[发明专利]WebShell检测方法及装置

说明书

本发明公开了一种WebShell检测方法，包括：检测服务器与客户端之间的流量数据，以判断所述流量数据中是否存在具有WebShell特征或WebShell行为特征的可疑数据，其中，若所述流量数据中存在具有WebShell特征的可疑数据，则确定所述流量数据中存在WebShell；若所述流量数据中存在具有WebShell行为特征的可疑数据，则分析该可疑数据所对应的WebShell行为特征，并根据分析结果，判断所述流量数据中是否存在WebShell。本发明还公开了一种WebShell检测装置。本发明基于流量检测与操作行为分析，从而实现对WebShell的检测以防止服务器被入侵，保证服务器上数据安全。

技术领域

本发明涉及信息安全技术领域，尤其涉及WebShell检测方法及装置。

背景技术

WebShell是网站被成功入侵后被安装的后门程序，从而可以方便入侵者控制被入侵的主机(或服务器)以盗取敏感数据或凭据或者作为攻击内网主机的跳板。WebShell常常被伪装成正常的网站程序，如果不能发现已经安装的WebShell，那么即使修复了网站的漏洞，入侵者仍然可以利用隐藏在网站程序中的WebShell来继续控制被入侵的主机。因此，检测发现已经安装的WebShell具有非常重要的意义。

目前现有技术主要通过如下几种方式来检测或防御WebShell：

1、直接对WebShell文件的源代码进行检测，但由于WebShell大多是用动态语言编写，非常容易进行变形或混淆，同时还有一些web服务器的接口，如CGI或Java Servlet可以运行编译后二进制程序，因而难以进行检测。

2、通过修改web服务器以及hook WebShell使用的关键API函数进行检测，但由于WebShell使用的多数API也会在正常的网站程序中使用，只收集到API调用的数据可能不足以分辨WebShell。

3、根据web服务器的访问日志进行检测

从web服务器记录的访问日志中发现WebShell，但由于访问日志一般只记录了URL、IP地址等少量信息，因而也不足以用来分辨WebShell，因此该方法一般是和其它方法结合使用。

发明内容

本发明的主要目的在于提供一种WebShell检测方法及装置，旨在通过新的WebShell检测方式以解决现有WebShell检测技术中的不足的技术问题。

为实现上述目的，本发明提供一种WebShell检测方法，所述WebShell检测方法包括：

检测服务器与客户端之间的流量数据，以判断所述流量数据中是否存在具有WebShell特征或WebShell行为特征的可疑数据，其中，若所述流量数据中存在具有WebShell特征的可疑数据，则确定所述流量数据中存在WebShell；

若所述流量数据中存在具有WebShell行为特征的可疑数据，则分析该可疑数据所对应的WebShell行为特征，并根据分析结果，判断所述流量数据中是否存在WebShell。

优选地，所述检测服务器与客户端之间的流量数据，以判断所述流量数据中是否存在具有WebShell特征或WebShell行为特征的可疑数据包括：

读取所述服务器与所述客户端之间的数据包并进行数据流重组，得到所述数据包重组后所对应的流量数据；

对所述流量数据进行解析，得到对应的解析数据，所述解析数据至少包括URL数据、表单数据、所述服务器反馈给所述客户端的数据中的一种或多种；

将所述解析数据与预置WebShell特征库中数据进行比对，并根据比对结果判断所述流量数据中是否存在具有WebShell特征或WebShell行为特征的可疑数据。