针对跨站攻击检测方法及系统

技术领域

本发明涉及网络安全技术领域，具体而言，涉及一种针对跨站攻击检测方法及系统。

背景技术

互联网技术的快速发展为人们的生活带来了便利，但随之而来的网络安全攻击问题也日益严峻。跨站攻击是网络应用面对的最为严重的攻击之一。传统的跨站攻击指面对输入型漏洞的脚本注入攻击，即跨站脚本攻击(Cross-Site Scripting，XSS)。攻击者通过注入恶意脚本来窃取用户登陆凭证、会话令牌等敏感信息。更隐蔽的跨站攻击是跨站隐私泄露攻击(Cross-Site Leaks，XS-Leak)，攻击者利用网页的侧信道窃取用户的浏览历史、cookie等隐私，以进一步利用。为了有效地抵御跨站攻击，进行安全检测是维护网站安全的重要措施。

现有的安全检测方案存在以下关键问题：

(1)源码静态分析可有效解决跨站脚本攻击问题，但是许多程序内置的变量状态检查函数往往会干扰静态分析结果。

(2)非注入型跨站隐私泄露问题更为隐蔽，攻击者利用侧信道窃取用户的状态信息以进一步利用。以往查找这类响应都是人工进行，效率较低。

发明内容

为解决上述问题，本发明实施例提供一种针对跨站攻击检测方法，所述方法包括：将网络应用的源代码转化为抽象语法树，以及将所述抽象语法树转化为静态单赋值形式；将所述静态单赋值形式的变量映射为符号值，得到变量的取值范围和约束条件，以及依据符号值进行符号执行；生成可达路径以及提取所述可达路径的约束条件；基于污点分析算法对所述可达路径进行跟踪，得到污点分析结果；基于求解器将所述污点分析结果转化为逻辑表达式进行验证；根据所述求解器的验证结果输出静态分析报告；所述静态分析报告包括可达路径、跨站脚本攻击上下文信息。

可选地，基于变量检查函数分析算法生成可达路径，所述变量检查函数分析算法的输入为变量检查函数列表和已分析变量列表，输出为可达路径标记；包括：

步骤1，判断所述变量检查函数列表的变量检查函数是否为判空值函数；若是则执行步骤2，若否则执行步骤4；

步骤2，如果所述变量检查函数的参数存在于所述已分析变量列表，则该路径标记为未知，继续探测路径；

步骤3，如果所述变量检查函数的参数不存在于所述已分析变量列表，则该路径标记为安全，生成新路径；若没有新路径生成，则结束所述变量检查函数分析算法；

步骤4，判断所述变量检查函数是否为字符串检查函数；若是则执行步骤5，若否则执行步骤7；

步骤5，如果所述变量检查函数的参数存在于所述已分析变量列表，则该路径标记为安全，继续探测路径；

步骤6，如果所述变量检查函数的参数不存在于所述已分析变量列表，则该路径标记为未知，继续探测路径；

步骤7，判断所述变量检查函数是否为数字检查函数；若是则执行步骤8，若否则执行步骤1；

步骤8，如果所述变量检查函数的参数存在于所述已分析变量列表，则该路径标记为安全，继续探测路径；

步骤9，如果所述变量检查函数的参数不存在于所述已分析变量列表，则该路径标记为未知，继续探测路径。

可选地，所述基于污点分析算法对所述可达路径进行跟踪，得到污点分析结果，包括：

步骤1，输入污点源列表、汇聚点列表、过滤器列表；

步骤2，遍历所述污点源列表中污点源，如果跟踪到的汇聚点在所述汇聚点列表中，则执行步骤3，否则执行步骤4；

步骤3，获取跟踪的所述汇聚点的上下文类型，以及依据所述上下文类型判断跟踪的过滤器是否在所述过滤器列表中；如果是，则执行步骤4，如果否，则执行步骤5；

步骤4，返回被分析污点源的安全状态为安全；

步骤5，返回被分析污点源的安全状态为存在泄露。

可选地，所述将所述静态单赋值形式的变量映射为符号值，得到变量的取值范围和约束条件，以及依据符号值进行符号执行，包括：将所述静态单赋值形式转换为控制流图并进行数据流分析；将数据流分析的结果作为依据进行符号解释，将所述静态单赋值形式映射为符号值，得到变量的取值范围和约束条件。

