CN102375951A - 网页安全检测方法和系统 - Google Patents

Abstract

本发明公开了一种网页安全检测方法和系统，方法包括：在浏览器启动时，初始化所述浏览器预先嵌入的浏览器嵌入插件；通过所述浏览器嵌入插件，控制所述浏览器逐一访问待测网页地址集中各待测的网页地址对应的网页；通过杀毒软件监控所述浏览器访问网页的过程，在所述杀毒软件捕获当前网页包括病毒、木马或恶意特征代码时触发报警，并记录报警日志；根据所述报警日志，生成相应网页的检测报告。本发明降低了网页安全检测的成本，提高了网页安全检测的完整性。

Description

网页安全检测方法和系统

技术领域

本发明涉及互联网安全技术，尤其涉及一种网页安全检测方法和系统。

背景技术

随着互联网的日益发展，互联网的市场价值越来越大，针对互联网用户的病毒传播和入侵现象越来越严重。有资料显示，我国各大网站木马数量急剧增加，2009年新增木马高达246万多个，是2008年的5.5倍，利用网页挂马已经成为互联网病毒传播的主要途径。

所谓网页挂马是指把一个木马程序上传到某个网页，然后用木马生成器生成一个网马，之后在网页上加代码使得木马在打开网页时运行。恶意木马通过网页挂马的方式将恶意特征代码强行嵌入到受攻击入侵的网页代码中，使得计算机用户很难识别这些已经被挂马的网页。一旦计算机用户访问这个含有恶意特征代码的网页，操作系统就会在后台按照这段恶意特征代码的指令进行一系列的破坏行为，诸如：跳转到指定的网络服务器下载木马、病毒等恶意程序等。当一个网站被挂马后，对这个网站的声誉影响是巨大的，可能造成网民对该网站的不信任，使客户大量流失。

防御网页挂马一方面需要网民加强自身计算机的安全防护，另一方面，也需要网站管理者加强网站监督管理。为此，可信网站服务推出了网页木马安全扫描服务，定期对客户网站进行安全扫描，如果发现网页挂马，通过短信和邮件在第一时间通知到用户，避免木马对用户网站产生不利影响。现有网页安全检测技术进行网页木马扫描时，通常是采用将待测网页抓取到本地，然后利用木马特征库进行特征值比对，从而判断该网页是否挂马。

发明人在实践现有技术的过程中发现，采用现有网页安全检测技术进行网页木马扫描，存在成本高、检测完整性不足等缺陷。例如：现有网页安全检测技术需要开发和维护木马特征库，当发现木马特征库中没有记录的新木马时，需要将新木马的特征及时添加到木马特征库中，否则检测系统可能无法识别；而开发和维护这样一个全面准确的木马特征库是需要耗费巨大的人力和物力，提供可信网站服务的普通厂商通常无法做到。又例如：某些嵌入网页的恶意特征代码通常需要结合浏览器的解析引擎或脚本(javascript)引擎才能发挥作用，而现有网页安全检测技术是将抓取页面下载到本地进行扫描检测，因此无法识别这些恶意特征代码。

发明内容

本发明提供一种网页安全检测方法和系统，用以降低网页安全检测成本，提高网页安全检测的完整性。

本发明提供一种网页安全检测方法，包括：

在浏览器启动时，初始化所述浏览器预先嵌入的浏览器嵌入插件；

通过所述浏览器嵌入插件，控制所述浏览器逐一访问待测网页地址集中各待测的网页地址对应的网页；

通过杀毒软件监控所述浏览器访问网页的过程，在所述杀毒软件捕获当前网页包括病毒、木马或恶意特征代码时触发报警，并记录报警日志；

根据所述报警日志，生成相应网页的检测报告。

本发明还提供一种网页安全检测系统，包括：

浏览器，用于访问网页；

插件控制器，用于在浏览器启动时，初始化所述浏览器预先嵌入的浏览器嵌入插件；通过所述浏览器嵌入插件，控制所述浏览器逐一访问待测网页地址集中各待测的网页地址对应的网页；

杀毒软件模块，用于通过杀毒软件监控所述浏览器访问网页的过程，在所述杀毒软件捕获当前网页包括病毒、木马或恶意特征代码时触发报警，并记录报警日志；

监控分析模块，用于根据所述报警日志，生成相应网页的检测报告。

本发明提供的网页安全检测方法和系统，充分利用了现有杀毒软件的病毒/木马特征库，无需单独开发相应特征库，因此降低了网页安全检测的成本；由于常用杀毒软件通常都支持病毒/木马特征库的实时更新，因此，基于实时更新的病毒/木马特征库进行网页安全检测，还有利于提高网页安全检测的准确性。此外，本发明将浏览器嵌入插件嵌入到浏览器内部，通过浏览器嵌入插件从底层直接控制浏览器逐一访问待测网页地址集中各待测的网页地址对应的网页，用以模拟用户通过浏览器访问网页的行为，这有利于杀毒软件捕获待测网页中嵌入的恶性特征代码，相对于现有技术而言安全检测更为全面，提高了网页安全检测的完整性。再者，由于嵌入浏览器的浏览器嵌入插件占用的内存小，运行速度较快，因此明显节省了浏览器访问待测网页地址对应网页所需的时间，提高了控制浏览器访问待测网页的效率，进而有利于提高待测网页的检测效率。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例一提供的网页安全检测方法的流程图；

图2为本发明实施例二提供的BHO插件获取IE浏览器行为的方法示意图；

图3为图2中BHO插件的内容示意图；

图4为图2中IE浏览器嵌入BHO插件的示意图；

图5a为本发明实施例三提供的网页安全检测系统的结构示意图；

图5b为本发明实施例三中模拟访问控制模块的结构示意图；

图6为本发明实施例四提供的网页安全检测方法的流程图；

图7为本发明实施例五提供的网页内容加载完成的确定方法流程图；

图8为本发明实施例五中网页元素之间存在嵌套关系示例；

图9为本发明实施例五中句柄比较示例；

图10为本发明实施例六提供的网页地址获取方法流程图；

图11为本发明实施例六中网络地址递归调用的示例。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有付出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明以下实施例的序号仅仅为了描述，不代表实施例的优劣。

