[發(fā)明專利]一種基于頁(yè)面關(guān)系檢測(cè)webshell的方法及系統(tǒng)

有效

• 申請(qǐng)?zhí)枺?/td>: 201210498079.6
• 申請(qǐng)日: 2012-11-29
• 公開(kāi)（公告）號(hào): CN103294952A
• 公開(kāi)（公告）日: 2013-09-11
• 發(fā)明（設(shè)計(jì)）人: 劉佳男;布寧;宋兵;李柏松
• 申請(qǐng)（專利權(quán)）人: 北京安天電子設(shè)備有限公司
• 主分類號(hào): G06F21/56
• 分類號(hào): G06F21/56;G06F17/30
• 代理公司: 暫無(wú)信息
• 代理人: 暫無(wú)信息

1.一種基于頁(yè)面關(guān)系檢測(cè)webshell的方法，其特征在于，包括：

步驟1、識(shí)別和遍歷WEB服務(wù)器中的所有頁(yè)面，對(duì)于遍歷到的每一頁(yè)面進(jìn)行解析，提取出鏈接于其他頁(yè)面的所有關(guān)聯(lián)鏈接；

步驟2、對(duì)于每一頁(yè)面收集以下關(guān)聯(lián)信息，包括：頁(yè)面的唯一標(biāo)識(shí)、關(guān)聯(lián)鏈接、關(guān)聯(lián)鏈接頁(yè)面的唯一標(biāo)識(shí)、關(guān)聯(lián)鏈接頁(yè)面的存在性；將所有頁(yè)面的關(guān)聯(lián)信息存儲(chǔ)于關(guān)系集數(shù)據(jù)庫(kù)中；

所述關(guān)聯(lián)鏈接頁(yè)面的唯一標(biāo)識(shí)是指所述頁(yè)面內(nèi)每一關(guān)聯(lián)鏈接所對(duì)應(yīng)頁(yè)面的唯一標(biāo)識(shí)；

所述關(guān)聯(lián)鏈接頁(yè)面的存在性是指所述關(guān)聯(lián)鏈接在WEB服務(wù)器中是否真實(shí)存在；

步驟3、基于所述關(guān)聯(lián)信息分別判斷每一頁(yè)面是否為無(wú)關(guān)聯(lián)頁(yè)面：檢查當(dāng)前頁(yè)面的關(guān)聯(lián)頁(yè)面的存在性是否為真，如果為真則不是無(wú)關(guān)聯(lián)頁(yè)面，否則遍歷關(guān)系集數(shù)據(jù)庫(kù)中所有關(guān)聯(lián)鏈接頁(yè)面的唯一標(biāo)識(shí)，查看是否存在當(dāng)前頁(yè)面的唯一標(biāo)識(shí)，若存在，則當(dāng)前頁(yè)面不是無(wú)關(guān)聯(lián)頁(yè)面，否則當(dāng)前頁(yè)面為無(wú)關(guān)聯(lián)頁(yè)面；

步驟4、從所述無(wú)關(guān)聯(lián)頁(yè)面中排除掉黑頁(yè)后，剩余所述無(wú)關(guān)聯(lián)頁(yè)面即為webshell頁(yè)面；

所述黑頁(yè)，是指公布了入侵者信息的網(wǎng)站主頁(yè)。

2.如權(quán)利要求1所述的方法，其特征在于，在執(zhí)行步驟4之前還包括：針對(duì)所述無(wú)關(guān)聯(lián)頁(yè)面進(jìn)行黑白名單匹配，如果匹配不成功則執(zhí)行步驟4；如果所述無(wú)關(guān)聯(lián)頁(yè)面與白名單匹配成功，則判定所述無(wú)關(guān)聯(lián)頁(yè)面不是webshell頁(yè)面；如果所述無(wú)關(guān)聯(lián)頁(yè)面與黑名單匹配成功，則判定所述無(wú)關(guān)聯(lián)頁(yè)面為已知webshell頁(yè)面；

