[发明专利]一种木马感染终端的网络定位方法

说明书

本发明公开一种木马感染终端的网络定位方法，先对网页木马进行静态检测，然后将可疑网页进行动态检测；跟踪网页木马执行过程，定位检测其Shellcode，可以有效地批量检测出网络中感染木马的终端主机，并进而实施单机深度木马检测，是一种非常简洁高效的木马检测综合解决方案。

技术领域

本发明属于木马检测技术领域，具体涉及一种木马感染终端的网络定位方法。

背景技术

木马，又称特洛伊木马，其本质是一段具有特定功能的程序代码，体积较小，伪装或者隐藏在合法的程序和进程当中，在后台收集用户的特定信息，并为控制者提供远程操控等功能。RFC1244安全手册中的定义为“特洛伊木马是这样一种程序，它提供了一些有用的功能，通常要做一些用户不希望的事情，注入在用户不知情的情况下拷贝文件或者窃取你的密码”。木马的基本原理是：典型木马通常采用C/S模式，分为客户端(控制端)和服务端(受控端)两个部分其工作原理是：黑客在自已主机上述安装客户端，然后利用多种传播手段使自已编译的木马植入他人的主机之中，木马成功植入主机后，第二步就是主机环境检测，测试当前主机环境是否可以使用自身已设定好的的方式启动(如DLL木马需伴随系统项启动)，若木马没有被查杀，则在系统触发木马启动条件后，木马自动启动，并进行自我隐藏。木马的第三步就是与网络另一边的服务端建立连接。连接方式有多种：第一种是正向连接，木马在主机后台随机打开一个端口，并进行端口监听，而服务端则在互联网的另一边进行广播，当木马监听到广播后，利用TCP/IP协议建立连接；第二种是反向连接，服务端只是打开端口进行监听，而木马会按照设定好的流程主动向控制端申请建立连接；第三种是间接通信，客户端主动通过打开端口进行监听，而木马会按照设定好的流程主动向控制端申请建立连接；通信，客户端主动通过80端口向特定的网站发送信息，留下被感染主机的IP地址、物理地址和通信端口等信息，而服务端定期访问该网站，当发现信息后，双方就利用网站进行间接的通信。双方建立连接后，分成两种情况：第一，对于结构简单，只具有窃取主机信息功能的木马来说，无需服务端的操作，主动搜寻特定的信息(各种账号)，并记录下所有操作者的键盘按键次序，定期发给服务端；第二，对于具有远程控制功能的木马，在双方建立连接后，由服务端先发起事件请求(如要求建立远程操作)，受控端响应请求，并执行指令，之后服务端就可以进控制被感染主机进行同步操作了。

随着计算机及通信技术的飞速发展，网络在带给人们便利的同时，也给病毒、木马的泛滥提供了温床，给政府、企业及个人都带来了很大的损失。其中，木马程序造成的危害更是非常巨大的，也是非常危险的恶意程序。它能使远程用户获得本地计算机的最高操作权限，使用户的电脑完全暴露在网络环境之中，成为别人操纵的对象。

因此在日常网络运行维护管理和定期的自检自查中加强对木马的监测与评估，防止木马窃取敏感信息，保护重要数据，已经成为当前信息网络安全监管或维护部门的重中之重。

发明内容

为了解决上述技术问题，本发明提供一种木马感染终端的网络定位方法。

本发明是通过以下技术方案实现的。

一种木马感染终端的网络定位方法，包括以下操作步骤：

(1)构建测试网页木马样例，对检测到样本，提取网页内容，剥离出具有特定特征的Java Script脚本，对其中某些网页木马所使用的关键函数利用反混淆技术进行处理，取出Java Script脚本中类似eval()的关键函数；

(2)对网页内容利用静态检测模块进行检测，解析特征码，将特征码与木马特征库进行匹配，如果在木马特征库中检测到特征码，说明测试页面含有木马；

(3)如若检测正常，对网页的内嵌链接进行爬虫，提取各个网页的信息，对检测混淆脚本代码进行混淆页面分析；