[發明專利]一種webshell檢測方法和裝置

在審

• 申請號: 202010826497.8
• 申請日: 2020-08-17
• 公開（公告）號: CN112052451A
• 公開（公告）日: 2020-12-08
• 發明（設計）人: 崔彤彤
• 申請（專利權）人: 北京蘭云科技有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06K9/62
• 代理公司: 北京安信方達知識產權代理有限公司 11262
• 代理人: 解婷婷;栗若木

1.一種webshell檢測方法，其特征在于，所述方法包括：

獲取待檢測腳本文件，并提取所述待檢測腳本文件的文件特征；所述文件特征包括：腳本語義特征和加密混淆特征；

獲取預先訓練好的用于區分腳本是否惡意的腳本分類器；

將提取所述文件特征后的待檢測腳本文件輸入所述腳本分類器，并根據所述腳本分類器的輸出結果判斷所述待檢測腳本文件是正常網頁腳本或webshell惡意腳本；

其中，所述腳本分類器是以進行文件特征提取后的多個腳本文件作為訓練樣本集和測試樣本集，對創建的xgboost模型進行訓練獲得的。

2.根據權利要求1所述的webshell檢測方法，其特征在于，所述提取所述待檢測腳本文件的文件特征包括：

對所述待檢測腳本文件進行預處理，并采用預設的向量空間模型VSM對預處理后的待檢測腳本文件進行向量空間表示；

對預處理后的待檢測腳本文件和向量空間表示后的待檢測腳本文件提取文件特征。

3.根據權利要求2所述的webshell檢測方法，其特征在于，所述對所述待檢測腳本文件進行預處理包括：文本代碼切分和/或去除冗余信息；所述冗余信息包括：標點符號和/或非美國標準信息交換代碼ascii碼字符。

4.根據權利要求2所述的webshell檢測方法，其特征在于，所述采用預設的向量空間模型VSM對預處理后的待檢測腳本文件進行向量空間表示包括：

將對每個待檢測腳本文件預處理后得到的每一個元素作為該待檢測腳本文件對應的向量空間中的一維，將每個待檢測腳本文件表示成一個多維的特征向量，并使用預設的權重算法計算每個待檢測腳本文件中每個元素的權重。

5.根據權利要求4所述的webshell檢測方法，其特征在于，所述權重算法為詞頻-逆文檔頻率TF-IDF算法。

6.根據權利要求2所述的webshell檢測方法，其特征在于，所述對預處理后的待檢測腳本文件和向量空間表示后的待檢測腳本文件提取文件特征包括：

對預處理后的待檢測腳本文件提取所述加密混淆特征；其中，所述加密混淆特征包括以下任意一種或多種：最長字符串長度、信息熵以及壓縮比；以及，

對向量空間表示后的待檢測腳本文件提取所述腳本語義特征。

7.根據權利要求6所述的webshell檢測方法，其特征在于，所述對向量空間表示后的待檢測腳本文件提取所述腳本語義特征包括：

使用潛在語義分析算法對所述向量空間表示后的待檢測腳本文件挖掘腳本語義信息；

根據所述腳本語義信息和奇異值分解SVD算法將所述向量空間表示后的待檢測腳本文件的向量空間轉換為潛在語義索引LSI空間。

8.根據權利要求1所述的webshell檢測方法，其特征在于，所述獲取預先訓練好的用于區分腳本是否惡意的腳本分類器包括：

調取預先存儲的腳本分類器；或者，

直接基于多個腳本文件和xgboost模型創建所述腳本分類器。

9.根據權利要求8所述的webshell檢測方法，其特征在于，所述直接基于多個腳本文件和xgboost模型創建所述腳本分類器包括：

對作為樣本的多個腳本文件進行預處理，并采用預設的向量空間模型對預處理后的腳本文件進行向量空間表示；

對預處理后的腳本文件和向量空間表示后的腳本文件提取所述文件特征；

將進行文件特征提取后的腳本文件分為訓練樣本集和測試樣本集；

采用所述訓練樣本集對所述xgboost模型進行訓練，并采用所述測試樣本集對訓練好的xgboost模型進行測試，以獲取所述腳本分類器。

10.一種webshell檢測裝置，包括處理器和計算機可讀存儲介質，所述計算機可讀存儲介質中存儲有指令，其特征在于，當所述指令被所述處理器執行時，實現如權利要求1-9任意一項所述的webshell檢測方法。