本发明实施例提供一种针对跨站攻击检测方法，其特征在于，所述方法包括：

定义监听函数f

构建包含方法集S

以测试集T为输入进行请求测试，选择目标网站的跨站URL，收集返回的响应；

检查响应结果构成的三元组，确定风险信道wc

验证所述风险信道的攻击可行性。

可选地，所述验证所述风险信道的攻击可行性，包括：

步骤1，选定目标网站作为输入，构造至少两个不同的状态信息；所述两个不同的状态信息对应于两个不同的监听信道；

步骤2，收集所述目标网站的统一资源定位符URL；

步骤3，发送状态请求至所有所述统一资源定位符URL，收集对应的响应；

步骤4，排除静态统一资源定位符URL；

步骤5，多次动态地测试剩余的所述统一资源定位符URL；

步骤6，输出所述监听信道和统一资源定位符二元组集合SET{(c

可选地，所述排除静态统一资源定位符，包括：过滤掉多个重复的监听信道上响应结果一致的静态URL。

本发明实施例提供一种针对跨站攻击检测系统，其特征在于，用于执行上述针对跨站攻击检测方法。

可选地，包括静态分析模块、侧信道检测模块；所述静态分析模块及所述侧信道检测模块，用于执行上述针对跨站攻击检测方法。

可选地，还包括算法和流水线模块，所述算法和流水线模块用于执行变量检查函数分析算法及验证流水线算法。

本发明实施例提供的针对跨站攻击检测方法及系统，可以检测输入型漏洞，结合污点跟踪进行源代码静态分析，改善可行路径检测误报率，识别跨站脚本攻击；以及，定义了监听信道以及设计自动化探测侧信道信息泄露的方案，构建攻击验证流水线，表征跨站隐私泄露威胁，可以自动化地检测跨站隐私泄露威胁。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为本发明实施例提供的一种针对跨站攻击检测方法的流程示意图；

图2为本发明实施例提供的另一种针对跨站攻击检测方法的流程示意图；

图3为本发明实施例提供的跨站攻击检测架构示意图；

图4为本发明实施例提供的静态分析流程示意图；

图5为本发明实施例提供的跨站隐私泄露攻击示意；

图6为本发明实施例提供的侧信道检测流程示意图。

具体实施方式

为使本发明的上述目的、特征和优点能够更为明显易懂，下面结合附图对本发明的具体实施例做详细的说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

为解决上述问题，本发明实施例设计了针对跨站攻击的检测方法。构建面向网站信息安全和用户隐私保护的攻击检测方法，主要包含检测输入型漏洞和发现隐私信息泄露。结合污点跟踪进行源代码静态分析，改善可行路径检测误报率，识别跨站脚本攻击。定义监听信道，设计自动化探测侧信道信息泄露的方法，构建攻击验证流水线，表征跨站隐私泄露威胁。

对于网站服务端，用户的输入不可信。攻击者可以通过用户输入注入恶意脚本威胁网络应用。检测跨站脚本攻击要在网络应用执行用户的输入之前完成。跨站脚本漏洞本质上是网络应用的代码安全性薄弱。静态分析网络应用的实现源码，对于输入数据进行污点追踪是防护跨站脚本攻击的重要手段。

静态分析可能存在误报，比如代码段不可达或者执行错误等。可达路径指的是程序代码所有可到达的分支路径。程序中的变量检查函数(Variable Checking Function，VCF)，如IsString、IsFloat等，往往对某个变量进行参数运行时检查，而静态分析的过程中是没有上下文的，往往会将这类函数误报为不可达路径。

图1示出了本发明实施例提供的一种针对跨站攻击检测方法的流程示意图，包括静态分析框架，包括以下步骤：

S102，将网络应用的源代码转化为抽象语法树，以及将抽象语法树转化为静态单赋值形式。

此步骤为中间表示，目的是将源码转换为更高级别、更易于分析和处理的形式。本实施例将源码文件经过分析器转化为抽象语法树(Abstract Syntax Tree，AST)。然后将AST转化为静态单赋值形式(Static Single Assignment，SSA)。

