[发明专利]基于文件来源快速检测WebShell的方法及装置

说明书

本发明提供了一种基于文件来源快速检测WebShell的方法及装置，包括：监听网页文件的变更行为，并获取变更网页文件的变更文件进程信息；将进程信息与预设进程黑白名单进行匹配，根据匹配结果确定被进程信息所对应的进程变更的网页文件是否为威胁文件；将剩余文件信息与预设WebShell特征规则进行匹配，确定剩余文件信息所对应的网页文件是否为WebShell文件。本发明的快速检测WebShell的方法中，先监听变更文件进程信息，进而通过进程信息与预设进程黑白名单匹配的方式来对网页文件进行过滤，大大缩减了需要进行WebShell文件检测的网页文件数量，加快了检测WebShell文件的速度。

技术领域

本发明涉及信息安全的技术领域，尤其是涉及一种基于文件来源快速检测WebShell的方法及装置。

背景技术

WebShell是以asp、php、jsp或者cgi等网页文件形式存在的一种命令执行环境，也可以将其称作为一种网页后门。黑客在入侵了一个网站后，通常会将这些asp或php后门文件与网站服务器Web目录下正常的网页文件混在一起，然后就可以使用浏览器来访问asp或者php后门，得到一个命令执行环境，以达到控制网站服务器的目的。

在对WebShell进行检测时，检测程序可以依次扫描网页文件，然后将网页文件的内容与WebShell的特征码、特征值、危险函数进行匹配，根据匹配结果达到检测WebShell的目的。但是，网页文件数量较多，且网页文件更新频繁，上述通过全文扫描来检测WebShell的方式中，需要扫描的文件范围太大，检测过程耗时长，效率低，若在WebShell上传后的短时间内无法发现，会造成严重危害。

综上，现有的检测WebShell的方法存在耗时长、效率低的问题。

发明内容

本发明的目的在于提供一种基于文件来源快速检测WebShell的方法及装置，以缓解现有的检测WebShell的方法耗时长、效率低的问题。

本发明提供的一种基于文件来源快速检测WebShell的方法，应用于检测终端，包括：

监听网页文件的变更行为，并获取变更所述网页文件的变更文件进程信息，其中，所述变更文件进程信息包括：文件信息和进程信息；

将所述进程信息与预设进程黑白名单进行匹配，根据匹配结果确定被所述进程信息所对应的进程变更的网页文件是否为威胁文件，其中，所述预设进程黑白名单为用户通过中心端配置的，所述中心端与所述检测终端通信连接；

将剩余文件信息与预设WebShell特征规则进行匹配，确定所述剩余文件信息所对应的网页文件是否为WebShell文件，其中，所述剩余文件信息为所述变更文件进程信息中，与所述预设进程黑白名单不匹配的进程信息所对应的文件信息，所述预设WebShell特征规则为用户通过中心端配置的。

进一步的，获取变更所述网页文件的变更文件进程信息包括：

通过钩子函数获取变更所述网页文件的变更文件进程信息。

进一步的，所述预设进程黑白名单包括：预设进程黑名单和预设进程白名单，将所述进程信息与预设进程黑白名单进行匹配包括：

如果所述进程信息与所述预设进程黑名单中的进程信息匹配，则确定被所述进程信息所对应的进程变更的网页文件为威胁文件；

如果所述进程信息与所述预设进程白名单中的进程信息匹配，则确定被所述进程信息所对应的进程变更的网页文件为安全文件。

进一步的，所述预设WebShell特征规则包括正则表达式。

进一步的，将剩余文件信息与预设WebShell特征规则进行匹配，确定所述剩余文件信息所对应的网页文件是否为WebShell文件包括：

将所述剩余文件信息与所述正则表达式进行匹配；