所述白名單中存儲(chǔ)的是正常的無(wú)關(guān)聯(lián)頁(yè)面；所述黑名單中存儲(chǔ)的是已知的webshell頁(yè)面。

3.如權(quán)利要求1所述的方法，其特征在于，在步驟4之后還包括：報(bào)警或者刪除所述的webshell頁(yè)面。

4.一種基于頁(yè)面關(guān)系檢測(cè)webshell的系統(tǒng)，其特征在于，包括：

提取模塊，識(shí)別和遍歷WEB服務(wù)器中的所有頁(yè)面，對(duì)于遍歷到的每一頁(yè)面進(jìn)行解析，提取出鏈接于其他頁(yè)面的所有關(guān)聯(lián)鏈接；

關(guān)聯(lián)信息收集模塊，對(duì)于每一頁(yè)面收集以下關(guān)聯(lián)信息，包括：頁(yè)面的唯一標(biāo)識(shí)、關(guān)聯(lián)鏈接、關(guān)聯(lián)鏈接頁(yè)面的唯一標(biāo)識(shí)、關(guān)聯(lián)鏈接頁(yè)面的存在性；將所有頁(yè)面的關(guān)聯(lián)信息存儲(chǔ)于關(guān)系集數(shù)據(jù)庫(kù)中；

所述關(guān)聯(lián)鏈接頁(yè)面的唯一標(biāo)識(shí)是指所述頁(yè)面內(nèi)每一關(guān)聯(lián)鏈接所對(duì)應(yīng)頁(yè)面的唯一標(biāo)識(shí)；

所述關(guān)聯(lián)鏈接頁(yè)面的存在性是指所述關(guān)聯(lián)鏈接在WEB服務(wù)器中是否真實(shí)存在；

判定模塊，基于所述關(guān)聯(lián)信息分別判定每一頁(yè)面是否為無(wú)關(guān)聯(lián)頁(yè)面：檢查當(dāng)前頁(yè)面的關(guān)聯(lián)鏈接頁(yè)面的存在性是否為真，如果為真則不是無(wú)關(guān)聯(lián)頁(yè)面，否則遍歷關(guān)系集數(shù)據(jù)庫(kù)中所有關(guān)聯(lián)鏈接頁(yè)面的唯一標(biāo)識(shí)，查看是否存在當(dāng)前頁(yè)面的唯一標(biāo)識(shí)，若存在，則所述頁(yè)面不是無(wú)關(guān)聯(lián)頁(yè)面，否則當(dāng)前頁(yè)面為無(wú)關(guān)聯(lián)頁(yè)面；

webshell模塊，從所述無(wú)關(guān)聯(lián)頁(yè)面中排除掉黑頁(yè)后，剩余所述無(wú)關(guān)聯(lián)頁(yè)面即為webshell頁(yè)面；

所述黑頁(yè)是指公布了入侵者信息的網(wǎng)站主頁(yè)。

5.如權(quán)利要求4所述的系統(tǒng)，其特征在于，在判定模塊和webshell模塊之間還包括黑白名單匹配模塊，針對(duì)所述無(wú)關(guān)聯(lián)頁(yè)面進(jìn)行黑白名單匹配，如果匹配不成功則將所述無(wú)關(guān)聯(lián)頁(yè)面發(fā)送至webshell模塊；如果所述無(wú)關(guān)聯(lián)頁(yè)面與白名單匹配成功，則判定所述無(wú)關(guān)聯(lián)頁(yè)面不是webshell頁(yè)面；如果所述無(wú)關(guān)聯(lián)頁(yè)面與黑名單匹配成功，則判定所述無(wú)關(guān)聯(lián)頁(yè)面為已知webshell頁(yè)面；

所述白名單中存儲(chǔ)的是正常的無(wú)關(guān)聯(lián)頁(yè)面信息；所述黑名單中存儲(chǔ)的是已知的webshell頁(yè)面信息。

6.如權(quán)利要求4所述的系統(tǒng)，其特征在于，在webshell模塊之后還包括處置模塊，用于報(bào)警或者刪除所述的webshell頁(yè)面。