[发明专利]webshell文件检测方法、装置及电子设备

权利要求书

1.一种webshell文件检测方法，其特征在于，所述方法包括：

获取上传的初始文件；

获取对所述初始文件的操作行为特征；

根据所述操作行为特征判断所述初始文件是否为webshell文件。

2.根据权利要求1所述的方法，其特征在于，所述获取对所述初始文件的操作行为特征之前，还包括：

获取所述初始文件上传时的上传行为特征；

所述根据所述操作行为特征判断所述初始文件是否为webshell文件，包括：

根据所述上传行为特征和所述操作行为特征判断所述初始文件是否为webshell文件。

3.根据权利要求2所述的方法，其特征在于，所述上传行为特征包括以下至少一种：所述初始文件的名称、上传所述初始文件的时间、所述初始文件上传的路径、所述初始文件的IP地址。

4.根据权利要求2所述的方法，其特征在于，所述获取所述初始文件上传时的上传行为特征之前，还包括：

检测所述初始文件是否为可疑webshell文件；

若是，则执行步骤：获取所述初始文件上传时的上传行为特征。

5.根据权利要求4所述的方法，其特征在于，所述检测所述初始文件是否为可疑webshell文件，包括：

获取上传所述初始文件时的网络流量的流量特征；

根据所述流量特征检测所述初始文件是否为可疑webshell文件。

6.根据权利要求5所述的方法，其特征在于，所述流量特征包括以下至少一种：关键字段、请求特征、文件后缀、服务器的响应特征。

7.根据权利要求1-6任一所述的方法，其特征在于，所述操作行为特征包括以下至少一种：会话特征、操作指令、数据库操作行为特征、文件操作行为特征、访问行为特征。

8.一种webshell文件检测装置，其特征在于，所述装置包括：

文件获取模块，用于获取上传的初始文件；

特征获取模块，用于获取对所述初始文件的操作行为特征；

文件检测模块，用于根据所述操作行为特征判断所述初始文件是否为webshell文件。

9.一种电子设备，其特征在于，包括处理器以及存储器，所述存储器存储有计算机可读取指令，当所述计算机可读取指令由所述处理器执行时，运行如权利要求1-7任一所述的方法。

10.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时运行如权利要求1-7任一所述的方法。