[发明专利]一种面向WEB木马检测的网页特征提取方法

摘要

本发明提供的是一种面向WEB木马检测的网页特征提取方法。包含数据获取、页面解析、脚本解析和特征提取四个阶段。数据获取阶段包括：数据包在网关处的获取以及记录存取该数据包方法。页面解析阶段：利用正则匹配方式获取网页标签以及链接。脚本解析阶段：对网页中的脚本利用脚本解析引擎以及对其的改进获取脚本中相应的链接及函数关系。特征提取阶段：统计页面标签特征，并计算重定向链中存在的特征。本发明的方法提取有效的标签元素信息，获取重定向链接特征以及相应的页面特征，省略不必要的元素审查。具有较高的建模效率。该模型在提取过程中采用正则匹配以及脚本引擎方式，具有较高的提取速度。可以在浏览器以及网关处都能发挥其重要作用。

主权项

1.一种面向WEB木马检测的网页特征提取方法，其特征是：步骤1：数据获取；步骤11：当用一个客户端用户通过浏览器请求访问网页，系统捕获数据包后，首先判断该请求的客户端IP是否在请求链中；步骤12：如果请求的客户端IP没有在请求链中，则将该请求的客户端IP加入到客户端请求链中；利用四元组hash记录下用户的该条访问的URL；然后将数据包转发给WEB服务器；步骤13：如果该请求的客户端IP已经存在则提取数据包中的请求URL，判断该URL是否是从网页中提取的URL；如果是则利用该请求的四元组hash计算保持其URL，然后再转发数据包给WEB服务器；步骤14：WEB服务器返回响应时数据包处理；步骤2：页面解析；步骤21：利用正则匹配的方式匹配网页中的标签下的自动跳转的URL；步骤22：利用正则表达式提取网页中的script脚本，以及script脚本中src的URL链接；步骤3：脚本解析；步骤31：将存在混淆的代码利用脚本引擎解混淆，然后提取脚本中存在的重定向链接；步骤32：同时统计脚本中存在的特征函数的数量；步骤4：提取特征；步骤41：重定向链特征提取过程；步骤42：页面统计特征提取。