[發(fā)明專利]一種Webshell的骨架刻畫及檢測(cè)方法、裝置與設(shè)備

在審

• 申請(qǐng)?zhí)枺?/td>: 202210299498.0
• 申請(qǐng)日: 2022-03-25
• 公開（公告）號(hào): CN114422148A
• 公開（公告）日: 2022-04-29
• 發(fā)明（設(shè)計(jì)）人: 陳靖遠(yuǎn);李昌志;蔣倩;張嘉歡
• 申請(qǐng)（專利權(quán)）人: 北京長亭未來科技有限公司
• 主分類號(hào): H04L9/32
• 分類號(hào): H04L9/32;H04L67/02;G06F16/903;G06F40/253
• 代理公司: 深圳睿臻知識(shí)產(chǎn)權(quán)代理事務(wù)所(普通合伙) 44684
• 代理人: 張海燕

本發(fā)明實(shí)施例提供了一種Webshell的骨架刻畫及檢測(cè)方法、裝置與設(shè)備，通過對(duì)已知Webshell進(jìn)行詞法解析，并對(duì)其進(jìn)行合理泛化，刻畫出已知Webshell的骨架，據(jù)此構(gòu)建Webshell骨架數(shù)據(jù)庫；以相同的方式刻畫待檢測(cè)代碼的骨架，在已構(gòu)建的Webshell骨架數(shù)據(jù)庫中查詢是否存在匹配的骨架，從而判斷待檢測(cè)代碼是否為Webshell。本發(fā)明實(shí)施例使Webshell檢測(cè)高效且準(zhǔn)確，同時(shí)具有極強(qiáng)的適應(yīng)性和擴(kuò)展性，可以對(duì)多種語言編寫的代碼進(jìn)行檢測(cè)，且在真實(shí)的檢測(cè)環(huán)境能夠達(dá)到較為理想的檢測(cè)效果。

技術(shù)領(lǐng)域

本發(fā)明實(shí)施例涉及網(wǎng)絡(luò)安全技術(shù)領(lǐng)域，具體涉及一種Webshell的骨架刻畫及檢測(cè)方法、裝置與設(shè)備。

背景技術(shù)

現(xiàn)有的基于正則表達(dá)式的Webshell檢測(cè)方式，由于正則語言的泛化能力有限，容易被混淆的Webshell繞過，而且需要人為手動(dòng)的添加規(guī)則，規(guī)則的指定過程繁瑣易錯(cuò)。另一些基于機(jī)器學(xué)習(xí)和神經(jīng)網(wǎng)絡(luò)的Webshell檢測(cè)方式，可解釋性不足，不利于運(yùn)營，且需要長時(shí)間的訓(xùn)練過程，便利性不足。

發(fā)明內(nèi)容

為此，本發(fā)明實(shí)施例提供一種Webshell的骨架刻畫及檢測(cè)方法、裝置與設(shè)備，以解決如何提高Webshell檢測(cè)的擴(kuò)展性、便利性、強(qiáng)泛化能力和準(zhǔn)確性的技術(shù)問題。

為了實(shí)現(xiàn)上述目的，本發(fā)明實(shí)施例提供如下技術(shù)方案：

根據(jù)本發(fā)明實(shí)施例的第一方面，本申請(qǐng)實(shí)施例提供了一種Webshell的骨架刻畫及檢測(cè)方法，所述方法包括：

將已知的Webshell文件解析為第一Token序列；

將所述第一Token序列進(jìn)行骨架刻畫得到第二Token序列；

將所述第二Token序列進(jìn)行泛化得到第三Token序列；

根據(jù)所述第三Token序列簽名的第一摘要值，構(gòu)建Webshell骨架數(shù)據(jù)庫；

提取待檢測(cè)代碼的骨架并基于所述Webshell骨架數(shù)據(jù)庫判斷待檢測(cè)代碼是否為Webshell。

進(jìn)一步地，將已知的Webshell文件解析為對(duì)應(yīng)的第一Token序列，包括：

定義BaseToken結(jié)構(gòu)體，所述BaseToken結(jié)構(gòu)體包括：string類型的Name和Text、int類型的Type；

定義BaseToken類型的tokens數(shù)組，所述tokens數(shù)組用于保存解析完成的Token序列；

根據(jù)已知的Webshell文件，創(chuàng)建一個(gè)輸入字符流，將對(duì)應(yīng)的詞法分析器指定給該輸入字符流；

創(chuàng)建一個(gè)詞法符號(hào)流，并將所述詞法符號(hào)流指定給對(duì)應(yīng)的詞法分析器；

通過詞法分析器將字符流分解成若干詞法符號(hào)對(duì)象；

獲取詞法符號(hào)流中所有的Token到先前定義的tokens數(shù)組中，形成第一Token序列。

進(jìn)一步地，將所述第一Token序列進(jìn)行骨架刻畫得到第二Token序列，包括：

從所述第一Token序列中對(duì)Webshell意義無實(shí)質(zhì)性影響的第一Token進(jìn)行過濾；

抽取所述第一Token序列中的關(guān)鍵函數(shù)作為第一Webshell骨架關(guān)鍵節(jié)點(diǎn)；

從所述第一Token序列中抽取具有關(guān)鍵意義的符號(hào)作為第二Webshell骨架關(guān)鍵節(jié)點(diǎn)；

由過濾后的所述第一Token序列，利用所述第一Webshell骨架關(guān)鍵節(jié)點(diǎn)和第二Webshell骨架關(guān)鍵節(jié)點(diǎn)形成所述第二Token序列。

進(jìn)一步地，將所述第二Token序列進(jìn)行泛化得到第三Token序列，包括：

對(duì)未被抽取的非骨架節(jié)點(diǎn)的第二Token對(duì)應(yīng)泛化為IDENTIFIER、STRINGLITERAL、INTEGERLITERAL；

其中，所述第二Token包括：所述第二Token序列中的非骨架節(jié)點(diǎn)的變量、類名、函數(shù)、字符串、數(shù)字。