[發明專利]惡意腳本文件的檢測方法及裝置

有效

• 申請號: 201510866427.4
• 申請日: 2015-11-27
• 公開（公告）號: CN106815524B
• 公開（公告）日: 2020-05-15
• 發明（設計）人: 邵睿
• 申請（專利權）人: 阿里巴巴集團控股有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京博浩百睿知識產權代理有限責任公司 11134
• 代理人: 宋子良

1.一種惡意腳本文件的檢測方法，其特征在于，包括：

在執行獲取到的待檢測腳本文件的過程中，監測運行所述待檢測腳本文件時所調用的待檢測函數；

判斷所述待檢測函數的輸入參數是否包含在預先生成的填充參數數據集中，其中，所述填充參數數據集包括用于頁面交互的填充參數，所述填充參數為根據預先掛鉤的預設函數及預設解釋引擎生成的，所述預設函數用于輸入所述填充參數，所述預設解釋引擎用于檢測是否需要輸入所述填充參數；

若所述輸入參數包含在所述填充參數數據集中，確定所述待檢測腳本文件為惡意腳本文件；

其中，在所述監測運行所述待檢測腳本文件時所調用的待檢測函數之前，所述方法還包括：掛鉤所述預設函數及所述預設解釋引擎，所述預設函數包括惡意腳本疑似函數以及用于變形所述輸入參數的變形函數；通過所述預設解釋引擎，檢測是否需要輸入用于頁面交互的所述填充參數；若需要輸入所述填充參數，調用所述惡意腳本疑似函數或所述變形函數輸入所述填充參數；生成包含所述填充參數的所述填充參數數據集。

2.根據權利要求1所述的方法，其特征在于，所述掛鉤所述預設函數及所述預設解釋引擎包括：

通過超文本預處理器PHP擴展法掛鉤所述預設函數及所述預設解釋引擎，其中，所述PHP擴展法用于修改所述待檢測腳本文件的執行邏輯。

3.根據權利要求1至2中任一項所述的方法，其特征在于，所述惡意腳本疑似函數包括以下一種或幾種：用于將字符串作為PHP語法執行的函數、用于判斷條件是否正確的函數、用于調用執行系統命令的函數以及用于進程執行的函數。

4.根據權利要求1至2中任一項所述的方法，其特征在于，所述變形函數包括以下一種或幾種：用于編碼解密的函數、用于解壓縮的函數以及用于字符串旋轉解密的函數。

5.一種惡意腳本文件的檢測裝置，其特征在于，包括：

監測單元，用于在執行獲取到的待檢測腳本文件的過程中，監測運行所述待檢測腳本文件時所調用的待檢測函數；

判斷單元，用于判斷所述待檢測函數的輸入參數是否包含在預先生成的填充參數數據集中，其中，所述填充參數數據集包括用于頁面交互的填充參數，所述填充參數為根據預先掛鉤的預設函數及預設解釋引擎生成的，所述預設函數用于輸入所述填充參數，所述預設解釋引擎用于檢測是否需要輸入所述填充參數；

確定單元，用于若所述輸入參數包含在所述填充參數數據集中，確定所述待檢測腳本文件為惡意腳本文件；

其中，所述裝置還包括：掛鉤單元，用于掛鉤所述預設函數及所述預設解釋引擎，所述預設函數包括惡意腳本疑似函數以及用于變形所述輸入參數的變形函數；檢測單元，用于通過所述預設解釋引擎，檢測是否需要輸入用于頁面交互的所述填充參數；調用單元，用于若需要輸入所述填充參數，調用所述惡意腳本疑似函數或所述變形函數輸入所述填充參數；生成單元，用于生成包含所述填充參數的所述填充參數數據集。

6.根據權利要求5所述的裝置，其特征在于，所述掛鉤單元用于執行以下步驟掛鉤所述預設函數及所述預設解釋引擎：

通過超文本預處理器PHP擴展法掛鉤所述預設函數及所述預設解釋引擎，其中，所述PHP擴展法用于修改所述待檢測腳本文件的執行邏輯。

7.根據權利要求5至6中任一項所述的裝置，其特征在于，所述惡意腳本疑似函數包括以下一種或幾種：用于將字符串作為PHP語法執行的函數、用于判斷是否正確的函數、用于調用執行系統命令的函數以及用于進程執行的函數。

8.根據權利要求5至6中任一項所述的裝置，其特征在于，所述變形函數包括以下一種或幾種：用于編碼解密的函數、用于解壓縮的函數以及用于字符串旋轉解密的函數。