[发明专利]Webshell文件检测方法及系统

权利要求书

1.一种Webshell文件检测方法，其特征在于，包括如下步骤：

步骤1：对文件进行预处理；

步骤2：利用预处理后的文件建立词袋模型，在词频基础上使用加权处理技术降低高频无意义词汇的干扰,形成数据集；

步骤3：用数据集对模型进行学习训练，得到训练后的模型，并利用训练后的模型来检测出Webshell文件。

2.根据权利要求1所述的Webshell文件检测方法，其特征在于，所述步骤1中，预处理包括分类、去重、转码及特征提取。

3.根据权利要求2所述的Webshell文件检测方法，其特征在于，所述分类具体为，通过判别文件的类型将数据样本分为JSP类型文件和PHP类型文件。

4.根据权利要求2所述的Webshell文件检测方法，其特征在于，所述去重具体为，通过MD5校验去除文件里的重复样本。

5.根据权利要求2所述的Webshell文件检测方法，其特征在于，所述转码具体为，根据文件的类型不同将JSP文件内容转为JAVA汇编码，PHP文件内容转为OPCODE码。

6.根据权利要求5所述的Webshell文件检测方法，其特征在于，JSP文件内容转为JAVA汇编码包括如下步骤：

步骤1.1：将JSP文件使用Tomcat作为容器，将JSP转换为Servlet类的.java文件；

步骤1.2：将Servlet类的.java文件编译相应为Servlet类的.class文件；

步骤1.3：使用JAVA命令将Servlet类的.class文件转化为JAVA汇编码进行特征提取。

7.根据权利要求2所述的Webshell文件检测方法，其特征在于，所述特征提取均使用TF-IDF算法。

8.根据权利要求7所述的Webshell文件检测方法，其特征在于，对于JSP类型的Webshell文件的特征提取为将JSP代码转换为最后的Java汇编码，使用TF-IDF算法提取相应的训练特征；

对于PHP类型的Webshell文件的特征提取为将PHP代码转换为中间层次的OPCODE码，使用TF-IDF算法提取相应的训练特征。

9.根据权利要求1所述的Webshell文件检测方法，其特征在于，所述步骤3中，模型采用XGBoost算法模型。

10.一种Webshell文件检测系统，其特征在于，包括如下模块；

预处理模块：对文件进行预处理；

数据集模块：利用预处理后的文件建立词袋模型，在词频基础上使用加权处理技术降低高频无意义词汇的干扰,形成数据集；

训练判断模块：用数据集对模型进行学习训练，得到训练后的模型，并利用训练后的模型来检测出Webshell文件。