[发明专利]一种识别vbs网页木马的方法和装置

说明书

技术领域

本发明涉及计算机领域，特别涉及一种识别vbs网页木马的方法和装置。

背景技术

网页木马就是加载在网页中的木马病毒。网页木马可能会破坏文件，盗取资料，给用户造成巨大损失，严重危害了网络安全。

当前网络中，大部分网页是基于javascript(可简写为js)或vbscript(可简写为vbs)脚本语言开发的。其中，针对js网页木马的检测技术已经非常成熟，而针对vbs网页木马，当前主要有两种检测方法：

第一种方法是预先获取木马病毒的vbs代码样本，把它当作一段普通字符串来处理，提取其中的字符串特征，来识别vbs网页木马；

第二种方法是开发一套vbs引擎，通过vbs引擎来解释执行vbs代码，通过分析代码的行为，来识别vbs网页木马。

综合上述，现有技术至少存在以下问题：

需要为vbs网页木马配置一套特征库，而js网页木马也配置有一套特征库，二者不能统一起来处理，开发和维护起来不仅繁琐，而且成本比较高。

发明内容

为了将vbs网页木马和js网页木马的识别统一起来，本发明实施例提供了一种识别vbs网页木马的方法和装置。所述技术方案如下：

一种识别vbs网页木马的方法，所述方法包括：

获取vbs代码的自定义函数和自定义对象；

获取所述vbs代码的词法标记；

根据所述vbs代码的自定义函数、自定义对象和词法标记，获取所述vbs代码的语句；

根据预设的映射关系和优先级顺序，将所述vbs代码的语句转换为js语句，包括：根据所述预设的映射关系和所述优先级顺序，若所述vbs代码的语句为Execute语句，将所述Execute语句转换为js语句中的eval语句，所述eval语句的第一个参数是所述Execute语句的参数；在所述eval语句中添加第二个参数，并将所述第二个参数设置为预先规定的转换标识，所述优先级顺序为：声明语句、赋值语句、循环语句、条件分支语句，自定义函数、自定义对象，内置的函数调用；

解析所述js语句，包括：若所述js语句是eval语句，且所述eval语句的第二个参数是预先规定的转换标识，读取所述eval语句的第一个参数；根据所述预设的映射关系，将所述第一个参数转换为另一js语句；解析所述另一js语句；

识别所述解析后的js语句的网页木马行为。

其中，所述获取所述vbs代码的词法标记包括：

采用词法分析工具lex或flex，获取所述vbs代码的词法标记。

其中，所述根据所述vbs代码的自定义函数、自定义对象和词法标记，获取所述vbs代码的语句包括：

根据所述vbs代码的自定义函数、自定义对象和词法标记，采用语法分析工具yacc或bison，获取所述vbs代码的语句。

一种识别vbs网页木马的装置，所述装置包括：

转换模块，用于根据预设的映射关系，将vbs代码转换为js语句；

所述转换模块包括：

自定义信息获取单元，用于获取所述vbs代码的自定义函数和自定义对象；

词法分析单元，用于获取所述vbs代码的词法标记；

语法分析单元，用于根据所述自定义信息获取单元获取的自定义函数和自定义对象，以及所述词法分析单元获取的所述vbs代码的词法标记，获取所述vbs代码的语句；

转换单元，用于根据所述预设的映射关系和优先级顺序，将所述语法分析单元获取的所述vbs代码的语句转换为js语句，包括：根据所述预设的映射关系和所述优先级顺序，若所述语法分析单元获取的所述vbs代码的语句为Execute语句，将所述Execute语句转换为js语句中的eval语句，所述eval语句的第一个参数是所述Execute语句的参数；在所述eval语句中添加第二个参数，并将所述第二个参数设置为预先规定的转换标识，所述优先级顺序为：声明语句、赋值语句、循环语句、条件分支语句，自定义函数、自定义对象，内置的函数调用；

解析模块，用于解析所述转换模块转换的js语句，包括：若所述解析模块解析的js语句是eval语句，且所述eval语句的第二个参数是预先规定的转换标识，读取所述eval语句的第一个参数；根据所述预设的映射关系，将所述第一个参数转换为另一js语句；解析所述另一js语句；

识别模块，用于识别所述解析模块解析后的js语句的网页木马行为。

其中，所述词法分析单元，具体用于

采用词法分析工具lex或flex，获取所述vbs代码的词法标记。