[发明专利]一种检测一句话木马的方法及系统

说明书

本发明公开了一种检测一句话木马的方法及系统，包括：获取网站入口处的入站流量，并与一句话木马客户端的请求流量特征匹配，若匹配失败则放行，若匹配成功则获取与入站流量相对应的响应流量；将所述响应流量与一句话木马客户端的响应流量特征匹配，若匹配失败则放行，若匹配成功则获取入站流量所对应的web文件；判断所述web文件是否满足预设条件中的一个或者两个以上，若满足则标记为疑似一句话木马，否则放行。本发明所述技术方案能够专项检测一句话木马，而且由于避免了传统大面积检测的弊端，进而提高了检测效率。

技术领域

本发明涉及web安全技术领域，尤其涉及一种检测一句话木马的方法及系统。

背景技术

黑客在攻击网站的过程中，会通过上传网页木马（webshell）来获得对网站的最终控制权，通过网页木马，攻击者可以执行系统命令、操作数据库、添加或删除文件等等。在网页木马中有一类特殊的木马，它们的代码通常只有一句，文件体积小，攻击过程中与专用的一句话客户端连接，使得攻击者可以获得与传统网页木马相同的攻击效果，这就是一句话木马。

目前信息安全行业检测网页木马的方法主要有三种：

静态检测：对脚本文件中出现的关键词和高危函数、文件的修改时间、文件权限、文件的所有者以及和其他文件的关联性等多个维度的特征进行检测。

动态检测：通过网页木马运行时使用的系统命令或网络流量及状态的异常来判断动作的威胁程度。比如可以检测敏感的操作系统命令和数据库执行指令等。

日志分析：使用网页木马会在网站的web日志中留下木马页面的访问数据和数据提交记录。通过大量的日志文件建立请求模型从而检测出异常文件。

上述检测方法存在各自的弊端，例如，当网站规模较大时，静态检测需要遍历大量的网页文件，耗时长效率低。动态检测的实施难度较大，如果网页木马未执行了监控范围外的操作则存在误报。日志分析同样存在效率和准确率的问题，当网站日志量很大时效率会受到影响，并且所建立的请求模型的准确性也很难保证。目前检测一句话木马也通常套用检测传统网页木马的方法，因此在检测一句话木马时上述问题依旧存在。

发明内容

针对上述技术问题，本发明所述的技术方案通过对请求流量和响应流量都进行针对一句话木马特征的匹配，进而定位产生相关流量的web文件，并针对所述web文件进行是否为疑似一句话木马的检测，不仅提高了检测一句话木马的准确性，而且避免了海量检测网站内所有文件的问题，从而使得检测效率与传统方法相比有非常明显的提高。

一方面，本发明采用如下方法来实现：一种检测一句话木马的方法，包括：

获取网站入口处的入站流量，并与一句话木马客户端的请求流量特征匹配，若匹配失败则放行，若匹配成功则获取与入站流量相对应的响应流量；

将所述响应流量与一句话木马客户端的响应流量特征匹配，若匹配失败则放行，若匹配成功则获取入站流量所对应的web文件；

判断所述web文件是否满足预设条件中的一个或者两个以上，若满足则标记为疑似一句话木马，否则放行；

所述预设条件包括：所述web文件的代码长度小于等于预设阈值；或者，所述web文件中包含代码关键字；或者，所述web文件为独立的web文件。

进一步地，所述一句话木马客户端的请求流量特征包括：通过80端口入站、HTTP请求为POST、包含特征关键字。

进一步地，所述特征关键字包括：

若请求的是php文件，检查payload中是否包含特征关键字：“eval”、“base64_decode”、“z0”；

若请求的是asp文件，检查payload中是否包含特征关键字：“eval”、“Execute”；