CN101620620B - 分析网页方法和装置 - Google Patents

分析网页方法和装置 Download PDF

Info

Publication number
CN101620620B
CN101620620B CN200910090773.2A CN200910090773A CN101620620B CN 101620620 B CN101620620 B CN 101620620B CN 200910090773 A CN200910090773 A CN 200910090773A CN 101620620 B CN101620620 B CN 101620620B
Authority
CN
China
Prior art keywords
webpage
output
analysis
function
resolver
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Expired - Fee Related
Application number
CN200910090773.2A
Other languages
English (en)
Other versions
CN101620620A (zh
Inventor
王新颖
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Chengdu Huawei Technology Co Ltd
Original Assignee
Huawei Symantec Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huawei Symantec Technologies Co Ltd filed Critical Huawei Symantec Technologies Co Ltd
Priority to CN200910090773.2A priority Critical patent/CN101620620B/zh
Publication of CN101620620A publication Critical patent/CN101620620A/zh
Application granted granted Critical
Publication of CN101620620B publication Critical patent/CN101620620B/zh
Expired - Fee Related legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Landscapes

  • Information Transfer Between Computers (AREA)

Abstract

本发明实施例提供了一种分析网页方法和装置。该方法包括:将欲分析的网页中的运行函数替换为输出函数;通过调用所述输出函数,输出所述网页的内容;分析输出的所述网页的内容,确定所述网页是否为恶意网页。通过将网页中的运行函数替换为输出函数进行解密,实现了即时分析网页是否是恶意网页。

