[发明专利]一种基于RASP的PHP变形webshell的检测方法及系统

摘要

本发明公布了一种基于RASP的PHP变形webshell的检测方法及系统，针对检测系统，通过部署RASP探针，检测出编程语言是PHP的变形webshell；包括：初步检测模块、上下文获取模块、已标记参数监测模块、判断模块、后期分析模块和事后溯源模块；利用本发明提供的技术方案，变形webshell会被初步检测模块和RASP阻断，大大减少webshell检测的漏报率和误报率；而且利用RASP进行跟踪和监控，可更好地理解漏洞成因，从而为漏洞打上补丁；通过合理部署探针，还可进行挖掘0day漏洞，防患于未然。此外，本发明性能损失非常小，可被广泛应用。

主权项

1.一种基于RASP的PHP变形webshell的检测方法，针对检测系统，通过部署探针，检测出编程语言是PHP的变形webshell；包括如下步骤：1)检测系统为web服务器，获取web服务器全部目录中的代码文件，每个代码文件为一段代码，通过初步检测得出初步检测数值；所述初步检测具体执行如下操作：对于空格符，统计每个代码文件中相邻两个空格之间的其他字符的数目，形成代表所检测的代码文件的空格分布情况的一组数据；再将该组数据与正常空格分布范围进行比较，计算得到标准差，作为空格符偏离程度；对于换行符，采用上述方法计算得到标准差，作为换行符偏离程度；2)确定检测系统的参数输入点，参数输入点为所检测系统与外部的连接点和连接点处的危险函数，在危险函数处插入标记探针，通过标记探针标记参数；3)将检测探针插入待检测代码，获取被插入检测探针的待检测代码的上下文；上下文信息包括：请求的路径、请求的方法、请求的参数、web根目录、请求头、请求体、客户端地址、服务器信息、探针记录的信息；4)记录步骤2)被标记参数的运行轨迹和行为，监测被标记参数，获得参数的运行轨迹，作为最终记录结果；5)当检测探针检测到被标记的参数时，结合获取到的上下文进行分析，识别是否是webshell；具体地，根据被标记参数的运行轨迹和行为，如果当前被检测代码涉及访问敏感文件、下载敏感文件、大量请求数据、操作数据库时，即识别为webshell；如果当前被检测代码不涉及上述操作，则根据被标记参数的运行轨迹和行为，检查检测系统的应用逻辑是否被用户输入所修改，从而判断是否是webshell；由此识别检测系统是否被攻击。