[发明专利]一种PHP威胁识别方法及装置

权利要求书

1.一种PHP威胁识别方法，其特征在于，包括：

获取待检测数据；

利用设定的词法分析器从所述待检测数据中提取出目标特征，并识别出对所述目标特征感兴趣的规则类型对应的第一标记；

利用所述目标特征匹配PHP威胁知识库，确定所述PHP威胁知识库中所述目标特征命中的对象的第二标记，所述PHP威胁知识库为对PHP威胁规则库中的规则进行转换得到的；

根据所述第一标记和所述第二标记，确认所述待检测数据是否存在PHP威胁。

2.根据权利要求1所述的方法，其特征在于，所述PHP威胁知识库为按照下述方法对PHP威胁规则库中的规则进行转换得到的：

从所述PHP威胁规则库中筛选出符合正则表达式的目标规则；

从所述目标规则中还原出风险函数；

将所述风险函数与所述PHP威胁规则库中用于表征规则的函数进行合并处理，生成风险函数库；

对所述PHP威胁规则库中除目标规则和所述用于表征规则的函数之外的规则和所述风险函数库进行分类处理；

将分类得到的各分类类型进行标记处理；

根据每个分类类型的标记，对该分类类型下的对象添加对应的标记，得到所述PHP威胁知识库。

3.根据权利要求2所述的方法，其特征在于，所述各分类类型包括存在具体的威胁值的第一分类和不存在威胁值的第二分类；

根据每个分类类型的标记，对该分类类型下的对象添加对应的标记，得到所述PHP威胁知识库，包括：

根据第一分类的标记，将属于存在具体的威胁值的第一分类中的规则类型添加对应的标记；

将所述第一分类中每个规则类型下的对象添加标记；

将添加了标记的对象按照ASCII码排序处理，得到排序后的对象；

根据第二分类的标记，将属于不存在威胁值的第二分类中的规则类型添加对应的标记；

将所述第二分类中每个规则类型下的对象添加标记；

根据所述排序后的对象和添加了标记的第二分类中的对象，生成所述PHP威胁知识库。

4.根据权利要求3所述的方法，其特征在于，根据所述第一标记和所述第二标记，确认所述待检测数据是否存在PHP威胁，包括：

若确定所述第一标记符合存在具体的威胁值的第一分类中规则类型的标记，则判断所述第二标记是否与预先配置的所述第一分类中的对象、命中该对象时词法分析器输出的第一目标标记、该对象对应所述PHP知识库的第二目标标记之间的对应关系相匹配；

若匹配，则确认所述待检测数据存在PHP威胁。

5.根据权利要求4所述的方法，其特征在于，

若确定所述第一标记符合不存在威胁值的第二分类中规则类型的标记，则确定所述目标特征属于PHP威胁特征；

判断所述第一标记与所述第二标记是否相同；

若相同，则确定所述待检测数据存在PHP威胁；

若不同，则确定所述待检测数据不存在PHP威胁。

6.根据权利要求1所述的方法，其特征在于，根据所述第一标记和所述第二标记，确认所述待检测数据是否存在PHP威胁，包括：

若所述第一标记与所述第二标记相同，则确定所述待检测数据存在PHP威胁；

若所述第一标记与所述第二标记不同，则确定所述待检测数据不存在PHP威胁。

7.一种PHP威胁识别装置，其特征在于，包括：

获取模块，用于获取待检测数据；

第一识别模块，用于利用设定的词法分析器从所述待检测数据中提取出目标特征，并识别出对所述目标特征感兴趣的规则类型对应的第一标记；

第二识别模块，用于利用所述目标特征匹配PHP威胁知识库，确定所述PHP威胁知识库中所述目标特征命中的对象的第二标记，所述PHP威胁知识库为对PHP威胁规则库中的规则进行转换得到的；

第三识别模块，用于根据所述第一标记和所述第二标记，确认所述待检测数据是否存在PHP威胁。