Description

分析网页方法和装置 
技术领域
本发明实施例涉及网络技术,特别涉及一种分析网页方法和装置。 
背景技术
随着互联网时代网络应用不断扩展,在为互联网用户提供越来越便利的服务的同时也带了了很多安全性的隐患。目前,以经济利益为驱动的恶意事件越来越多,网页挂马的形势也越来越严峻。网民中无论家庭用户、企业用户还是政府用户,都无法区分出有恶意链接或已经被挂马的网站,被种木马病毒,从而导致邮箱、银行、证券、IM工具等账号被盗,导致直接或间接的经济损失。 
目前绝大多数挂马的恶意网页都采用了脚本加密变形的技术,加密后的网页无法直接用特征比对的方式来进行分析判断,因此就不能使用传统杀毒软件分析用户浏览的网页是否是恶意的。现在针对恶意网页的分析一般使用沙箱检测的方法进行行为判断,既先下载网页并将该网页放在浏览器中运行,然后监测浏览器的行为,比如是否有写入注册表的动作,是否有下载运行的动作等来判断网页的合法性。 
在实现本发明过程中,发明人发现现有技术中至少存在如下问题:采用沙箱检测的方法进行分析网页是否是恶意网页时,需要先下载网页并通过浏览器运行该网页,根据浏览器的行为判断网页是否合法,因此,不能即时分析是否是恶意网页。 
发明内容
本发明实施例提供了一种分析网页方法和装置,以实现对网页是否为恶意网页进行即时分析。 
本发明实施例提供了一种分析网页方法,其中包括: 
将欲分析的网页中的运行函数替换为输出函数; 
通过调用所述输出函数,输出所述网页的内容; 
分析输出的所述网页的内容,确定所述网页是否为恶意网页; 
所述欲分析的网页为采用脚本加密的网页;所述通过调用所述输出函数,输出所述网页的内容包括:加载解析器,采用所述解析器对所述欲分析的网页进行解密过程中,调用所述输出函数输出解密后的所述网页的内容。 
本发明实施例提供了一种分析网页装置,其中包括: 
处理模块,用于将欲分析的网页中的运行函数替换为输出函数; 
输出模块,用于通过调用所述输出函数,输出所述网页的内容;所述输出模块包括:加载模块,用于加载解析器;解密模块,用于采用所述解析器对所述欲分析的网页进行解密;输出子模块,用于在解析器对所述欲分析的网页进行解密过程中,调用所述输出函数输出解密后的所述网页的内容。 
分析模块,用于分析输出的所述网页的内容,确定所述网页是否为恶意网页。 
由以上技术方案可知,本发明实施例提供的一种分析网页方法和装置,通过将欲分析的网页中的运行函数替换为输出函数,通过输出网页内容并分析,确定该网页是否是恶意网页,实现了对网页是否为恶意网页的即时分析。 
附图说明
图1为本发明分析网页方法实施例一流程图; 
图2为本发明分析网页方法实施例二流程图; 
图3为本发明分析网页方法实施例三流程图; 
图4为本发明分析网页装置实施例一结构示意图; 
图5为本发明分析网页装置实施例二结构示意图。 
具体实施方式
下面通过具体实施例并结合附图对本发明做进一步的详细描述。 
图1为本发明分析网页方法实施例一流程图。如图1所示,本发明实施例提供了一种分析网页方法,该方法包括: 
步骤100、将欲分析的网页中的运行函数替换为输出函数; 
步骤101、通过调用输出函数,输出网页的内容; 
步骤102、分析输出的网页的内容,确定网页是否为恶意网页。 
由以上技术方案可知,本发明实施例提供的分析网页方法,通过将欲分析的网页中的运行函数替换为输出函数,并由输出函数将该网页的内容输出并最终分析该网页是否是恶意网页。本发明实施例提供的分析网页方法无需通过浏览器运行该网页来进行行为判断,实现了即时分析网页是否是恶意网页。 
图2为本发明分析网页方法实施例二流程图。本实施例的网页采用脚本加密,如图2所示,本发明实施例提供了一种分析网页方法,该方法包括: 
步骤200、采用字符串替换的方式将欲分析的网页中的运行函数替换为输出函数。 
现有技术中将加密后的网页通过解析器解密,解密后的网页就通过浏览器直接运行。而本发明实施例仅想得到脚本加密的网页解密后的内容,只是希望将网页解密后的内容输出而不是将网页中的内容在浏览器中运行。经过分析发现,网页如果能在浏览器中运行,那么至少需要一个关键的脚本运行函数,该运行函数用于将网页传递到浏览器中解密运行。因此通过步骤200将欲分析的网页中的运行函数替换为自定义的拥有输出功能的输出函数,例如,可以通过函数劫持的方法将运行函数替换为输出函数,即用字符串替换的方式将欲分析的网页中的运行函数替换为输出函数。也就是说,通过将运行函数替换为输出函数,网页解密后就由输出函数将解密后的网页的内容输出,而不是将解密后的网页的内容发送到浏览器中运行。 
步骤201、加载解析器。 