图1为本发明实施例一提供的网页安全检测方法的流程图。如图1所示的方法包括：

步骤11：在浏览器启动时，初始化所述浏览器预先嵌入的浏览器嵌入插件。

浏览器启动时会检查该浏览器注册表中是否包括浏览器嵌入插件，并在浏览器注册表中包括浏览器嵌入插件时，浏览器会自动启动该浏览器嵌入插件，浏览器插件启动后进行初始化；初始化后的浏览器插件可监控浏览器的行为。

步骤12：通过所述浏览器嵌入插件，控制所述浏览器逐一访问待测网页地址集中各待测的网页地址对应的网页。

可选的，可通过所述浏览器打开所述待测网页地址集中首个待测的网页地址对应的网页；在确定所述浏览器完成关于当前打开网页对应的网页内容的加载、或者强制结束所述浏览器关于当前打开网页对应的网页内容的加载时，通过所述浏览器嵌入插件，向所述浏览器的接口函数中写入下一个待测的网页地址，用以控制所述浏览器打开与写入的待测的网页地址对应的网页；重复执行本步骤，直至控制所述浏览器打开所述待测网页地址集中各待测的网页地址对应的网页。

其中，网页地址集包括了待测的各网页地址。如果实际需要对某一网站进行全面安全检测，本步骤中的网页地址集可包括但不限于：某一网站下各网页地址以及每个网页包括的链接地址等。在浏览器初始化完成之后，通过浏览器打开网页地址集中的任一待测的网页地址的方法不受限制，例如：可向浏览器的地址栏中直接输入该待测网页地址，或者，可采用命令行的方式控制浏览器打开该待测网页地址，或者，可通过浏览器嵌入插件在该浏览器对外开放的接口函数中写入该待测网页地址；等等。其中，可根据预设策略确定网页地址集中的哪个待测的网页地址作为第一个被浏览器打开的网页地址。

浏览器打开某一网页地址对应的网页之后，会加载该网页的网页内容。如果浏览器完成该网页所有网页内容的加载，则表示浏览器正常结束该网页的网页内容的加载；如果某些网页内容复杂或存在错误，则浏览器可能耗费较长时间也不能完全加载该网页内容，则可强制结束浏览器对该网页剩余内容的记载。浏览器正常结束或被强制结束当前网页内容的加载时，可通过浏览器嵌入插件将网页地址集中的下一个待测网页地址写入该浏览器对外开放的接口函数，以控制浏览器打开与写入的网页地址对应的网页。采用上述方法，即可通过浏览器嵌入插件按顺序逐一将网页地址集中的待测网页地址写入浏览器，并控制浏览器按顺序逐一打开相应网页。

上述技术方案中，可在所述浏览器嵌入插件初始化过程中，向所述浏览器中注册浏览器嵌入插件的回调函数指针。

为了有效判断网页内容是否加载完毕，可选的，上述确定所述浏览器完成关于当前打开的网页地址对应的网页内容的加载，可包括：通过所述浏览器调用与所述回调函数指针指向的回调函数、并将所述第一操作事件包括的用于标识当前打开的网页地址的第一句柄，写入所述回调函数的相应参数；在所述浏览器每次触发与浏览器完成任一网页元素加载相关的第二操作事件时，通过所述浏览器调用与所述回调函数指针指向的回调函数、并将所述第一操作事件包括的用于标识相应网页元素加载完毕的第二句柄，写入所述回调函数的相应参数；通过所述浏览器插件解析所述回调函数以获取当前记录的所述第二句柄与所述第一句柄，且在当前获取的所述第二句柄与所述第一句柄相同时，确定所述浏览器完成关于当前打开的网页地址对应的网页内容的加载。采用该方法，浏览器嵌入插件就可自动判断浏览器是否完成当前网页内容的加载，有利于待测网页内容的全面检测；此外在浏览器完成当前网页内容的加载时，本发明还可及时控制浏览器打开下一待测网页地址对应的网页，从而可节省大量时间，进一步提高了控制浏览器访问待测网页的效率。

为了减少不必要等待时间，在上述技术方案的基础上，本发明提供了加载超时控制机制，例如：在所述浏览器打开任一网页地址对应的网页时，启动定时器；如果在所述定时器定时时长内确定所述浏览器完成关于当前打开的网页地址对应的网页内容的加载，则取消所述定时器。该情形下，所述强制结束所述浏览器关于当前打开的网页地址对应的网页内容的加载，可具体包括：如果所述定时器超时，则通过所述浏览器嵌入插件，强制结束所述浏览器关于当前打开的网页地址对应的网页内容的加载。

由于引入了加载超时控制机制，对于网页内容复杂或网页错误等原因导致浏览器长时间不能完成相应网页内容的加载时，可取消剩余网页内容部分的加载，并控制浏览器打开下一待测网页地址对应的网页，从而避免了用户不必要的等待，整体上节省浏览器打开网页地址集中各待测网页地址对应网页所需的时间，提高了控制浏览器访问待测网页的效率，进而有利于提高待测网页的检测效率。

为了获取待测网站或待测网页的各个链接地址，以提高检测的完整性和全面性，上述技术方案可在在所述浏览器每次触发与打开网页相应的第三操作事件时，通过所述浏览器调用所述回调函数指针指向的回调函数、将所述第三操作事件引用或跳转的网页地址写入所述回调函数的相应参数中，以及通过所述浏览器嵌入插件解析所述回调函数并记录解析结果，直至所述解析结果满足预设结束条件；所述解析结果包括：每次触发的与打开网页相应的操作事件引用或跳转的网页地址，以及多次记录的网页地址之间的递归调用关系；根据所述解析结果更新所述待测网页地址集。

