[发明专利]一种检测webshell数据的方法及装置

权利要求书

1.一种检测webshell数据的方法，其特征在于，所述方法包括：

获取待检测数据；

将所述待检测数据与预设数据库中存储的webshell数据进行比较，并根据比较结果得到第一检测值；

通过所述待检测数据对应的沙箱运行所述待检测数据，得到所述待检测数据对应的网页；针对于所述网页所包括的多个特征项中的每个特征项，模拟执行所述特征项，并对执行所述特征项时所调用的M个函数进行编解码处理得到N个函数，进而根据所述N个函数中所包括的敏感函数的种类和个数，得到所述特征项对应的敏感函数信息；所述多个特征项包括链接特征项、点击特征项、表单特征项、提交特征项中的至少两项；根据所述多个特征项对应的敏感函数信息，得到第二检测值；其中，M、N为正整数；其中，M、N为正整数；

至少根据所述第一检测值和所述第二检测值得到目标检测值，若所述目标检测值大于预设阈值，则确定所述待检测数据为webshell数据。

2.根据权利要求1所述的方法，其特征在于，所述预设数据库中存储的webshell数据包括敏感函数，所述根据所述N个函数中所包括的敏感函数的种类和个数，得到所述特征项对应的敏感函数信息，包括：

针对于所述N个函数中的每个函数，将所述函数与预设数据库中存储的webshell数据中的敏感函数进行比较；若确定所述函数为敏感函数，则记录所述函数对应的敏感函数信息；所述函数对应的敏感函数信息包括根据比较结果得到的所述函数对应的检测分值；

根据所述N个函数所包括的敏感函数对应的敏感函数信息，确定所述特征项对应的敏感函数信息。

3.根据权利要求1所述的方法，其特征在于，所述通过所述待检测数据对应的沙箱运行所述待检测数据之前，还包括：

根据所述待检测数据所使用的脚本语言的类型，确定所述待检测数据对应的沙箱；所述待检测数据对应的沙箱包括超文本预处理器php沙箱、动态服务器页面asp沙箱或java沙箱。

4.根据权利要求1至3中任一项所述的方法，其特征在于，所述方法还包括：

使用预测模型对所述待检测数据进行预测，得到第三检测值；所述预测模型是通过对多个样本数据中的每个样本数据对应的特征向量进行训练得到的，所述每个样本数据对应的特征向量包括运行所述每个样本数据得到的操作码序列；

至少根据所述第一检测值和所述第二检测值得到目标检测值，包括：

对所述第一检测值、所述第二检测值和所述第三检测值进行加权求和，得到所述目标检测值。

5.根据权利要求4所述的方法，其特征在于，所述每个样本数据对应的特征向量还包括以下至少一项：注释占比、字符操作编解码函数占比、赋值符号占比、不可显示字符占比、字符串连接字符占比、大写字符占比。

6.一种检测webshell数据的装置，其特征在于，所述装置包括：

获取模块，用于获取待检测数据；

处理模块，用于将所述待检测数据与预设数据库中存储的webshell数据进行比较，并根据比较结果得到第一检测值；以及，通过所述待检测数据对应的沙箱运行所述待检测数据，得到所述待检测数据对应的网页；针对于所述网页所包括的多个特征项中的每个特征项，模拟执行所述特征项，并对执行所述特征项时所调用的M个函数进行编解码处理得到N个函数，进而根据所述N个函数中所包括的敏感函数的种类和个数，得到所述特征项对应的敏感函数信息；所述多个特征项包括链接特征项、点击特征项、表单特征项、提交特征项中的至少两项；根据所述多个特征项对应的敏感函数信息，得到第二检测值；其中，M、N为正整数；

检测模块，用于至少根据所述第一检测值和所述第二检测值得到目标检测值，若所述目标检测值大于预设阈值，则确定所述待检测数据为webshell数据。