[發(fā)明專利]一種快速探測網(wǎng)站被植入挖礦木馬的檢測方法以及裝置

在審

• 申請?zhí)枺?/td>: 201810657231.8
• 申請日: 2018-06-22
• 公開（公告）號: CN108900496A
• 公開（公告）日: 2018-11-27
• 發(fā)明（設(shè)計）人: 王世晉;范淵;黃進(jìn)
• 申請（專利權(quán)）人: 杭州安恒信息技術(shù)股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京超凡志成知識產(chǎn)權(quán)代理事務(wù)所(普通合伙) 11371
• 代理人: 張海洋

1.一種快速探測網(wǎng)站被植入挖礦木馬的檢測方法，其特征在于，所述方法包括：

獲取并訪問目標(biāo)網(wǎng)站的網(wǎng)站地址，對所述目標(biāo)網(wǎng)站內(nèi)的HTML進(jìn)行解析；

提取所述目標(biāo)網(wǎng)站內(nèi)的JavaScript代碼；

在沙箱內(nèi)運行所述JavaScript代碼；

在檢測到所述沙箱的硬件資源占用度超過預(yù)設(shè)值或所述沙箱的網(wǎng)絡(luò)行為存在對外訪問預(yù)先配置的全球礦池地址時，判斷所述目標(biāo)網(wǎng)站已被植入挖礦木馬；

否則判斷所述目標(biāo)網(wǎng)站暫時安全。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述方法還包括：

對所述JavaScript代碼進(jìn)行靜態(tài)解析，得到外鏈以及內(nèi)鏈；

在檢測到所述外鏈的代碼與預(yù)先保存的主流挖礦木馬的代碼的相似度大于預(yù)設(shè)值或所述內(nèi)鏈內(nèi)置在代碼中的服務(wù)端地址與所述主流挖礦木馬的地址一致時，判斷所述目標(biāo)網(wǎng)站已被植入挖礦木馬；

否則判斷所述目標(biāo)網(wǎng)站暫時安全。

3.根據(jù)權(quán)利要求2所述的方法，其特征在于，所述判斷所述目標(biāo)網(wǎng)站暫時安全之后，所述方法還包括：

在判斷所述JavaScript代碼傳遞的參數(shù)存在虛擬數(shù)字貨幣錢包的哈希地址時，判斷所述目標(biāo)網(wǎng)站已被植入挖礦木馬；

否則判斷所述目標(biāo)網(wǎng)站暫時安全。

4.根據(jù)權(quán)利要求1-3任一所述的方法，其特征在于，所述判斷所述目標(biāo)網(wǎng)站已被植入挖礦木馬之后，所述方法還包括：

將所述暫時安全的目標(biāo)網(wǎng)站寫入mysql數(shù)據(jù)庫。

5.根據(jù)權(quán)利要求1-3任一所述的方法，其特征在于，所述在沙箱內(nèi)運行所述JavaScript代碼之前，所述方法還包括：

將所述網(wǎng)站地址的相對路徑轉(zhuǎn)換為絕對路徑。

6.一種快速探測網(wǎng)站被植入挖礦木馬的檢測裝置，其特征在于，所述裝置包括：

獲取解析模塊，用于獲取并訪問目標(biāo)網(wǎng)站的網(wǎng)站地址，對所述目標(biāo)網(wǎng)站內(nèi)的HTML進(jìn)行解析；

提取模塊，用于提取所述目標(biāo)網(wǎng)站內(nèi)的JavaScript代碼；

運行模塊，用于在沙箱內(nèi)運行所述JavaScript代碼；

第一判斷模塊，用于在檢測到所述沙箱的硬件資源占用度超過預(yù)設(shè)值或所述沙箱的網(wǎng)絡(luò)行為存在對外訪問預(yù)先配置的全球礦池地址時，判斷所述目標(biāo)網(wǎng)站已被植入挖礦木馬；否則，

判斷所述目標(biāo)網(wǎng)站暫時安全。

7.根據(jù)權(quán)利要求6所述的裝置，其特征在于，所述裝置還包括：

解析模塊，用于對所述JavaScript代碼進(jìn)行靜態(tài)解析，得到外鏈以及內(nèi)鏈；

第二判斷模塊，還用于在檢測到所述外鏈的代碼與預(yù)先保存的主流挖礦木馬的代碼的相似度大于預(yù)設(shè)值或所述內(nèi)鏈內(nèi)置在代碼中的服務(wù)端地址與所述主流挖礦木馬的地址一致時，判斷所述目標(biāo)網(wǎng)站已被植入挖礦木馬；否則，

判斷所述目標(biāo)網(wǎng)站暫時安全。

8.根據(jù)權(quán)利要求7所述的裝置，其特征在于，所述裝置還包括：

第三判斷模塊，用于在判斷所述JavaScript代碼傳遞的參數(shù)存在虛擬數(shù)字貨幣錢包的哈希地址時，判斷所述目標(biāo)網(wǎng)站已被植入挖礦木馬；否則，

判斷所述目標(biāo)網(wǎng)站暫時安全。

9.根據(jù)權(quán)利要求6-8任一所述的裝置，其特征在于，所述裝置還包括：

寫入模塊，用于將所述暫時安全的目標(biāo)網(wǎng)站寫入mysql數(shù)據(jù)庫。

10.根據(jù)權(quán)利要求6-8任一所述的裝置，其特征在于，所述裝置還包括：

轉(zhuǎn)換模塊，用于將所述網(wǎng)站地址的相對路徑轉(zhuǎn)換為絕對路徑。