AST是源码的结构化表示，可以获取代码语法、语义和语法结构信息。SSA中每个变量在程序中只被赋值一次，这种形式有助于数据流分析。

S104，将静态单赋值形式的变量映射为符号值，得到变量的取值范围和约束条件，以及依据符号值进行符号执行。

具体地，可以将静态单赋值形式SSA转换为控制流图并进行数据流分析；然后将数据流分析的结果作为依据进行符号解释，将静态单赋值形式SSA映射为符号值，得到变量的取值范围和约束条件。

其中，SSA需要先转换为控制流图，然后进行数据流分析。分析结果将作为符号解释的执行依据。控制流图表达程序段之间的控制关系转移，有助于推导可达路径。

S106，生成可达路径以及提取可达路径的约束条件。

经过符号解释器之后可以生成代码路径以及提取其约束。路径生成和约束提取结合可以得出程序的不同执行路径需要满足的条件。本实施例在可达路径探测的过程中分析程序内置的变量检查函数VCF。进一步，设计了变量检查函数分析算法VCFA。

S108，基于污点分析算法对上述可达路径进行跟踪，得到污点分析结果。

一旦路径生成结束，污点分析对所有路径进行跟踪。标记污点源，跟踪数据流传播分析，依据污点传播规则，进行污点标记。检测代码中可能存在的XSS攻击点。

污点分析的关键概念是污点源(source)、汇聚点(sink)、过滤器(sanitizer)。污点源是指程序中的数据来源，指潜在的安全漏洞点，可能接收来自外部的不可信数据，如用户输入、文件读取、网络请求、系统调用等。汇聚点是指接收污点源的位置或操作，用于确定污点数据的最终目的地，如数据库查询、文件写入、网络发送、用户界面显示等。过滤器对从污点源到汇聚点的数据进行处理或过滤，改善代码的安全性。

在污点源跟踪的过程中，依据与过滤器相关联的跨站脚本攻击预防规则(污点传播规则)。如果代码源经由过滤器最终的汇聚点处于定义的规则中的某一类，则认为污点源是安全的；否则认为该污点源不安全。

S110，基于求解器将污点分析结果转化为逻辑表达式进行验证。

示例性地，采用SMT(Satisfiability Modulo Theories，可满足性模理论)求解器，将污点分析的结果转化为逻辑表达式，验证和推理污点分析的约束条件。SMT求解器具有自动求解、强推理能力、高扩展度等优点，有助于源码污点分析的结论验证和大规模分析。

S112，根据求解器的验证结果输出静态分析报告。该静态分析报告包括可达路径、跨站脚本攻击上下文信息。

静态分析构建全面的源码分析框架，并设计降低攻击检测误报率的相关算法。所涉及的具体的组件(如AST、SSA、SMT等)是常见的技术类别，不再赘述细节。

本实施例提供的针对跨站攻击检测方法，可以检测输入型漏洞，结合污点跟踪进行源代码静态分析，改善可行路径检测误报率，识别跨站脚本攻击。

在本实施例中如何分析变量状态检查函数是更准确发现跨站脚本攻击威胁的关键，基于此设计了变量检查函数分析算法VCFA，基于该变量检查函数分析算法生成可达路径，变量检查函数分析算法的输入为变量检查函数列表和已分析变量列表，输出为可达路径标记。该变量检查函数分析算法包括以下步骤：

步骤1，判断变量检查函数列表的变量检查函数是否为判空值函数；若是则执行步骤2，若否则执行步骤4。如果VCF列表中的某函数功能为检查变量是否已设置并且有值，执行步骤2，否则执行步骤4。

步骤2，如果变量检查函数的参数存在于已分析变量列表，则该路径标记为未知，继续探测路径。

步骤3，如果变量检查函数的参数不存在于已分析变量列表，则该路径标记为安全，生成新路径；若没有新路径生成，则结束变量检查函数分析算法。

步骤4，判断变量检查函数是否为字符串检查函数；若是则执行步骤5，若否则执行步骤7。如果VCF列表中的某函数功能为检查变量是否是字符串类型，执行步骤5，否则执行步骤7。

