[发明专利]一种恶意链接检测方法及系统

权利要求书

1.一种恶意链接检测方法，其特征在于，包括：

步骤1，获取页面上实时显示的网页内容；

步骤2，检测所述网页内容中的隐藏链接；

步骤3，对所述隐藏链接的格式进行检测；

步骤4，当所述隐藏链接的格式符合预设条件时，对所述隐藏链接的恶意行为进行检测，并对所述隐藏链接的恶意行为进行评分，得到恶意分值；

步骤5，当所述恶意分值达到预设分数时，提示所述隐藏链接为恶意链接。

2.根据权利要求1所述的恶意链接检测方法，其特征在于，所述预设条件包括：所述隐藏链接的各级域名符合域名规则，所述隐藏链接的结构完整。

3.根据权利要求1或2所述的恶意链接检测方法，其特征在于，所述步骤4中，具体包括：

步骤4.1，当所述隐藏链接的格式符合所述预设条件时，对所述隐藏链接进行后台访问；

步骤4.2，对所述隐藏链接的访问行为进行监控，记录所述隐藏链接产生的访问行为；

步骤4.3，将所述访问行为与恶意行为数据库中存储的预设恶意行为进行匹配；

步骤4.4，当任一所述访问行为与所述预设恶意行为匹配时，停止访问，并将所述访问行为作为恶意行为；

步骤4.5，对所述恶意行为进行评分，并得到恶意分值。

4.根据权利要求3所述的恶意链接检测方法，其特征在于，所述预设恶意行为包括：调用特定的系统函数、执行加载特定的代码、分配特定内存、将文件存放到特定的位置、产生内存溢出。

5.一种恶意链接检测系统，其特征在于，包括：

获取单元，用于获取页面上实时显示的网页内容；

第一检测单元，用于检测所述网页内容中的隐藏链接；

第二检测单元，用于对所述隐藏链接的格式进行检测；

第三检测单元，用于当所述隐藏链接的格式符合预设条件时，对所述隐藏链接的恶意行为进行检测，并对所述隐藏链接的恶意行为进行评分，得到恶意分值；

提示单元，用于当所述恶意分值达到预设分数时，提示所述隐藏链接为恶意链接。

6.根据权利要求5所述的恶意链接检测系统，其特征在于，所述预设条件包括：所述隐藏链接的各级域名符合域名规则，所述隐藏链接的结构完整。

7.根据权利要求5或6所述的恶意链接检测系统，其特征在于，所述第三检测单元具体用于当所述隐藏链接的格式符合所述预设条件时，对所述隐藏链接进行后台访问，并对所述隐藏链接的访问行为进行监控，记录所述隐藏链接产生的访问行为，并将所述访问行为与恶意行为数据库中存储的预设恶意行为进行匹配，当任一所述访问行为与所述预设恶意行为匹配时，停止访问，并将所述访问行为作为恶意行为，并对所述恶意行为进行评分，得到恶意分值。

8.根据权利要求7所述的恶意链接检测系统，其特征在于，所述预设恶意行为包括：调用特定的系统函数、执行加载特定的代码、分配特定内存、将文件存放到特定的位置、产生内存溢出。