基于HTML5應(yīng)用的Chrome瀏覽器安全支付插件設(shè)計.pdf

1、HTML5是Web技術(shù)的新標(biāo)準(zhǔn)，更豐富的功能、更多跨平臺的支持和更合理的定義都是其立足互聯(lián)網(wǎng)發(fā)展潮流的優(yōu)勢，隨著HTML5技術(shù)的不斷成熟以及富互聯(lián)網(wǎng)應(yīng)用帶來的機會，Web頁面和Web應(yīng)用將全部采用HTML5技術(shù)。如今，網(wǎng)上購物和網(wǎng)上銀行以其簡易的流程、更低的折扣和更高的收益改變著越來越多人的購物和理財觀念，網(wǎng)上購物、網(wǎng)銀轉(zhuǎn)賬支付和購買網(wǎng)上理財產(chǎn)品已經(jīng)成為大多數(shù)人每天生活必不可少的一部分。網(wǎng)上購物和支付離不開客戶端瀏覽器，而Chrome瀏

2、覽器以其快速的搜索和極高的安全性能在市場上占據(jù)了大量的份額。在這種大環(huán)境和前提下，研究基于HTML5應(yīng)用的Chrome瀏覽器安全支付有很好的前瞻性和切實的必要性。
　　HTML5技術(shù)雖然會給人們的生活帶來諸多便利，但同時也帶來了不少的安全問題，更重要的是現(xiàn)有安全策略對這些問題大都無法防御。本文從HTML5安全支付的角度出發(fā)，進行了以下幾方面的研究和設(shè)計：
　　1.從五個方面對HTML5的安全問題進行分析，分別是HTML5新標(biāo)

3、簽和新屬性引發(fā)的新型XSS攻擊、利用WebSocket協(xié)議進行的內(nèi)網(wǎng)掃描、利用WebStorage進行的敏感信息竊取、利用拖放事件進行的新型劫持攻擊和由WebWorker引發(fā)的DDos攻擊。
　　2.按照漏洞利用、支付相關(guān)和客戶端實現(xiàn)三方面的不同，將上面的問題規(guī)整為XSS和WebSocket濫用，并進行安全支付插件設(shè)計和實現(xiàn)。
　　3.針對XSS的防御中，通過獲頁面URL和監(jiān)控頁面輸入框內(nèi)容變化，針對可以引起XSS的新標(biāo)簽和

4、新屬性，采取比原有防御策略更為嚴(yán)格的正則表達式匹配，對獲取內(nèi)容分別進行黑名單過濾和白名單過濾?？紤]了新標(biāo)簽和屬性各種可能的攻擊形式，黑、白名單設(shè)置跟以往的安全策略相比，內(nèi)容更豐富，防御更全面。
　　4.針對利用WebSocket進行的內(nèi)網(wǎng)IP掃描、端口掃描和個人IP探測，此插件采用信息嗅探和特征參數(shù)匹配的方法對攻擊行為和正常行為進行判別。其中對非法請求的判定是在仔細(xì)研究此協(xié)議的基礎(chǔ)上自己總結(jié)得來，目前并無類似方法，具有獨創(chuàng)性。