步骤5，如果变量检查函数的参数存在于已分析变量列表，则该路径标记为安全，继续探测路径。

步骤6，如果变量检查函数的参数不存在于已分析变量列表，则该路径标记为未知，继续探测路径。如果该函数还没有被分析过，则该路径标记为未知；否则，该路径标记为安全。继续探测路径，执行步骤7。

步骤7，判断变量检查函数是否为数字检查函数；若是则执行步骤8，若否则执行步骤1。

步骤8，如果变量检查函数的参数存在于已分析变量列表，则该路径标记为安全，继续探测路径。

步骤9，如果变量检查函数的参数不存在于已分析变量列表，则该路径标记为未知，继续探测路径。如果该函数还没有被分析过，则该路径标记为安全；否则，该路径标记为未知。继续探测路径，执行步骤1。

上述VCFA用于在静态分析中处理变量检查函数，可以更准确发现跨站脚本攻击威胁。

作为一种可行方式，污点分析算法用于在静态分析中追踪敏感数据流，具体步骤如下：

步骤1，输入污点源列表、汇聚点列表、过滤器列表。污点分析算法的输入是污点源、汇聚点、过滤器，输出是被分析的污点源的安全状态。

步骤2，遍历污点源列表中污点源，如果跟踪到的汇聚点在汇聚点列表中，则执行步骤3，否则执行步骤4。

步骤3，获取跟踪的汇聚点的上下文类型，以及依据上下文类型判断跟踪的过滤器是否在过滤器列表中；如果是，则执行步骤4，如果否，则执行步骤5。

步骤4，返回被分析污点源的安全状态为安全。

步骤5，返回被分析污点源的安全状态为存在泄露。

浏览器存在同源策略，攻击者无法直接利用受害者的响应。但是，根据选择的监听信道，攻击者可以推测和窃取一些隐私信息。例如，假设攻击者使用IFrame(内嵌框架)作为攻击载体，通过访问响应的origin属性来进行观察。如果响应中包含了ContentDisposition:attachment头部，那么浏览器会将响应视为要下载的文件，并自动触发下载操作。在这种情况下，由于下载操作指向了攻击者的站点，因此攻击者能够通过访问origin属性来获取敏感信息。

XS-Leak攻击成功的关键在于被攻击网站和被攻击状态信息的泄露。攻击者需要知道一种可以区分网站响应的方法，即找到可以构造攻击的侧信道。以往查找这类响应都是手工的，本实施例提出自动化发现侧信道的方法。

图2示出了本发明实施例提供的一种针对跨站攻击检测方法的流程示意图，包括面向跨站隐私泄露攻击XS-Leak的侧信道检测，包括以下步骤：

S202，定义监听函数f

包含方法m

定义监听方法m

以HTTP响应r为例，其包含状态码、响应头header和正文body。集合S

定义监听函数(listening function)为f

定义监听信道c

监听信道是发现隐私泄露的关键概念。假设浏览器的某一监听信道c

这些集合可以通过询问浏览器、查询HTML标准文档、调研相关工作等方式构建。

S204，构建包含方法集S

S206，以测试集T为输入进行请求测试，选择目标网站的跨站URL，收集返回的响应。

进行请求测试，每次测试包含访问一个网站，该网站请求一个跨站的URL，根据给定的包含方法返回特定的响应，并返回特定的监听方法的输出。

S208，检查响应结果构成的三元组，确定风险信道wc

如果至少存在一对响应，导致浏览器的某个监听信道的观测结果不同，那么这个信道存在跨站泄露信息风险，为风险信道。发现风险信道说明存在跨站隐私泄露风险，但并不是每个风险信道都能被利用实施攻击。

S210，验证风险信道的攻击可行性。

本实施例提供的针对跨站攻击检测方法，定义了监听信道以及设计自动化探测侧信道信息泄露的方案，构建攻击验证流水线，表征跨站隐私泄露威胁，可以自动化地检测跨站隐私泄露威胁。

