[發明專利]webshell檢測方法、裝置、介質和設備

在審

• 申請號: 202110263959.4
• 申請日: 2021-03-11
• 公開（公告）號: CN112688966A
• 公開（公告）日: 2021-04-20
• 發明（設計）人: 徐國愛;徐國勝;齊向東;紀勝龍;王少杰;王浩宇;柏楊
• 申請（專利權）人: 北京郵電大學;奇安信科技集團股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06F21/56
• 代理公司: 北京風雅頌專利代理有限公司 11403
• 代理人: 劉志永

1.一種webshell檢測方法，其特征在于，包括：

識別待檢測文件的動態特性，包括：對待檢測文件進行語法分析和詞法分析后，生成待檢測文件的抽象語法樹；其中，所述動態特性被定義為：待檢測文件中某段代碼的改變會導致或可能導致代碼功能的變化；

記錄所述抽象語法樹中具有動態特性的節點，通過木馬分析檢測各所述具有動態特性的節點是否存在污點變量；

響應于所述具有動態特性的節點存在污點變量時，確定所述待檢測文件存在風險；響應于所述具有動態特性的節點不存在污點變量時，確定所述待檢測文件安全。

2.根據權利要求1所述的webshell檢測方法，其特征在于，所述記錄所述抽象語法樹中具有動態特性的節點，通過木馬分析檢測各所述具有動態特性的節點是否存在污點變量，包括：

遍歷所述抽象語法樹上的每個節點，查找符合待檢測文件動態特性定義的函數調用或方法調用節點，至少記錄對應的行號、函數名和參數名中的一種具體信息；

根據得到的具體信息進行靜態污點分析，確定所述具體信息所屬的節點使用了污點變量。

3.根據權利要求1所述的webshell檢測方法，其特征在于，所述方法還包括：

根據所述抽象語法樹生成待檢測文件的控制流圖；

基于所述控制流圖的數據輸入源和所述具有動態特性的節點之間的路徑進行分析，當存在污點傳遞時，確定所述具有動態特性的節點存在風險。

4.根據權利要求1所述的webshell檢測方法，其特征在于，所述方法還包括：

判斷所述待檢測文件是否處于數據加密或混淆狀態；

響應于確定所述待檢測文件處于數據加密或混淆狀態，通過模擬程序對所述待檢測文件中的函數進行還原后，結合所述木馬分析檢測各所述具有動態特性的節點是否存在污點變量，以進行靜態分析。

5.根據權利要求1所述的webshell檢測方法，其特征在于，所述識別待檢測文件的動態特性之前，所述方法還包括：

對給定的文件進行預處理后，確定待掃描的待檢測文件并進行解析。

6.根據權利要求1所述的webshell檢測方法，其特征在于，所述方法還包括：

生成可擴展的webshell規則庫；

當出現webshell設計特征更新時，在所述可擴展的webshell規則庫中對更新的特征進行擴展。

7.根據權利要求1所述的webshell檢測方法，其特征在于，所述方法還包括：

建立白名單和白樣本庫機制，通過所述白名單和白樣本機制進行動態特征的過濾；

當存在不同的過濾函數時，對掃描機制進行定制，以將不同的過濾函數添加到污點追蹤的安全函數中。

8.一種webshell檢測裝置，其特征在于，包括：

識別模塊，用于識別待檢測文件的動態特性，包括：對待檢測文件進行語法分析和詞法分析后，生成待檢測文件的抽象語法樹；其中，所述動態特性指的是：待檢測文件中某段代碼的改變會導致或可能導致代碼功能的變化；

分析模塊，用于記錄所述抽象語法樹中具有動態特性的節點，通過木馬分析檢測各所述具有動態特性的節點是否存在污點變量；

判斷模塊，用于響應于所述具有動態特性的節點存在污點變量時，確定所述待檢測文件存在風險；響應于所述具有動態特性的節點不存在污點變量時，確定所述待檢測文件安全。

9.一種電子設備，包括存儲器、處理器及存儲在存儲器上并可在處理器上運行的計算機程序，其特征在于，所述處理器執行所述程序時實現如權利要求1至7任意一項所述的webshell檢測方法。

10.一種非暫態計算機可讀存儲介質，其特征在于，所述非暫態計算機可讀存儲介質存儲計算機指令，所述計算機指令用于使所述計算機執行權利要求1至7任意一所述的webshell檢測方法。