[发明专利]一种用于Web攻击发现的异常行为检测技术

权利要求书

1.一种用于Web攻击发现的异常行为检测技术，其特征主要包括以下步骤：步骤一：在JavaScript引擎中添加数据存储单元，用于保存字符串的堆栈切片;步骤二：根据JavaScript语言规范定义可以改变程序行为的动态函数；步骤三：修改动态函数源码，添加记录功能，当字符串使用危险函数时，记录这个字符串和对应的调用关系；步骤四：根据函数源码构建编译信息库，生成抽象语法树，识别异常行为；步骤五：构建有限状态自动机，自动化分类异常行为。

2.在据权利要求1所述的用于Web攻击发现的异常行为检测技术，在步骤一中保存字符串信息时，选取字符串的来源信息、字符串长度、有字符串参与的赋值过程、存储字符串的DOM节点、字符串的终点、外部URL链接、字符串编码、JavaScipt函数、JavaScript对象等。

3.在据权利要求1所述的用于Web攻击发现的异常行为检测技术，在步骤二中定义动态函数的依据包括：是否使用eval函数、是否使用alert函数、是否使用动态数组、是否使用XSS中规定的sink函数等。

4.在据权利要求1所述的用于Web攻击发现的异常行为检测技术，在步骤三中添加记录功能，选取控制流行为相关数据、数据流行为相关数据、函数调用关系。

5.在据权利要求1所述的用于Web攻击发现的异常行为检测技术，在步骤四中构建编译信息时，选取语义分析、语法分析、Ignition、Full-Codegen、Crankshaft、TurboFan等信息。

6.在据权利要求1所述的用于Web攻击发现的异常行为检测技术，在步骤五中自动分类时，选取的分类原则包括：源ip、源端口、目标ip、目标端口、协议类型、数据相关性、控制相关性。