[发明专利]一种Webshell的检测方法及装置

说明书

本申请及计算机领域，公开了一种Webshell的检测方法及装置，用以提高检测精确度。该方法为：基于系统访问日志表征的各个页面的访问关系建立图模型，筛选出与其他页面之间不存在访问链接的第一类可疑页面集合，以及筛选出被源IP访问的状态不符合预设的访问条件的第二类可疑页面，再基于第一类可疑页面集合和第二类可疑页面集合的交集中包含的所有页面，进行Webshell告警。这样，可以将各个页面的访问状态通过图模型进行精准绘制，令可疑页面的特征在图模型中被更为直观地展现出来，从而能够精准地筛选出Webshell所在的页面，这不但提高了Webshell的检测精确度，同时也降低了漏报率和误报率。

技术领域

本申请涉及计算机领域，特别涉及一种Webshell的检测方法及装置。

背景技术

Webshell俗称网页后门，就是以动态服务器页面(Active Server Page,asp)、超文本预处理器(Hypertext Preprocessor，php)、Java服务器页面(Java Server Pages，JSP)或者通用网关接口(Common Gateway Interface，CGI)等网页文件形式存在的一种命令执行环境。

黑客在入侵了一个网站后，通过上传一个对服务器具有某种操作权限的Webshell程序，比如：执行系统命令、删除web页面、修改主页等操作。而这个Webshell程序一般是和asp、php、jsp等正常的页面程序混在一起的，网站管理人员一般很难发现，黑客从而利用这一特性进行长期操控网站及服务器。

目前，对Webshell的检测通常采用静态Webshell检测和动态Webshell检测两种方法：

1、所谓静态Webshell检测，主要是对文件内容进行检测，检测是否包含Webshell特征，如，匹配webshell常用函数等等。

然而，针对静态检测手段，黑客很容易采用以下方法绕过：如代码加密、代码混淆等等，因而静态代码检测规则很难发现各种千奇百怪的Webshell代码，并且静态代码检测手段完全依赖于人工规则、没有主动识别、自主学习性。因此静态检测手段会带造成大量的漏报和误报。

2、所谓动态Webshell检测，即是利用沙箱技术，将可疑文件放在沙箱中执行，根据可疑文件在沙箱中的运行特征来检测。此方案相对于静态代码检测手段可以绕过代码加密，但是，大多数Webshell操作都是通过传递参数来触发的，因而，如果可疑文件在沙箱中没有传递正常的参数，是不能触发相应的Webshell操作，因此沙箱也无法捕获相应特征，从而导致大量漏报。

发明内容

本申请实施例提供一种Webshell的检测方法及装置。用以提高Webshell检测方案的检测精确度。

本申请实施例提供的具体技术方案如下：

一种Webshell的检测方法，包括：

基于系统访问日志，提取出每一个页面的访问路径和referer(即来源页面信息)，以及提取出所有源IP，其中，一个页面的referer表征访问所述一个页面之前访问的上一个页面的访问路径；

基于各个页面的访问路径以及referer，筛选出与其他页面之间不存在访问链接的第一类可疑页面，获得第一类可疑页面集合；

基于各个页面的访问路径以及所有源IP，筛选出被源IP访问的状态不符合预设的访问条件的第二类可疑页面，获得第二类可疑页面集合；

将第一类可疑页面集合和第二类可疑页面集合的交集中包含的所有页面，确定为包含Webshell的页面。

可选的，基于系统访问日志，提取出每一个页面的访问路径和referer，包括：

获得系统访问日志中记录的各个页面；