[發明專利]基于行為特征的web后門檢測方法和裝置

有效

• 申請號: 201210102484.1
• 申請日: 2012-04-09
• 公開（公告）號: CN102647421A
• 公開（公告）日: 2012-08-22
• 發明（設計）人: 王珉然;方小頓
• 申請（專利權）人: 北京百度網訊科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 深圳市威世博知識產權代理事務所(普通合伙) 44280
• 代理人: 何青瓦;李慶波

1.一種基于行為特征的web后門檢測方法，其特征在于，包括：

S1、針對腳本文件分別執行步驟S1_1或步驟S1_2，其中

步驟S1_1、獲取web目錄下腳本文件的文件屬性信息，根據所述文件屬性信息中的文件創建時間、文件屬主或文件權限，確定腳本文件的屬性異常度，將屬性異常度滿足預設要求的腳本文件識別為后門文件；

步驟S1_2、從web日志中統計各腳本文件的訪問頻度、訪問來源數或分時段訪問量，根據統計結果確定腳本文件的訪問異常度，將訪問異常度滿足預設要求的腳本文件識別為后門文件；

S2、將步驟S1中識別為后門文件的腳本文件作為檢測結果輸出。

2.根據權利要求1所述的方法，其特征在于，所述步驟S1_1中，

根據所述文件屬主確定腳本文件的屬性異常度為：判斷是否腳本文件的文件屬主為異常用戶且文件類型屬于預設類型，如果是，則為該腳本文件賦予屬主異常權值；

根據所述文件創建時間確定腳本文件的屬性異常度為：計算腳本文件的創建時間相比較同目錄其他文件的時間離散度，確定時間離散度大于預設離散度閾值的腳本文件，如果確定的腳本文件數低于預設文件數，則為確定的腳本文件賦予時間離散權值；

根據所述文件權限確定腳本文件的屬性異常度為：判斷腳本文件權限是否不是默認文件權限且文件屬主為預設用戶，如果是，則為該腳本文件賦予權限異常權值。

3.根據權利要求2所述的方法，其特征在于，所述腳本文件的屬性異常度是該腳本文件的屬主異常權值、時間離散權值或權限異常權值中一種或者任意組合的加權值。

4.根據權利要求1所述的方法，其特征在于，所述屬性異常度滿足預設要求包括：

所述屬性異常度排在前N1個，N1為預設正整數；

或者，所述屬性異常度大于預設異常度閾值。

5.根據權利要求1所述的方法，其特征在于，所述步驟S1_2中，

根據所述訪問頻度的統計結果確定腳本文件的訪問異常度為：判斷腳本文件的訪問頻度是否低于預設訪問數閾值，如果是，則為該腳本文件賦予訪問頻度異常權值；

根據所述訪問來源數的統計結果確定腳本文件的訪問異常度為：判斷腳本文件的訪問來源數是否低于預設訪問來源閾值，如果是，則為該腳本文件賦予訪問源異常權值；

根據所述分時段訪問量的統計結果確定腳本文件的訪問異常度為：判斷腳本文件的分時段訪問量超出預設分時段閾值的次數是否大于規定次數，如果是，則為該腳本文件賦予分時段訪問異常權值。

6.根據權利要求5所述的方法，其特征在于，所述腳本文件的訪問異常度是該腳本文件的訪問頻度異常權值、訪問源異常權值或分時段訪問異常權值中的一種或任意組合的加權值。

7.根據權利要求1所述的方法，其特征在于，所述訪問異常度滿足預設要求包括：

所述訪問異常度排在前N2個，N2為預設正整數；

或者，所述訪問異常度大于預設訪問閾值。

8.根據權利要求1所述的方法，其特征在于，所述步驟S1還包括針對腳本文件執行步驟S1_3：

利用操作系統對web服務器的進程進行監控，判斷web服務器的進程中是否有預設的操作或命令，如果有，將發出該操作或命令的腳本文件識別為后門文件。

9.根據權利要求8所述的方法，其特征在于，所述步驟S1_3包括：為發出預設的操作或命令的腳本文件賦予進程異常權值；

所述步驟S2包括：

針對所述步驟S1識別到的后門文件中的同一腳本文件，將該腳本文件的屬性異常度或訪問異常度中的一種或組合與進程異常權值進行加權，得到該腳本文件的異常度；

將異常度滿足預設要求的腳本文件作為檢測結果輸出。

10.根據權利要求9所述的方法，其特征在于，所述異常度滿足預設要求包括：

所述異常度排在前N個，N為預設正整數；

或者，所述異常度大于預設異常度閾值。