[發明專利]基于云防護環境下網站木馬后門檢測方法及裝置

有效

• 申請號: 201711194325.8
• 申請日: 2017-11-24
• 公開（公告）號: CN107844702B
• 公開（公告）日: 2020-09-04
• 發明（設計）人: 史光庭;范淵
• 申請（專利權）人: 杭州安恒信息技術股份有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京超凡志成知識產權代理事務所(普通合伙) 11371
• 代理人: 王術蘭

本發明提供了一種基于云防護環境下網站木馬后門檢測方法及裝置，涉及網絡安全的技術領域，包括獲取目標對象訪問服務器時生成的緩存文件；采用模糊文件算法對緩存文件進行計算，得到緩存文件的得分值，其中，得分值用于表征目標對象是網站木馬后者是木馬后門的概率；基于得分值判斷緩存文件是否為網頁木馬文件；在判斷出是的情況下，則阻斷目標對象訪問服務器，并清除目標對象，本發明緩解了在采用傳統的木馬檢查方法進行木馬檢查時存在的木馬識別速度較慢，且木馬識別準確度較差的技術問題。

技術領域

本發明涉及網絡安全的技術領域，尤其是涉及一種基于云防護環境下網站木馬后門檢測方法及裝置。

背景技術

在大數據環境下云環境的應用場景較為復雜，云技術應用也更為廣泛，同時在云環境下用戶文件，變多用戶大量的文件以云技術保存在云環境平臺上。那么同時攻擊者利用云環境下文件變化大，文件變化快的特點構造木馬后門，加密后門，編碼webshell(網頁后門)等方式眾多，來繞過正常的殺毒軟件檢查，所以面對新的環境體系我們需要能夠有一種新的檢測方式來針對云環境下的文件快速檢測木馬后門，如何能快速有效的檢測，以及方便安全管理人員對網頁木馬后門以及webshell的判斷。

傳統的殺毒軟件基于文件特征掃描，而針對網頁木馬和webshell攻擊者通常精通代碼以及代碼編碼導致攻擊者很容易通過修改編碼結構，以及加密webshell來繞過殺毒軟件查殺，所以很難針對webshell進行掃描檢查。

而面對云環境下的網絡結構，云上面保存的數據通常以文件本身較多，文件結構復雜，文件更新快。這些特點也造成了普通用戶使用殺毒軟件時，往往殺毒軟件還沒檢查完成所有文件，可能云服務器的文件結構，文件內容已經開始了變化。

發明內容

有鑒于此，本發明的目的在于提供一種基于云防護環境下網站木馬后門檢測方法及裝置，以緩解了在采用傳統的木馬檢查方法進行木馬檢查時存在的木馬識別速度較慢，且木馬識別準確度較差的技術問題。

第一方面，本發明實施例提供了一種基于云防護環境下網站木馬后門檢測方法，包括：獲取目標對象訪問服務器時生成的緩存文件；采用模糊文件算法對所述緩存文件進行計算，得到所述緩存文件的得分值，其中，所述得分值用于表征所述目標對象是網站木馬后者是木馬后門的概率；基于所述得分值判斷所述緩存文件是否為網頁木馬文件；在判斷出是的情況下，則阻斷所述目標對象訪問所述服務器，并清除所述目標對象。

進一步地，采用模糊文件算法對所述緩存文件進行計算，得到所述緩存文件的得分值包括：獲取預設規則文件，其中，所述預設規則文件中包括多個網頁木馬文件，以及每個網頁木馬文件的得分值；計算每個所述網頁木馬文件與所述緩存文件的相似值；將所述相似值作為所述緩存文件的得分值。

進一步地，基于所述得分值判斷所述緩存文件是否為網頁木馬文件包括：在所述相似值大于預設閾值的情況下，確定所述緩存文件為所述網頁木馬文件。

進一步地，計算所述預設規則文件與所述緩存文件的相似值包括：獲取所述預設規則文件中每個所述網頁木馬文件的模糊文件值；將所述模糊文件值進行還原，得到所述網頁木馬文件的原始數據平面圖；將所述緩存文件的文件內容帶入到所述原始數據平面圖中，以計算所述緩存文件中與所述網頁木馬文件字符相同的個數；基于所述相同的個數計算所述相似值。

進一步地，基于所述相同的個數計算所述相似值包括：將所述相同的個數作為所述網頁木馬文件與所述緩存文件的相似值。

進一步地，所述方法還包括：獲取網頁木馬文件的文件信息；將所述文件信息中的文件內容進行屏幕圖形化展開處理，得到數據平面圖；基于所述數據平面圖將所述網頁木馬文件的文件內容轉換為字符串；將所述字符串進行壓縮，得到所述網頁木馬文件的模糊文件值。