[发明专利]恶意网址的识别方法和装置

权利要求书

1.一种恶意网址的识别方法，其特征在于，所述方法包括：

对出现在设备中的消息实时进行捕获，所述消息包括即时通信IM消息、邮件和网页中的一种或多种；

提取所捕获的消息的统一资源定位符URL；

当判断所述URL为可疑URL时，根据该URL所在的消息的内容和该URL对应的页面资源识别出恶意网址。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括对识别出的恶意网址和正常网址进行记录，所述判断所述URL为可疑URL包括：

判断同一URL的发送次数是否大于发送量阈值，若否，该URL为正常URL，若是，查询该URL是否在已记录的网址中，若在，根据对该URL的记录确认该URL为恶意网址或正常网址，若不在，确认该URL为可疑网址。

3.根据权利要求2所述的方法，其特征在于，所述方法还包括：

当记录为恶意网址的URL的发送次数在预定时间段内未出现大于发送量阈值时，将该URL从恶意网址的记录中移除。

4.根据权利要求1所述的方法，其特征在于，根据该URL所在的消息的内容和该URL对应的页面资源识别出恶意网址包括：

对URL所在消息内容进行指纹比对，得到URL特征值；

对URL对应的页面资源中的页面内容和页面代码进行判断，得到页面资源判断结果；

当所述URL特征值和页面资源判断结果都标记该URL包括恶意内容时，则确定该URL为恶意网址，该URL所在网站为恶意网站。

5.根据权利要求4所述的方法，其特征在于，所述对URL对应的页面资源中的页面内容和页面代码进行判断，得到页面资源判断结果包括：

当页面内容为文本类内容时，提取该页面内容的指纹特征值，或者，当页面内容为二进制内容时，提取该页面内容的哈希特征值；以及，

调用第三方API接口判断页面代码中是否包含恶意代码；

当所述指纹特征值或哈希特征值标记页面内容中包含恶意内容，且所述页面代码中包含恶意代码时，得到的页面资源判断结果标记相应URL包括恶意内容。

6.一种恶意网址的识别装置，其特征在于，所述装置包括：

实时捕获单元，用于对出现在设备中的消息实时进行捕获，所述消息包括即时通信IM消息、邮件和网页中的一种或多种；

URL提取单元，用于提取所捕获消息中的统一资源定位符URL；

识别单元，用于当判断所述URL为可疑URL时，根据该URL所在的消息的内容和该URL对应的页面资源识别出恶意网址。

7.根据权利要求6所述的装置，其特征在于，所述装置还包括记录单元，用于对识别出的恶意网址和正常网址进行记录，

所述识别单元包括判断模块，用于判断同一URL的发送次数是否大于发送量阈值，若否，该URL为正常URL，若是，查询该URL是否在已记录的网址中，若在，根据对该URL的记录确认该URL为恶意网址或正常网址，若不在，确认该URL为可疑网址。

8.根据权利要求7所述的装置，其特征在于，所述装置还包括维护单元，当记录为恶意网址的URL的发送次数在预定时间段内未出现大于发送量阈值时，将该URL从恶意网址的记录中移除，进行维护操作。

9.根据权利要求6所述的装置，其特征在于，所述识别单元还包括：

消息识别模块，用于对URL所在消息的内容进行指纹比对，得到URL特征值；

页面识别模块，用于对URL对应的页面资源中的页面内容和页面代码进行判断，得到页面资源判断结果；

确认模块，用于当所述URL特征值和页面资源判断结果都标记该URL包括恶意内容时，确定该URL为恶意网址，该URL所在的网站为恶意网站。

10.根据权利要求6所述的装置，其特征在于，

所述页面识别模块，用于当页面内容为文本类内容时，提取该页面内容的指纹特征值，或者，当页面内容为二进制内容时，提取该页面内容的哈希特征值；以及，调用第三方API接口判断页面代码中是否包含恶意代码；当所述指纹特征值或哈希特征值标记页面内容中包含恶意内容，且所述页面代码中包含恶意代码时，得到的页面资源判断结果标记相应URL包括恶意内容，该URL所在的网站为恶意网站。