[发明专利]一种适应性webshell检测方法及系统

摘要

本发明公开了一种适应性webshell检测方法及系统，它涉及网页安全技术领域。检测系统包括静态间隔扫描、实时扫描、旁路检测三大模块，静态间隔扫描的步骤和方式为：分析服务器是否运行web服务器，如果没有运行直接结束；对有web服务的进行清点，读取web服务器配置文件，获取web服务器相关信息；对服务器上所配置的所有站点路径下的全部脚本文件针对相关策略进行扫描；记录每次扫描的时间，在下次扫描时，只扫描新增的部分文件及之前判定为是webshell的文件。本发明通过多手段结合的方式对webshell检测，能够有效地检测出webshell，降低误报率、漏报率和因webshell导致的信息安全事件。

主权项

一种适应性webshell检测方法及系统，其特征在于，其检测系统包括静态间隔扫描、实时扫描、旁路检测三大模块，其中静态间隔扫描的实施步骤和方式为：(1)分析服务器是否运行了web服务器，如果没有运行web服务直接结束；(2)对有web服务的进行清点，来读取web服务器配置文件，获取web服务器相关信息；所述相关信息包括：站点个数、站点路径、域名或者端口号；(3)对服务器上所配置的所有站点路径下的全部脚本文件进行扫描，针对相关的策略进行扫描；(4)为了增强扫描的有效性以及效率，会记录每次扫描的时间，在下一次扫描的时候，只会扫描新增的部分文件以及之前判定为是webshell的文件；实时扫描的实施步骤和方式为：(1)分析服务器是否运行了web服务器，如果没有运行web服务直接结束；(2)对有web服务的进行清点，来读取web服务器配置文件，获取web服务器相关信息；所述相关信息包括：站点个数、站点路径、域名或者端口号；(3)对所有web站点的目录进行实时监控，如果发现新增的文件或者目录直接触发扫描动作；(4)对新增的脚本文件进行扫描，针对相关策略进行扫描，扫描策略和静态间隔扫描相同；旁路检测的主要方式就是检测请求文件的文件名以及路径以及文件本身的来实现的，以及服务器的响应信息也是参考。