步骤13：通过杀毒软件监控所述浏览器访问网页的过程，在所述杀毒软件捕获当前网页包括病毒、木马或恶意特征代码时触发报警，并记录报警日志。

目前市面上主流的杀毒软件都具有主动监控、主动防御和实时更新的功能，这类杀毒软件均可应用到本发明中。某些杀毒软件还具有云安全功能，可以更准确的分析待测网页或能判断出一些变种的木马或病毒，将这些杀毒软件应用到本发明中，有利于提高网页检测的完整性和准确性。

步骤14：根据所述报警日志，生成相应网页的检测报告。

检测报告可包括但不限于以下内容之一或任意组合：病毒类型、木马类型、报警时间、感染病毒的网页地址、挂有木马的网页地址等。

通过上述分析可知，本实施例充分利用了现有杀毒软件的病毒/木马特征库，无需单独开发相应特征库，因此降低了网页安全检测的成本；由于常用杀毒软件通常都支持病毒/木马特征库的实时更新，因此，基于实时更新的病毒/木马特征库进行网页安全检测，还有利于提高网页安全检测的准确性。此外，本实施例将浏览器嵌入插件嵌入到浏览器内部，通过浏览器嵌入插件从底层直接控制浏览器逐一访问待测网页地址集中各待测的网页地址对应的网页，用以模拟用户通过浏览器访问网页的行为，这有利于杀毒软件捕获待测网页中嵌入的恶性特征代码，相对于现有技术而言安全检测更为全面，提高了网页安全检测的完整性。再者，由于嵌入浏览器的浏览器嵌入插件占用的内存小，运行速度较快，因此明显节省了浏览器访问待测网页地址对应网页所需的时间，提高了控制浏览器访问待测网页的效率，进而有利于提高待测网页的检测效率。

图2为本发明实施例二提供的BHO插件获取IE浏览器行为的方法示意图。本实施例是以IE为浏览器，以浏览器辅助对象(Browser HelperObject)插件为浏览器嵌入插件为例，详细说明本发明的技术方案。

BHO是微软推出的作为浏览器对第三方程序员开放交互接口的业界标准，通过简单的代码就可以进入浏览器领域的“交互接口”(INTERACTIVED Interface)。通过这个接口，程序员可以编写代码获取浏览器的行为，比如“后退”、“前进”、“当前页面”等，利用BHO的交互特性，程序员还可以用代码控制浏览器行为，比如修改替换浏览器工具栏，添加自己的程序按钮等。BHO的目的是为了更好的帮助程序员打造个性化浏览器，以及为程序提供更简洁的交互功能，现在很多IE个性化工具就是利用BHO的来实现。

本实施例将BHO插件嵌入到IE浏览器内部，并在IE浏览器启动时将BHO插件的回调函数指针注册到IE浏览器中；当IE浏览器触发预设操作事件时，会调用回调函数指针指向的回调函数；BHO插件通过解析回调函数即可从底层直接获取浏览器需要访问的网页地址，从而建立正确的网页地址链。具体的如图2所示，本实施例BHO获取IE浏览器行为的方法包括：

步骤21：创建BHO插件，并将创建好的BHO插件嵌入到IE浏览器中。

图3为图2中BHO插件的内容示意图。如图3所示，BHO插件包括：BHO初始化函数、BHO回调函数和BHO写入注册表。其中，初始化函数用于在被嵌入的IE浏览器启动时自动启动BHO插件并进行初始化处理；BHO回调函数用于控制IE浏览器在触发预设的操作事件时作出预设响应；BHO写入注册表包括了帮助BHO控制IE浏览器所需的数据文件。

图4为图2中IE浏览器嵌入BHO插件的示意图。可将创建的BHO插件添加到IE浏览器的注册表中，如将BHO插件添加到IE浏览器的如下位置：

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects。

步骤22：IE浏览器启动。

步骤23：IE浏览器启动过程中发现IE浏览器注册表中包括BHO插件，执行步骤24。

步骤24：IE浏览器调用BHO插件的初始化函数，对BHO插件进行初始化处理。

在BHO插件的初始化过程中，IE浏览器通过调用BHO插件的初始化函数，注册BHO插件回调函数的函数指针。这样，当IE浏览器在运行过程中触发与函数指针对应的操作事件时会调用相应回调函数，将IE浏览器当前触发的操作事件包括的参数，写入当前调用回调函数的相应参数中。BHO插件由此可获知IE浏览器当前触发的操作事件是什么，并且BHO插件还可以获取IE浏览器当前触发的操作事件中包括的参数。

步骤25：IE浏览器根据外部指令执行具体操作，如访问某个网页等。

步骤26：当IE浏览器触发预设的操作事件时，IE浏览器调用BHO回调函数。

步骤27：BHO插件根据被调用的BHO回调函数捕获IE浏览器触发的操作事件，并根据BHO回调函数的设置执行相应操作。

步骤28：BHO回调函数执行完毕，返回步骤25，BHO插件继续监控IE浏览器的行为。

本实施例将BHO插件嵌入到IE浏览器内部，并在IE浏览器启动时将BHO插件的回调函数指针注册到IE浏览器中；当IE浏览器触发预设操作事件时，会调用回调函数指针指向的回调函数；BHO插件通过解析回调函数，即可从底层直接获取与浏览器访问行为相关的参数(如网页地址)，控制浏览器打开所需的网页；本实施例再结合使用现有的杀毒软件进行病毒捕获，即可实现低成本的网页在线安全检测。

图5a为本发明实施例三提供的网页安全检测系统的结构示意图。本实施例所示的网页安全检测系统可运行在某一服务器或某一虚拟服务器上。如图5a所示的网页安全检测系统包括：浏览器51、插件控制器52、杀毒软件模块53和监控分析模块54。

浏览器51用于访问网页。

插件控制器52可用于在浏览器51启动时，初始化所述浏览器51预先嵌入的浏览器嵌入插件；通过所述浏览器嵌入插件，控制所述浏览器51逐一访问待测网页地址集中各待测的网页地址对应的网页。在一种可选的应用示例中，待测网页地址集与待测网站相关，通过插件控制器52可控制浏览器51逐一访问某一待测网站的部分或各级网页。

