[發明專利]一種檢測網馬的方法及裝置

有效

• 申請號: 200910133715.3
• 申請日: 2009-04-08
• 公開（公告）號: CN101562618A
• 公開（公告）日: 2009-10-21
• 發明（設計）人: 張海清;林世飛;季昕華;楊勇
• 申請（專利權）人: 深圳市騰訊計算機系統有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06F17/30
• 代理公司: 北京凱特來知識產權代理有限公司
• 代理人: 鄭立明

1.一種檢測網馬的方法，其特征在于，包括：

從網頁內容中獲取html網頁腳本信息；具體包括：

通過對網頁內容的解析，獲得html網頁腳本信息，并保存；

所述html網頁腳本信息中包含html網頁腳本信息標簽及對應的語言類型和內容，以及包含帶有html網頁腳本代碼的標簽名稱及對應代碼和所述代碼的語言類型；

執行所述html網頁腳本信息，并對執行過程中產生的行為特征進行記錄；所述行為特征包括對象名、對象函數名、函數參數值、屬性名和屬性值中的至少一項內容；

將所述行為特征與保存的漏洞特征碼相匹配，當匹配成功時，確定該網頁內容含有網馬。

2.根據權利要求1所述的方法，其特征在于，執行所述html網頁腳本信息，并對執行過程中產生的行為特征進行記錄，具體過程包括：

將所述html網頁腳本信息轉換為Javascript類型中的Javascript代碼；

對所述Javascript代碼執行中引用的全局對象和默認對象進行定義，以獲得所述全局對象和默認對象所對應的行為特征；

按照所述定義執行所述Javascript代碼，并記錄所述全局對象和默認對象在執行過程中所產生的行為特征。

3.根據權利要求1所述的方法，其特征在于，該方法還包括：

當匹配成功時，將與該網馬對應的匹配信息輸出；否則，反饋該網頁無網馬的提示信息。

4.根據權利要求3所述的方法，其特征在于，所述漏洞特征碼的生成過程具體包括：?

通過對大量網馬的樣本和漏洞的分析，將含有漏洞的控件名稱、關鍵函數名及對應的屬性名、關鍵函數參數及對應的屬性值，作為漏洞特征碼，保存在數據庫中。

5.一種檢測網馬的裝置，其特征在于，包括：

腳本信息獲取模塊，用于從網頁內容中獲取html網頁腳本信息；

行為特征提取模塊，用于執行所述腳本信息獲取模塊獲取的html網頁腳本信息，并對執行過程中產生的行為特征進行記錄；所述行為特征包括對象名、對象函數名、函數參數值、屬性名和屬性值中的至少一項內容；

網馬特征匹配模塊，用于將所述行為特征提取模塊記錄的行為特征與保存的漏洞特征碼相匹配，當匹配成功時，確定該網頁內容含有網馬；

所述腳本信息獲取模塊具體包括：

網頁內容解析單元，用于對所述網頁內容的進行解析，獲得html網頁腳本信息；

腳本信息存儲單元，用于保存所述網頁內容解析單元獲取的html網頁腳本信息；所述html網頁腳本信息中包含html網頁腳本信息標簽及對應的語言類型和內容，以及包含帶有html網頁腳本代碼的標簽名稱及對應代碼和所述代碼的語言類型。

6.根據權利要求5所述的裝置，其特征在于，所述行為特征提取模塊具體包括：

代碼轉換單元，用于將所述html網頁腳本信息轉換為Javascript類型中的Javascript代碼；

對象定義單元，用于對所述代碼轉換單元轉換后的Javascript代碼，在執行過程中引用的全局對象和默認對象進行定義，以獲得所述全局對象和默認對象所對應的行為特征；

代碼執行單元，用于根據所述對象定義單元對全局對象和默認對象的定?義，執行所述Javascript代碼，并記錄在執行過程中所述全局對象和默認對象所產生的行為特征。

7.根據權利要求5所述的裝置，其特征在于，所述網馬特征匹配模塊具體包括：

特征匹配單元，用于將所述行為特征與漏洞特征碼進行匹配；

結果處理單元，用于根據所述特征匹配單元的匹配結果，當匹配成功時，確定該網頁內容含有網馬，并將與該網馬對應的匹配信息輸出；否則，反饋該網頁無網馬的提示信息。

8.根據權利要求7所述的裝置，其特征在于，網馬特征匹配模塊具體還包括：

特征碼生成單元，用于通過對大量網馬的樣本和漏洞的分析，將含有漏洞的控件名稱、關鍵函數名及對應的屬性名、關鍵函數參數及對應的屬性值，作為漏洞特征碼。?