[發(fā)明專(zhuān)利]網(wǎng)頁(yè)木馬監(jiān)測(cè)方法、裝置、設(shè)備及存儲(chǔ)介質(zhì)

有效

• 申請(qǐng)?zhí)枺?/td>: 201811469346.0
• 申請(qǐng)日: 2018-11-30
• 公開(kāi)（公告）號(hào): CN109347882B
• 公開(kāi)（公告）日: 2021-12-21
• 發(fā)明（設(shè)計(jì)）人: 占承輝;周欣
• 申請(qǐng)（專(zhuān)利權(quán)）人: 深信服科技股份有限公司
• 主分類(lèi)號(hào): H04L29/06
• 分類(lèi)號(hào): H04L29/06
• 代理公司: 深圳市世紀(jì)恒程知識(shí)產(chǎn)權(quán)代理事務(wù)所 44287
• 代理人: 胡海國(guó)

1.一種網(wǎng)頁(yè)木馬監(jiān)測(cè)方法，其特征在于，所述網(wǎng)頁(yè)木馬監(jiān)測(cè)方法包括以下步驟：

模擬瀏覽器訪問(wèn)監(jiān)測(cè)站點(diǎn)，以獲得所述監(jiān)測(cè)站點(diǎn)返回的響應(yīng)數(shù)據(jù)包；

對(duì)所述響應(yīng)數(shù)據(jù)包進(jìn)行解析，以提取所述響應(yīng)數(shù)據(jù)包中相關(guān)數(shù)據(jù)，所述相關(guān)數(shù)據(jù)包括：Domain數(shù)據(jù)、IP數(shù)據(jù)和URL數(shù)據(jù)；

利用多維度的靜態(tài)檢測(cè)和動(dòng)態(tài)啟發(fā)式檢測(cè)對(duì)所述響應(yīng)數(shù)據(jù)包、所述相關(guān)數(shù)據(jù)進(jìn)行多重檢測(cè)，以確定所述監(jiān)測(cè)站點(diǎn)是否存在網(wǎng)頁(yè)木馬；

所述對(duì) 所述響應(yīng)數(shù)據(jù)包、所述相關(guān)數(shù)據(jù)進(jìn)行多重檢測(cè)，以確定所述監(jiān)測(cè)站點(diǎn)是否存在網(wǎng)頁(yè)木馬包括：

分別對(duì)所述Domain數(shù)據(jù)、IP數(shù)據(jù)和URL數(shù)據(jù)進(jìn)行請(qǐng)求訪問(wèn)，以獲得所述請(qǐng)求訪問(wèn)對(duì)應(yīng)的響應(yīng)數(shù)據(jù)包；

對(duì)所述監(jiān)測(cè)站點(diǎn)返回的響應(yīng)數(shù)據(jù)包以及所述請(qǐng)求訪問(wèn)對(duì)應(yīng)的響應(yīng)數(shù)據(jù)包分別進(jìn)行靜態(tài)檢測(cè)，得到第一檢測(cè)結(jié)果；

判斷所述請(qǐng)求訪問(wèn)對(duì)應(yīng)的響應(yīng)數(shù)據(jù)包中是否存在下載的文件；

若存在，則對(duì)所述下載的文件分別進(jìn)行靜態(tài)檢測(cè)和動(dòng)態(tài)啟發(fā)式檢測(cè)，得到第二檢測(cè)結(jié)果；

若所述第一檢測(cè)結(jié)果和所述第二檢測(cè)結(jié)果為正常，則基于所述Domain數(shù)據(jù)、IP數(shù)據(jù)和URL數(shù)據(jù)，分別查詢(xún)數(shù)據(jù)庫(kù)以進(jìn)行地址信息匹配，其中，所述數(shù)據(jù)庫(kù)中存有網(wǎng)頁(yè)木馬所使用的API接口對(duì)應(yīng)的地址信息；

若所述數(shù)據(jù)庫(kù)中存在與所述Domain數(shù)據(jù)、IP數(shù)據(jù)和URL數(shù)據(jù)中任意一個(gè)或多個(gè)相匹配的地址信息，則確定所述監(jiān)測(cè)站點(diǎn)返回的響應(yīng)數(shù)據(jù)包中存在網(wǎng)頁(yè)木馬所使用的API接口；

若所述監(jiān)測(cè)站點(diǎn)返回的響應(yīng)數(shù)據(jù)包中存在網(wǎng)頁(yè)木馬所使用的API接口，則確定所述監(jiān)測(cè)站點(diǎn)存在網(wǎng)頁(yè)木馬。

2.如權(quán)利要求1所述的網(wǎng)頁(yè)木馬監(jiān)測(cè)方法，其特征在于，若所述第一檢測(cè)結(jié)果和/或所述第二檢測(cè)結(jié)果為存在異常，則確定所述監(jiān)測(cè)站點(diǎn)存在網(wǎng)頁(yè)木馬。

3.如權(quán)利要求1所述的網(wǎng)頁(yè)木馬監(jiān)測(cè)方法，其特征在于，所述基于所述響應(yīng)數(shù)據(jù)包、所述相關(guān)數(shù)據(jù)進(jìn)行多重檢測(cè)，以確定所述監(jiān)測(cè)站點(diǎn)是否存在網(wǎng)頁(yè)木馬還包括：

若所述第一檢測(cè)結(jié)果和所述第二檢測(cè)結(jié)果為正常，則通過(guò)預(yù)定義的詞法規(guī)則，分析所述監(jiān)測(cè)站點(diǎn)返回的響應(yīng)數(shù)據(jù)包中是否存在網(wǎng)頁(yè)木馬所使用的惡意代碼以及分析所述惡意代碼的家族類(lèi)型；

若存在，則確定所述監(jiān)測(cè)站點(diǎn)存在所述家族類(lèi)型的網(wǎng)頁(yè)木馬。

4.如權(quán)利要求1所述的網(wǎng)頁(yè)木馬監(jiān)測(cè)方法，其特征在于，所述網(wǎng)頁(yè)木馬監(jiān)測(cè)方法還包括：

當(dāng)確定所述監(jiān)測(cè)站點(diǎn)存在網(wǎng)頁(yè)木馬時(shí)，通過(guò)預(yù)置的通訊接口實(shí)時(shí)推送預(yù)警消息，其中，所述通訊接口包括：微信公眾號(hào)接口、郵件接口。

5.如權(quán)利要求1所述的網(wǎng)頁(yè)木馬監(jiān)測(cè)方法，其特征在于，所述網(wǎng)頁(yè)木馬監(jiān)測(cè)方法還包括：

若確定所述監(jiān)測(cè)站點(diǎn)不存在網(wǎng)頁(yè)木馬，則每隔預(yù)設(shè)時(shí)長(zhǎng)對(duì)監(jiān)測(cè)站點(diǎn)執(zhí)行網(wǎng)頁(yè)木馬監(jiān)測(cè)的任務(wù)。