[发明专利]基于文件来源快速检测WebShell的方法及装置

权利要求书

1.一种基于文件来源快速检测WebShell的方法，其特征在于，应用于检测终端，包括：

监听网页文件的变更行为，并获取变更所述网页文件的变更文件进程信息，其中，所述变更文件进程信息包括：文件信息和进程信息；

将所述进程信息与预设进程黑白名单进行匹配，根据匹配结果确定被所述进程信息所对应的进程变更的网页文件是否为威胁文件，其中，所述预设进程黑白名单为用户通过中心端配置的，所述中心端与所述检测终端通信连接；

将剩余文件信息与预设WebShell特征规则进行匹配，确定所述剩余文件信息所对应的网页文件是否为WebShell文件，其中，所述剩余文件信息为所述变更文件进程信息中，与所述预设进程黑白名单不匹配的进程信息所对应的文件信息，所述预设WebShell特征规则为用户通过中心端配置的；

将所述网页文件是否为威胁文件和所述网页文件是否为WebShell文件的检测结果发送至所述中心端，以使所述中心端显示所述检测结果；

根据所述检测结果对所述预设进程黑白名单进行更新，以便进行后续的检测。

2.根据权利要求1所述的方法，其特征在于，获取变更所述网页文件的变更文件进程信息包括：

通过钩子函数获取变更所述网页文件的变更文件进程信息。

3.根据权利要求1所述的方法，其特征在于，所述预设进程黑白名单包括：预设进程黑名单和预设进程白名单，将所述进程信息与预设进程黑白名单进行匹配包括：

如果所述进程信息与所述预设进程黑名单中的进程信息匹配，则确定被所述进程信息所对应的进程变更的网页文件为威胁文件；

如果所述进程信息与所述预设进程白名单中的进程信息匹配，则确定被所述进程信息所对应的进程变更的网页文件为安全文件。

4.根据权利要求1所述的方法，其特征在于，所述预设WebShell特征规则包括正则表达式。

5.根据权利要求4所述的方法，其特征在于，将剩余文件信息与预设WebShell特征规则进行匹配，确定所述剩余文件信息所对应的网页文件是否为WebShell文件包括：

将所述剩余文件信息与所述正则表达式进行匹配；

如果所述剩余文件信息与所述正则表达式匹配，则确定所述剩余文件信息所对应的网页文件为WebShell文件；

如果所述剩余文件信息与所述正则表达式不匹配，则确定所述剩余文件信息所对应的网页文件不是WebShell文件。

6.根据权利要求1所述的方法，其特征在于，所述中心端与所述检测终端之间的通信协议包括：HTTP协议，且所述中心端与所述检测终端之间的通信数据为加密数据。

7.一种基于文件来源快速检测WebShell的装置，其特征在于，应用于检测终端，包括：

监听并获取模块，用于监听网页文件的变更行为，并获取变更所述网页文件的变更文件进程信息，其中，所述变更文件进程信息包括：文件信息和进程信息；

第一匹配模块，用于将所述进程信息与预设进程黑白名单进行匹配，根据匹配结果确定被所述进程信息所对应的进程变更的网页文件是否为威胁文件，其中，所述预设进程黑白名单为用户通过中心端配置的，所述中心端与所述检测终端通信连接；

第二匹配模块，用于将剩余文件信息与预设WebShell特征规则进行匹配，确定所述剩余文件信息所对应的网页文件是否为WebShell文件，其中，所述剩余文件信息为所述变更文件进程信息中，与所述预设进程黑白名单不匹配的进程信息所对应的文件信息，所述预设WebShell特征规则为用户通过中心端配置的；

显示模块，将所述网页文件是否为威胁文件和所述网页文件是否为WebShell文件的检测结果发送至所述中心端，以使所述中心端显示所述检测结果；

更新模块，用于根据所述检测结果对所述预设进程黑白名单进行更新，以便进行后续的检测。

8.根据权利要求7所述的装置，其特征在于，所述监听并获取模块还用于：

通过钩子函数获取变更所述网页文件的变更文件进程信息。

9.一种电子设备，其特征在于，包括存储器、处理器，所述存储器上存储有可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现上述权利要求1至6中任一项所述的方法的步骤。