[發明專利]網頁入侵腳本攻擊工具的檢測方法及服務器

有效

• 申請號: 201810088481.4
• 申請日: 2018-01-30
• 公開（公告）號: CN110096872B
• 公開（公告）日: 2022-04-05
• 發明（設計）人: 杭小勇
• 申請（專利權）人: 中國移動通信有限公司研究院;中國移動通信集團有限公司
• 主分類號: G06F21/55
• 分類號: G06F21/55
• 代理公司: 北京銀龍知識產權代理有限公司 11243
• 代理人: 許靜;安利霞

1.一種網頁入侵腳本攻擊工具的檢測方法，其特征在于，包括：

獲取預設時間段內受保護站點下各網頁的網頁出入度值；

根據所述網頁出入度值，確定包含疑似網頁入侵腳本攻擊工具webshell文件的候選集合，包括：根據所述網頁出入度值，選取出入度值最小的前M個網頁確定為目標網頁；獲取每個目標網頁中相同訪問來源地址的訪問次數；若所述訪問次數滿足預設條件，則將對應的目標網頁確定為疑似webshell文件；根據所有疑似webshell文件，確定候選集合；

根據預設特征行為，確定所述候選集合中的webshell文件，包括：

獲取所述候選集合中第一疑似webshell文件的訪問流量，第一疑似webshell文件為候選集合中疑似webshell文件中的一個；根據預設特征行為，對第一疑似webshell文件的訪問流量進行匹配，包括：調用預設函數，對第一疑似webshell文件的訪問流量進行特征行為匹配，所述預設函數包括特定字段、特定字段的變形、特定字段的加密和特定字段的拼接中的至少一項；或者，利用預設工具，對第一疑似webshell文件的訪問流量進行特征行為匹配，預設工具用于產生特定的特征流量和標準化日志中的至少一項；

所述利用預設工具，對第一疑似webshell文件的訪問流量進行特征行為匹配的步驟包括以下至少一項：利用預設工具中特征流量的特征數據，對第一疑似webshell文件的訪問流量進行正則匹配；利用預設工具中標準化日志的特征數據，對第一疑似webshell文件的訪問流量進行正則匹配；

若匹配成功，則確定第一疑似webshell文件為webshell文件；

其中，根據網頁出入度值，選取出入度值最小的前M個網頁確定為目標網頁的步驟包括：按照網頁出入度值由小至大，對受保護站點頁面出入度總和由小至大進行排名得到一排序序列S’={S’₁，S’₂，...，S’_i，...，S’_n-1，S’_n}；將網頁序列中前M個網頁確定為目標網頁；其中，前M個網頁是取排序序列中排名前a%位的頁面，得到P={P₁，P₂，...，P_k}；a為正整數，取值范圍為0a≤5，k為整數，取整范圍為0k≤[n*a%]，n為受保護站點的總頁面數。

2.根據權利要求1所述的網頁入侵腳本攻擊工具的檢測方法，其特征在于，獲取預設時間段內受保護站點下各網頁的網頁出入度值的步驟，包括：

獲取預設時間段內受保護站點的訪問流量；

根據所述訪問流量，計算受保護站點下各網頁的網頁出度值和網頁入度值；

根據所述網頁出度值和網頁入度值，計算各網頁的網頁出入度值。

3.根據權利要求2所述的網頁入侵腳本攻擊工具的檢測方法，其特征在于，根據所述訪問流量，計算受保護站點下各網頁的網頁出度值和網頁入度值的步驟，包括：

根據所述訪問流量，確定受保護站點的網頁S_i；

根據，計算所述網頁S_i的出度值；

根據，計算所述網頁S_i的入度值；

其中，根據所述網頁出度值和網頁入度值，計算各網頁的網頁出入度值的步驟，包括：

根據，計算網頁S_i的出入度值；

其中，表示所述訪問流量中與網頁S_i相對應的第j條流量的出度值，表示所述訪問流量中與網頁S_i相對應的第j條流量的入度值，N為所述訪問流量中網頁S_i的訪問流量條數。