[发明专利]一种检测堆喷射型网页木马的方法和装置

权利要求书

1.一种检测堆喷射型网页木马的方法，其特征在于，该方法包括：

S1、解析待检测网页的脚本，在解析过程中通过挂函数钩子监测所述待检测网页的脚本变量，如果监测到所述待检测网页的脚本变量的长度超过预设的长度阈值，则执行步骤S3；

S3、对所述长度超过预设长度阈值的脚本变量的内容进行反汇编检测，如果不能顺利反汇编，则转至所述步骤S1继续解析所述待检测网页的脚本，如果能够顺利反汇编，则认为检测到喷射特性，执行步骤S4；

S4、确定检测到堆喷射型网页木马。

2.根据权利要求1所述的方法，其特征在于，在所述步骤S1之前还包括：

S0：新建一个浏览器IE控件进程，针对预设类型脚本中导致脚本变量变化的操作挂上函数钩子。

3.根据权利要求1所述的方法，其特征在于，在所述步骤S1和所述步骤S3之间还包括：

S2、对所述长度超过长度阈值的脚本变量内容进行重复性检测，如果检测到重复性达到预设重复性要求，则执行所述步骤S3；否则，转至所述步骤S1继续解析所述待检测网页的脚本。

4.根据权利要求3所述的方法，其特征在于，所述重复性检测为：

对所述长度超过长度阈值的脚本变量的有效存储空间内容进行检测，如果所述有效存储空间内容中存在数据连续重复出现，且连续重复出现的次数超过预设的次数阈值，则认为重复性达到预设重复性要求。

5.根据权利要求1所述的方法，其特征在于，在所述步骤S3中如果能够顺利反汇编，则对所述长度超过预设长度阈值的脚本变量的内容重新进行一次反汇编检测，如果不能顺利反汇编，则转至所述步骤S1继续解析所述待检测网页的脚本，如果仍能够顺利反汇编，则认为检测到喷射特性。

6.根据权利要求1或5所述的方法，其特征在于，所述步骤S3中在反汇编过程中如果发生了指令解析错误、反汇编代码中存在分支跳转指令或反汇编代码操作了不可预知的高地址内存中的至少一种，则确定不能顺利反汇编；否则确定能够顺利反汇编。

7.根据权利要求1或5所述的方法，其特征在于，在反汇编检测时，从所述长度超过预设长度阈值的脚本变量的有效存储空间中随机选择一个地址开始进行反汇编。

8.根据权利要求1至5任一权项所述的方法，其特征在于，在所述步骤S1之前还包括：初始化喷射计数值；

在所述步骤S3中认为检测到堆喷射特性时，将所述喷射计数值进行自加；

在执行所述步骤S4之前还包括：判断当前的喷射计数值是否达到预设的计数阈值，如果是，继续执行所述步骤S4；否则，转至所述步骤S1继续解析所述待检测网页的脚本。

9.根据权利要求1所述的方法，其特征在于，在所述步骤S4中采用发出警报、上报检测信息或者将所述待检测网页加入恶意网页库中的至少一种处理方式。

10.一种检测堆喷射型网页木马的装置，其特征在于，该装置包括：

脚本解析单元，用于解析待检测网页的脚本，在解析过程中通过挂函数钩子监测所述待检测网页的脚本变量，如果检测到所述待检测网页的脚本变量的长度超过预设的长度阈值，则触发反汇编检测单元；

反汇编检测单元，用于受到触发后，对所述长度超过预设长度阈值的脚本变量的内容进行反汇编检测，如果不能顺利反汇编，则触发所述脚本解析单元继续解析所述待检测网页的脚本，如果能够顺利反汇编，则认为检测到喷射特性，触发结果确输出单元；

结果输出单元，用于受到触发后，确定检测到堆喷射型网页木马。

11.根据权利要求10所述的装置，其特征在于，该装置还包括：预处理单元，用于新建一个浏览器IE控件进程，针对预设类型脚本中导致脚本变量变化的操作挂上函数钩子；

所述脚本解析单元通过已挂的所述函数钩子监测所述待检测网页的脚本变量。