[发明专利]一种恶意代码情报检测分析方法及系统

摘要

本发明提供了一种恶意代码情报检测分析方法及系统。该方法包括客户端和服务器两部分，首先客户端自动检测用户要访问的网址，将网址发给服务器端；然后服务器端检测网站是否存在恶意代码，将检测结果发送给用户并及时发出提醒。本发明在服务器端检测时，使用基于抽象语法树匹配算法和低交互蜜罐仿真模拟技术，并在此基础上进行了改进和融合，兼顾了性能和准确率。本发明在客户端检测时不仅支持多种浏览器版本，而且检测完毕后提供多种输出格式。本发明优势在于相较传统手段在检测准确率上较大提升，性能可以充分满足用户需要，且与其他程序兼容性良好。另外，本发明为网站的恶意代码检测，提供了一种统一的解决方案，不仅可以检测电脑客户端还可以检测安卓手机客户端。

主权项

一种恶意代码情报检测分析方法及系统，包括以下步骤：(1)用户在PC端或移动端安装情报检测服务器，该服务器实质为与用户的浏览器版本象对应的插件，服务器与浏览器绑定，在浏览器启动时自动启动；(2)用户输入需要访问的URL后，客户端将用户输入信息以报文形式通过可信信道发送给检测分析服务器；(3)服务器接收到客户端发送的信息后把URL送入基于抽象语法树的特征码匹配模块，该模块将URL对应的网页代码进行词法分析和语法分析得到特征码，并将特征码与恶意特征码库进行匹配，匹配结果分为三种情况：3.1)对于与恶意特征码库匹配率很高的网页，直接将它标记为恶意网页；3.2)对于存在恶意代码，但匹配率较低的网页将被标记为疑似恶意网页，系统将在疑似恶意代码处设置断点，后续的检测将直接从该处开始；3.3)未发现恶意特征码的网页被标记为暂时安全网页。(4)疑似恶意网页和暂时安全网页被送入低交互客户端蜜罐进行进一步检测，在这一模块中，低交互客户端蜜罐将模仿一个客户端的关键特征，对网页进行访问，并记录网页行为，对网页进行动态分析；(5)上述两个模块分析完毕后，服务器将输出三份不同格式检测报告，其中包括目标URL，检测时间，检测方法，行为描述等信息，并存入数据库，以备后续开发研究；(6)服务器将检测结果通过可信信道发送给客户端，客户端根据收到的反馈信息对用户进行相应提示：6.1)如果检测显示用户输入的URL是安全的，客户端弹出提示窗口“该网页安全，请放心使用”；6.2)如果检测结果显示URL不安全，客户端会根据反馈信息提示用户访问的网页有可能受到攻击，并根据公共漏洞和暴露(cve)提示用户危险类型和等级。