[发明专利]一种图片后门的检测方法及装置

权利要求书

1.一种图片后门的检测方法，其特征在于，包括：

步骤1、提取网站所有脚本文件和图片文件的基本信息，包括：文件位置、创建时间、修改时间或者散列值；

步骤2、监控网站所有脚本文件，并判断是否存在新增和/或被篡改的脚本文件，若存在，则执行步骤3，否则继续执行步骤2；

步骤3、判断所述新增和/或被篡改的脚本文件中是否存在调用图片文件的行为，若存在，则提取被调用图片文件并继续执行步骤4，否则判定不存在图片后门，结束；

步骤4、判断被调用图片文件是否是新增和/或被篡改的图片文件，若是，则执行步骤5，否则判定不存在图片后门，结束；

步骤5、将所述被调用图片文件与后门特征码库进行匹配，若成功匹配，则判定存在图片后门，否则判定不存在图片后门。

2.如权利要求1所述的方法，其特征在于，还包括：备份网站的所有脚本文件和图片文件；

当判定不存在图片后门时，还包括：利用备份的相关脚本文件对所述新增和/或被篡改的脚本文件进行恢复；

当判定存在图片后门时，还包括：利用备份的相关脚本文件对所述新增和/或被篡改的脚本文件进行恢复；并利用备份的相关图片文件对所述新增和/或被篡改的图片文件进行恢复。

3.如权利要求1所述的方法，其特征在于，所述判断是否存在新增和/或被篡改的脚本文件，具体为：计算网站所有脚本文件的散列值，与提取的基本信息中的脚本文件的散列值进行匹配，并判断是否成功匹配，若不成功，则判定存在新增和/或被篡改的脚本文件，否则判定不存在新增和/或被篡改的脚本文件。

4.如权利要求1所述的方法，其特征在于，所述判断所述脚本文件中是否存在调用图片文件的行为，具体为：检索所述脚本文件中是否存在调用图片文件的函数关键字，若存在，则判定存在调用图片文件的行为，否则判定不存在调用图片文件的行为。

5.如权利要求1所述的方法，其特征在于，所述判断被调用图片文件是否是新增和/或被篡改的图片文件，具体为：计算所述被调用图片文件的散列值，与提取的基本信息中的图片文件的散列值进行匹配，并判断是否成功匹配，若不成功，则判定存在新增和/或被篡改的图片文件，否则判定不存在新增和/或被篡改的图片文件。

6.一种图片后门的检测装置，其特征在于，包括：

信息提取模块，用于提取网站所有脚本文件和图片文件的基本信息，包括：文件位置、创建时间、修改时间或者散列值；

第一判定模块，用于监控网站所有脚本文件，并判断是否存在新增和/或被篡改的脚本文件，若存在，则由第二判定模块执行，否则继续由第一判定模块执行；

第二判定模块，用于判断所述新增和/或被篡改的脚本文件中是否存在调用图片文件的行为，若存在，则提取被调用图片文件并继续由第三判定模块执行，否则判定不存在图片后门；

第三判定模块，用于判断被调用图片文件是否是新增和/或被篡改的图片文件，若是，则由第四判定模块执行，否则判定不存在图片后门；

第四判定模块，用于将所述被调用图片文件与后门特征码库进行匹配，若成功匹配，则判定存在图片后门，否则判定不存在图片后门。

7.如权利要求6所述的装置，其特征在于，还包括备份模块和恢复模块：

所述备份模块，用于备份网站的所有脚本文件和图片文件；

所述恢复模块，用于当判定不存在图片后门时，利用所述备份模块备份的相关脚本文件对所述新增和/或被篡改的脚本文件进行恢复；

用于当判定存在图片后门时，利用所述备份模块备份的相关脚本文件对所述新增和/或被篡改的脚本文件进行恢复；并利用所述备份模块备份的相关图片文件对所述新增和/或被篡改的图片文件进行恢复。

8.如权利要求6所述的装置，其特征在于，所述判断是否存在新增和/或被篡改的脚本文件，具体为：计算网站所有脚本文件的散列值，与提取的基本信息中的脚本文件的散列值进行匹配，并判断是否成功匹配，若不成功，则判定存在新增和/或被篡改的脚本文件，否则判定不存在新增和/或被篡改的脚本文件。