[发明专利]一种木马感染终端的网络定位方法

摘要

本发明公开一种木马感染终端的网络定位方法，先对网页木马进行静态检测，然后将可疑网页进行动态检测；跟踪网页木马执行过程，定位检测其Shellcode，可以有效地批量检测出网络中感染木马的终端主机，并进而实施单机深度木马检测，是一种非常简洁高效的木马检测综合解决方案。

主权项

1.一种木马感染终端的网络定位方法，其特征在于，包括以下操作步骤：(1)构建测试网页木马样例，对检测到样本，提取网页内容，剥离出具有特定特征的Java Script脚本，对其中某些网页木马所使用的关键函数利用反混淆技术进行处理，取出Java Script脚本中类似eval()的关键函数；(2)对网页内容利用静态检测模块进行检测，解析特征码，将特征码与木马特征库进行匹配，如果在木马特征库中检测到特征码，说明测试页面含有木马；(3)如若检测正常，对网页的内嵌链接进行爬虫，提取各个网页的信息，对检测混淆脚本代码进行混淆页面分析；(4)利用解码模块进行解密还原，对还原的原始代码，首先采用网页木马静态检测模块对其检测分析，提取检测到网页木马的特征与后台数据库的特征数据进行比对，如果比对成功，则说明网页中含有网页木马，否则，继续对其进行网页木马的动态检测，通过对解码后的一些重点API函数的参数监控，下载其参数对应的数据后，进行Shellcode特征数据比对，如果成功，则表明存在恶意Shellcode。