[發明專利]一種大規模惡意網頁檢測方法及系統

有效

• 申請號: 200910092887.0
• 申請日: 2009-09-15
• 公開（公告）號: CN101692267A
• 公開（公告）日: 2010-04-07
• 發明（設計）人: 梁知音;龔曉銳;韋韜;宋程昱;武新逢;韓心慧;諸葛建偉;鄒維
• 申請（專利權）人: 北京大學
• 主分類號: G06F21/22
• 分類號: G06F21/22;G06F17/30;G06F9/445;H04L29/06;H04L12/24
• 代理公司: 北京君尚知識產權代理事務所(普通合伙) 11200
• 代理人: 邵可聲

1.一種大規模惡意網頁檢測方法，其步驟包括：

1)將若干檢測服務器通過網絡互接，在某一檢測服務器上設置待分析任務集；

2)在各個檢測服務器內部署節點自動分發模塊，利用虛擬主機實現分析節點分發，并行部署多個分析節點，同一服務器內的所有節點構成一個節點簇，部署節點簇監控模塊，通過訪問分析節點內部文件的方式監控分析節點的運行情況，對節點簇內所有節點狀態進行監控，如果節點運行不正常，則調用腳本程序重置分析節點；

3)分析節點通過內部網絡連接待分析任務集獲取待分析任務，實現任務的分布式調度，分析節點內部部署蜜罐環境和掛馬網頁檢測模塊，構建并行沙箱環境實現待分析任務并行化檢測；由檢測狀態監控模塊監控掛馬網頁檢測模塊的運行，檢測結果保存在服務器上的分析結果數據庫中；所述掛馬網頁檢測模塊包括：

任務調度模塊：在分析節點內運行任務調度程序，獲取待分析任務集；

并行沙箱控制模塊：構建并行沙箱程序，捕獲瀏覽器在訪問待分析任務集后所產生的系統行為信息；

日志解析和掛馬網頁判斷模塊：瀏覽器訪問待分析任務集后，對訪問過程中記錄下來的系統行為信息進行分析，判定是否為掛馬網頁行為。

2.如權利要求1所述的方法，其特征在于，所述待分析任務集通過網頁爬蟲或其他方式收集到。

3.如權利要求1所述的方法，其特征在于，所述節點自動分發模塊通過網絡獲取分析節點的初始鏡像，利用虛擬機程序提供的API接口編寫的虛擬機復制腳本，自動在每臺物理主機上部署多個分析節點。

4.如權利要求1所述的方法，其特征在于，所述節點簇監控模塊應用虛擬機程序所提供的API接口，讀取各個分析節點內部部署的檢測狀態監控模塊記錄的掛馬網頁檢測模塊運行狀態信息，實現對分析節點的狀態監控，當獲取狀態日志文件失敗，或狀態日志文件提示分析節點中部署的掛馬網頁檢測模塊失效，則調用腳本程序重置分析節點。

5.如權利要求1所述的方法，其特征在于，在分析節點內部部署蜜罐環境包括：

選擇含有易被網頁木馬利用的漏洞的操作系統和瀏覽器版本的安裝盤來安裝操作系統環境；

選擇特定版本的常被網頁木馬利用的瀏覽器插件軟件安裝；

安裝掛馬網頁檢測模塊的自動更新程序。

6.如權利要求1所述的方法，其特征在于，所述任務調度模塊的任務調度方法包括以下步驟：

6.1.讀取配置信息；

6.2.加載系統行為監控驅動程序；

6.3.獲取待分析任務集成功，則獲取一個空置的沙箱，創建新的系統行為日志文件記錄訪問待分析任務集期間系統的行為；

6.4.啟動瀏覽器訪問待分析任務集中的網頁鏈接，系統監控程序記錄沙箱內的系統資源的訪問信息；

6.5.調用日志解析和掛馬網頁判斷模塊，解析日志文件并判斷該網頁鏈接是否掛馬網頁。

7.如權利要求1所述的方法，其特征在于，日志解析和掛馬網頁判斷模塊判斷網頁鏈接是否為掛馬網頁的方法包括以下步驟：

7.1.從配置文件中讀取新建進程的白名單、可執行文件的后綴名名單、系統啟動文件名單和控制系統啟動的注冊表項及其變量名單；

7.2.從API調用的參數列表中獲取創建進程名，若進程名不在白名單內，即判斷該網頁為掛馬網頁；

7.3.從API調用的參數列表獲取創建文件名，若文件名后綴包含在可執行文件名后綴名單內，即判斷該網頁為掛馬網頁；

7.4.從API調用的參數列表獲取修改文件路徑，若系統啟動文件名包含在系統啟動文件路徑中，即判斷該網頁為掛馬網頁；

7.5.從API調用的參數列表獲取創建或修改的注冊表項和變量名，若注冊表項和變量名包含在控制系統啟動的注冊表項/變量名單中，即判斷該網頁為掛馬網頁。