[發明專利]一種WebShell檢測方法、裝置、設備及存儲介質

有效

• 申請號: 202010143249.3
• 申請日: 2020-03-04
• 公開（公告）號: CN111385295B
• 公開（公告）日: 2022-11-22
• 發明（設計）人: 岳巍;裴琦杰
• 申請（專利權）人: 深信服科技股份有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 深圳市深佳知識產權代理事務所(普通合伙) 44285
• 代理人: 王兆林

1.一種WebShell檢測方法，其特征在于，包括：

獲取網頁流量；

提取所述網頁流量中元素標簽內的關鍵字；

基于WebShell檢測標準對所述關鍵字進行分析得到檢測結果；

所述基于WebShell檢測標準對所述關鍵字進行分析得到檢測結果，包括：

統計所述關鍵字在WebShell網頁樣本中的第一占比，以及所述關鍵字在非WebShell網頁樣本中的第二占比；

判斷所述元素標簽是否為預設的、用于WebShell網頁編寫的特殊元素標簽；

如果所述元素標簽為預設的所述特殊元素標簽，則獲取所述特殊元素標簽對應的權重參數；

根據所述權重參數調整所述第一占比和/或所述第二占比；

根據所述第一占比以及所述第二占比生成檢測分值，根據檢測分值判定網頁流量是否為WebShell流量。

2.根據權利要求1所述的WebShell檢測方法，其特征在于，在所述基于WebShell檢測標準對所述關鍵字進行分析得到檢測結果之前，所述方法還包括：

獲取WebShell網頁樣本以及非WebShell網頁樣本；

所述根據檢測分值判定網頁流量是否為WebShell流量，包括：

判斷所述檢測分值是否達到檢測閾值；

如果所述檢測分值達到檢測閾值，則將所述網頁流量設置為WebShell流量；

如果所述檢測分值未達到所述檢測閾值，則停止WebShell檢測。

3.根據權利要求2所述的WebShell檢測方法，其特征在于，

如果所述元素標簽不為預設的所述特殊元素標簽，則執行所述根據所述第一占比以及所述第二占比生成檢測分值的步驟。

4.根據權利要求1至3任意一項所述的WebShell檢測方法，其特征在于，在所述基于WebShell檢測標準對所述關鍵字進行分析得到檢測結果之前，所述方法還包括：

在所述關鍵字中去除對所述檢測結果的準確性造成干擾的目標關鍵字。

5.根據權利要求4所述的WebShell檢測方法，其特征在于，所述在所述關鍵字中去除對所述檢測結果的準確性造成干擾的目標關鍵字，包括：

在所述關鍵字中去除字符長度大于第一長度標準的所述目標關鍵字，以及所述字符長度小于第二長度標準的所述目標關鍵字。

6.根據權利要求4所述的WebShell檢測方法，其特征在于，所述在所述關鍵字中去除對所述檢測結果的準確性造成干擾的目標關鍵字，包括：

在所述關鍵字中去除存在于目標網站的所述目標關鍵字。

7.一種WebShell檢測裝置，其特征在于，包括：

流量獲取模塊，用于獲取網頁流量；

標簽提取模塊，用于提取所述網頁流量中元素標簽內的關鍵字；

關鍵字檢測模塊，用于基于WebShell檢測標準對所述關鍵字進行分析得到檢測結果；

其中，所述關鍵字檢測模塊具體用于：統計所述關鍵字在WebShell網頁樣本中的第一占比，以及所述關鍵字在非WebShell網頁樣本中的第二占比；根據所述第一占比以及所述第二占比生成檢測分值，根據檢測分值判定網頁流量是否為WebShell流量；

其中，還包括：

特殊標簽判斷模塊，用于判斷所述元素標簽是否為預設的、用于WebShell網頁編寫的特殊元素標簽，如果是，則依次調用權重獲取模塊以及權重調整模塊；

權重獲取模塊，用于獲取所述特殊元素標簽對應的權重參數；

權重調整模塊，用于根據所述權重參數調整所述第一占比和/或所述第二占比，并執行所述根據所述第一占比以及所述第二占比生成檢測分值的步驟。

8.一種WebShell檢測設備，其特征在于，包括：

存儲器，用于存儲計算機程序；

處理器，用于執行所述計算機程序時實現如權利要求1至6任一項所述的WebShell檢測方法的步驟。

9.一種計算機可讀存儲介質，其特征在于，所述計算機可讀存儲介質上存儲有計算機程序，所述計算機程序被處理器執行時實現如權利要求1至6任一項所述的WebShell檢測方法的步驟。