杀毒软件模块53可用于通过杀毒软件监控所述浏览器访问网页的过程，在所述杀毒软件捕获当前网页包括病毒、木马或恶意特征代码时触发报警，并记录报警日志。

监控分析模块54可用于根据所述报警日志，生成相应网页的检测报告。监控分析模块54可将检测报告通知相应用户，以便用户对相应网页的病毒、木马或恶意特征代码进行清除等处理，从而尽可能减少这些病毒、木马或恶意特征代码对相应网页带来的不利影响。

可选的，插件控制器52可包括：初始化处理模块521和模拟访问控制模块522。初始化处理模块521可于在浏览器启动时，初始化所述浏览器预先嵌入的浏览器嵌入插件；模拟访问控制模块522可用于通过浏览器嵌入插件，控制所述浏览器逐一访问待测网页地址集中各待测的网页地址对应的网页。

在上述技术方案的基础上，所述初始化处理模块521还可用于在所述浏览器嵌入插件初始化过程中，向所述浏览器中注册浏览器嵌入插件的回调函数指针。

可选的，模拟访问控制模块522的具体结构可如图5b所示，包括：第一控制模块5222和第二控制模块5223。

第一控制模块5222可用于通过所述浏览器打开预先获取的网页地址集中的首个待测的网页地址。

第二控制模块5223可用于在确定所述浏览器完成关于当前打开的网页地址对应的网页内容的加载时、或者在强制结束所述浏览器关于当前打开的网页地址对应的网页内容的加载时，通过所述浏览器嵌入插件，向所述浏览器的接口函数中写入所述网页地址集中的下一个待测网页地址，用以触发所述第一控制模块控制所述浏览器打开与写入的网页地址对应的网页；重复运行本模块，直至控制所述浏览器打开所述网页地址集中各待测网页地址对应的网页。

可选的，模拟访问控制模块522还可包括：第一捕获处理模块5224、第二捕获处理模块5225和加载完成确定模块5226。

第一捕获处理模块5224可用于在所述浏览器触发与浏览器即将加载网页相关的第一操作事件时，通过所述浏览器调用与所述回调函数指针指向的回调函数、并将所述第一操作事件包括的用于标识当前打开的网页地址的第一句柄，写入所述回调函数的相应参数；通过所述浏览器嵌入插件解析所述回调函数以获取所述第一句柄。

第二捕获处理模块5225可用于通过所述浏览器调用与所述回调函数指针指向的回调函数、并将所述第一操作事件包括的用于标识相应网页元素加载完毕的第二句柄，写入所述回调函数的相应参数；通过所述浏览器嵌入插件解析所述回调函数以获取所述第二句柄。

加载完成确定模块5226可用于在当前获取的所述第二句柄与所述第一句柄相同时，确定所述浏览器完成关于当前打开的网页地址对应的网页内容的加载。

可选的，模拟访问控制模块522还可包括：定时模块5227、定时取消模块5228和加载取消模块5229。

定时模块5227可用于在所述浏览器打开任一网页地址对应的网页时，启动定时器。

定时取消模块5228可用于如果在所述定时器定时时长内确定所述浏览器完成关于当前打开的网页地址对应的网页内容的加载，则取消所述定时器。

加载取消模块5229可用于如果所述定时器超时，则通过所述浏览器嵌入插件，强制结束所述浏览器关于当前打开的网页地址对应的网页内容的加载。

本实施例可将浏览器嵌入插件嵌入到浏览器内部，浏览器嵌入插件可从底层直接控制浏览器需要访问的网页地址，不需要反复打开和关闭浏览器，并且由于嵌入浏览器的浏览器嵌入插件占用的内存小，运行速度较快，因此明显节省了浏览器访问待测网页地址对应网页所需的时间，提高了控制浏览器访问待测网页的效率，进而有利于提高待测网页的检测效率。本实施例还可通过浏览器嵌入插件对捕获的两类操作事件包括的句柄进行比较，能够有效判断网页内容是否加载完毕，有利于待测网页内容的全面检测；本实施例还引入了超时控制机制来减少用户不必要的等待时间，因此可及时控制浏览器打开下一待测网页地址对应的网页，从而可节省大量时间，进一步提高了控制浏览器访问待测网页的效率。

进一步的，插件控制器52还可包括：链接捕获模块523。链接捕获模块523可用于在所述浏览器每次触发与打开网页相应的第三操作事件时，通过所述浏览器调用所述回调函数指针指向的回调函数、将所述第三操作事件引用或跳转的网页地址写入所述回调函数的相应参数中，以及通过所述浏览器嵌入插件解析所述回调函数并记录解析结果，直至所述解析结果满足预设结束条件；根据所述解析结果更新所述待测网页地址集，所述解析结果包括：每次触发的与打开网页相应的操作事件引用或跳转的网页地址，以及多次记录的网页地址之间的递归调用关系。

本实施例提供的链接捕获模块，可通过浏览器嵌入插件从底层直接获取浏览器需要访问的网页地址，从而不需要识别采用各种网页引入技术编写的程序，因此可降低程序开发和维护成本，并提高了获取网页地址的成功率和完整性。此外，由于嵌入浏览器的浏览器嵌入插件占用的内存小，因此运行速度较快，从而提高了网页地址获取的效率，并提高了网页检测效率和检测完整性。

上述技术方案中，可选的，所述浏览器为IE浏览器，所述浏览器嵌入插件为浏览器辅助对象BHO插件；不同版本的IE浏览器标准操作事件的名称可能不同。此外，浏览器及其支持嵌入的浏览器嵌入插件，还可包括但不限于：火狐浏览器及其支持的嵌入插件，“Opera 浏览器及其支持的嵌入插件，“Chrome”浏览器及其支持的嵌入插件，“Safari”浏览器及其支持的嵌入插件等。