对于采用脚本语言加密的网页和通常接触的数据加密技术不同,脚本语言是一种解释语言,解密的代码和加密密钥都是以明文形式存在于网页里面,也就是说解密函数是已经存在于脚本加密的网页中,该解密函数可以轻易的 获得。在具体实现过程中,在用户在浏览器中输入网址时,浏览器将获得用户指定的网页信息,通过分析确定用户指定要浏览的网页是否是通过脚本加密的网页,如果网页是通过脚本加密的,则加载解析器。其中,步骤201也可以在步骤200之前执行,本发明实施例对步骤200和步骤201的执行顺序不做限制。 
步骤202、采用解析器对欲分析的网页进行解密。 
具体为,将通过字符串方式替换处理过的网页放入解析器中运行解密,解析器可以调用脚本加密的网页中自带的解密函数对该网页自身进行解密。在运行解密的过程中,当解析器调用运行函数时,转为调用输出函数。也就是说,经过字符串替换处理过的网页,在解析器运行过程中,不再调用运行函数,而是调用输出函数,将解析器解密后的网页的内容输出。在解析器解密脚本加密的网页时,由于不再调用运行函数,解密后的网页就不会被送到浏览器中运行。 
步骤203、通过特征比对的方法分析输出的网页的内容,确定网页是否为恶意网页。 
具体为,输出的网页的内容通过解析器解密后,可以通过特征比对的方法,将解密后输出的网页内容进行特征比对分析,如果解密后输出的网页内容中含有恶意代码,就确认该网页就是恶意网页,则阻止用户浏览该网页。也就是说,可以通过特征比对的方法分析由输出函数输出的解密的网页内容是否有恶意代码从而判断网页是否是恶意网页,如果网页是恶意网页,则阻止用户浏览该网页;如果网页不是恶意网页,则允许用户浏览该网页。阻止用户浏览的方法可以是通过网关或软件将传输的数据流截断;或者通过以弹出警告信息的形式,提醒用户网页是恶意网页。 
下面以JavaScript脚本语言加密的网页为例,对本发明实施例作进一步的解释。其中eval()、document.write()为脚本加密的网页的运行函数,用于将用户指定要浏览的网页发送到浏览器中运行,函数myout()是自定义的 输出函数,用于输出解密后的网页内容。首先,获取用户要浏览的网页,如果该网页是通过脚本加密,则加载解析器用于解密该网页;其次,如果在网页中查找到上述两个运行函数eval()、document.write(),则使用字符串替换方式替换为myout()输出函数;然后再将通过字符串替换方式处理过的网页放在JavaScript脚本解析器(采用开源的spidermonkey解析器)中运行解密。在解析器的解密过程中,当运行到调用运行函数时,转为调用myout()输出函数,既将解密后的网页内容以参数形式传递给myout()输出函数,而不是传递给eval()、document.write()运行函数。解析器通过调用网页自带的解密函数解密运行完毕后,通过myout()输出函数输出的内容就是解密后的网页内容;最后,通过特征比对的方法分析通过myout()输出函数输出的解密后的网页内容是否是恶意网页,如果是恶意网页,则阻止用户浏览该网页;如果网页不是恶意网页,则允许用户浏览该网页。 
本发明实施例一提供的方法可以应用在终端软件上,在浏览器中安装能够实现上述网页分析方法的插件。当用户通过浏览器上网浏览网页时,通过本实施例所提供的方法判断所浏览的网页中是否有恶意代码,如果有恶意代码,则拦截屏蔽该网页,阻止用户浏览。 
本发明实施例提供的分析网页方法,通过将欲分析的网页中的运行函数替换为输出函数,并利用解析器解密处理后的网页,在分析网页的过程中无需浏览器运行网页并根据浏览器的行为来判断网页是否是恶意网页,解决了利用沙箱检测技术产生的需要将网页下载并运行问题,实现了即时分析网页是否是恶意网页的功能。同时,通过解析器调用网页自带的解密函数解密脚本加密的网页,解决了对脚本语言加密后的网页进行解密的问题,实现了利用解析器去解密脚本加密的网页,使网页解密过程更加简单。 
图3为本发明分析网页方法实施例三流程图。本实施例的网页以采用脚本加密的网页为例,如图3所示,该方法可以应用于大规模的分析平台上,可以对分析平台中保存的大量预分析的网页进行分析,具体步骤包括: 
步骤300、加载解析器。 
步骤301、采用字符串替换的方式将欲分析的网页中的运行函数替换为输出函数。 
对分析平台中的欲分析的网页通过字符串替换的方式,将每个网页中的运行函数替换为输出函数,以便通过输出函数输出网页的内容。其中,本实施例对步骤300和步骤301的先后顺序不做限制。 
步骤302、将欲分析的网页放入解析器中运行,解析器调用欲分析的网页自带的解密函数对欲分析的网页解密。 
每个网页中的运行函数替换为输出函数后,将这些网页放入解析器中运行解密,并通过调用输出函数输出解密后的网页内容。 
