[发明专利]一种网页挂马检测方法及系统

说明书

技术领域

本发明属于计算机安全技术领域，尤其涉及一种网页挂马检测方法及系统。

背景技术

网页挂马是指攻击者利用诸如第三方控件或者浏览器等漏洞篡改网页，在网页上部署能够触发漏洞的危险数据。当用户使用浏览器浏览被挂马的网页时，如果系统中存在相应的漏洞，网页中包含的危险数据就会在用户系统下载和安装恶意软件，获取用户系统的控制权，窃取用户信息等，将严重威胁到用户系统的安全，因此对于网页挂马的检测显得十分必要。

现有的网页挂马检测方法主要采用的是构建一个庞大的挂马网页特征数据库，通过对待检测网页进行逐个特征匹配来判断该网页是否为挂马网页。然而，由于网页脚本变形容易、加密方式又多种多样，通过特征匹配的方式进行网页挂马检测效率较低，而且漏检率和误检率较高。

发明内容

本发明实施例的目的在于提供一种网页挂马检测方法，旨在解决现有网页挂马检测效率较低，漏检率和误检率较高的问题。

本发明实施例是这样实现的，一种网页挂马检测方法，所述方法包括以下步骤：

A、获取网页内容；

B、对所获取的网页内容进行解析，提取脚本对象；

C、构造对象执行引擎来模拟执行所述脚本对象的对象内容；

D、监控所述对象内容的模拟执行，当出现异常行为时，确定所述对象内容包含危险数据。

本发明实施例的另一目的在于提供一种网页挂马检测系统，所述系统包括：

第一获取单元，用于获取网页内容；

信息提取单元，用于对所获取的网页内容进行解析，提取脚本对象；

执行单元，用于构造对象执行引擎来模拟执行所述脚本对象的对象内容；

确定单元，用于监控所述对象内容的模拟执行，当出现异常行为时，确定所述对象内容包含危险数据。

从上述技术方案可以看出，本发明实施例不需要提供庞大的挂马网页特征数据库就可以进行挂马网页的检测，从而可避免大量的特征匹配，提高了网页挂马检测的效率。而且，通过构造多个对象执行引擎来动态模拟执行脚本对象的对象内容，在模拟执行的过程中出现异常行为时，就可以确定该网页为挂马网页，有效减低了挂马网页的漏检率和误检率。

附图说明

图1是本发明实施例一提供的网页挂马检测方法的实现流程图；

图2是本发明实施例二提供的网页挂马检测方法的实现流程图；

图3是本发明实施例三提供的网页挂马检测系统的组成结构图；

图4是本发明实施例四提供的网页挂马检测系统的组成结构图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

本发明实施例通过获取网页内容，对所获取的网页内容进行解析，提取脚本对象，构造对象执行引擎来模拟执行所述脚本对象的对象内容，监控所述对象内容的模拟执行，当出现异常行为时，确定所述对象内容包含危险数据。本发明实施例不需要提供庞大的挂马网页特征数据库就可以进行挂马网页的检测，从而可避免大量的特征匹配，提高网页挂马检测的效率。而且，通过构造多个对象执行引擎来动态模拟执行脚本对象的对象内容，在模拟执行的过程中出现异常行为时，就可以确定该网页为挂马网页，有效减低了挂马网页的漏检率和误检率。

为了说明本发明所述的技术方案，下面通过具体实施例来进行说明。

实施例一：

图1是本发明实施例一提供的网页挂马检测方法的实现流程，该方法过程详述如下：

在步骤S101中，获取网页内容。

在本实施例中，可通过现有的网页爬虫获取网页内容。同时，为了提高网页内容获取的效率，在获取网页内容时，预先设置过滤条件，过滤网页内容中的非法数据类型和超过预定大小的文件。

在步骤S102中，对所获取的网页内容进行解析，提取脚本对象。

在本实施例中，通过现有的网页解析器对获取的网页内容进行解析，提取标签、文本以及脚本对象等信息。网页内容包括多个脚本对象，如table、title等。而危险数据通常出现在特定的脚本对象中，例如：iframe、引用javascript脚本的URL地址、Active控件(object对象)以及javascript代码(script对象)等。