所述告警消息，弹出显示有所述请求描述的请求确认窗口；以及　请求确认组件还被配置成响应于确认所述请求是合法请求，至少利用所述密钥和所述唯一标识符生成与所述请 求相关联的请求确认消息，并将其发送到服务器。

【技术特征摘要】
1.一种在客户端中安全提交请求的装置，包括请求预提交组件，被配置成将带有唯一标识符的请求发送到服务器；以及请求确认组件，包含不能被包括请求预提交组件在内的其它组件访问的密钥；其中，请求预提交组件还被配置成将包含所述唯一标识符和请求描述的告警消息发送到请求确认组件；请求确认组件被配置成响应于所述告警消息，弹出显示有所述请求描述的请求确认窗口；以及请求确认组件还被配置成响应于确认所述请求是合法请求，至少利用所述密钥和所述唯一标识符生成与所述请求相关联的请求确认消息，并将其发送到服务器。2. 如权利要求l所述的装置，其中请求确认组件以及其中的密钥是 在登录到服务器时从服务器获取的。3. 如权利要求l所述的装置，其中请求确iU且件中的密钥具有预定 的生存期，并且在期满失^被重新生成。4. 如权利要求1所述的装置，其中利用所述请求确认组件所驻留的浏览器的同源策略，请求确认组件被设置成属于与所述其它组件不同的 域，使得请求确认组件中的密钥不能被所述其它组件访问。5. 如权利要求1所述的装置，其中请求确认组件进一步被配置成除 了所述密钥和所述唯一标识符之外还利用所述请求描述来生成所述请求 确i人消息。6. —种在客户端中安全提交请求的方法，其中客户端包括请求确认 组件，该请求确认组件包含不能^户端中的其它组件访问的密钥，该方 法包括将带有唯一标识符的请求发送到服务器；利用请求确认组件弹出显示有所述请求的请求描述的请求确认窗口 ；以及响应于确认所述请求是合法请求，利用请求确i/aa件至少根据所述密钥和所述唯一标识符生成与所述请求相关联的请求确J人消息，并将其发送 到服务器。7. 如权利要求6所述的方法，还包括在登录到服务器时，W艮务 器获取包含由服务器生成的密钥的请求确认组件。8. 如权利要求6所述的方法，其中利用所述请求确认组件所驻留的 浏览器的同源策略，请求确认组件被设置成属于与所述其它组件不同的 域，使得请求确认组件中的密钥不能被所述其它组件访问。9. 如权利要求6所述的方法，其中请求确认组件中的密钥具有预定 的生存期，并且在期满失M被重新生成。10. 如权利要求6所述的方法，其中所述生成进一步包括除了所述密 钥和所述唯一标...

【专利技术属性】
技术研发人员：张煜，罗琳，杨顺祥，高波，
申请(专利权)人：国际商业机器公司，
类型：发明
国别省市：US[美国]