[發(fā)明專利]檢測網(wǎng)頁后門的方法和裝置

有效

• 申請?zhí)枺?/td>: 201611167905.3
• 申請日: 2016-12-16
• 公開（公告）號: CN108206802B
• 公開（公告）日: 2020-11-17
• 發(fā)明（設(shè)計）人: 蔣武
• 申請（專利權(quán)）人: 華為技術(shù)有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種檢測網(wǎng)頁后門的方法，其特征在于，包括：

獲取被保護主機的第一web流量，所述第一web流量是指在第一時間段中所述被保護主機提供的網(wǎng)頁被訪問時發(fā)生的流量；

根據(jù)所述第一web流量生成所述被保護主機的網(wǎng)頁訪問記錄，所述網(wǎng)頁訪問記錄用于保存至少一個統(tǒng)一資源定位符URL、訪問所述至少一個URL中的每個URL的IP地址、以及所述每個URL的被訪問總次數(shù)，其中所述每個URL標(biāo)識所述被保護主機提供的一個網(wǎng)頁；

根據(jù)所述網(wǎng)頁訪問記錄，從所述至少一個URL中確定可疑URL，所述可疑URL的被訪問總次數(shù)小于第一閾值、且訪問所述可疑URL的互不相同的IP地址的數(shù)量與所述可疑URL的被訪問總次數(shù)的比值小于第二閾值；以及

確定所述可疑URL標(biāo)識的網(wǎng)頁是否包含網(wǎng)頁后門特征庫中的后門特征，根據(jù)后門特征確定結(jié)果檢測所述可疑URL標(biāo)識的網(wǎng)頁是否存在網(wǎng)頁后門。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述網(wǎng)頁訪問記錄包括至少一個表項，所述至少一個表項中的每個表項分別與所述至少一個URL中的一個URL相對應(yīng)，所述每個表項中保存有被訪問總次數(shù)和IP地址列表；

所述第一web流量生成所述被保護主機的網(wǎng)頁訪問記錄，包括：

從所述第一web流量中獲得至少一個訪問請求報文，所述訪問請求報文的目的IP地址為所述被保護主機的IP地址；

從所述至少一個訪問請求報文中選擇一個訪問請求報文，對選擇出的訪問請求報文進行以下處理，直到處理完所述至少一個訪問請求報文中的每個訪問請求報文為止：

解析選擇出的訪問請求報文，從而獲得所述選擇出的訪問請求報文的源IP地址和攜帶的URL；

在所述網(wǎng)頁訪問記錄中查找所述選擇出的訪問請求報文攜帶的URL對應(yīng)的表項；

如果查找到所述選擇出的訪問請求報文攜帶的URL對應(yīng)的表項，則將查找到的表項的被訪問總次數(shù)加1，在所述查找到的表項的IP地址列表中記錄所述源IP地址；

如果未查找到所述選擇出的訪問請求報文攜帶的URL對應(yīng)的表項，則在所述網(wǎng)頁訪問記錄中創(chuàng)建所述選擇出的訪問請求報文攜帶的URL對應(yīng)的表項，將創(chuàng)建的表項的被訪問總次數(shù)設(shè)置為1，在所述創(chuàng)建的表項的所述IP地址列表中記錄所述源IP地址。

3.根據(jù)權(quán)利要求2所述的方法，其特征在于，所述根據(jù)所述網(wǎng)頁訪問記錄，從所述至少一個URL中確定可疑URL，包括：

從所述網(wǎng)頁訪問記錄中選擇出一個表項；

確定選擇出的表項的IP地址列表中互不相同的IP地址的數(shù)量；

如果所述選擇出的表項的被訪問總次數(shù)少于所述第一閾值、且確定出的互不相同的IP地址的數(shù)量與所述選擇出的表項的被訪問總次數(shù)的比值小于所述第二閾值，則確定所述選擇出的表項對應(yīng)的URL為可疑URL。