[發明專利]一種網頁后門檢測方法、裝置、設備及存儲介質

有效

• 申請號: 201810713529.6
• 申請日: 2018-06-29
• 公開（公告）號: CN108920950B
• 公開（公告）日: 2022-03-08
• 發明（設計）人: 張鑫
• 申請（專利權）人: 北京奇虎科技有限公司
• 主分類號: G06F21/55
• 分類號: G06F21/55;G06F21/57
• 代理公司: 北京律誠同業知識產權代理有限公司 11006
• 代理人: 王玉雙

1.一種網頁后門檢測方法，其特征在于，包括：

通過監測目標主機與瀏覽器之間的網絡流量獲取超級文本標記語言html文件；

對所述html文件進行分段處理，得到多個html片段；

利用預先建立的片段哈希模型分別對每個html片段進行匹配；

根據匹配的html片段數量判斷所述html文件是否為網頁后門文件；

所述對所述html文件進行分段處理，得到多個html片段，包括：

對所述html文件進行分段處理，并刪除設定的通用html片段，得到多個html片段；和/或

所述對所述html文件進行分段處理，得到多個html片段，包括：

以大于號為分段標識，對所述html文件進行分段處理，得到多個html片段。

2.根據權利要求1所述的方法，其特征在于，所述片段哈希模型是通過對已知的網頁后門文件進行分段處理，以所述已知的網頁后門文件的html片段為樣本進行訓練得到的。

3.根據權利要求2所述的方法，其特征在于，所述根據匹配的html片段數量判斷所述html文件是否為網頁后門文件，包括：

將命中率與設定的閾值進行比較，所述命中率為匹配的html片段數量與html片段總數的比值；

若所述命中率超過設定的閾值，判斷所述html文件為網頁后門文件。

4.根據權利要求3所述的方法，其特征在于，所述根據匹配的html片段數量判斷所述html文件是否為網頁后門文件之前，該方法還包括：

根據所述html片段總數調整所述閾值，所述html片段總數越高，所述閾值越低。

5.根據權利要求3所述的方法，其特征在于，若所述匹配度的取值未超過設定的閾值，該方法還包括：

提取所述html文件中各個標簽的屬性信息，標簽的屬性信息包括標簽的屬性和屬性值；利用預先建立的屬性信息模型分別對每個標簽的屬性信息進行匹配；根據匹配結果判斷所述html文件是否為網頁后門文件；

或者，

從所述html文件中提取html標簽，得到按照在所述html文件中的順序排列的html標簽序列，所述html標簽序列構成所述html文件的html骨架；利用預先建立的html骨架模型對所述html骨架進行匹配，所述html骨架模型是以多個html骨架為樣本進行訓練得到的；根據匹配結果判斷所述html文件是否為網頁后門文件。

6.根據權利要求1～5任一項所述的方法，其特征在于，所述利用預先建立的片段哈希模型分別對每個html片段進行匹配之前，該方法還包括：按照預定的規則將html文件中的特定字符串替換為標準字符串；

建立所述片段哈希模型時，按照所述預定的規則將作為樣本的html片段中的特定字符串替換為標準字符串。

7.一種網頁后門檢測裝置，其特征在于，包括：

Html文件獲取模塊，用于通過監測目標主機與瀏覽器之間的網絡流量獲取html文件；

Html分段模塊，用于對所述html文件進行分段處理，得到多個html片段；

模型匹配模塊，用于利用預先建立的片段哈希模型分別對每個html片段進行匹配；

網頁后門檢測模塊，用于根據匹配的html片段數量判斷所述html文件是否為網頁后門文件；

所述html分段模塊用于：

對所述html文件進行分段處理，并刪除設定的通用html片段，得到多個html片段；和/或

所述html分段模塊用于：

以大于號為分段標識，對所述html文件進行分段處理，得到多個html片段。

8.根據權利要求7所述的裝置，其特征在于，所述片段哈希模型是通過對已知的網頁后門文件進行分段處理，以所述已知的網頁后門文件的html片段為樣本進行訓練得到的。