[發(fā)明專利]一種基于水印的網(wǎng)站木馬、博彩頁面的識別方法及系統(tǒng)

在審

• 申請?zhí)枺?/td>: 202010260292.8
• 申請日: 2020-04-03
• 公開（公告）號: CN111478899A
• 公開（公告）日: 2020-07-31
• 發(fā)明（設計）人: 王知明;樹華偉
• 申請（專利權）人: 大漢軟件股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 江蘇法德東恒律師事務所 32305
• 代理人: 劉林

1.一種基于水印的網(wǎng)站木馬、博彩頁面的識別方法，其特征在于，包括以下步驟：

掃描網(wǎng)頁，收集潛在木馬、博彩網(wǎng)站頁面的網(wǎng)址并且對于潛在木馬、博彩網(wǎng)站頁面進行分析，初始化SQLite數(shù)據(jù)庫；

獲取待掃描的文件路徑，根據(jù)文件路徑和預先定義的反木馬、博彩數(shù)據(jù)庫，調整潛在木馬、博彩網(wǎng)站頁面在靜態(tài)抓取隊列中的排序，按照排序對靜態(tài)抓取隊列中的潛在木馬、博彩網(wǎng)站頁面進行靜態(tài)抓取；

判斷路徑對應的是否為目錄，若是則添加到待檢查路徑中繼續(xù)掃描，否則判斷文件類型，針對不同文件類型，存放在不同的數(shù)據(jù)集合；

啟動異常文件分析線程，從上面集合里獲取文件路徑并獲取文件內容開始解析，將靜態(tài)抓取失敗的潛在木馬、博彩網(wǎng)站頁面提交至動態(tài)抓取隊列并進行動態(tài)抓取；

判斷文件是否在黑白名單，若是白名單則作為安全文件跳過，若是黑名單則作為可疑文件暫存存放在不同的數(shù)據(jù)集合，待所有文件檢查完后，將可疑文件和安全文件按類型區(qū)分保存在SQLite數(shù)據(jù)庫表中；

定時啟動上報線程，向云終端上傳文件的掃描情況，包括檢查文件數(shù)量和異常文件信息，基于預先定義的反木馬、博彩數(shù)據(jù)庫，根據(jù)靜態(tài)抓取和動態(tài)抓取獲得的數(shù)據(jù)識別木馬、博彩網(wǎng)站頁面。

2.如權利要求1所述的一種基于水印的網(wǎng)站木馬、博彩頁面的識別方法，其特征在于，獲取待檢查的路徑，存放在數(shù)據(jù)集合中并開始遍歷，獲取文件內容開始解析中的文件取自數(shù)據(jù)集合里的文件和實時監(jiān)控新增修改的文件。

3.如權利要求1所述的一種基于水印的網(wǎng)站木馬、博彩頁面的識別方法，其特征在于，讀取文件內容開始解析后得到文件大小和最后修改時間后判斷文件是否掃描過，若是則跳過掃描下一個文件，否則將根據(jù)文件路徑、大小和修改時間生成HASH值，作為標記已掃描過并繼續(xù)下一步。

4.如權利要求1所述的一種基于水印的網(wǎng)站木馬、博彩頁面的識別方法，其特征在于，暫存可疑數(shù)據(jù)集合中的黑名單文件需要進一步處理，如果不是黑白名單中的文件，則開始對比特征碼，計算命中率，如果命中率大于1，則標記為可疑文件并暫存可疑數(shù)據(jù)集合中，否則作為安全文件暫存白名單數(shù)據(jù)集合中。

5.如權利要求1所述的一種基于水印的網(wǎng)站木馬、博彩頁面的識別方法，其特征在于，預先定義的反木馬、博彩數(shù)據(jù)庫包括木馬、博彩網(wǎng)站頁面的特征信息以及用于確定是否動態(tài)抓取潛在木馬、博彩網(wǎng)站頁面的分類信息，木馬、博彩網(wǎng)站頁面的特征信息包括IP數(shù)據(jù)、域名、注冊信息、內嵌鏈接、META標簽信息、標題信息、關鍵詞、文檔對象模型DOM結構。

6.如權利要求1所述的一種基于水印的網(wǎng)站木馬、博彩頁面的識別方法，其特征在于，收集潛在木馬、博彩網(wǎng)站頁面的網(wǎng)址并且對于潛在木馬、博彩網(wǎng)站頁面進行分析，根據(jù)分析結果和預先定義的反木馬、博彩數(shù)據(jù)庫，將符合預先定義的反木馬、博彩數(shù)據(jù)庫中的分類信息的潛在木馬、博彩網(wǎng)站頁面提交至動態(tài)抓取隊列，根據(jù)分析結果和預先定義的反木馬、博彩數(shù)據(jù)庫調整潛在木馬、博彩網(wǎng)站頁面在靜態(tài)抓取隊列中的排序。

7.如權利要求1所述的一種基于水印的網(wǎng)站木馬、博彩頁面的識別方法，其特征在于，根據(jù)分析結果和預先定義的反木馬、博彩數(shù)據(jù)庫調整潛在木馬、博彩網(wǎng)站頁面在靜態(tài)抓取隊列中的排序，包括：

將具有以下特征的潛在木馬、博彩網(wǎng)站頁面在靜態(tài)抓取隊列中的排序提前：

在預先定義的時間點后收集到其信息的潛在木馬、博彩網(wǎng)站頁面；

頁面瀏覽量PV數(shù)據(jù)和/或獨立訪客量UV數(shù)據(jù)大于預先定義的第一閾值的潛在木馬、博彩網(wǎng)站頁面；

與預先定義的反木馬、博彩數(shù)據(jù)庫中的木馬、博彩網(wǎng)站頁面的特征信息匹配程度大于預先定義的第二閾值的潛在木馬、博彩網(wǎng)站頁面。