[發(fā)明專利]webshell檢測(cè)方法和裝置

在審

• 申請(qǐng)?zhí)枺?/td>: 201611250018.2
• 申請(qǐng)日: 2016-12-29
• 公開(kāi)（公告）號(hào): CN106650437A
• 公開(kāi)（公告）日: 2017-05-10
• 發(fā)明（設(shè)計(jì)）人: 劉京洋
• 申請(qǐng)（專利權(quán)）人: 廣州華多網(wǎng)絡(luò)科技有限公司
• 主分類號(hào): G06F21/55
• 分類號(hào): G06F21/55
• 代理公司: 北京博思佳知識(shí)產(chǎn)權(quán)代理有限公司11415
• 代理人: 林祥

技術(shù)領(lǐng)域

本申請(qǐng)涉及通信技術(shù)領(lǐng)域，尤其涉及一種webshell檢測(cè)方法和裝置。

背景技術(shù)

隨著互聯(lián)網(wǎng)技術(shù)的高速發(fā)展，基于web環(huán)境的互聯(lián)網(wǎng)應(yīng)用越來(lái)越廣泛，用戶對(duì)web應(yīng)用安全的關(guān)注度也逐漸升溫。

webshell是以PHP(PHP:Hypertext Preprocessor，超文本預(yù)處理器)、JSP(Java Server Pages，Java服務(wù)器頁(yè)面)、ASP(Active Server Pages，動(dòng)態(tài)服務(wù)器頁(yè)面)等網(wǎng)頁(yè)文件形式存在的一種命令執(zhí)行環(huán)境，也可以稱為一種網(wǎng)頁(yè)后門。入侵者在入侵網(wǎng)站后，可以將webshell與網(wǎng)站服務(wù)器保存在web目錄下的正常網(wǎng)頁(yè)文件混在一起。后續(xù)入侵者可以通過(guò)瀏覽器訪問(wèn)webshell，從而實(shí)現(xiàn)對(duì)網(wǎng)站服務(wù)器的控制，例如：刪除web頁(yè)面、修改主頁(yè)、上傳下載文件、查看數(shù)據(jù)庫(kù)、執(zhí)行任意程序命令等。

相關(guān)技術(shù)中，通常可以由服務(wù)器將網(wǎng)頁(yè)代碼與特征規(guī)則庫(kù)進(jìn)行匹配，如果匹配成功，則可以確定該網(wǎng)頁(yè)文件中存在webshell。然而，采用這樣的方式難以精確地檢測(cè)出webshell，例如：無(wú)法檢測(cè)出經(jīng)過(guò)編碼或字符串變換的webshell，因此誤判率較高，對(duì)保障服務(wù)器的安全造成影響。

發(fā)明內(nèi)容

有鑒于此，本申請(qǐng)?zhí)峁┮环Nwebshell檢測(cè)方法和裝置，以解決相關(guān)技術(shù)中webshell檢測(cè)的精確度低的問(wèn)題。

具體地，本申請(qǐng)是通過(guò)如下技術(shù)方案實(shí)現(xiàn)的：

第一方面，本申請(qǐng)?zhí)峁┮环Nwebshell檢測(cè)方法，所述方法應(yīng)用于服務(wù)器，包括：

從網(wǎng)頁(yè)代碼中提取出有效代碼；

基于所述有效代碼生成對(duì)應(yīng)的抽象語(yǔ)法樹(shù)；

基于所述抽象語(yǔ)法樹(shù)對(duì)所述有效代碼進(jìn)行歸一化計(jì)算，并根據(jù)歸一化計(jì)算結(jié)果修改所述抽象語(yǔ)法樹(shù)；

基于修改后的抽象語(yǔ)法樹(shù)生成歸一化后的有效代碼；

調(diào)用檢測(cè)模塊對(duì)所述歸一化后的有效代碼進(jìn)行webshell檢測(cè)。

第二方面，本申請(qǐng)?zhí)峁┮环Nwebshell檢測(cè)裝置，所述裝置應(yīng)用于服務(wù)器，包括：

提取單元，用于從網(wǎng)頁(yè)代碼中提取出作為有效代碼；

樹(shù)生成單元，用于基于所述有效代碼生成對(duì)應(yīng)的抽象語(yǔ)法樹(shù)；

歸一化計(jì)算單元，用于基于所述抽象語(yǔ)法樹(shù)對(duì)所述有效代碼進(jìn)行歸一化計(jì)算，并根據(jù)歸一化計(jì)算結(jié)果修改所述抽象語(yǔ)法樹(shù)；

代碼生成單元，用于基于修改后的抽象語(yǔ)法樹(shù)生成歸一化后的有效代碼；

調(diào)用單元，用于調(diào)用檢測(cè)模塊對(duì)所述歸一化后的有效代碼進(jìn)行webshell檢測(cè)。

分析上述技術(shù)方案可知，服務(wù)器可以先基于抽象語(yǔ)法樹(shù)對(duì)網(wǎng)頁(yè)文件中的有效代碼進(jìn)行歸一化計(jì)算，再調(diào)用檢測(cè)模塊，將歸一化后的有效代碼與特征規(guī)則庫(kù)進(jìn)行匹配，如果匹配成功，則可以確定該網(wǎng)頁(yè)文件中存在webshell。與相關(guān)技術(shù)相比，采用這樣的方式可以避免編碼或字符串變換等因素對(duì)特征匹配的影響，從而可以顯著提高服務(wù)器webshell檢測(cè)的精確度，同時(shí)還可以節(jié)省存儲(chǔ)資源，加快匹配速率。

附圖說(shuō)明

圖1是本申請(qǐng)一示例性實(shí)施例示出的一種webshell檢測(cè)方法的流程圖；

圖2是一種抽象語(yǔ)法樹(shù)的示例；

圖3是另一種抽象語(yǔ)法樹(shù)的示例；

圖4是另一種抽象語(yǔ)法樹(shù)的示例；

圖5是本申請(qǐng)一示例性實(shí)施例示出的一種webshell檢測(cè)裝置所在設(shè)備的硬件結(jié)構(gòu)圖；

圖6是本申請(qǐng)一示例性實(shí)施例示出的一種webshell檢測(cè)裝置的框圖。

具體實(shí)施方式

這里將詳細(xì)地對(duì)示例性實(shí)施例進(jìn)行說(shuō)明，其示例表示在附圖中。下面的描述涉及附圖時(shí)，除非另有表示，不同附圖中的相同數(shù)字表示相同或相似的要素。以下示例性實(shí)施例中所描述的實(shí)施方式并不代表與本申請(qǐng)相一致的所有實(shí)施方式。相反，它們僅是與如所附權(quán)利要求書中所詳述的、本申請(qǐng)的一些方面相一致的裝置和方法的例子。

在本申請(qǐng)使用的術(shù)語(yǔ)是僅僅出于描述特定實(shí)施例的目的，而非旨在限制本申請(qǐng)。在本申請(qǐng)和所附權(quán)利要求書中所使用的單數(shù)形式的“一種”、“所述”和“該”也旨在包括多數(shù)形式，除非上下文清楚地表示其他含義。還應(yīng)當(dāng)理解，本文中使用的術(shù)語(yǔ)“和/或”是指并包含一個(gè)或多個(gè)相關(guān)聯(lián)的列出項(xiàng)目的任何或所有可能組合。