进一步验证风险信道导致攻击的可行性。本实施例提出验证跨站隐私泄露攻击可行性的流水线，切实检测跨站隐私泄露攻击。本发明实施例的侧信道检测包含验证流水线，具体如下：

跨站隐私泄露攻击实施的前提是，一个URL必须返回两个响应r

步骤1，选定目标网站作为输入，构造至少两个不同的状态信息；该两个不同的状态信息对应于两个不同的监听信道。例如，状态信息可以是一个匿名用户、一个已注册用户等。

步骤2，收集目标网站的统一资源定位符URL。

步骤3，发送状态请求至所有统一资源定位符URL，收集对应的响应。通过所有构造的状态，发送常见的请求到所有目标URL，收集响应。

与收集的同一网站的响应相比，网站可以对跨站请求返回不同的响应，比如随机性、同站cookie、浏览器检测等。

步骤4，排除静态统一资源定位符URL。具体地，过滤掉多个重复的监听信道上响应结果一致的静态URL。

步骤5，多次动态地测试剩余的统一资源定位符URL。

步骤6，输出监听信道和统一资源定位符二元组集合SET{(c

本发明实施例相比现有技术，具有以下优点和积极效果：提出一种对于跨站脚本攻击的静态分析框架，设计一种通过检测侧信道来识别跨站隐私泄露攻击的方法，设计变量检查函数分析算法以及污点追踪算法，降低静态分析误报率，定义监听信道概念，构建验证信息泄露攻击可行性的流水线。

本发明实施例提供一种针对跨站攻击检测系统，包含静态分析模块、侧信道检测模块，图3示出了本实施例的跨站攻击检测架构示意图。

其中，静态分析模块主要包含以下分析过程：中间表示、符号解释、路径生成和约束提取、污点分析、SMT求解、威胁报告等，侧信道检测模块主要包含以下分析过程：监听信道定义、检测输入集合构建、请求收集响应、流水线验证等。

图4示出了本实施例的静态分析流程示意图。示出了静态分析框架主要包含中间表示、符号解释、路径生成和约束提取、污点分析、SMT求解、威胁报告等组成部分。具体如下：

步骤1，本实施例的静态分析部分经由中间表示、符号解释、路径生成和约束提取、污点分析、SMT求解、威胁报告等阶段；

步骤2，中间表示将源代码转换为抽象化语法树AST，然后将AST转化为促进数据流分析的静态单赋值形式SSA；

步骤3，将SSA形式转换为控制流图并进行数据流分析；

步骤4，将数据流分析的结果作为依据，进行符号解释，将SSA映射为符号值，得到变量的取值范围和应当满足的约束条件；

步骤5，经过符号解释器之后可以生成代码路径以及提取其约束，本实施例在可达路径探测的过程中分析程序内置的变量检查函数VCF，设计VCFA算法；

步骤6，获取到可达路径之后，本实施例分析敏感数据源，进行污点跟踪分析，检测代码中可能存在的XSS攻击点；

步骤7，为了简化静态分析结果，本实施例通过SMT求解器将污点分析结论转化为逻辑表达式的形式进行验证；

步骤8，最后，根据SMT验证结果给出静态分析报告。

本实施例构建检测XSS攻击的静态分析框架，并通过VCFA和污点分析算法降低分析误报率。其余相关技术部件本实施例并不进行细节实现。不同的编程语言均可以实现AST和SSA转化，如Java可以使用Eclipse JDT库实现AST，使用Soot库将其转化为SSA并将其转化为控制流图。进行符号解释和符号执行的常用工具有Z3、KLEE、ESBMC等。进行SMT求解的工具有Z3、CVC4、Boolector等。

