[发明专利]服务器后门流量检测方法、装置、电子设备及存储介质

权利要求书

1.一种服务器后门流量检测方法，其特征在于，包括：

获取初始流量，并在所述初始流量中确定初始数据包；

若所述初始数据包具有目标属性，基于所述初始数据包中初始响应数据包的数据包体积确定待检测流量；

检测待检测流量中是否存在密钥字符串；

若存在所述密钥字符串，则基于所述密钥字符串确定目标流量；所述目标流量为所述待检测流量对应的后续网络行为所属的网络流量；

判断所述目标流量是否为目标格式；

若所述目标流量为所述目标格式，则确定所述待检测流量为服务器后门流量。

2.根据权利要求1所述的服务器后门流量检测方法，其特征在于，所述检测待检测流量中是否存在密钥字符串，包括：

获取所述待检测流量；

对所述待检测流量进行密钥检测，判断是否存在密钥字符串。

3.根据权利要求2所述的服务器后门流量检测方法，其特征在于，所述对所述待检测流量进行密钥检测，判断是否存在密钥字符串，包括：

从所述待检测流量中提取响应数据包，并提取所述响应数据包对应的差异字符串；

判断所述差异字符串的字符串长度是否为预设字符串长度；

若所述字符串长度为所述预设字符串长度，则确定所述差异字符串为所述密钥字符串，存在所述密钥字符串。

4.根据权利要求3所述的服务器后门流量检测方法，其特征在于，在判断所述差异字符串的字符串长度是否为预设字符串长度之前，还包括：

判断所述差异字符串是否包括非预设字符；

若包括所述非预设字符，则确定所述差异字符串不是所述密钥字符串；

若不包括所述非预设字符，则判断所述差异字符串的字符串长度是否为预设字符串长度。

5.根据权利要求2所述的服务器后门流量检测方法，其特征在于，还包括：

若所述初始数据包不具有所述目标属性，则确定所述初始流量为正常流量。

6.根据权利要求5所述的服务器后门流量检测方法，其特征在于，在确定所述初始数据包具有所述目标属性之后，所述基于所述初始数据包中初始响应数据包的数据包体积确定待检测流量包括：

判断所述初始数据包中初始响应数据包的数据包体积是否小于体积阈值；

若所述数据包体积小于所述体积阈值，则将所述初始流量确定为所述待检测流量；

若所述数据包体积不小于所述体积阈值，则确定所述初始流量为正常流量。

7.根据权利要求5所述的服务器后门流量检测方法，其特征在于，所述判断所述初始数据包是否具备目标属性，包括：

提取所述初始数据包对应的目标字段；

判断所述目标字段是否为预设字段；

若所述目标字段为所述预设字段，则确定所述初始数据包具备所述目标属性。

8.根据权利要求1至7任一项所述的服务器后门流量检测方法，其特征在于，在所述确定所述待检测流量为服务器后门流量之后，还包括：

提取所述目标流量的格式声明字段，并判断所述格式声明字段与所述目标格式是否匹配；

若所述格式声明字段与所述目标格式不匹配，则进行确认报警；

若所述格式声明字段与所述目标格式匹配，则进行高可疑报警。

9.一种服务器后门流量检测装置，其特征在于，包括：

获取模块，用于获取初始流量，并在所述初始流量中确定初始数据包；

初始确定模块，用于若所述初始数据包具有目标属性，基于所述初始数据包中初始响应数据包的数据包体积确定待检测流量；

检测模块，用于检测待检测流量中是否存在密钥字符串；

目标流量确定模块，用于若存在所述密钥字符串，则基于所述密钥字符串确定目标流量；所述目标流量为所述待检测流量对应的后续网络行为所属的网络流量；

格式判断模块，用于判断所述目标流量是否为目标格式；

确定模块，用于若所述目标流量为所述目标格式，则确定所述待检测流量为服务器后门流量。