[发明专利]一种基于Bi-LSTM网络和注意力机制的恶意JavaScript代码检测模型

说明书

本申请涉及计算机技术领域，发明设计了一种基于Bi‑LSTM网络和注意力机制的恶意JavaScript代码检测系统。所述方法应用于网页恶意脚本代码检测，所述方法包括：获取目标web页面的源码，得到待测样本；对待测样本进行转换；得到抽象语法树；基于抽象语法树提取代码的词法单元序列；采用FastText词向量模型对词法单元序列进行训练，得到词向量特征；构建基于Bi‑LSTM网络和注意力机制的分类模型，以确定待测样本是否为恶意脚本，得到对恶意JavaScript代码的高效检测的系统。

技术领域

本申请涉及计算机技术领域，具体而言，发明设计了一种基于Bi-LSTM网络和注意力机制的恶意JavaScript代码检测模型。该模型基于JavaScript的抽象语法树提取词法单元序列，对其进行词向量提取，利用基于Bi-LSTM网络和注意力机制的分类算法高效地检测网页中的恶意JavaScript代码。

背景技术

日益丰富的互联网应用给人民的生活带来便利，然而广泛的应用场景也暴露了越来越多的网络安全风险和问题。攻击人员通过在Web页面中注入恶意的JavaScript代码实现恶意行为，如传播木马病毒、获取用户敏感信息和加密挖矿等。网页中的恶意代码灵活多变，攻击人员常常利用加密或混淆等技术躲避检测，具有隐匿性强，检测难度大等特点。本发明提出基于Bi-LSTM网络和注意力机制的恶意JavaScript代码检测模型，在提高模型检测准确率的同时，能减少恶意代码检测所耗费的资源与时间。

恶意JavaScript脚本代码造成的严重危害已引起广泛关注。当前已有不少研究成果。主要分为静态分析、动态分析和结合两者的动静态分析方法。

静态分析方法主要通过特征匹配或提取源码的静态特征。例如基于漏洞库的模型，利用操作码漏洞特征和有限确定自动机（DFA）匹配网页挂马攻击，可以快速检测已知漏洞，不足之处在于需要及时更新操作码特征库。

动态分析方法提取代码执行时的行为特征或基于蜜罐模拟浏览器环境执行JavaScript代码。Cova等人提出低交互蜜罐工具JSAND，采用HtmlUnit与Rhino引擎模拟客户端环境，提取代码中重定向目标和次数、字符串定义与被调用的比率、动态代码执行次数等十大特征来检测恶意JavaScript代码。不过基于动态分析的方法检测速度慢。

Junjie等结合动静态分析方法，提取代码文本信息、程序结构以及危险函数调用等特征，输入到机器学习模型中来识别恶意代码，其根据代码的攻击特征向量和动态执行轨迹将识别出的恶意代码分类为八种已知的攻击类型。

基于深度学习的恶意JavaScript代码检测模型近年来逐步发展。例如基于堆叠去噪自编码器的恶意JavaScript代码检测方法。不过模型存在一定的误报率。

基于静态分析的检测方法检测具有检测效率高，资源占用小等优势，不过检测模型依赖特征选择和算法模型。基于动态分析的检测方法主要存在系统消耗资源大、执行时间长的劣势。因此，如何保证模型检测准确率的同时，减少恶意代码检测所耗费的资源与时间是研究的一个要点。

针对恶意JavaScript代码的特征提取及检测主要解决的难题在于以下几点。

（1）如何从变量松散、嵌套复杂的JavaScript源代码中提取全面客观的特征。

（2）如何选择更加适合当前语料的词向量模型。

（3）如何构建合适的深度学习网络以及对恶意JavaScript代码检测效果进行测试。

本系统重点对于以上三个问题进行解决，实现一个基于Bi-LSMT网络和注意力机制的恶意JavaScript代码检测模型。

发明内容