[发明专利]一种木马程序的检测方法、装置、设备及存储介质

权利要求书

1.一种木马程序的检测方法，其特征在于，应用于服务器，包括：

当检测到计算机进程时，获取所述计算机进程的上行流量和下行流量；

判断所述上行流量是否大于所述下行流量；

若是，则判定所述计算机进程中存在木马进程。

2.根据权利要求1所述的方法，其特征在于，在判断出所述上行流量大于所述下行流量之后，进一步包括：

累计第一预设时间内所述上行流量的第一总流量值和所述下行流量的第二总流量值；

计算所述第一总流量值和所述第二总流量值的比值，得到总流量比值；

判断所述总流量比值是否在第一阈值范围内；

若是，则进入所述判定所述计算机进程中存在木马进程的步骤。

3.根据权利要求2所述的方法，其特征在于，在判断出所述总流量比值在所述第一阈值范围内之后，进一步包括：

分别计算所述上行流量的第一流量均值和所述下行流量的第二流量均值；

根据所述第一流量均值和所述第二流量均值计算出上下行平均流量比值；

判断所述上下行平均流量比值是否在第二阈值范围内；

若是，则进入所述判定所述计算机进程中存在木马进程的步骤。

4.根据权利要求3所述的方法，其特征在于，在判断出所述总流量比值在所述第一阈值范围内之后，进一步包括：

计算在第二预设时间内，所述上行流量大于所述下行流量的时间占上下行流量有差异的时间的比值，得到时间比值；

判断所述时间比值是否在第三阈值范围内；

若是，则进入所述判定所述计算机进程中存在木马进程的步骤。

5.根据权利要求3所述的方法，其特征在于，所述第二阈值范围为0.5至5之间。

6.根据权利要求4所述的方法，其特征在于，所述第三阈值范围为0.5至0.6之间。

7.根据权利要求1至6任一项所述的方法，其特征在于，所述获取所述计算机进程的所述上行流量和所述下行流量的步骤具体包括：

利用WinPcap获取所述计算机进程的上行数据包和下行数据包；

过滤所述上行数据包和所述下行数据包中的协议包；

分别统计过滤后的所述上行数据包和所述下行数据包的流量，得到所述上行流量和所述下行流量。

8.一种木马程序的检测装置，其特征在于，应用于服务器，包括：

获取模块，用于当检测到计算机进程时，获取所述计算机进程的上行流量和下行流量；

判断模块，用于判断所述上行流量是否大于所述下行流量；

判定模块，用于若是，则判定所述计算机进程中存在木马进程。

9.一种木马程序的检测设备，其特征在于，包括：

存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序时实现如权利要求1至7任一项所述的木马程序的检测方法的步骤。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1至7任一项所述的木马程序的检测方法的步骤。