[发明专利]一种在海量日志中检测WebShell的方法

摘要

本发明提供了一种在海量日志中检测WebShell的方法，包括以下步骤提取相邻两天访问成功的动态页面请求日志，记第一天的动态页面请求日志的记录为log1，第二天动态页面请求日志的记录为log2；对获得的请求日志的记录抹除参数，并将抹除参数后的记录存入对应集合path1与paht2中；计算新增页面集合path，path＝path2–path1–history；重放集合path中每一条记录p，检查记录p是否为WebShell；令原第二天为新的第一天，新的第二天为原第二天的后一天，重复执行步骤1‑4，筛选出WebShell。本发明通过使用基于网站历史请求的方法，筛选出新增动态文件，然后再通过复现请求确定是否是WebShell，以此降低人工分析的成本。

主权项

一种在海量日志中检测WebShell的方法，其特征在于，包括以下步骤：步骤1：提取相邻两天访问成功的动态页面请求日志；即读取请求日志，逐行处理，过滤出请求日志的URL中包含.asp、.aspx、.jsp、.php的动态页面的请求日志，记第一天的动态页面请求日志的记录为log1，第二天动态页面请求日志的记录为log2；步骤2：对步骤1中请求日志的记录抹除参数，只保留路径；即去除记录中问号“？”及问号之后内容，降低干扰，并将抹除参数后的记录存入对应集合path1与paht2中，path1为第一天的动态文件路径，path2为第二天的动态文件路径；步骤3：计算新增页面集合path；即从第二天请求日志的记录的path2中排除第一天请求日志的记录的path1，再排除历史正常记录history，得到第二天相较第一天新增的页面集合path，表达式为path＝path2–path1–history；其中，history为历史结果中非WebShell的记录合集；第一次执行时，历史正常记录history为空集；步骤4：重放集合path中每一条记录p，检查记录p是否为WebShell，如果记录p是WebShell，记录此WebShell，如果记录p不是WebShell，将记录p加入历史正常记录history集合中，即history＝history∪{p}；步骤5：令原第二天为新的第一天，新的第二天为原第二天的后一天，即day1＝day2，day2＝day2+1，重复执行步骤1‑4，筛选出WebShell。