步骤303、通过特征比对的方法分析解密后输出的网页的内容,确定网页是否为恶意网页。 
通过特征比对的方法,分析由输出函数输出的解密后的网页的内容。如果网页是恶意网页,则阻止用户浏览该网页;如果网页不是恶意网页,则允许用户浏览。 
步骤304、保存恶意网页的链接。 
由于大规模的分析平台可以分析大量的网页,利用解析器对这些网页进行解密后,通过特征比对对解密后的网页进行分析判断。如果网页是恶意网页,则将该网页的网页链接保存,最终形成一个包括大批量的恶意网页链接的库文件。该库文件可以作为判断网页是否是恶意网页的依据。当用户浏览网页时,如果用户浏览的网页链接为库文件中保存的网页链接,则阻止用户浏览该网页。该库文件可以提供给安全网关、防火墙和UTM等设备,用于即时拦截或统计,最终阻止用户浏览库中保存的恶意网页链接。 
本发明实施例提供的分析网页方法,在大规模分析平台对大批量网页进行检查时,实现了对网页进行即时分析。同时,将全部的恶意网页链接保存,在检测过程中,对于已经保存的恶意网页链接无需再进行检测,可 以方便对用户浏览的网页进行检查鉴别。 
本领域普通技术人员可以理解:实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成,前述的程序可以存储于一计算机可读取存储介质中,该程序在执行时,执行包括上述方法实施例的步骤;而前述的存储介质包括:ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。 
图4为本发明分析网页装置实施例一结构示意图。如图4所示,本发明实施例提供的一种分析网页装置,该装置包括: 
处理模块1,用于将欲分析的网页中的运行函数替换为输出函数。 
其中,处理模块1查找出网页中的运行函数,并用字符串替换的方式,将该网页中的运行函数替换为输出函数。 
输出模块2,用于通过调用输出函数,输出网页的内容。 
其中,输出模块2接收到处理模块1处理过的网页后,对网页进行分析。当输出模块2运行到调用运行函数的位置时,转为调用输出函数,即将网页以参数的形式传递给输出函数,并由输出函数输出网页的内容。 
分析模块3,用于分析输出的网页的内容,确定网页是否为恶意网页。 
其中,分析模块3通过特征比对的方法分析输出模块2输出的网页的内容,如果网页中含有恶意代码,则认定该网页为恶意网页,阻止用户浏览该网页。 
本发明实施例提供的分析网页装置,通过处理模块将网页中的运行函数替换为输出函数,在分析网页的过程中,无需将网页放入浏览器中运行,根据浏览器的行为来判断该网页是否是恶意网页,解决了利用沙箱检测技术需要先下载并运行网页不能即时分析网页的问题,实现了即时分析网页是否是恶意网页的功能。 
图5为本发明分析网页装置实施例二结构示意图。如图5所述,本实施例可以以上述分析网页装置实施例一为基础,其区别在于,输出模块2可以 包括:加载模块21,用于加载解析器;解密模块22,用于采用解析器对欲分析的网页进行解密;输出子模块23,用于调用输出函数输出解密后的网页的内容。 
该分析网页装置还可以包括:存储模块4,用于保存恶意网页的链接。 
在分析网页的过程中,处理模块1将欲分析的网页中的运行函数替换为输出函数;加载模块21则加载解析器,用于对处理模块1处理过的欲分析的网页进行解密;解密模块22通过调用加载模块21加载的解析器,由解析器利用欲分析的网页本身自带的解密函数解密该网页;输出子模块23则将解密模块22解密后的网页内容通过调用输出函数将其输出给分析模块3。分析模块3通过特征比对的方法分析输出子模块23输出的网页的内容,确定该网页是否是恶意网页,如果该网页是恶意网页,则阻止用户浏览。存储模块4将分析模块3确认的所有恶意网页的链接保存,最终形成一个包括大批量的恶意网页链接的库文件。该库文件可以作为判断网页是否是恶意网页的依据。当用户浏览网页时,如果用户浏览的网页链接为库文件中保存的网页链接,则阻止用户浏览该网页。 
本发明实施例提供的分析网页装置,通过设置加载模块,可以通过解析器解密脚本加密的网页;通过将设置存储模块,实现在大规模分析平台中保存所有恶意网页链接,在检测过程中,对于已经保存的恶意网页链接无需再进行检测,可以方便对用户浏览的网页进行检查鉴别。 
最后应说明的是:以上实施例仅用以说明本发明的技术方案,而非对其限制;尽管参照前述实施例对本发明进行了详细的说明,本领域的普通技术人员应当理解:其依然可以对前述各实施例所记载的技术方案进行修改,或者对其中部分技术特征进行等同替换;而这些修改或者替换,并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。 

