[發明專利]獲取網頁木馬連接密碼的方法、裝置、電子設備、及存儲介質

有效

• 申請號: 201911094658.2
• 申請日: 2019-11-11
• 公開（公告）號: CN110868410B
• 公開（公告）日: 2022-05-10
• 發明（設計）人: 胡付博;周忠義;劉新鵬;張紅寶
• 申請（專利權）人: 恒安嘉新（北京）科技股份公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;G06K9/62;G06F16/955;G06F16/951
• 代理公司: 北京品源專利代理有限公司 11332
• 代理人: 孟金喆

本公開實施例公開了一種獲取網頁木馬連接密碼的方法、裝置、電子設備、及存儲介質，方法包括：檢測目標網站的服務器與客戶端之間的流量數據，判斷所述流量數據是否命中預定的網頁木馬檢測規則集中的網頁木馬檢測規則；如果命中則確定檢測到網頁木馬，抓取命中的PCAP包，根據所命中的網頁木馬檢測規則確定所述網頁木馬的文件類型，以及根據所述PCAP包的數據內容確定所述網頁木馬的所屬家族；根據所述網頁木馬的文件類型和所屬家族確定所述網頁木馬的連接密碼的位置信息和編碼信息，根據所述PCAP包、所述位置信息和所述編碼信息獲取所述網頁木馬的連接密碼。本公開實施例的技術方案能夠提取網頁木馬的連接密碼。

技術領域

本公開實施例涉及網絡安全技術領域，具體涉及一種獲取網頁木馬連接密碼的方法、裝置、電子設備、及存儲介質。

背景技術

網頁木馬(Webshell)是黑客所使用的攻擊腳本，黑客控制服務器留下后門之后，常借助網頁木馬對服務器進行持續的訪問和升級，網頁木馬是以asp、php、jsp、cgi等網頁文件類型存在的一種命令執行環境，也可以稱為一種網頁后門。網頁木馬的功能不僅包括執行shell命令以及代碼，也包括查看數據庫等操作。部署成功后入侵者便可通過網站端口對WEB服務器獲得某種程度上操作的權限等。訪問網頁木馬時會在WEB服務器的日志中留下一些數據提交記錄。

DPI技術，即DPI(Deep Packet Inspection)深度包檢測技術是一種基于應用層的流量檢測和控制技術，當IP數據包、TCP或UDP數據流通過基于DPI技術的帶寬管理系統時，該系統通過深入讀取IP包載荷的內容來對OSI七層協議中的應用層信息進行重組，從而得到整個應用程序的內容，然后按照系統定義的管理策略對流量進行整形操作。

現有的網頁木馬檢測主要通過檢測服務器與客戶端之間的流量數據，以判斷所述流量數據中是否存在具有網頁木馬特征或網頁木馬行為特征的可疑數據，但并不能獲取網頁木馬的更進一步的詳細信息。

發明內容

有鑒于此，本公開實施例提供一種獲取網頁木馬連接密碼的方法、裝置、電子設備、及存儲介質，以獲取網頁木馬的連接密碼。

本公開實施例的其他特性和優點將通過下面的詳細描述變得顯然，或部分地通過本公開實施例的實踐而習得。

第一方面，本公開實施例提供了一種獲取網頁木馬連接密碼的方法，包括：

檢測目標網站的服務器與客戶端之間的流量數據，判斷所述流量數據是否命中預定的網頁木馬檢測規則集中的網頁木馬檢測規則，所述網頁木馬檢測規則集中各網頁木馬檢測規則分別用于識別一種文件類型的網頁木馬；

如果命中則確定檢測到網頁木馬，抓取命中的PCAP包，根據所命中的網頁木馬檢測規則確定所述網頁木馬的文件類型，以及根據所述PCAP包的數據內容確定所述網頁木馬的所屬家族；

根據所述網頁木馬的文件類型和所屬家族確定所述網頁木馬的連接密碼的位置信息和編碼信息，根據所述PCAP包、所述位置信息和所述編碼信息獲取所述網頁木馬的連接密碼。

于一實施例中，所述方法還包括，在抓取命中的PCAP包之后，根據所述PCAP包的HOST字段的內容和URL字段的內容獲取所述網頁木馬的訪問地址。

于一實施例中，在獲取所述網頁木馬的連接密碼之后還包括：

根據所述訪問地址和所述連接密碼主動連接所述網頁木馬；

若返回結果表明網絡不可達，則確定所述網頁木馬被刪除或無權連接所述網頁木馬；

若返回結果表明所述服務器無法正常提供信息，或者所述服務器無法回應，則確定所述網頁木馬為誤報的網頁木馬。

于一實施例中，在檢測目標網站的服務器與客戶端之間的流量數據之前還包括：

獲取多種木馬家族的網頁木馬樣本集；