[发明专利]一种Webshell检测方法及装置

说明书

本发明提供一种Webshell检测方法及装置，涉及信息安全技术领域，所述方法包括：获取待检测的PHP源文件；并编译处理，得到对应的opcode序列；将opcode序列中的opcode按照词频进行排序后，进行词向量转化，得到对应的输入特征矩阵；将所述输入特征矩阵输入检测模型，进行检测。所述装置用于执行上述方法。本发明实施例提供的方法及装置，通过提取PHP源文件中的opcode并进行编译处理后，对每个PHP源文件对应的opcode进行检测，从而判断对应的PHP源文件是否Webshell，即便是加密或者混淆的PHP源文件，都可以上述方法进行检测，提高了Webshell检测的泛化能力和准确性。

技术领域

本发明涉及信息安全技术领域，具体涉及一种Webshell检测方法及装置。

背景技术

webshell就是以asp、php、jsp或者cgi等网页文件形式存在的一种代码执行环境，主要用于网站管理、服务器管理、权限管理等操作。使用方法简单，只需上传一个代码文件，通过网址访问，便可进行很多日常操作，极大地方便了使用者对网站和服务器的管理，但是由于webshell具有隐蔽性，存在着将webshell文件代码修改后当作后门使用从而达到控制网站服务器的情况。

现有技术中针对PHP类型的webshell的检测方法，根据检测对象的不同，可以分为基于日志、基于流量和基于文件的三种检测方法。首先，基于日志的WebShell检测方法主要统计Web服务器中日志文件并进行分析，从而识别出WebShell的访问数据记录。但这种方法依赖的日志条目多，对大量日志的读取分析在一定程度上影响了Web服务器性能，检测速度较慢，并且检测出WebShell时攻击已经发生，一般只能用于对攻击进行溯源；其次，基于流量分析的WebShell检测方法主要通过检测攻击者与Web服务器之间的通信过程，分析网络协议的数据包的特征如数据包参数、上传文件类型、上传文件后缀等，判断是否为攻击者和WebShell通信的流量，但是对于做了流量加密和混淆的文件，该类检测方法难以提前发现。最后，基于统计特征的文件检测方法是通过字符、关键字或者函数进行匹配检测，对于未做混淆的WebShell检测的准确率高，但是缺乏泛化能力，对混淆后的WebShell无法准确检测，并且随着WebShell变种的种类越来越多，模型过大会导致程序臃肿，影响服务器性能，增加维护成本。

发明内容

针对现有技术中的问题，本发明实施例提供一种Webshell检测方法及装置，能够至少部分地解决现有技术中存在的问题。

一方面，本发明提出一种Webshell检测方法，包括：

获取待检测的PHP源文件；

将所述待检测的PHP源文件经过编译处理，得到所述待检测的PHP源文件对应的opcode序列；

将所述待检测的PHP源文件对应的opcode序列中的opcode按照词频进行排序后，进行词向量转化，得到所述待检测的PHP源文件对应的输入特征矩阵；

将所述待检测的PHP源文件对应的特征矩阵输入Webshell检测模型，输出Webshell检测结果；

其中，所述Webshell检测模型是基于PHP源文件样本训练后获得的，所述PHP源文件样本包括PHP源文件和对应的标签。

进一步的，将所述待检测的PHP源文件经过编译处理，得到所述待检测的PHP源文件对应的opcode序列，包括：

通过词法分析将所述待检测的PHP源文件分割为PHP片段；

对所述PHP片段进行语法分析，生成抽象语法树；

将所述抽象语法树静态解析为opcode，得到所述待检测的PHP源文件对应的opcode序列。