[發明專利]一種使用引導型搜索的網頁木馬檢測系統及方法

在審

• 申請號: 201711291684.5
• 申請日: 2017-12-08
• 公開（公告）號: CN108229166A
• 公開（公告）日: 2018-06-29
• 發明（設計）人: 徐光俠;鄭爽;李偉鳳;王天羿;劉榕;馬傳龍;馬創;劉俊
• 申請（專利權）人: 重慶郵電大學
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06F17/30;H04L29/06
• 代理公司: 重慶市恒信知識產權代理有限公司 50102
• 代理人: 劉小紅

1.一種使用引導型搜索的網頁木馬檢測系統，其特征在于，包括外圍程序模塊和核心檢測分析組件，外圍程序模塊包括一個網絡爬蟲模塊，一個弱過濾器模塊，一個網頁檢測模塊和一個用于存儲已知掛馬網頁的數據庫；所述網絡爬蟲模塊用于從互聯網中下載網頁，所述弱過濾器模塊用于從下載的網頁中過濾掉明顯無害的網頁，所述網頁檢測模塊用于將掛馬網頁分類出來，數據庫用于存儲已知掛馬網頁；

核心檢測分析組件，包括數個特征分析組件和搜索引擎工具，所述特征分析組件用于分析出輸入的掛馬網頁的特征，并通過使用這些特征引導搜索引擎搜索并下載相似的網頁，將引導搜索下載的網頁直接提交至網頁檢測程序分析。

2.根據權利要求1所述的使用引導型搜索的網頁木馬檢測系統，其特征在于，所述弱過濾器模塊通過IP地址、網頁上可疑域名數量、域名段數、不完整頭部信息域請求數量及是否包含可疑JavaScript代碼在內的顯著特征過濾掉正常網頁。

3.根據權利要求1或2所述的使用引導型搜索的網頁木馬檢測系統，其特征在于，所述弱過濾器模塊的輸出網頁作為網頁檢測模塊的輸入，所述網頁檢測模塊包括一個蜜罐客戶端，蜜罐客戶端可以模擬瀏覽器執行網頁上的JavaScript代碼，可以跟蹤記錄代碼執行的結果，并使用異常探測技術來判斷網頁是否含有誘導下載攻擊；網頁檢測模塊還包括一個自定義檢測工具，該工具是使用機器學習的方法訓練一個分類器，分類器以網頁中的標簽信息，JavaScript語句和詞頻信息為特征進行訓練，該自定義檢測工具用于檢測網頁中的惡意軟件自動下載功能，以避免用戶在不知情的情況下下載惡意軟件。

4.根據權利要求1或2所述的使用引導型搜索的網頁木馬檢測系統，其特征在于，所述引導搜索引擎搜索下載相似的網頁包括：在掛馬網頁URL前加上link操作符，記為link:<MALICIOUS-URL>，其中MALICIOUS-URL為掛馬網頁的URL，并使用搜索引擎查詢工具查詢，收集查詢結果網頁中的新URL作為可疑URL。

5.根據權利要求1或2所述的使用引導型搜索的網頁木馬檢測系統，其特征在于，所述特征分析組件利用域名注冊記錄篩選可疑域名，在域名注冊記錄中查詢掛馬網站的域名，將之前和之后注冊的兩個域名當作可疑域名。

6.一種基于權利要求1所述系統的使用引導型搜索的網頁木馬檢測方法，其特征在于，包括以下步驟：

101、掛馬網頁分類步驟：使用網絡爬蟲程序從互聯網中下載網頁，通過一個弱過濾器程序過濾掉明顯無害的網頁，并將結果輸入網頁檢測程序，網頁檢測程序將掛馬網頁分類出來，存入數據庫，形成掛馬網頁黑名單，并將一部分掛馬網頁送至核心組件部分分析；

102、核心組件分析步驟：包括數個特征分析組件和搜索引擎工具，特征分析組件分析出輸入的掛馬網頁的特征，并通過使用這些特征引導搜索引擎搜索并下載相似的網頁，引導搜索下載的網頁直接提交至網頁檢測程序分析。

7.根據權利要求6所述的使用引導型搜索的網頁木馬檢測方法，其特征在于，所述弱過濾器程序的輸出網頁作為網頁檢測程序的輸入，所述網頁檢測程序包括一個蜜罐客戶端，蜜罐客戶端可以模擬瀏覽器執行網頁上的JavaScript代碼，可以跟蹤記錄代碼執行的結果，并使用異常探測技術來判斷網頁是否含有誘導下載攻擊；網頁檢測程序還包括一個自定義檢測工具，該工具是使用機器學習的方法訓練一個分類器，分類器以網頁中的標簽信息，JavaScript語句和詞頻信息為特征進行訓練，該自定義檢測工具用于檢測網頁中的惡意軟件自動下載功能，以避免用戶在不知情的情況下下載惡意軟件。

8.根據權利要求6所述的使用引導型搜索的網頁木馬檢測方法，其特征在于，所述特征分析組件包括用網頁鏈接分析組件和域名注冊分析組件，使用網頁鏈接分析組件找到掛馬網頁“中心”，掛馬網頁“中心”是指某個包含了許多指向掛馬網頁的鏈接的網頁，這種網頁通常是存在漏洞并多次被攻擊，或者存在于長時間未維護的網站上，該組件能夠自動下載掛馬網頁“中心”上的URL，并提交至網頁檢測程序進行分析；域名注冊分析組件通過分析域名注冊信息，找到可疑的掛馬網頁，并提交至網頁檢測程序。