[发明专利]一种基于RNN的Webshell检测方法及装置

权利要求书

1.一种基于RNN的Webshell检测方法，其特征在于，包括以下步骤：

S1、通过预设方法对源文件进行预处理，获取关键词；

S2、采用预设法则构建门控循环单元GRU模型，并进行训练；

S3、通过所述门控循环单元GRU模型对所述源文件进行判别；

其中，所述S1通过预设方法对源文件进行预处理，获取关键词具体包括以下步骤：

S11、通过预设切词对所述源文件进行切分处理，得到切词结果；

S12、采用词频-逆文档频率TF-IDF算法来对所述切词结果进行关键词提取，得到关键词，所述词频-逆文档频率TF-IDF算法的计算公式为：

式中，i表示词，j表示文档，tf_i，j表示词i在文档j中出现的频率，df_i表示包含词i的文档数，N表示文档总数；

所述S2采用预设法则构建门控循环单元GRU模型，并进行训练具体包括以下步骤：

S21、获取所述门控循环单元GRU模型的重置门及更新门的计算方程，所述重置门的计算方程为：

所述更新门的计算方程为：

式中，σ表示sigmoid函数，值域为[0，1]，分别对应于各个门，x表示输入，h表示某时刻的输出，t表示时间，取值范围[1，T]，l表示层，取值范围[1，L]，W和U分别表示对应的权值矩阵；

S22、依据所述重置门及更新门的计算方程来获取所述门控循环单元GRU模型的输出计算方程，所述门控循环单元GRU模型的输出计算方程为：

式中，符号⊙表示对应元素相乘，σ表示sigmoid函数，值域为[0，1]，分别对应于各个门，x表示输入，h表示某时刻的输出，t表示时间，取值范围[1，T]，l表示层，取值范围[1，L]，W和U分别表示对应的权值矩阵；

所述S3通过所述门控循环单元GRU模型对所述源文件进行判别具体包括以下步骤：

S31、向已训练的所述门控循环单元GRU模型中输入所述关键词；

S32、由所述门控循环单元GRU模型依据所述关键词来判别所述源文件是否为命令执行环境webshell。

2.根据权利要求1所述的一种基于RNN的Webshell检测方法，其特征在于，所述S1中在对所述源文件进行切分处理之前，保留有所述源文件中的所有信息。

3.根据权利要求2所述的一种基于RNN的Webshell检测方法，其特征在于，所述S11中的预设切词包括非字母字符和非数字字符，且所述非字母字符和所述非数字字符的字符串长度均介于3到15之间。

4.一种电子装置，其特征在于，所述电子装置包括存储器和处理器，所述存储器上存储有可在所述处理器上运行的基于RNN的Webshell检测程序，所述基于RNN的Webshell检测程序被所述处理器执行，以实现如权利要求1至3中任一项所述的基于RNN的Webshell检测方法的步骤。