[发明专利]用于追溯木马源的计算机可读存储介质和应用该介质的木马源追溯系统

说明书

本发明涉及网络安全技术领域，特别涉及用于追溯木马源的计算机可读存储介质，该介质内存有计算机程序，该计算机程序可被木马源追溯系统的处理器执行。在网络服务器上部署木马源追溯系统，木马源追溯系统的处理器获取被植入木马的服务端的本地木马数据，通过分析本地木马数据的内容找到控制或者试图控制该服务端的客户端地址信息，然后顺着客户端地址信息找到该客户端，对客户端的数据进行分析。没有被植入与上述服务端一样的木马的客户端很有可能是植入木马的犯罪分子使用的主机，犯罪分子一定需要对该客户端从服务端获取的信息进行处理，因此，可以通过分析上述信息的存储地址的访问日志来识别犯罪分子使用的IP地址，也就找到了木马源。

技术领域

本发明涉及网络安全技术领域，特别涉及用于追溯木马源的计算机可读存储介质，该介质内存有计算机程序，该计算机程序可被木马源追溯系统的处理器执行。

背景技术

随着通信技术的发展和互联网的普及，网络安全问题受到人们的重视，木马作为一种常见的网络危害，其来源主要包括钓鱼网页、挂马网页、含有威胁IP、域名、URL的邮件/图片等，人们在网络中的主动或者被动的通信行为都有可能导致计算机终端或者服务器被植入木马，对用户的信息安全、经济利益等带来的损失越来越大。

目前，针对木马的检测主要包括静态检测和动态检测，其中，静态检测是指通过提取已知木马样本的共有行为特征，再通过对这些行为特征进行分析，得到一些常规木马的通用特征的方法；动态行为检测方法则是通过对程序的进程进行监控，基于程序运行时的超出权限的调用等异常行为来判断是否木马程序。这些检测方法已经可以阻拦多数常规的木马，但是，意图通过木马来获利的犯罪分子会不时更新木马程序，尽可能瞒过或者绕过这些常规的木马检测方法，导致现有的木马检测方法都存在滞后性，无法有效检测出这些明显有犯罪目的的木马植入行为。

考虑到犯罪分子往往重复犯罪，木马实际来源的重复率相对较高，也可以在受到木马攻击后，通过追查木马源直接锁定犯罪分子。但是，现在木马的种类太多，有些木马会把从客户端获取的信息发送到某个邮箱，或者是连接到一个境外/虚假的IP地址，甚至是一些网络空间，这使得追溯木马源极其困难。

发明内容

本发明的目的在于：提供能够快速、准确地追溯木马源的方法和应用该方法的木马源追溯的系统。

本发明的目的通过以下技术方案实现：

提供用于追溯木马源的计算机可读存储介质，其存储有计算机程序，该计算机程序被处理器执行时实现以下步骤：

服务端识别步骤，其获取被植入木马的服务端的本地木马数据，识别该木马数据中的客户端地址信息；

客户端判断步骤，其根据识别到的客户端地址信息读取该客户端数据，判断该客户端是否存在与获取的本地木马数据一致的数据，若判断结果为否，则执行木马源追查步骤；

木马源追查步骤，其查找该客户端从服务端获取的信息的存储地址，根据该存储地址的访问日志来识别木马源。

其中，若客户端判断步骤的判断结果为是，则在执行木马源追查步骤之前先执行如下客户端追溯步骤：设定该客户端为中间服务端，在该中间服务端执行服务端识别步骤，获取与该中间服务端对应的客户端地址信息，然后根据本次获取的客户端地址信息执行客户端判断步骤，循环执行上述客户端追溯步骤直到客户端判断步骤的判断结果为否，则执行木马源追查步骤。

其中，在木马源追查步骤中，根据该存储地址的访问日志来识别木马源是指：监测该存储地址的访问日志，若识别到有IP地址从该存储地址获取信息的行为满足预设的条件，则标记该IP地址为疑似木马源。

其中，所述预设的条件是指：从该存储地址获取信息的次数和/或频率达到预设值A。

其中，所述预设的条件是指：从该存储地址中读取与该客户端从服务端获取的信息格式一致的信息，且读取上述信息的次数和/或频率达到预设值B。