下面不妨以浏览器为IE浏览器(如IE6或IE7或IE8或IE9)，插件控制器为BHO插件为例，结合具体附图详细说明本发明的技术方案。

图6为本发明实施例四提供的网页安全检测方法的流程图。参见图5a-图6，本实施例提供的网页安全检测方法包括：

步骤61：确定首个待测的网页地址。

该待测的网页地址可为但不限于：某待测网站的首页地址，或者，某待测网站下的某一级网页的地址。

步骤62：BHO插件控制IE浏览器打开待测的网页地址对应的网页。

BHO插件可将当前待测的网页地址写入IE浏览器对外开放的接口函数，从而控制IE浏览器打开与写入的待测的网页地址对应的网页。

步骤63：IE浏览器加载当前待测的网页地址对应的网页内容，在IE浏览器加载网页内容时，并行执行步骤64和步骤69。

步骤64：BHO插件监控IE浏览器网页内容的加载情况，执行步骤65。

步骤65：BHO插件根据IE浏览器网页内容加载的监控结果，判断IE浏览器是否结束当前待测的网页地址对应网页的内容加载；如果是，则执行步骤66；否则，执行步骤64。

本步骤的具体实现方式，详见下文图7-图9对应实施例的记载。

步骤66：如果BHO插件在监控IE浏览器网页内容加载的过程中，捕获有当前待测的网页地址对应网页包括的各级链接地址，则并将这些链接地址作为新增的待测的网页地址添加到待测网页地址集。

本步骤的具体实现方式，详见下文图10-图11对应实施例的记载。

步骤67：BHO插件判断待测网页地址集是否包括未检测的待测的网页地址，如果是，则执行步骤68；否则，执行步骤612。

步骤68：BHO插件根据预设策略从待测网页地址集中选取一个未检测的待测的网页地址，并将选出的地址作为即将检测的下一待测的网页地址；执行步骤62。

步骤69：杀毒软件模块监控IE浏览器网页内容的加载情况。

步骤610：杀毒软件模块判断当前待测的网页地址对应的网页是否包含病毒、木马或恶意特征代码，如果是，则执行步骤611；否则，执行步骤69。

步骤611：杀毒软件模块触发报警，并记录报警日志。

步骤612：监控分析模块启动，对杀毒软件记录的报警日志进行分析，生成相应网页的检测报告。

步骤613：监控分析模块将检测报告通知给相应用户。

图7为本发明实施例五提供的网页内容加载完成的确定方法流程图。如图7所示的方法包括：

步骤71：IE浏览器打开网页地址集中的某个网页地址对应的网页；并行执行步骤72和步骤73。

步骤72：BHO插件启动定时器；执行步骤78。

步骤73：IE浏览器触发DISPID_NAVIGATECOMPLETE2事件，调用BHO插件的回调函数，并将该事件包括的与IE当前打开的网页地址对应的第一句柄，写入回调函数的相应参数。

本实施例中，假设第一操作事件为DISPID_NAVIGATECOMPLETE2事件，该事件是IE浏览器如IE6、IE7、IE8和IE9中与即将加载网页相关的标准操作事件。当IE浏览器每次打开任一网页时，会触发DISPID_NAVIGATECOMPLETE2事件，该事件表示IE浏览器即将加载当前打开该网页的网页内容，该事件包括有操作系统如WINDOWS操作系统分配的用于标识当前网页地址的第一句柄。

步骤74：IE浏览器加载当前网页地址对应的网页内容。

IE浏览器是以网页元素为单元加载网页内容的，网页元素的加载示例如图8所示。例如：网页元素也称为页面元素，可为网页中使用到的一切用于组织结构和表达内容的对象，其中，网页元素可包括组织结构中的：表格(布局)，层，导航条，链接等等；网页元素还可包括表达内容的：文字，图像，flash等等。每项网页元素的具体内容，根据不同浏览器的设置有所不同。

步骤75：在IE浏览器每完成一项网页元素的加载时，触发DISPID_DOCUMENTCOMPLETE事件，调用BHO插件的回调函数，并将该事件包括的用于标识相应网页元素加载完毕的第二句柄，写入回调函数的相应参数。

本实施例中，假设第二操作事件为DISPID_DOCUMENTCOMPLETE事件，该事件是IE浏览器如IE6、IE7、IE8和IE9中完成任一网页元素加载相关的标准操作事件。

如图8所示，网页元素之间存在嵌套关系。IE浏览器每次完成一项网页元素的加载，都会触发DISPID_NAVIGATECOMPLETE2事件，该事件表示IE浏览器完成某一网页元素加载，该事件包括有操作系统如WINDOWS操作系统分配的用于标识相应网页元素加载完毕的第二句柄。

步骤76：BHO插件对回调函数进行解析，获取回调函数相应参数记录的第一句柄和第二句柄；将当前获取的第二句柄与第一句柄进行比较，如果二者一致，BHO插件确定IE浏览器完成关于当前打开的网页地址对应的网页内容的加载，执行步骤77；否则，执行步骤75。

如果IE浏览器完成该网页所有网页元素的加载，其触发的DISPID_NAVIGATECOMPLETE2事件包括的第二句柄，就与DISPID_NAVIGATECOMPLETE2事件包括的第一句柄相同；否则，二者不同。基于此原理，本实施例IE浏览器在触发DISPID_NAVIGATECOMPLETE2事件时，将该事件包括的第二句柄写入其调用的回调函数相应参数；BHO插件在IE浏览器每次执行回调函数的过程中，对回调函数进行解析，得到回调函数当前记录的第一句柄和第二句柄，将首个第二句柄与第一句柄进行比较，根据比较结果确定当前网页的网页内容是否加载完毕，其句柄比较示例如图9所示。

BHO插件可采用但不限于预设变量并对该变量赋值的方式，记录第一句柄和第二句柄。在进行句柄比较时，相当于对该变量的不同参数进行比较。

步骤77：BHO插件取消定时器，并向IE浏览器的接口函数中写入网页地址集中的下一个待测网页地址，用以控制IE浏览器打开与写入的网页地址对应的网页，执行步骤71。

步骤78：在定时器没有取消时，BHO插件以预设时长为间隔，定期将当前时刻与定时器设置的超时时刻进行比较：如果当前时刻与定时器设置的超时时刻相同，BHO插件确定定时器超时，则执行步骤79；否则重复执行本步骤。

