[发明专利]一种检测一句话木马的方法及系统

权利要求书

1.一种检测一句话木马的方法，其特征在于，包括：

获取网站入口处的入站流量，并与一句话木马客户端的请求流量特征匹配，若匹配失败则放行，若匹配成功则获取与入站流量相对应的响应流量；

将所述响应流量与一句话木马客户端的响应流量特征匹配，若匹配失败则放行，若匹配成功则获取入站流量所对应的web文件；

判断所述web文件是否满足预设条件中的一个或者两个以上，若满足则标记为疑似一句话木马，否则放行；

所述预设条件包括：所述web文件的代码长度小于等于预设阈值；或者，所述web文件中包含代码关键字；或者，所述web文件为独立的web文件。

2.如权利要求1所述的方法，其特征在于，所述一句话木马客户端的请求流量特征包括：通过80端口入站、HTTP 请求为POST、包含特征关键字。

3.如权利要求2所述的方法，其特征在于，所述特征关键字包括：

若请求的是php文件，检查payload中是否包含特征关键字：“eval”、“base64_decode”、“z0”；

若请求的是asp文件，检查payload中是否包含特征关键字：“eval”、“Execute”；

若请求的是aspx文件，检查payload中是否包含特征关键字：“eval”、“FromBase64String”。

4.如权利要求3所述的方法，其特征在于，所述一句话木马客户端的响应流量特征包括：“->|”和“|<-”。

5.如权利要求1-4任一所述的方法，其特征在于，所述代码关键字包括：

若所述web文件为php文件，则所述代码关键字包括：“@eval”和“$_POST”；

若所述web文件为asp文件，则所述代码关键字包括：“eval”和“request”；

若所述web文件为aspx文件，则所述代码关键字包括：“eval”、“Request.Item”和“unsafe”。

6.如权利要求5所述的方法，其特征在于，所述标记为疑似一句话木马之后还包括：终止疑似一句话木马文件与外界通讯，并利用预设策略进行进一步判定。

7.一种检测一句话木马的系统，其特征在于，包括：

请求流量特征匹配模块，用于获取网站入口处的入站流量，并与一句话木马客户端的请求流量特征匹配，若匹配失败则放行，若匹配成功则获取与入站流量相对应的响应流量；

响应流量特征匹配模块，用于将所述响应流量与一句话木马客户端的响应流量特征匹配，若匹配失败则放行，若匹配成功则获取入站流量所对应的web文件；

一句话木马判定模块，用于判断所述web文件是否满足预设条件中的一个或者两个以上，若满足则标记为疑似一句话木马，否则放行；

所述预设条件包括：所述web文件的代码长度小于等于预设阈值；或者，所述web文件中包含代码关键字；或者，所述web文件为独立的web文件。

8.如权利要求7所述的系统，其特征在于，所述一句话木马客户端的请求流量特征包括：通过80端口入站、HTTP 请求为POST、包含特征关键字。

9.如权利要求8所述的系统，其特征在于，所述特征关键字包括：

若请求的是php文件，检查payload中是否包含特征关键字：“eval”、“base64_decode”、“z0”；

若请求的是asp文件，检查payload中是否包含特征关键字：“eval”、“Execute”；

若请求的是aspx文件，检查payload中是否包含特征关键字：“eval”、“FromBase64String”。

10.如权利要求9所述的系统，其特征在于，所述一句话木马客户端的响应流量特征包括：“->|”和“|<-”。