[发明专利]基于HTTP流量分析的挂马网站检测方法

权利要求书

1.一种基于HTTP流量分析的挂马网站检测方法，其特征在于：所述的基于HTTP流量分析的挂马网站检测方法包括按顺序进行的下列步骤：

(1)在广域网或局域网中抓取用户HTTP请求的S1阶段：用户HTTP请求是从用户HTTP访问流量缓冲池中得到的；

(2)还原HTTP Header的S2阶段：在此阶段中从用户的HTTP请求信息中提取出HTTP协议数据包头信息中的HOST属性和Get请求的路径；

(3)对挂马URL进行匹配判断的S3阶段：在此阶段中将上述提取出的HOST属性和Get请求的路径与从挂马URL特征池中获得的已知或可疑挂马URL特征进行匹配判别，如果匹配进入S4阶段，否则返回到S1阶段，继续抓取下一个用户的HTTP请求；

(4)提取Referer域值的S4阶段：在此阶段中从HTTP协议数据包头信息中提取出Referer域值；

(5)输出挂马URL和HTTP访问行为完整路径的S5阶段：在此阶段中将输出可疑的挂马URL和相关联的HTTP访问行为完整路径，由此即可检测到相应的被挂马网站。

2.根据权利要求1所述的基于HTTP流量分析的挂马网站检测方法，其特征在于：在S3阶段中，所述的规则特征匹配判别方式如下：

(1)通过数据统计，选取一些具有较强适用性的文件名和路径；

(2)生成如下规则：

匹配文件名为“of.htm”的URL；

匹配路径名为“/wm/”的URL；

匹配路径名为“/xo/”，且文件名为“dk.htm”的URL；

(3)将规则加入原型系统规则库；

(4)分析原型系统监测结果，对结果进一步验证。