[发明专利]webshell检测方法、装置、电子设备和存储介质

权利要求书

1.一种webshell检测方法，包括：

解析PHP 源代码，得到token序列和字符串常量序列，其中，所述解析PHP 源代码，得到token序列和字符串常量序列，包括：

对所述PHP 源代码进行词法分析和语法分析，生成抽象语法树；

遍历所述抽象语法树，提取控制流；

对所述控制流进行控制流分析，得到操作序列；

对所述操作序列进行解析，得到所述token序列和所述字符串常量序列；其中，所述token序列包括：变量名、函数名、数值常量和字符串常量；

对所述token序列进行符号化，得到符号化后的所述token序列，其中，所述对所述token序列进行符号化，包括：

将所有所述变量名映射为第一标识并添加第一独立索引；

将所有所述函数名映射为第二标识并添加第二独立索引；

将所有所述数值常量映射为第三标识；

将所有所述字符串常量用stringLiteral取代；

将所述符号化后的所述token序列向量化，得到token序列特征向量；将所述字符串常量序列向量化，得到字符串常量序列特征向量；

使用webshell检测模型对所述token序列特征向量和所述字符串常量序列特征向量进行处理，得到webshell检测结果，其中，所述webshell检测模型包括：

深度金字塔卷积神经网络层，循环神经网络层和全连接层；

所述使用webshell检测模型对所述token序列特征向量和所述字符串常量序列特征向量进行处理，得到webshell检测结果，包括：

使用所述深度金字塔卷积神经网络层对所述token序列特征向量进行处理，得到处理后的所述token序列特征向量；

使用所述循环神经网络层对所述字符串常量序列向量进行处理，得到处理后的所述字符串常量序列向量；

将所述处理后的所述token序列向量和所述处理后的所述字符串常量序列向量拼接，得到总特征向量；

将所述总特征向量输入所述全连接层，得到所述webshell检测结果。

2.根据权利要求1所述的webshell检测方法，其中，所述将所述符号化后的所述token序列向量化，得到token序列特征向量，包括：

使用fasttext方法通过字粒度的n-grams表示所述符号化后的所述token序列。

3.根据权利要求2所述的webshell检测方法，其中，所述循环神经网络层由基于门循环单元和注意力机制的循环神经网络组成。