[发明专利]一种Webshell检测方法及装置

权利要求书

1.一种Webshell检测方法，其特征在于，所述方法包括：

获取待检测的PHP源文件；

将所述待检测的PHP源文件经过编译处理，得到所述待检测的PHP源文件对应的opcode序列；

将所述待检测的PHP源文件对应的opcode序列中的opcode按照词频进行排序后，进行词向量转化，得到所述待检测的PHP源文件对应的输入特征矩阵；

将所述待检测的PHP源文件对应的输入特征矩阵输入Webshell检测模型，输出Webshell检测结果；

其中，所述Webshell检测模型是基于PHP源文件样本训练后获得的，所述PHP源文件样本包括PHP源文件和对应的标签。

2.根据权利要求1所述的Webshell检测方法，其特征在于，将所述待检测的PHP源文件经过编译处理，得到所述待检测的PHP源文件对应的opcode序列，包括：

通过词法分析将所述待检测的PHP源文件分割为PHP片段；

对所述PHP片段进行语法分析，生成抽象语法树；

将所述抽象语法树静态解析为opcode，得到所述待检测的PHP源文件对应的opcode序列。

3.根据权利要求1所述的Webshell检测方法，其特征在于，将所述待检测的PHP源文件对应的opcode序列中的opcode按照词频进行排序后，进行词向量转化，得到所述待检测的PHP源文件对应的输入特征矩阵包括：

将所述待检测的PHP源文件对应的opcode序列中的opcode按照词频进行排序后，进行词向量转化，得到所述待检测的PHP源文件对应的二维特征矩阵；

将所述二维特征矩阵的所有行排列成一行，得到所述待检测的PHP源文件对应的输入特征矩阵。

4.根据权利要求1所述的Webshell检测方法，其特征在于，基于PHP源文件样本训练获得所述Webshell检测模型的步骤包括：

对所述PHP源文件样本中的所述PHP源文件进行预处理，得到训练样本；

基于预处理后的所述PHP源文件样本对原始模型进行训练，获得所述Webshell检测模型。

5.根据权利要求4所述的Webshell检测方法，其特征在于，对所述PHP源文件样本中的所述PHP源文件进行预处理包括：

将所述PHP源文件经过编译处理，得到所述PHP源文件对应的opcode序列；

将所述PHP源文件对应的opcode序列中的opcode按照词频进行排序后，进行词向量转化，得到所述PHP源文件对应的输入特征矩阵。

6.根据权利要求5所述的Webshell检测方法，其特征在于，将所述PHP源文件经过编译处理，得到所述PHP源文件对应的opcode序列，包括：

通过词法分析将所述PHP源文件分割为PHP片段；

对所述PHP片段进行语法分析，生成抽象语法树；

将所述抽象语法树静态解析为opcode，得到所述PHP源文件对应的opcode序列。

7.根据权利要求5所述的Webshell检测方法，其特征在于，将所述PHP源文件对应的opcode序列中的opcode按照词频进行排序后，进行词向量转化，得到所述PHP源文件对应的输入特征矩阵包括：

将所述PHP源文件对应的opcode序列中的opcode按照词频进行排序后，进行词向量转化，得到所述PHP源文件对应的二维特征矩阵；

将所述二维特征矩阵的所有行排列成一行，得到所述PHP源文件对应的输入特征矩阵。