[发明专利]挂马检测方法、装置及设备

权利要求书

1.一种挂马检测方法，其特征在于，包括：

响应于接收到挂马检测请求，获取当前时刻下的待测系统所接收到的访问请求和第一请求响应，其中，所述第一请求响应为所述当前时刻下的待测系统基于所述访问请求所输出的响应数据；

对所述访问请求进行流量镜像处理，得到所述访问请求对应的镜像请求；

将所述镜像请求输入至初始系统，得到所述初始系统基于所述镜像请求所输出的第二请求响应；其中，所述初始系统为对初始时刻时的待测系统进行镜像处理所得到的系统；

根据所述第一请求响应和所述第二请求响应，确定所述当前时刻下的待测系统的检测结果，所述检测结果用于表征所述当前时刻下的待测系统是否存在挂马。

2.根据权利要求1所述的方法，其特征在于，根据所述第一请求响应和所述第二请求响应，确定所述当前时刻下的待测系统的检测结果，包括：

根据所述第一请求响应和预设模型，对所述第一请求响应进行异常检测，确定第一异常结果；所述预设模型用于进行异常数据检测；所述第一异常结果用于指示所述第一请求响应中的异常数据；

根据所述第二请求响应和所述预设模型，对所述第二请求响应进行异常检测，确定第二异常结果；所述第二异常结果用于指示所述第二请求响应中的异常数据；

根据所述第一异常结果和所述第二异常结果，确定所述当前时刻下的待测系统的检测结果。

3.根据权利要求2所述的方法，其特征在于，根据所述第一异常结果和所述第二异常结果，确定所述当前时刻下的待测系统的检测结果，包括：

若确定所述第二异常结果所指示的异常数据的数量大于所述第一异常结果所指示的异常数据的数量存在不同，则确定所述当前时刻下的待测系统存在挂马。

4.根据权利要求2所述的方法，其特征在于，根据所述第一请求响应和预设模型，对所述第一请求响应进行异常检测，确定第一异常结果，包括：

根据预设的标签字段，对所述第一请求响应进行特征提取处理，得到第一提取信息；

将所述第一提取信息输入至所述预设模型，确定所述第一异常结果。

5.根据权利要求4所述的方法，其特征在于，将所述第一提取信息输入至所述预设模型，确定所述第一异常结果，包括：

将所述第一提取信息输入至所述预设模型，得到所述预设模型输出的预测结果，其中，所述预测结果用于指示所述第一提取信息中所包含的数据的异常分数值，所述异常分数值用于指示所述数据为异常数据的概率；

若确定所述第一提取信息中的数据的异常分数值大于预设值，则确定所述数据为异常数据；并确定所述异常数据为所述第一异常结果。

6.根据权利要求2所述的方法，其特征在于，所述预设模型为孤立森林模型。

7.根据权利要求1所述的方法，其特征在于，所述方法还包括：

若确定所述检测结果用于表征所述当前时刻下的待测系统存在挂马，则发出警告信息，所述警告信息用于提示用户对所述当前时刻下的待测系统进行修改。

8.根据权利要求1-7中任一项所述的方法，其特征在于，所述方法还包括：

确定所述初始时刻下的待测系统的部署信息，所述部署信息包括：所述初始时刻下的待测试系统的代码信息、所述初始时刻下的待测试系统所处的操作系统信息、所述初始时刻下的待测试系统所对接的数据库信息；

根据所述部署信息，对所述初始时刻下的待测系统进行镜像处理，得到所述初始系统。