步骤79：BHO插件强制结束IE浏览器关于当前打开的网页地址对应的网页内容的加载；执行步骤77。

可选的，BHO插件可通过向IE浏览器发出结束网页内容加载的控制指令的方式，强制结束IE浏览器关于当前打开的网页地址对应的网页内容的加载。

本实施例可将BHO插件嵌入到IE浏览器内部，BHO插件可从底层直接控制IE浏览器需要访问的网页地址，不需要反复打开和关闭IE浏览器，并且由于嵌入IE浏览器的BHO插件占用的内存小，运行速度较快，因此明显节省了IE浏览器访问待测网页地址对应网页所需的时间，提高了控制IE浏览器访问待测网页的效率，进而有利于提高待测网页的检测效率。本实施例还可通过BHO插件对捕获的两类操作事件包括的句柄进行比较，能够有效判断网页内容是否加载完毕，有利于待测网页内容的全面检测；本实施例还引入了超时控制机制来减少用户不必要的等待时间，因此可及时控制IE浏览器打开下一待测网页地址对应的网页，从而可节省大量时间，进一步提高了控制浏览器访问待测网页的效率。

图10为本发明实施例六提供的网页地址获取方法流程图。如图10所示的方法包括：

步骤101：IE浏览器在网页加载过程中发现该网页有引用网页时，执行步骤102。

步骤102：IE浏览器触发“DISPID_BEFORENAVIGATE2”事件，将打开该事件引用或跳转的网页地址对应的网页。

本实施例假设第三操作事件为“DISPID_BEFORENAVIGATE2”事件，该事件是IE浏览器如IE6、IE7、IE8和IE9中与打开网页相应的标准操作事件。

步骤103：IE浏览器在触发“DISPID_BEFORENAVIGATE2”事件时，调用BHO插件回调函数指针指向的回调函数，并将“DISPID_BEFORENAVIGATE2”事件引用或跳转的网页地址，写入到回调函数的相应参数中。

步骤104：BHO插件解析回调函数中关于“DISPID_BEFORENAVIGATE2”事件相关的参数。

当IE浏览器触发“DISPID_BEFORENAVIGATE2”事件时，IE会调用回调函数，将当前触发的“DISPID_BEFORENAVIGATE2”事件引用或跳转的网页地，写入BHO插件的回调函数。BHO插件对回调函数进行解析并记录解析结果。

步骤105：BHO插件记录解析结果，该解析结果包括IE浏览器每次触发的“DISPID_BEFORENAVIGATE2”事件引用或跳转的网页地址、以及当前记录网页地址与在先记录网页地址之间的递归调用关系。

图11为本发明实施例六中网络地址递归调用的示例。如图11所示的示例中，网页地址之间采用递归嵌套引用，如在“1.html”中引用“2.html”，在2.html”中引用“3.html”，在“3.html”中引用“4.html”。IE浏览器在访问网页过程中根据网页地址之间的引用关系，可自动引用相应的网页地址，这个过程不需要程序进行特别处理。这些引用的网页地址携带在与打开网页相应的操作事件“DISPID_BEFORENAVIGATE2”的消息参数中。IE浏览器将I“DISPID_BEFORENAVIGATE2”事件的消息参数，如该事件引用或跳转的网页地址，写入BHO回调函数的相应参数。也就是说，当IE浏览器打开“1.html”时，IE浏览器会自动引用“2.html”，IE浏览器将“2.html”地址写入BHO插件的回调函数；当IE浏览器打开“2.html”后，IE浏览器又会自动引用“3.html”，IE浏览器将“3.html”地址写入BHO插件的回调函数；以此类推，当IE浏览器最后打开“4.html”地址时，IE浏览器将“4.html”地址写入BHO插件的回调函数，BHO插件每次都对回调函数进行解析，由此可捕获从“1.html”到“4.html”之间递归调用的各网络地址“2.html”和“3.html”。

步骤106：BHO插件判断是否满足预设结束条件，如果满足，则执行步骤107；否则，在IE浏览器打开下一个待测的网页地址对应的网页时，执行步骤101。

在实际应用中，可根据实际需要在BHO插件中预先结束条件。例如：

在一种可选的实施方式中，结束条件为：当前捕获的网页地址与预先确定的目的网页地址相符。该情形对应的应用场景例如：在已知源网页地址和目的网页地址时，获取源网页地址和目的网页地址之间串接的所有网页地址以及这些网络地址之间的递归调用关系。具体的，如在发现某一网站某一级链接的网页被植入木马或感染病毒时，需要找到从该网站的首页到被植入木马或感染病毒的网页之间的递归调用的各网页地址，以便用户或管理人员进行木马或病毒的清除。

在另一种可选的实施方式中，结束条件为：当前捕获的操作事件没有引用和跳转的网页地址。该情形对应的应用场景例如：需要获取某网站或某网站的某一网页包括的所有链接，根据获取所有链接可进行木马或病毒进行全面扫描以提高网站或网页的安全性，或者，根据获取所有链接可生成该网站或网页的地图，或者，根据获取所有链接可对该网站或网页进行镜像复制等。

此外，结束条件还可包括但不限于以下条件：捕获的网页地址的数量等于预设的最大收集数量，从而满足多样化应用的实际需求。

步骤107：BHO插件输出用于表示结束网页地址捕获的提示信息。

本实施例将BHO插件嵌入到IE浏览器内部，并在IE浏览器启动时将BHO插件的回调函数指针注册到IE浏览器中；当IE浏览器触发预设操作事件时，会调用回调函数指针指向的回调函数；BHO插件通过解析回调函数即可从底层直接获取浏览器需要访问的网页地址。