本实施例的VCFA算法步骤如下：

步骤1，算法输入是内置变量检查函数列表List

步骤2，VCFA算法将内置变量检查函数分为两类：数字类和非数字类，其中非数字类又包含字符串和判空值两种。遍历输入的List

步骤3，假设当前被分析VCF为f，即f属于List

步骤4，判断判空值函数的参数p

步骤5，说明参数p

步骤6，说明参数p

步骤7，判断f是否为字符串检查函数，如果是执行步骤8，否则执行步骤10；

步骤8，判断字符串检查函数的参数p

步骤9，说明p

步骤10，判断f为数字检查类型，如果否执行步骤2。如果是判断数字检查函数的参数p

步骤11，判断数字检查类型函数f是否被分析过，如果是，说明重复分析，返回O

步骤12，说明p

本实施例的静态分析部分，污点分析算法步骤如下：

步骤1，算法输入是污点源列表List

步骤2，遍历污点源列表的List

步骤3，获取汇聚点snk的上下文类型t，表征汇聚点可达的规则类型；

步骤4，依据污点分析规则，判断可达路径的过滤器snt是否在List

步骤4，返回被分析污点源的安全状态为安全，O

步骤5，返回被分析污点源的安全状态为存在泄露，O

侧信道检测模块面向跨站隐私泄露攻击XS-Leak，为了便于理解，首先描述此类攻击的过程，图5示出了本实施例的跨站隐私泄露攻击示意，具体步骤如下：

阶段1：信息收集

攻击者选定一个目标网站target.com，构造至少两个不同的状态，如已登录状态和匿名状态。

攻击者爬取目标网站的URL，通过已经构造的状态不断请求这些URL，收集返回的响应。

攻击者想要发现存在与用户状态有关的URL，这类URL针对不同访客状态提供不同HTTP响应，如不同的状态代码、header值或body内容。

阶段2：攻击准备

攻击者构造攻击页面并挂载到其控制的网站attack.com。

阶段3：攻击诱导

攻击者通过钓鱼或者社会工程等方法诱导受害者访问攻击页面。

阶段4：隐私泄漏

当受害者访问攻击者的网站时，受害者通过浏览器请求目标URL，包含了其状态信息。目标网站会依据受害者状态信息返回对应的响应，这些响应可能会存在信息泄露被攻击者利用。

图6示出了本实施例的侧信道检测流程示意图，该侧信道检测流程包括定义关键概念、构建自动化检测输入、收集响应、发现风险信道、流水线验证等。具体的执行步骤如下：

步骤1，定义跨站隐私泄露(XS-Leak)攻击的基础函数，监听函数f

定义检测XS-Leak的基础方法，监听方法m

步骤2，定义检测XS-Leak的关键概念，监听信道c

步骤3，定义风险信道wc

步骤4，构建包含方法集S

步骤5，组合得到三元组测试集合T＝SET{(m

步骤6，已测试集T为输入进行请求测试，选择目标网站的跨站URL，收集返回的响应；

依据不同的包含方法m

步骤7，检查返回结果构成的三元组，找到风险信道wc

假设浏览器的某一监听信道c

步骤8，进一步流水线的形式验证风险信道的攻击可行性。通过动态测试的方式排除静态URL等干扰结果，更完善地检测XS-Leak攻击风险点。

其中，攻击验证流水线步骤如下：

步骤1，流水线的输入为目标网站target，创建不少于两个用户状态，如匿名用户ST

步骤2，通过爬虫等方式爬取目标网站target的所有URL；

步骤3，在这些URL中，不断地发起常见状态请求，收集对应的响应；

步骤4，过滤掉多个重复的监听信道上响应结果一致的静态URL，主要是一些静态资源页面；

步骤5，对于跨站请求，网站可以返回不同的响应，比如多次访问随机数、同站请求cookie、不同浏览器检测等；

步骤6，多次动态地测试剩余的URL，不断排除；

步骤7，最终流水线输出二元组集合SET{(c

本发明实施例提供一种针对跨站攻击检测系统，用于执行上述针对跨站攻击检测方法。

可选地，上述系统包括静态分析模块、侧信道检测模块；所述静态分析模块，用于执行上述静态分析算法，所述侧信道检测模块，用于执行上述自动化发现侧信道方法。

可选地，还包括算法和流水线模块，所述算法和流水线模块用于执行变量检查函数分析算法及验证流水线算法。

本发明实施例提供一种计算机可读存储介质，计算机可读存储介质上存储有计算机程序，该计算机程序被处理器执行时实现上述实施例的各个过程，且能达到相同的技术效果，为避免重复，这里不再赘述。其中，所述的计算机可读存储介质，如只读存储器(Read-Only Memory，简称ROM)、随机存取存储器(Random Access Memory，简称RAM)、磁碟或者光盘等。

当然，本领域技术人员可以理解实现上述实施例的全部或部分流程，是可以通过计算机程度来指令控制装置来完成，所述的程序可存储于一计算机可读取的存储介质中，所述程序在执行时可包括如上述各方法实施例的流程，其中所述的存储介质可为存储器、磁盘、光盘等。

最后，还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。

对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本发明。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本发明的精神或范围的情况下，在其它实施例中实现。因此，本发明将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。