Claims (7)

1.一种分析网页方法,其特征在于,包括:
将欲分析的网页中的运行函数替换为输出函数;
通过调用所述输出函数,输出所述网页的内容;
分析输出的所述网页的内容,确定所述网页是否为恶意网页;
所述欲分析的网页为采用脚本加密的网页;
所述通过调用所述输出函数,输出所述网页的内容包括:
加载解析器,采用所述解析器对所述欲分析的网页进行解密过程中,调用所述输出函数输出解密后的所述网页的内容。
2.根据权利要求1所述的方法,其特征在于,所述将欲分析的网页中的运行函数替换为输出函数包括:
采用字符串替换的方式将所述欲分析的网页中的运行函数替换为输出函数。
3.根据权利要求1所述的方法,其特征在于,所述采用所述解析器对所述欲分析的网页进行解密包括:
将所述欲分析的网页放入所述解析器中运行,所述解析器调用所述欲分析的网页自带的解密函数对所述欲分析的网页解密。
4.根据权利要求1所述的方法,其特征在于,所述分析输出的所述网页的内容,确定所述网页是否为恶意网页,包括:
通过特征比对的方法分析输出的所述网页的内容,确定所述网页是否为恶意网页。
5.根据权利要求1所述的方法,其特征在于,如果所述网页确定是恶意网页,所述方法还包括:
保存所述恶意网页的链接。
6.一种分析网页装置,其特征在于,包括:
处理模块,用于将欲分析的网页中的运行函数替换为输出函数;
输出模块,用于通过调用所述输出函数,输出所述网页的内容;
分析模块,用于分析输出的所述网页的内容,确定所述网页是否为恶意网页;所述输出模块包括:
加载模块,用于加载解析器;
解密模块,用于采用所述解析器对所述欲分析的网页进行解密;
输出子模块,用于在解析器对所述欲分析的网页进行解密过程中,调用所述输出函数输出解密后的所述网页的内容。
7.根据权利要求6所述的装置,其特征在于,还包括:
存储模块,用于保存所述恶意网页的链接。
CN200910090773.2A 2009-08-06 2009-08-06 分析网页方法和装置 Expired - Fee Related CN101620620B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN200910090773.2A CN101620620B (zh) 2009-08-06 2009-08-06 分析网页方法和装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN200910090773.2A CN101620620B (zh) 2009-08-06 2009-08-06 分析网页方法和装置

Publications (2)

Publication Number Publication Date
CN101620620A CN101620620A (zh) 2010-01-06
CN101620620B true CN101620620B (zh) 2011-04-06

Family

ID=41513859

Family Applications (1)

Application Number Title Priority Date Filing Date
CN200910090773.2A Expired - Fee Related CN101620620B (zh) 2009-08-06 2009-08-06 分析网页方法和装置

Country Status (1)

Country Link
CN (1) CN101620620B (zh)

Families Citing this family (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102375951B (zh) * 2011-10-18 2014-07-23 北龙中网(北京)科技有限责任公司 网页安全检测方法和系统
CN105791293B (zh) * 2012-11-07 2019-05-24 北京奇虎科技有限公司 多核浏览器中恶意网址拦截方法和装置
CN104008331A (zh) * 2013-02-21 2014-08-27 腾讯科技(深圳)有限公司 一种恶意网站的访问方法、装置和系统
CN104834589A (zh) * 2014-02-11 2015-08-12 腾讯科技(深圳)有限公司 一种网页检测方法及装置
CN104951700B (zh) * 2014-10-11 2018-11-06 腾讯科技(深圳)有限公司 网页漏洞检测方法和装置
CN107038377B (zh) * 2016-02-03 2021-04-27 创新先进技术有限公司 一种网站认证方法及装置、网站授信方法及装置
CN106572158A (zh) * 2016-11-01 2017-04-19 哈尔滨安天科技股份有限公司 一种利用心跳线监测网站首页被恶意替换的系统及方法
CN111898128B (zh) * 2020-08-04 2024-04-26 北京丁牛科技有限公司 一种针对跨站脚本攻击的防御方法及装置