本实施例可将BHO插件嵌入到IE浏览器内部。无论采用何种技术实现网页引用和网页跳转，归根结底需要浏览器来执行页面引用和跳转行为。本实施例通过嵌入IE浏览器的BHO插件直接捕获IE浏览器访问网页的行为，得到IE浏览器将要打开的网页地址；只要IE浏览器能不断引用递归调用的网页，BHO插件即可不断捕获IE浏览器引用的网页地址。这使得BHO插件可从底层直接获取IE浏览器需要访问的网页地址，从而不需要识别采用各种网页引入技术编写的程序，因此可降低程序开发和维护成本，并提高了获取网页地址的成功率。此外，由于嵌入IE浏览器的BHO插件占用的内存小，因此运行速度较快，从而提高了网页地址获取的效率。

虽然本发明是以IE浏览器和BHO插件为应用实例详细说明本发明的技术方案，但需要说明的是，本发明的技术方案还可应用于其他浏览器及其支持嵌入的浏览器嵌入插件，例如：火狐浏览器及其支持的嵌入插件，“Opera”浏览器及其支持的嵌入插件，“Chrome”浏览器及其支持的嵌入插件，“Safari 浏览器及其支持的嵌入插件等。

通过上述技术方案的分析可知，本发明提供的网页安全检测方法和系统具有如下技术效果：

(1)本发明可利用普通浏览器和现有杀毒软件实现对网站的网页木马扫描，不需要开发和维护木马特征库，降低了网页安全检测所需的成本；而且由于通过浏览器模拟用户访问，效果比传统安全扫描效果更准确；

(2)由于恶意代码最终必须在浏览器引擎中运行才能发挥作用，因此只有将其放在浏览器中运行才能检测出来；传统方法即使将恶意代码下载到本地，也不能扫描识别出来。本发明采用浏览器模拟用户访问的方式，可以处理传统方法中无法检测网页恶意代码的问题，提供了检测的完整性；

(3)本发明利用浏览器模拟用户访问的方式，通过浏览器嵌入插件从底层直接获取待测网页或目标网站的各链接地址，相对现有使用网站爬虫抓取网页地址具有更好效果，可以再现用户在浏览器访问时的情况，处理普通爬虫无法处理的“iframe”循环嵌套、各种页面跳转等问题，从而有利于遍历目标网站或网页的各层链接地址，将这些地址均作为待测地址，有利于提高网页安全检测的完整性。

本领域普通技术人员可以理解：附图只是一个实施例的示意图，附图中的模块或流程并不一定是实施本发明所必须的。

本领域普通技术人员可以理解：实施例中的装置中的模块可以按照实施例描述分布于实施例的装置中，也可以进行相应变化位于不同于本实施例的一个或多个装置中。上述实施例的模块可以合并为一个模块，也可以进一步拆分成多个子模块。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (18)

1.一种网页安全检测方法，其特征在于，包括：

在浏览器启动时，初始化所述浏览器预先嵌入的浏览器嵌入插件；

通过所述浏览器嵌入插件，控制所述浏览器逐一访问待测网页地址集中各待测的网页地址对应的网页；

通过杀毒软件监控所述浏览器访问网页的过程，在所述杀毒软件捕获当前网页包括病毒、木马或恶意特征代码时触发报警，并记录报警日志；

根据所述报警日志，生成相应网页的检测报告。

2.根据权利要求1所述的方法，其特征在于，通过所述浏览器嵌入插件，控制所述浏览器逐一访问网页地址集中各待测网页地址对应的网页，包括：

通过所述浏览器打开所述待测网页地址集中首个待测的网页地址对应的网页；

在确定所述浏览器完成关于当前打开网页对应的网页内容的加载、或者强制结束所述浏览器关于当前打开网页对应的网页内容的加载时，通过所述浏览器嵌入插件，向所述浏览器的接口函数中写入下一个待测的网页地址，用以控制所述浏览器打开与写入的待测的网页地址对应的网页；重复执行本步骤，直至控制所述浏览器打开所述待测网页地址集中各待测的网页地址对应的网页。

3.根据权利要求1或2所述的方法，其特征在于，还包括：

在所述浏览器嵌入插件初始化过程中，向所述浏览器中注册浏览器嵌入插件的回调函数指针。

4.根据权利要求3所述的方法，其特征在于，确定所述浏览器完成关于当前打开网页对应的网页内容的加载，包括：

在所述浏览器触发与浏览器即将加载网页相关的第一操作事件时，通过所述浏览器调用与所述回调函数指针指向的回调函数、并将所述第一操作事件包括的用于标识当前打开的网页地址的第一句柄，写入所述回调函数的相应参数；

在所述浏览器每次触发与浏览器完成任一网页元素加载相关的第二操作事件时，通过所述浏览器调用与所述回调函数指针指向的回调函数、并将所述第一操作事件包括的用于标识相应网页元素加载完毕的第二句柄，写入所述回调函数的相应参数；

通过所述浏览器插件解析所述回调函数以获取当前记录的所述第二句柄，且在当前获取的所述第二句柄与所述第一句柄相同时，确定所述浏览器完成关于当前打开的网页地址对应的网页内容的加载。

5.根据权利要求4所述的方法，其特征在于，

所述方法还包括：在所述浏览器打开任一待测的网页地址对应的网页时，启动定时器；如果在所述定时器定时时长内确定所述浏览器完成关于当前打开的网页地址对应的网页内容的加载，则取消所述定时器；

所述强制结束所述浏览器关于当前打开的网页地址对应的网页内容的加载，包括：如果所述定时器超时，则通过所述浏览器嵌入插件，强制结束所述浏览器关于当前打开的网页地址对应的网页内容的加载。

6.根据权利要求3所述的方法，其特征在于，所述方法还包括：

在所述浏览器每次触发与打开网页相应的第三操作事件时，通过所述浏览器调用所述回调函数指针指向的回调函数、将所述第三操作事件引用或跳转的网页地址写入所述回调函数的相应参数中，以及通过所述浏览器嵌入插件解析所述回调函数并记录解析结果，直至所述解析结果满足预设结束条件；所述解析结果包括：每次触发的与打开网页相应的操作事件引用或跳转的网页地址，以及多次记录的网页地址之间的递归调用关系；

