[发明专利]一种webshell识别方法、装置及计算机可读存储介质

权利要求书

1.一种webshell识别方法，其特征在于，包括以下步骤：

获取站点入口流量信息，根据所述站点入口流量信息对站点资源属性进行统计，获取资源属性数据；所述资源属性数据包括访问该资源的IP数量、资源访问频率、资源访问总量、关联资源、请求头部类型数量、响应头部类型数量、Cookie参数统计、User-Agent数量、请求方法统计、请求负载类型、响应负载类型、请求负载内容熵值、响应负载内容熵值及负载内容是否存在高危代码函数；

将所述资源属性数据展开，以所述资源属性数据的总类型数为多维向量的维度，以请求数量作为对应向量的值，形成多维向量数据，对多维向量数据进行数据归一化及正规化处理，得到处理后的多维向量数据；

对所述处理后的多维向量数据进行降维，得到降维后的特征向量，对所述特征向量进行聚类，并根据聚类结果获取webshell识别结果。

2.根据权利要求1所述的webshell识别方法，其特征在于，根据所述站点入口流量信息对站点资源属性进行统计，获取资源属性数据，具体包括：以一个HTTP请求响应为单位，对站点入口流量信息中站点资源属性进行逐条统计，获取资源属性数据。

3.根据权利要求2所述的webshell识别方法，其特征在于，根据站点入口流量信息对站点资源属性进行逐条统计，具体包括：根据站点入口流量信息对响应为200的站点资源的属性进行逐条统计。

4.根据权利要求1所述的webshell识别方法，其特征在于，对多维向量数据进行数据归一化及正规化处理，得到处理后的多维向量数据，具体包括：对多维向量数据进行数据归一化及正规化处理，并将每个URL的各类属性向量进行拼接，得到处理后的多维向量数据。

5.根据权利要求1所述的webshell识别方法，其特征在于，对所述处理后的多维向量数据进行降维，得到降维后的特征向量，对所述特征向量进行聚类，具体包括：对所述处理后的多维向量数据进行PCA降维，得到降维后的特征向量，利用DBSCAN聚类对所述特征向量进行聚类。

6.根据权利要求1所述的webshell识别方法，其特征在于，所述特征向量包括是否有关联页面特征、请求头响应头特征、请求数量特征、请求体响应体内容特征和Cookie特征。

7.一种webshell识别装置，其特征在于，包括处理器以及存储器，所述存储器上存储有计算机程序，所述计算机程序被所述处理器执行时，实现如权利要求1-6任一所述的webshell识别方法。

8.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机该程序被处理器执行时，实现如权利要求1-6任一所述的webshell识别方法。