[发明专利]一种基于RASP的PHP变形webshell的检测方法及系统

说明书

本发明公布了一种基于RASP的PHP变形webshell的检测方法及系统，针对检测系统，通过部署RASP探针，检测出编程语言是PHP的变形webshell；包括：初步检测模块、上下文获取模块、已标记参数监测模块、判断模块、后期分析模块和事后溯源模块；利用本发明提供的技术方案，变形webshell会被初步检测模块和RASP阻断，大大减少webshell检测的漏报率和误报率；而且利用RASP进行跟踪和监控，可更好地理解漏洞成因，从而为漏洞打上补丁；通过合理部署探针，还可进行挖掘0day漏洞，防患于未然。此外，本发明性能损失非常小，可被广泛应用。

技术领域

本发明涉及信息安全领域，具体涉及一种基于RASP的PHP变形webshell检测方法及系统。

背景技术

近年来，webshell安全事件频频发生，对生产、生活活动造成了巨大的损失。目前webshell的检测方法主要分为两大类：静态检测和动态检测。由于webshell变形，静态检测的漏报率不断加大；相比较于静态检测，虽然动态检测效果较好，但是仍有很高的漏报率和误报率，另外动态检测造成的性能损失也比较大。

RASP(Runtime Application self-protection)是运行时应用自我保护。RSAP将自身注入到应用程序中，与应用程序融为一体，实时监测，而且获取到的payload已经是解码过的真实payload，结合上下文阻断攻击。这相比较于严重依赖特征的WAF，RASP可以大幅度减少误报率和漏报率，并且部署RASP时，应用程序无需在编码时进行任何的修改，只需进行简单的配置即可。

发明内容

本发明的目的是：提供一种基于RASP的PHP(Hypertext Preprocessor，超文本预处理器)变形webshell的检测方法及系统，通过部署RASP和初步检测模块，来减少webshell的误报率和漏报率。

RASP技术是通过在所检测的程序中部署探针，在程序运行过程中可以通过探针，进行基于上下文检测。本发明通过部署探针，可以检测到经过解码、真实的webshell,极大避免了由于webshell变形导致的漏报。

本发明提供的技术方案如下：

一种基于RASP的PHP变形webshell的检测方法，针对检测系统(如web服务器)，通过部署探针，检测出编程语言是PHP的变形webshell；包括如下步骤：

1)获取web服务器的全部目录中的代码文件，通过初步检测，对每个代码文件进行处理，得出初步检测数值，其中数值较大(例如，大于1.40)的代码文件，在之后的过程中予以重点关注。

其中，所述初步检测具体执行如下操作：

统计每个代码文件(即一段代码)中相邻两个空格之间的其他字符的数目，形成代表所检测的代码文件的空格分布情况的一组数据；再将该组数据与正常空格分布范围(本发明取(3，8))进行比较，计算偏离程度。

例如，对代码段：If(a0)else b＝c；通过统计空格间字符数来表示空格分布情况。

具体实施时，计算偏离程度的方法是经改进的标准差，将标准差原公式的平均数替换为上述的正常范围(3，8)，从而得出上述一组数据与该范围的空格符标准差σ，表示如式1：

其中，正常空格分布范围μ＝(3,8)；x_i-(3,8)的计算方法是：取x_i与该范围的最小距离；x_i表示计算标准差时要输入的数字，比如，要计算{1，2，3}的标准差，那么x_i就是该集合中的每个元素，i从1开始，x₁＝1,x₂＝2,x₃＝3；N为该组数据的个数；