[發(fā)明專利]一種Webshell檢測方法以及裝置、計算機(jī)裝置、可讀存儲介質(zhì)

有效

• 申請?zhí)枺?/td>: 201710565826.6
• 申請日: 2017-07-12
• 公開（公告）號: CN107302586B
• 公開（公告）日: 2020-06-26
• 發(fā)明（設(shè)計）人: 徐猛
• 申請（專利權(quán)）人: 深信服科技股份有限公司
• 主分類號: H04L29/08
• 分類號: H04L29/08;H04L29/06;G06F16/958
• 代理公司: 深圳市深佳知識產(chǎn)權(quán)代理事務(wù)所(普通合伙) 44285
• 代理人: 王仲凱

本發(fā)明實(shí)施例公開了一種Webshell檢測方法以及裝置、計算機(jī)裝置、可讀存儲介質(zhì)，用于快速、有效地實(shí)現(xiàn)對Webshell的檢測。本發(fā)明實(shí)施例方法包括：獲取訪問日志，訪問日志包括瀏覽器向Web業(yè)務(wù)系統(tǒng)發(fā)起的Http請求信息、Web業(yè)務(wù)系統(tǒng)基于Http請求信息向數(shù)據(jù)庫系統(tǒng)發(fā)起的數(shù)據(jù)請求信息、數(shù)據(jù)庫系統(tǒng)基于數(shù)據(jù)請求信息向Web業(yè)務(wù)系統(tǒng)反饋的數(shù)據(jù)響應(yīng)信息、Web業(yè)務(wù)系統(tǒng)基于數(shù)據(jù)響應(yīng)信息向?yàn)g覽器反饋的Http響應(yīng)信息；從訪問日志中提取Http響應(yīng)信息；檢測Http響應(yīng)信息是否包括數(shù)據(jù)庫系統(tǒng)的敏感信息；若包括，則確定Http請求信息指向Webshell。

技術(shù)領(lǐng)域

本發(fā)明涉及互聯(lián)網(wǎng)安全技術(shù)領(lǐng)域，尤其涉及一種Webshell檢測方法以及裝置、計算機(jī)裝置、可讀存儲介質(zhì)。

背景技術(shù)

一般的數(shù)據(jù)入侵是先控制web系統(tǒng)，然后通過web系統(tǒng)去訪問數(shù)據(jù)庫進(jìn)行數(shù)據(jù)竊取。由于借助web系統(tǒng)進(jìn)行訪問時，訪問者的身份是合法的，防火墻無法識別這是異常訪問，則無法防御不這類攻擊。因此，數(shù)據(jù)庫安全產(chǎn)品，具備識別webshell行為的能力，至關(guān)重要。

然而，webshell檢測技術(shù)發(fā)展至今，較多側(cè)重于web主機(jī)檢測和網(wǎng)絡(luò)檢測：1、主機(jī)檢測，需要在網(wǎng)站服務(wù)器上安裝檢測查殺工具或軟件，主要使用的技術(shù)有靜態(tài)特征庫皮匹配、文件創(chuàng)建和修改時間監(jiān)控、最長單詞檢測、重合指數(shù)檢測、信息熵檢測、文件壓縮比檢測、hook危險函數(shù)等，該檢測方法相對比較成熟，但實(shí)時性不好；2、網(wǎng)絡(luò)檢測，即網(wǎng)絡(luò)流量特征匹配，體現(xiàn)為webshell本身代碼的傳輸流量特征匹和webshell在執(zhí)行時通信流量特征匹配，網(wǎng)絡(luò)流量特征匹配方法簡單、檢查迅速，但復(fù)雜的語義分析需要消耗的資源大，成本高，且對于已經(jīng)上傳webshell后的檢測效果較差。

因此，有必要提供優(yōu)于上述識別webshell行為的檢測方法。

發(fā)明內(nèi)容

本發(fā)明實(shí)施例提供了一種Webshell檢測方法以及裝置、計算機(jī)裝置、可讀存儲介質(zhì)，用于快速、有效地實(shí)現(xiàn)對Webshell的檢測。

有鑒于此，本發(fā)明第一方面提供一種Webshell檢測方法，可包括：

獲取訪問日志，訪問日志包括瀏覽器向Web業(yè)務(wù)系統(tǒng)發(fā)起的Http請求信息、Web業(yè)務(wù)系統(tǒng)基于Http請求信息向數(shù)據(jù)庫系統(tǒng)發(fā)起的數(shù)據(jù)請求信息、數(shù)據(jù)庫系統(tǒng)基于數(shù)據(jù)請求信息向Web業(yè)務(wù)系統(tǒng)反饋的數(shù)據(jù)響應(yīng)信息、Web業(yè)務(wù)系統(tǒng)基于數(shù)據(jù)響應(yīng)信息向?yàn)g覽器反饋的Http響應(yīng)信息；

從訪問日志中提取Http響應(yīng)信息；

檢測Http響應(yīng)信息是否包括數(shù)據(jù)庫系統(tǒng)的敏感信息；

若包括，則確定Http請求信息指向Webshell。

進(jìn)一步的，該方法還包括：

從訪問日志中提取數(shù)據(jù)響應(yīng)信息；

檢測Http響應(yīng)信息是否包括數(shù)據(jù)庫系統(tǒng)的敏感信息包括：

根據(jù)數(shù)據(jù)響應(yīng)信息，檢測Http響應(yīng)信息是否包括數(shù)據(jù)庫系統(tǒng)的敏感信息。

進(jìn)一步的，根據(jù)數(shù)據(jù)響應(yīng)信息，檢測Http響應(yīng)信息是否包括數(shù)據(jù)庫系統(tǒng)的敏感信息包括：

檢測數(shù)據(jù)響應(yīng)信息是否包括數(shù)據(jù)庫系統(tǒng)的敏感信息；

若包括，則從數(shù)據(jù)響應(yīng)信息中提取敏感信息；

檢測Http響應(yīng)信息是否包括敏感信息。

進(jìn)一步的，在從訪問日志中提取Http響應(yīng)信息之前，該方法還包括：

從訪問日志中提取數(shù)據(jù)請求信息；

解析數(shù)據(jù)請求信息是否包括用于指示獲取數(shù)據(jù)庫系統(tǒng)的敏感信息的指令；