[發(fā)明專利]一種Webshell檢測方法以及裝置、計算機(jī)裝置、可讀存儲介質(zhì)

有效

• 申請?zhí)枺?/td>: 201710565826.6
• 申請日: 2017-07-12
• 公開（公告）號: CN107302586B
• 公開（公告）日: 2020-06-26
• 發(fā)明（設(shè)計）人: 徐猛
• 申請（專利權(quán)）人: 深信服科技股份有限公司
• 主分類號: H04L29/08
• 分類號: H04L29/08;H04L29/06;G06F16/958
• 代理公司: 深圳市深佳知識產(chǎn)權(quán)代理事務(wù)所(普通合伙) 44285
• 代理人: 王仲凱

1.一種Webshell檢測方法，其特征在于，包括：

獲取訪問日志，所述訪問日志包括瀏覽器向Web業(yè)務(wù)系統(tǒng)發(fā)起的Http請求信息、所述Web業(yè)務(wù)系統(tǒng)基于所述Http請求信息向數(shù)據(jù)庫系統(tǒng)發(fā)起的數(shù)據(jù)請求信息、所述數(shù)據(jù)庫系統(tǒng)基于所述數(shù)據(jù)請求信息向所述Web業(yè)務(wù)系統(tǒng)反饋的數(shù)據(jù)響應(yīng)信息、所述Web業(yè)務(wù)系統(tǒng)基于所述數(shù)據(jù)響應(yīng)信息向所述瀏覽器反饋的Http響應(yīng)信息；

從所述訪問日志中提取所述Http響應(yīng)信息；

檢測所述Http響應(yīng)信息是否包括所述數(shù)據(jù)庫系統(tǒng)的敏感信息；

若包括，則確定所述Http請求信息指向Webshell；

所述方法還包括：

從所述訪問日志中提取所述數(shù)據(jù)響應(yīng)信息；

所述檢測所述Http響應(yīng)信息是否包括所述數(shù)據(jù)庫系統(tǒng)的敏感信息包括：

根據(jù)所述數(shù)據(jù)響應(yīng)信息，檢測所述Http響應(yīng)信息是否包括所述數(shù)據(jù)庫系統(tǒng)的敏感信息。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述根據(jù)所述數(shù)據(jù)響應(yīng)信息，檢測所述Http響應(yīng)信息是否包括所述數(shù)據(jù)庫系統(tǒng)的敏感信息包括：

檢測所述數(shù)據(jù)響應(yīng)信息是否包括所述數(shù)據(jù)庫系統(tǒng)的敏感信息；

若包括，則從所述數(shù)據(jù)響應(yīng)信息中提取所述敏感信息；

檢測所述Http響應(yīng)信息是否包括所述敏感信息。

3.根據(jù)權(quán)利要求1至2中任一項所述的方法，其特征在于，在所述從所述訪問日志中提取所述Http響應(yīng)信息之前，所述方法還包括：

從所述訪問日志中提取所述數(shù)據(jù)請求信息；

解析所述數(shù)據(jù)請求信息是否包括用于指示獲取所述數(shù)據(jù)庫系統(tǒng)的敏感信息的指令；

若是，則觸發(fā)所述從所述訪問日志中提取所述Http響應(yīng)信息的步驟。

4.根據(jù)權(quán)利要求1至2中任一項所述的方法，其特征在于，在所述確定所述Http請求信息指向Webshell之后，所述方法還包括：

針對所述Http請求信息進(jìn)行告警處理。

5.根據(jù)權(quán)利要求1至2中任一項所述的方法，其特征在于，在所述確定所述Http請求信息指向Webshell之后，所述方法還包括：

記錄所述Http請求信息對應(yīng)的網(wǎng)站的統(tǒng)一資源定位符URL。

6.一種Webshell檢測裝置，其特征在于，包括：

獲取單元，用于獲取訪問日志，所述訪問日志包括瀏覽器向Web業(yè)務(wù)系統(tǒng)發(fā)起的Http請求信息、所述Web業(yè)務(wù)系統(tǒng)基于所述Http請求信息向數(shù)據(jù)庫系統(tǒng)發(fā)起的數(shù)據(jù)請求信息、所述數(shù)據(jù)庫系統(tǒng)基于所述數(shù)據(jù)請求信息向所述Web業(yè)務(wù)系統(tǒng)反饋的數(shù)據(jù)響應(yīng)信息、所述Web業(yè)務(wù)系統(tǒng)基于所述數(shù)據(jù)響應(yīng)信息向所述瀏覽器反饋的Http響應(yīng)信息；

第一提取單元，用于從所述訪問日志中提取所述Http響應(yīng)信息；

檢測單元，用于檢測所述Http響應(yīng)信息是否包括所述數(shù)據(jù)庫系統(tǒng)的敏感信息；

確定單元，用于當(dāng)所述Http響應(yīng)信息包括所述數(shù)據(jù)庫系統(tǒng)的敏感信息時，則確定所述Http請求信息指向Webshell；

所述裝置還包括：

第二提取單元，用于從所述訪問日志中提取所述數(shù)據(jù)響應(yīng)信息；

所述檢測單元，具體用于：

根據(jù)所述數(shù)據(jù)響應(yīng)信息，檢測所述Http響應(yīng)信息是否包括所述數(shù)據(jù)庫系統(tǒng)的敏感信息。

7.根據(jù)權(quán)利要求6所述的裝置，其特征在于，所述檢測單元，具體用于：

檢測所述數(shù)據(jù)響應(yīng)信息是否包括所述數(shù)據(jù)庫系統(tǒng)的敏感信息；

若包括，則從所述數(shù)據(jù)響應(yīng)信息中提取所述敏感信息；

檢測所述Http響應(yīng)信息是否包括所述敏感信息。

8.根據(jù)權(quán)利要求6至7中任一項所述的裝置，其特征在于，所述裝置還包括：

第三提取單元，用于從所述訪問日志中提取所述數(shù)據(jù)請求信息；

解析單元，用于解析所述數(shù)據(jù)請求信息是否包括用于指示獲取所述數(shù)據(jù)庫系統(tǒng)的敏感信息的指令；

觸發(fā)單元，用于當(dāng)所述數(shù)據(jù)請求信息包括用于指示獲取所述數(shù)據(jù)庫系統(tǒng)的敏感信息的指令時，則觸發(fā)所述第一提取單元從所述訪問日志中提取所述Http響應(yīng)信息。