Also Published As

Publication number Publication date
CN101620620A (zh) 2010-01-06

Similar Documents

Publication Publication Date Title
CN101620620B (zh) 分析网页方法和装置
US7975308B1 (en) Method and apparatus to secure user confidential data from untrusted browser extensions
CN108595989B (zh) 一种iOS下移动APP安全防护系统及方法
CN104484599B (zh) 一种基于应用程序的行为处理方法和装置
CN112287372B (zh) 用于保护剪贴板隐私的方法和装置
CN110933063B (zh) 数据加密方法、数据解密方法及设备
CN105631359A (zh) 一种网页操作的控制方法和装置
CN104063673B (zh) 一种在浏览器中进行信息输入的方法和浏览器装置
CN102467628A (zh) 一种基于浏览器内核拦截技术的数据保护方法
CN109409045A (zh) 浏览器自动登录账号安全保护方法和装置
CN104182681B (zh) 基于hook的iOS系统关键行为检测装置和方法
WO2020177430A1 (zh) 应用加固的方法、装置、计算设备及计算机存储介质
CN109241707A (zh) 应用程序的混淆方法、装置和服务器
CN105574146A (zh) 网址拦截方法及装置
CN104751054A (zh) 恶意程序的识别方法及装置、移动终端
CN106844185A (zh) 一种日志文件的存储方法及装置
CN108319822B (zh) 一种保护网页代码的方法、存储介质、电子设备和系统
CN108416224B (zh) 一种数据加解密方法及装置
CN106203130B (zh) 一种基于智能动态驱动层的透明加解密方法
CN106326733A (zh) 管理移动终端中应用的方法和装置
Lee et al. Classification and analysis of security techniques for the user terminal area in the internet banking service
CN104182691B (zh) 数据保密方法及装置
Di et al. A hardware threat modeling concept for trustable integrated circuits
CN100543762C (zh) 基于硬件环境的计算机辅助设计数据加密保护方法
CN104869170B (zh) 针对uc浏览器加密数据文件的解密方法

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant
C56 Change in the name or address of the patentee

Owner name: HUAWEI DIGITAL TECHNOLOGY (CHENGDU) CO., LTD.

Free format text: FORMER NAME: CHENGDU HUAWEI SYMANTEC TECHNOLOGIES CO., LTD.

CP03 Change of name, title or address

Address after: 611731 Chengdu high tech Zone, Sichuan, West Park, Qingshui River

Patentee after: HUAWEI DIGITAL TECHNOLOGIES (CHENG DU) Co.,Ltd.

Address before: High tech Park No. 88 University of Electronic Science and technology of Sichuan province 611731 Chengdu Tianchen Road

Patentee before: CHENGDU HUAWEI SYMANTEC TECHNOLOGIES Co.,Ltd.

TR01 Transfer of patent right
TR01 Transfer of patent right

Effective date of registration: 20220906

Address after: No. 1899 Xiyuan Avenue, high tech Zone (West District), Chengdu, Sichuan 610041

Patentee after: Chengdu Huawei Technologies Co.,Ltd.

Address before: 611731 Qingshui River District, Chengdu hi tech Zone, Sichuan, China

Patentee before: HUAWEI DIGITAL TECHNOLOGIES (CHENG DU) Co.,Ltd.

CF01 Termination of patent right due to non-payment of annual fee
CF01 Termination of patent right due to non-payment of annual fee

Granted publication date: 20110406