[發明專利]一種網頁后門檢測方法和裝置、計算機可讀存儲介質

在審

• 申請號: 201811418384.3
• 申請日: 2018-11-26
• 公開（公告）號: CN109657467A
• 公開（公告）日: 2019-04-19
• 發明（設計）人: 虎志強
• 申請（專利權）人: 北京蘭云科技有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06K9/62
• 代理公司: 北京安信方達知識產權代理有限公司 11262
• 代理人: 陶麗;李丹

1.一種網頁后門檢測方法，其特征在于，包括：

獲取網頁腳本文件，去除網頁腳本文件中的注釋信息；

提取網頁腳本文件的特征向量，所述特征向量包括文件中的各字符串數組的數組元素拼接所得的字符串中最長字符串的長度及所述最長字符串的信息熵；

使用預先訓練好的隨機森林分類器模型對提取的特征向量進行檢測，以確定所述網頁腳本文件是否為網頁后門Webshell文件。

2.根據權利要求1所述的方法，其特征在于，所述特征向量還包括以下至少之一：

所述文件的信息熵、所述字符串變量長度的均值、所述字符串變量長度的方差、所述文件長度、所述最大字符串變量長度、所述最大字符串的信息熵、所述文件中敏感函數的頻率、所述文件中匹配的特征代碼段個數。

3.根據權利要求1所述的方法，其特征在于，所述方法之前還包括：

獲取網頁腳本文件樣本，提取所述網頁腳本文件樣本中的特征向量，將提取的特征向量劃分為原始訓練集和原始測試集；

使用所述原始訓練集和隨機森林算法訓練所述隨機森林分類器模型；

使用所述原始測試集對訓練好的所述分類器模型進行驗證，并根據預設的評估指標，對所述隨機森林分類器模型進行參數調整。

4.根據權利要求3所述的方法，其特征在于，所述使用所述原始訓練集和隨機森林算法訓練所述隨機森林分類器模型，包括：

從所述原始訓練集中進行k輪隨機有放回采樣，得到k個訓練集，每個訓練集包括n個所述訓練樣本，k和n均為自然數；

對k個訓練集，根據訓練集中的訓練樣本以及所述訓練樣本的特征向量選擇分裂屬性，依據分裂屬性對訓練集進行訓練生成決策樹；

將生成的多棵決策樹組成所述隨機森林分類器。

5.根據權利要求4所述的方法，其特征在于，所述決策樹為分類回歸樹CART決策樹；生成所述決策樹時，根據基尼指數選擇分裂點進行分裂。

6.根據權利要求3所述的方法，其特征在于，所述預設的評估指標，包括：準確率、檢出率、誤報率、受試者工作特征曲線ROC下面積AUC指標。

7.一種計算機可讀存儲介質，其特征在于，所述計算機可讀存儲介質存儲有一個或者多個程序，所述一個或者多個程序可被一個或者多個處理器執行，以實現如權利要求1至6中任一項所述的網頁后門檢測方法的步驟。

8.一種網頁后門檢測裝置，其特征在于，包括處理器及存儲器，其中：所述處理器用于執行存儲器中存儲的程序，以實現如權利要求1至6中任一項所述的網頁后門檢測方法的步驟。

9.一種網頁后門檢測裝置，其特征在于，包括獲取單元、提取單元和檢測單元，其中：

獲取單元，用于獲取網頁腳本文件，去除網頁腳本文件中的注釋信息；

提取單元，用于提取網頁腳本文件的特征向量，所述特征向量包括文件中的各字符串數組的數組元素拼接所得的字符串中最長字符串的長度及所述最長字符串的信息熵；

檢測單元，用于使用預先訓練好的隨機森林分類器模型對提取的特征向量進行檢測，以確定所述網頁腳本文件是否為Webshell文件。

10.根據權利要求9所述的裝置，其特征在于，所述提取單元提取的特征向量還包括以下至少之一：

所述文件的信息熵、所述字符串變量長度的均值、所述字符串變量長度的方差、所述文件長度、所述最大字符串變量長度、所述最大字符串的信息熵、所述文件中敏感函數的頻率、所述文件中匹配的特征代碼段個數。