[發明專利]一種網頁后門檢測方法和裝置、計算機可讀存儲介質

在審

• 申請號: 201811418384.3
• 申請日: 2018-11-26
• 公開（公告）號: CN109657467A
• 公開（公告）日: 2019-04-19
• 發明（設計）人: 虎志強
• 申請（專利權）人: 北京蘭云科技有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06K9/62
• 代理公司: 北京安信方達知識產權代理有限公司 11262
• 代理人: 陶麗;李丹

本申請公開了一種網頁后門檢測方法和裝置、計算機可讀存儲介質，所述網頁后門檢測方法包括：獲取網頁腳本文件，去除網頁腳本文件中的注釋信息；提取網頁腳本文件的特征向量，所述特征向量包括文件中的各字符串數組的數組元素拼接所得的字符串中最長字符串的長度及所述最長字符串的信息熵；使用預先訓練好的隨機森林分類器模型對提取的特征向量進行檢測，以確定所述網頁腳本文件是否為網頁后門Webshell文件。本申請通過對文件進行特征向量提取，并通過隨機森林分類器模型對提取的特征向量進行檢測，能夠提高對Webshell腳本文件的檢測能力，提高Web服務器的安全性。

技術領域

本發明涉及網絡安全檢測技術領域，尤其涉及一種網頁后門檢測方法和 裝置、計算機可讀存儲介質。

背景技術

Webshell是以asp、php、jsp、aspx等網頁腳本文件形式存在的一種命令 執行環境，也叫做網頁后門。黑客可以利用Webshell來獲取服務器的訪問權 限，并借助服務器來執行任意的系統命令、對系統上的文件進行增刪改查、 植入惡意軟件或者進一步攻擊內網等操作。因此，為了維護網站(Web)服 務器的安全性，有必要對Webshell進行檢測。

現有的Webshell檢測技術，通常通過提取腳本文件中的特征代碼，通過 特征代碼匹配的方式進行檢測，這種檢測方法只能檢測已知威脅，對未知威 脅的檢測能力較差，如果黑客對Webshell腳本文件進行混淆、加密處理，將 很難進行有效的檢測。

發明內容

本發明實施例提供了一種網頁后門檢測方法和裝置、計算機可讀存儲介 質，能夠提高Webshell檢測的準確率。

本發明實施例的技術方案是這樣實現的：

本發明實施例提供了一種網頁后門檢測方法，包括：

獲取網頁腳本文件，去除網頁腳本文件中的注釋信息；

提取網頁腳本文件的特征向量，所述特征向量包括文件中的各字符串數 組的數組元素拼接所得的字符串中最長字符串的長度及所述最長字符串的信 息熵；

使用預先訓練好的隨機森林分類器模型對提取的特征向量進行檢測，以 確定所述網頁腳本文件是否為網頁后門Webshell文件。

在一實施例中，所述特征向量還包括以下至少之一：

所述文件的信息熵、所述字符串變量長度的均值、所述字符串變量長度 的方差、所述文件長度、所述最大字符串變量長度、所述最大字符串的信息 熵、所述文件中敏感函數的頻率、所述文件中匹配的特征代碼段個數。

在一實施例中，所述方法之前還包括：

獲取網頁腳本文件樣本，提取所述網頁腳本文件樣本中的特征向量，將 提取的特征向量劃分為原始訓練集和原始測試集；

使用所述原始訓練集和隨機森林算法訓練所述隨機森林分類器模型；

使用所述原始測試集對訓練好的所述分類器模型進行驗證，并根據預設 的評估指標，對所述隨機森林分類器模型進行參數調整。

在一實施例中，所述使用所述原始訓練集和隨機森林算法訓練所述隨機 森林分類器模型，包括：

從所述原始訓練集中進行k輪隨機有放回采樣，得到k個訓練集，每個 訓練集包括n個所述訓練樣本，k和n均為自然數；

對k個訓練集，根據訓練集中的訓練樣本以及所述訓練樣本的特征向量 選擇分裂屬性，依據分裂屬性對訓練集進行訓練生成決策樹；

將生成的多棵決策樹組成所述隨機森林分類器。

在一實施例中，所述決策樹為分類回歸樹CART決策樹；生成所述決策 樹時，根據基尼指數選擇分裂點進行分裂。