[发明专利]一种网页木马检测方法及系统

权利要求书

1.一种网页木马检测方法，应用于网页木马检测环境中，其特征在于，模拟ActiveX控件，将同一个第三方软件的不同版本中存在的不同漏洞函数整合到所述模拟的ActiveX控件中，并将模拟的ActiveX控件的classid置为与不同版本的所述第三方软件的ActiveX控件的同一classid相同，将所述模拟的ActiveX控件安装在所述网页木马检测环境中；所述方法包括：

接收网页中运行的脚本通过所述classid向所述模拟的ActiveX控件发出的调用的漏洞函数的消息；

将所述模拟的ActiveX控件中的存在的对应的漏洞函数返回给所述网页中运行的脚本；

监控所述脚本的行为，以便确定所述网页中是否存在木马。

2.根据权利要求1所述的方法，其特征在于，所述接收网页中运行的脚本通过所述classid向所述模拟的ActiveX控件发出的调用漏洞函数的消息包括：

接收网页中运行的脚本通过所述classid向所述模拟的ActiveX控件发出的调用第三方软件的某版本中存在的漏洞函数的消息。

3.根据权利要求1所述的方法，其特征在于，所述接收网页中运行的脚本通过所述classid向所述模拟的ActiveX控件发出的调用漏洞函数的消息包括：

接收网页中运行的脚本通过所述classid向所述模拟的ActiveX控件发出的调用第三方软件的至少两个版本中存在的漏洞函数的消息。

4.根据权利要求1所述的方法，其特征在于，监控所述脚本的行为，以便确定所述网页中是否存在木马包括：

检测网页中运行的脚本是否主动下载木马文件并运行恶意命令；

如果是，则所述网页中存在木马。

5.根据权利要求4所述的方法，其特征在于，通过对已下载文件的统一资源定位符URL进行分析，判断所述URL是否包括可执行文件格式的后缀，来判定所述已下载文件是否为木马文件。

6.根据权利要求1至5任一项所述的方法，其特征在于，所述第三方软件为用于通过ActiveX控件对浏览器功能进行增强的软件。

7.一种网页木马检测系统，应用于网页木马检测环境中，其特征在于，模拟ActiveX控件，将同一个第三方软件的不同版本中存在的不同漏洞函数整合到所述模拟的ActiveX控件中，并将模拟的ActiveX控件的classid置为与不同版本的所述第三方软件的ActiveX控件的同一classid相同，将所述模拟的ActiveX控件安装在所述网页木马检测环境中；所述系统包括：

调用请求接收单元，用于接收网页中运行的脚本通过所述classid向所述模拟的ActiveX控件发出的调用的漏洞函数的消息；

函数返回单元，用于将所述模拟的ActiveX控件中的存在的对应的漏洞函数返回给所述网页中运行的脚本；

监控单元，用于监控所述脚本的行为，以便确定所述网页中是否存在木马。

8.根据权利要求7所述的系统，其特征在于，所述调用请求接收单元包括：

第一接收子单元，用于接收网页中运行的脚本通过所述classid向所述模拟的ActiveX控件发出的调用第三方软件的某版本中存在的漏洞函数的消息。

9.根据权利要求7所述的系统，其特征在于，所述调用请求接收单元包括：

第二接收子单元，用于接收网页中运行的脚本通过所述classid向所述模拟的ActiveX控件发出的调用第三方软件的至少两个版本中存在的漏洞函数的消息。

10.根据权利要求7所述的系统，其特征在于，所述监控单元包括：

检测子单元，用于检测网页中运行的脚本是否主动下载木马文件并运行恶意命令；

确定子单元，用于如果是，则所述网页中存在木马。

11.根据权利要求10所述的系统，其特征在于，所述检测子单元通过对已下载文件的统一资源定位符URL进行分析，判断所述URL是否包括可执行文件格式的后缀，来判定所述已下载文件是否为木马文件。

12.根据权利要求7至11任一项所述的系统，其特征在于，所述第三方软件为用于通过ActiveX控件对浏览器功能进行增强的软件。