[发明专利]一种WEB后门攻击事件的确认方法

权利要求书

1.一种WEB后门攻击事件的确认方法，其特征在于，包括以下步骤：

（1）从网络安全防护设备获取告警日志，判断是否为WEB后门攻击事件告警，不是则丢弃；

（2）从WEB后门攻击的告警日志中，逐条取出各告警日志中记载的攻击时间、攻击者IP、攻击者端口号、被攻击IP、被攻击域名、攻击请求头和攻击响应头；

（3）根据攻击响应头提取攻击的目标域名或IP，对比预配置的服务器资产库获得被攻击目标的服务支持语言类型；

（4）根据攻击请求头提取攻击者试图请求的URI，判断攻击者在攻击活动中使用的编程语言类型，如果攻击者所使用的后门语言与被攻击目标的服务端的编程语言不一致，则丢弃该条告警日志；

（5）根据攻击响应头提取服务器返回的状态码，判断状态码是否为200，不是则丢弃；

（6）构造随机不存在文件名，就这个随机文件向被攻击的服务器发送请求，获取响应码；判断该状态码是否为200，是则丢弃；

（7）从攻击告警的请求中获取请求参数或POST参数，解析请求，判断是否尝试在执行WEB语言命令，不是则丢弃；

（8）确认WEB后门攻击事件成功，提取攻击事件的维度数据并写入mysql数据库，标记为成功的攻击事件返回给相应的网络安全防护设备。

2.根据权利要求1所述的方法，其特征在于，所述网络安全防护设备是指防火墙或IDS设备。

3.根据权利要求1所述的方法，其特征在于，在步骤（1）中，是根据日志的类型描述字段来判断告警日志的记载是否为WEB后门攻击事件。

4.根据权利要求1所述的方法，其特征在于，在步骤（3）中，如果对比时发现没有提前配置好的服务器资产库进行配置，则向用户发送进行配置的提醒。

5.根据权利要求4所述的方法，其特征在于，在步骤（3）中，在进行服务器资产库配置时，使用具有模板的表格文件导入资产库信息。

6.根据权利要求1所述的方法，其特征在于，在步骤（8）中，攻击事件的维度数据是指攻击者IP、攻击者端口、事件和攻击目标。