[发明专利]网络攻击信息的检测方法及装置

权利要求书

1.一种网络攻击信息的检测方法，其特征在于，包括：

对沙箱中的网页进行解码处理，得到所述网页的源代码；

对所述网页的源代码进行分析，得到所述网页的源代码的所有可执行代码路径；

根据所述所有可执行代码路径，执行每个可执行代码路径对应的所述网页的当前源代码，得到所述每个可执行代码路径的执行结果；

若得到的执行结果中存在异常，则确定所述网页存在网络攻击信息。

2.根据权利要求1所述的方法，其特征在于，对所述网页的源代码进行分析，得到所述网页的源代码的所有可执行代码路径，包括：

对所述网页的源代码中的Javascript进行编译，得到所述网页对应的二进制代码；

根据预设的划分规则，对所述二进制代码进行划分，得到所述网页的源代码的所有可执行代码路径。

3.根据权利要求1所述的方法，其特征在于，根据所述所有可执行代码路径，执行每个可执行代码路径对应的所述网页的当前源代码，得到每个可执行代码路径对应的执行结果，包括：

将每个可执行代码路径，分别放置在路径树中所对应的分支上；

根据当前分支上的可执行代码路径，在当前分支上执行所述网页的当前源代码过程中，若遇到call指令生成子进程，对所述子进程进行标记检测；

若检测出所述子进程为混淆程序，确定所述可执行代码路径对应的执行结果为异常。

4.根据权利要求1所述的方法，其特征在于，还包括：

在执行每个可执行代码路径对应的所述网页的当前源代码的过程中，监测所述沙箱的内存使用状态是否达到设定的阈值；

若监测到所述沙箱的内存使用量达到设定的阈值，确定所述网页存在网络攻击信息。

5.根据权利要求1-4任一所述的方法，其特征在于，还包括：确定所述网页存在网络攻击信息之后，还包括：

获取所述网页对应的网站的链接信息；

根据所述网站的链接信息，获取所述网页的数据。

6.一种网络攻击信息的检测装置，其特征在于，包括：

处理模块，用于对沙箱中的网页进行解码处理，得到所述网页的源代码；

分析模块，用于对所述网页的源代码进行分析，得到所述网页的源代码的所有可执行代码路径；

执行模块，用于根据所述所有可执行代码路径，执行每个可执行代码路径对应的所述网页的当前源代码，得到所述每个可执行代码路径的执行结果；

确定模块，用于若得到的执行结果中存在异常，则确定所述网页存在网络攻击信息。

7.根据权利要求6所述的装置，其特征在于，所述分析模块，具体用于：

对所述网页的源代码中的Javascript进行编译，得到所述网页对应的二进制代码；

根据预设的划分规则，对所述二进制代码进行划分，得到所述网页的源代码的所有可执行代码路径。

8.根据权利要求6所述的装置，其特征在于，所述执行模块，具体用于：

将每个可执行代码路径，分别放置在路径树中所对应的分支上；

根据当前分支上的可执行代码路径，在当前分支上执行所述网页的当前源代码过程中，若遇到call指令生成子进程，对所述子进程进行标记检测；

若检测出所述子进程为混淆程序，确定所述可执行代码路径对应的执行结果为异常。

9.根据权利要求6所述的装置，其特征在于，还包括：监测模块，用于在执行每个可执行代码路径对应的所述网页的当前源代码的过程中，监测所述沙箱的内存使用状态是否达到设定的阈值；

所述确定模块，还用于若监测到所述沙箱的内存使用量达到设定的阈值，确定所述网页存在网络攻击信息。

10.根据权利要求6-9所述的装置，其特征在于，还包括：

获取模块，用于获取所述网页对应的网站的链接信息，根据所述网站的链接信息，获取所述网页的数据。