[發明專利]獲取網頁木馬連接密碼的方法、裝置、電子設備、及存儲介質

有效

• 申請號: 201911094658.2
• 申請日: 2019-11-11
• 公開（公告）號: CN110868410B
• 公開（公告）日: 2022-05-10
• 發明（設計）人: 胡付博;周忠義;劉新鵬;張紅寶
• 申請（專利權）人: 恒安嘉新（北京）科技股份公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;G06K9/62;G06F16/955;G06F16/951
• 代理公司: 北京品源專利代理有限公司 11332
• 代理人: 孟金喆

1.一種獲取網頁木馬連接密碼的方法，其特征在于，包括：

檢測目標網站的服務器與客戶端之間的流量數據，判斷所述流量數據是否命中預定的網頁木馬檢測規則集中的網頁木馬檢測規則，所述網頁木馬檢測規則集中各網頁木馬檢測規則分別用于識別一種文件類型的網頁木馬；

如果命中則確定檢測到網頁木馬，抓取命中的PCAP包，根據所命中的網頁木馬檢測規則確定所述網頁木馬的文件類型，以及根據所述PCAP包的數據內容確定所述網頁木馬的所屬家族；

根據所述網頁木馬的文件類型和所屬家族確定所述網頁木馬的連接密碼的位置信息和編碼信息，根據所述PCAP包、所述位置信息和所述編碼信息獲取所述網頁木馬的連接密碼；

在檢測目標網站的服務器與客戶端之間的流量數據之前還包括：

獲取多種木馬家族的網頁木馬樣本集；

對所述網頁木馬樣本集根據文件類型進行聚類分析得到所述網頁木馬檢測規則集；

對各文件類型的網頁木馬樣本集分別根據所屬家族進行聚類分析得到文件類型、所屬家族、以及連接密碼的位置信息和編碼信息的關聯信息。

2.根據權利要求1所述的方法，其特征在于，所述方法還包括，在抓取命中的PCAP包之后，根據所述PCAP包的HOST字段的內容和URL字段的內容獲取所述網頁木馬的訪問地址。

3.根據權利要求2所述的方法，其特征在于，在獲取所述網頁木馬的連接密碼之后還包括：

根據所述訪問地址和所述連接密碼主動連接所述網頁木馬；

若返回結果表明網絡不可達，則確定所述網頁木馬被刪除或無權連接所述網頁木馬；

若返回結果表明所述服務器無法正常提供信息，或者所述服務器無法回應，則確定所述網頁木馬為誤報的網頁木馬。

4.根據權利要求1所述的方法，其特征在于，所述根據所述網頁木馬的文件類型和所屬家族確定所述網頁木馬的連接密碼的位置信息和編碼信息包括：

從所述關聯信息中查詢所述網頁木馬的文件類型和所屬家族對應的位置信息和編碼信息。

5.根據權利要求1所述的方法，其特征在于，判斷所述流量數據是否命中預定的網頁木馬檢測規則包括：

根據所述流量數據中各PCAP包的包頭內容是否包含預定語段判斷所述流量數據是否命中預定的網頁木馬檢測規則集中的網頁木馬檢測規則。

6.根據權利要求1所述的方法，其特征在于，所述檢測目標網站的服務器與客戶端之間的流量數據包括：

通過DPI設備檢測目標網站的服務器與客戶端之間的流量數據。

7.一種獲取網頁木馬連接密碼的裝置，其特征在于，包括：

規則匹配單元，用于檢測目標網站的服務器與客戶端之間的流量數據，判斷所述流量數據是否命中預定的網頁木馬檢測規則集中的網頁木馬檢測規則，所述網頁木馬檢測規則集中各網頁木馬檢測規則分別用于識別一種文件類型的網頁木馬；

所屬家族確定單元，用于如果命中則確定檢測到網頁木馬，抓取命中的PCAP包，根據所命中的網頁木馬檢測規則確定所述網頁木馬的文件類型，以及根據所述PCAP包的數據內容確定所述網頁木馬的所屬家族；

連接密碼獲取單元，用于根據所述網頁木馬的文件類型和所屬家族確定所述網頁木馬的連接密碼的位置信息和編碼信息，根據所述PCAP包、所述位置信息和所述編碼信息獲取所述網頁木馬的連接密碼；

所述裝置還包括預分析單元，所述預分析單元包括：

樣本集獲取子單元，用于在檢測目標網站的服務器與客戶端之間的流量數據之前，獲取多種木馬家族的網頁木馬樣本集；

規則集獲取子單元，用于對所述網頁木馬樣本集根據文件類型進行聚類分析得到所述網頁木馬檢測規則集；

關聯信息獲取子單元，用于對各文件類型的網頁木馬樣本集分別根據所屬家族進行聚類分析得到文件類型、所屬家族、以及連接密碼的位置信息和編碼信息的關聯信息。