根据所述解析结果更新所述待测网页地址集。

7.根据权利要求6所述的方法，其特征在于，所述预设结束条件包括以下条件之一：

当前解析得到的网页地址与预先确定的目的网页地址相符；

当前所述第三操作事件没有引用和跳转的网页地址；

解析得到的网页地址的数量等于预设的最大收集数量。

8.根据权利要求1或2所述的方法，其特征在于，所述浏览器为IE浏览器，所述浏览器嵌入插件为浏览器辅助对象插件。

9.根据权利要求8所述的方法，其特征在于，所述第一操作事件为“DISPID_NAVIGATECOMPLETE2”事件，所述第二操作事件为“DISPID_DOCUMENTCOMPLETE”事件，所述第三操作事件为“DISPID_BEFORENAVIGATE2”事件。

10.一种网页安全检测系统，其特征在于，包括：

浏览器，用于访问网页；

插件控制器，用于在浏览器启动时，初始化所述浏览器预先嵌入的浏览器嵌入插件；通过所述浏览器嵌入插件，控制所述浏览器逐一访问待测网页地址集中各待测的网页地址对应的网页；

杀毒软件模块，用于通过杀毒软件监控所述浏览器访问网页的过程，在所述杀毒软件捕获当前网页包括病毒、木马或恶意特征代码时触发报警，并记录报警日志；

监控分析模块，用于根据所述报警日志，生成相应网页的检测报告。

11.根据权利要求10所述的系统，其特征在于，所述插件控制器包括：

初始化处理模块，用于在浏览器启动时，初始化所述浏览器预先嵌入的浏览器嵌入插件；

模拟访问控制模块，通过所述浏览器嵌入插件，控制所述浏览器逐一访问待测网页地址集中各待测的网页地址对应的网页。

12.根据权利要求11所述的系统，其特征在于，所述模拟访问控制模块包括：

第一控制模块，用于通过所述浏览器打开所述待测网页地址集中首个待测的网页地址对应的网页；

第二控制模块，用于在确定所述浏览器完成关于当前打开网页对应的网页内容的加载、或者强制结束所述浏览器关于当前打开网页对应的网页内容的加载时，通过所述浏览器嵌入插件，向所述浏览器的接口函数中写入下一个待测的网页地址，用以控制所述浏览器打开与写入的待测的网页地址对应的网页；重复执行本步骤，直至控制所述浏览器打开所述待测网页地址集中各待测的网页地址对应的网页。

13.根据权利要求12所述的系统，其特征在于，所述模拟访问控制模块还包括：第一捕获处理模块、第二捕获处理模块和加载完成确定模块；

所述初始化处理模块，还用于在所述浏览器嵌入插件初始化过程中，向所述浏览器中注册浏览器嵌入插件的回调函数指针；

所述第一捕获处理模块，用于在所述浏览器触发与浏览器即将加载网页相关的第一操作事件时，通过所述浏览器调用与所述回调函数指针指向的回调函数、并将所述第一操作事件包括的用于标识当前打开的网页地址的第一句柄，写入所述回调函数的相应参数；通过所述浏览器嵌入插件解析所述回调函数以获取所述第一句柄；

所述第二捕获处理模块，用于通过所述浏览器调用与所述回调函数指针指向的回调函数、并将所述第一操作事件包括的用于标识相应网页元素加载完毕的第二句柄，写入所述回调函数的相应参数；通过所述浏览器嵌入插件解析所述回调函数以获取所述第二句柄；；

所述加载完成确定模块，用于在当前获取的所述第二句柄与所述第一句柄相同时，确定所述浏览器完成关于当前打开的网页地址对应的网页内容的加载。

14.根据权利要求12或13所述的系统，其特征在于，所述模拟访问控制模块还包括：

定时模块，用于在所述浏览器打开任一待测的网页地址对应的网页时，启动定时器；

定时取消模块，用于如果在所述定时器定时时长内确定所述浏览器完成关于当前待测的网页地址对应的网页内容的加载，则取消所述定时器；

加载取消模块，用于如果所述定时器超时，则通过所述浏览器嵌入插件，强制结束所述浏览器关于当前待测的网页地址对应的网页内容的加载。

15.根据权利要求10所述的系统，其特征在于，所述插件控制器还包括：链接捕获模块；

所述初始化处理模块，还用于在所述浏览器嵌入插件初始化过程中，向所述浏览器中注册浏览器嵌入插件的回调函数指针；

所述链接捕获模块，用于在所述浏览器每次触发与打开网页相应的第三操作事件时，通过所述浏览器调用所述回调函数指针指向的回调函数、将所述第三操作事件引用或跳转的网页地址写入所述回调函数的相应参数中，以及通过所述浏览器嵌入插件解析所述回调函数并记录解析结果，直至所述解析结果满足预设结束条件；根据所述解析结果更新所述待测网页地址集，所述解析结果包括：每次触发的与打开网页相应的操作事件引用或跳转的网页地址，以及多次记录的网页地址之间的递归调用关系。

16.根据权利要求15所述的系统，其特征在于，所述预设结束条件包括以下条件之一：

当前解析得到的网页地址与预先确定的目的网页地址相符；

当前所述第三操作事件没有引用和跳转的网页地址；

解析得到的网页地址的数量等于预设的最大收集数量。

17.根据权利要求10、11或15所述的系统，其特征在于，所述浏览器为IE浏览器，所述浏览器嵌入插件为浏览器辅助对象插件。

18.根据权利要求17所述的系统，其特征在于，所述第一操作事件为“DISPID_NAVIGATECOMPLETE2”事件，所述第二操作事件为“DISPID_DOCUMENTCOMPLETE”事件，所述第三操作事件为“DISPID_BEFORENAVIGATE2”事件。

Images