[發明專利]一種基于異常WHOIS信息的非法網站挖掘方法

在審

• 申請號: 201711471406.8
• 申請日: 2017-12-29
• 公開（公告）號: CN108111526A
• 公開（公告）日: 2018-06-01
• 發明（設計）人: 張兆心;吳曉寶;許海燕;程亞楠;葉燕如;陸柯羽
• 申請（專利權）人: 哈爾濱工業大學（威海）
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/26;H04L29/12
• 代理公司: 北京怡豐知識產權代理有限公司 11293
• 代理人: 唐曉剛

1.一種基于異常WHOIS信息的非法網站挖掘方法，其特征是，包括步驟如下：

步驟1，準備一份用已知的非法域名構造的惡意關鍵詞庫的源數據、一份作為基礎數據的中國未知域名；

步驟2，提取中國未知域名的WHOIS信息，解析出WHOIS信息中各地理源的地理位置，并對地理位置的一致性進行交叉驗證，篩選出異常域名，形成異常域名集；

步驟3，對異常域名集進行在線檢測，篩選出WEB可訪問域名集；

步驟4，對WEB可訪問域名集進行惡意性檢測，篩選出具有惡意域名，得到惡意域名集；

步驟5，對惡意域名集進行關鍵信息的WHOIS反查，關鍵信息包括注冊者、注冊電話和注冊郵箱；去除已檢測域名及重復域名，得到未檢測的反查域名集；

步驟6，從未檢測的反查域名集中提取出未反查過的新的關鍵信息，重復步驟3-5，直到無新的關鍵信息反查為止。

2.根據權利要求1所述的基于異常WHOIS信息的非法網站挖掘方法，其特征在于，所述步驟2中，各地理源為WHOIS注冊地理、注冊郵編和注冊電話。

3.根據權利要求2所述的基于異常WHOIS信息的非法網站挖掘方法，其特征在于，所述步驟2中，解析方法包括：

對于所述WHOIS注冊地理的解析方法，若WHOIS信息中注冊省份或注冊城市為空的域名，則直接歸為異常域名；否則，從中國省份名稱與拼音對照表中查找與注冊省份相同的拼音對應的省份，若找不到，則歸為異常域名，否則，從中國城市名稱與拼音對照表中查找與注冊城相同的拼音對應的城市，若找不到，則歸為異常域名，否則，表示解析成功；

對于所述注冊郵編的解析方法，若WHOIS信息中注冊郵編為空，則直接歸為異常域名，否則，從郵編與省市對照表中查找對應郵編的省份和城市，若找不到，歸為異常域名，否則，表示解析成功；

對于所述注冊電話的解析方法，通過固話、手機號碼中蘊含地理信息的字符序列找到其注冊電話對應的省份和城市，若可以找到且滿足電話長度要求，表示解析成功，否則，歸為異常域名，解析失敗。

4.根據權利要求2所述的基于異常WHOIS信息的非法網站挖掘方法，其特征在于，所述步驟2中，所述交叉驗證包括單源異常驗證、多源交叉驗證；所述單源異常驗證是指，將所述各地理源中有解析失敗的域名歸為異常域名；所述多源交叉驗證是指，在單源異常驗證的基礎上，對比三個解析出來的地理位置是否完全一致，將不完全一致的域名歸為異常域名。

5.根據權利要求1所述的基于異常WHOIS信息的非法網站挖掘方法，其特征在于，所述步驟3中，在線檢測的步驟為：

a.獲取所述異常域名集的A記錄信息，若域名無A記錄信息，則將該域名標記為未建站域名，否則，轉步驟b；

b.獲取域名A記錄中的IP，向該網站發出HTTP請求，若HTTP碼為’2’或’3’開頭的響應碼，則將該域名標記為WEB可訪問域名；否則，將該域名標記為WEB不可訪問域名。

6.根據權利要求1所述的基于異常WHOIS信息的非法網站挖掘方法，其特征在于，所述步驟4中，惡意性檢測的步驟為：

1)獲取網站的頁面文本信息，并與所述惡意關鍵詞庫中的惡意關鍵詞進行匹配，累計匹配到的惡意關鍵詞的權重，若累計權重超過事先設定的閾值時，將域名標記為惡意域名；反之，則將該域名標記為合法域名；

2)通過第三方惡意域名檢測接口對所述惡意域名進行二次驗證，篩選掉檢測為合法的域名。

7.根據權利要求6所述的基于異常WHOIS信息的非法網站挖掘方法，其特征在于，所述步驟5中，反查是指，查詢出由該惡意域名的注冊者、注冊郵箱或注冊電話所注冊的其他域名，并進行惡意性檢測確定其惡意性。