[发明专利]一种基于URL请求时序的恶意代码检测方法和系统

摘要

本发明公开了一种基于URL请求时序的恶意代码检测方法和系统。所述方法包括依照网络数据包的捕获时序对其做解析，提取客户端请求的URL和对应数据包时间。另外根据本发明应用场景的不同还可以记录客户端IP等；URL与特征数据库匹配，记录匹配成功的URL、时间和对应模型入缓存；后续包中的URL与缓存中的模型匹配；当模型中的所有特征都匹配成功则成功检出，输出相应结果。本发明还提供了一种基于URL请求时序的恶意代码检测系统。本发明的方法和系统有效地提高了对同族恶意代码的检出率和准确率。

主权项

一种基于URL请求时序的恶意代码检测方法，其特征在于，包括：步骤a、按照捕获时序对网络数据包进行解析，提取请求的URL和对应数据包时间；步骤b、判断所述URL与模型数据库中模型的第一条特征是否匹配，如果匹配成功则将所述URL、对应数据包时间和所述模型记录到缓存中，标记所述模型中匹配成功的特征；所述模型数据库是通过捕获恶意代码产生的网络数据包进行解析，提取数据包中URL的请求时间顺序的序号、URL特征、间隔时间，所述时间间隔是指相邻两个URL请求时间的平均时间差扩大预设范围得到的时间值；否则回到步骤a按照捕获时序继续解析下一个网络数据包提取请求的URL；步骤c、如果所述缓存不为空，则按照时序将解析所述下一个网络数据包提取请求的URL与所述模型中时间顺序序号在先的未标记匹配成功的特征进行匹配，如果匹配成功则标记模型中的所述特征并将所述URL、对应数据包时间和所述模型更新记录到缓存中；否则回到步骤a按照捕获时序继续解析下一个网络数据包提取请求的URL；步骤d、如果所述模型中的URL特征全部标记成功，则判断存在恶意代码威胁。