[發明專利]一種在線社交網絡惡意網頁檢測識別方法

有效

• 申請號: 201310507897.2
• 申請日: 2013-10-24
• 公開（公告）號: CN103559235A
• 公開（公告）日: 2014-02-05
• 發明（設計）人: 李沁蕾;王蕊;賈曉啟;張道娟
• 申請（專利權）人: 中國科學院信息工程研究所
• 主分類號: G06F17/30
• 分類號: G06F17/30;G06F21/56
• 代理公司: 北京君尚知識產權代理事務所(普通合伙) 11200
• 代理人: 余長江

1.一種在線社交網絡惡意網頁檢測識別方法，其步驟包括：

1）對在線社交網絡中任意一個待檢測識別的網頁，統計該網頁中所有關鍵字的出現頻率；根據所述網頁中源代碼將網頁分成：HTML標簽集合或JavaScript集合或URL集合中一種或者多種不同類型的集合；

2）從上述不為空的集合中提取辨別混淆性質的網頁靜態特征得到可疑字段，結合所述可疑字段出現的時間得到網頁的關聯性特征；

3）創建關聯信息數據庫用于儲存該網頁的關聯性特征并實時更新數據庫中的網頁的關聯性特征，根據所述關聯性特征提取得到網頁傳播速度；

4）根據所述頁傳播速度，并結合統計得到的關鍵字的出現頻率、檢測得到的可疑的JavaScript腳本、可疑的HTML標簽、可疑的URL中一種或者多種特征檢測識別出惡意網頁。

2.如權利要求1所述的在線社交網絡惡意網頁檢測識別方法，其特征在于，從網頁中源代碼取出符合HTML標簽的代碼段收集成HTML標簽集合，所述HTML標簽由開始標簽和/或結束標簽組成，所述開始標簽是被括號包圍的元素名，結束標簽是被括號包圍的斜桿和元素名。

3.如權利要求1所述的在線社交網絡惡意網頁檢測識別方法，其特征在于，網頁中源代碼的JavaScript腳本出現在的位置為：<script></script>標簽之間或者在“javascript:”后；根據所述腳本出現位置取出JavaScript腳本，收集成集合。

4.如權利要求1所述的在線社交網絡惡意網頁檢測識別方法，其特征在于，從網頁中源代碼取出查找以HTTP、HTTPS、FTP協議名稱為開頭的一段有效字符串分離提取出URL后得到URL集合。

5.如權利要求1或2所述的在線社交網絡惡意網頁檢測識別方法，其特征在于，對所述HTML標簽集合提取辨別混淆性質的網頁靜態特征方法如下：

統計HTML標簽集合中所有標簽的信息，提取集合中標簽的最大長度、長標簽的個數，以及標簽中所含JavaScript字符串的比例，作為HTML標簽混淆程度的計量。

6.如權利要求1或3所述的在線社交網絡惡意網頁檢測識別方法，其特征在于，對所述JavaScript集合提取辨別混淆性質的網頁靜態特征方法如下：

統計JavaScript集合中所有腳本的信息，提取集合中腳本字符串的最大長度、腳本字符串中被編碼字符的比例以及集合中出現字符串連接的次數，作為JavaScript腳本混淆程度的計量。

7.如權利要求1或4所述的在線社交網絡惡意網頁檢測識別方法，其特征在于，對所述URL集合提取辨別混淆性質的網頁靜態特征方法如下：

統計集合中所有URL的信息，提取集合中URL的最大長度、長URL的個數，以及URL中編碼字符的比例，作為URL混淆程度的計量。

8.如權利要求1所述的在線社交網絡惡意網頁檢測識別方法，其特征在于，所述關鍵字是有在良性腳本和惡意腳本中出現的頻率存在著差異性的JavaScript函數或者HTML標簽，包括：eval,document.write，unescape,fromCharCode,createElement,createTextNode。

9.如權利要求1所述的在線社交網絡惡意網頁檢測識別方法，其特征在于，所述傳播速度為：單位時間內可疑惡意代碼出現在網頁中的頻率，計算可疑字符串在網頁中傳播速度的步驟如下：

1）在關聯信息數據庫中統計網頁的<可疑字段出現的時間，可疑字符串內容>記錄；

2）通過查詢數據庫中字符串內容相同，且時間在t以前一小時內的所有記錄的個數，統計每一條記錄中字符串內容的傳播速度；

3）記錄所有傳播速度中的最大值，將其作為網頁的傳播速度。