CN103023874A - 一种钓鱼网站检测方法 - Google Patents

Abstract

本发明一种钓鱼网站检测方法，步骤如下：1、CSS文本提取，按照不同的存在形式分别进行提取；将以上提取的所有的CSS字符串合并到同一个文件中；2、CSS文本解析，使用CSS解析器对步骤1得到的CSS文件进行自动解析，得到对应的规则对象集合；3、比较元提取，从规则集合中选择带某些特征的属性并重新整合，以便于相似度的快速计算；4、相似度计算，根据两个网页的比较元集合的匹配情况计算相似度。本发明有以下优点：1)轻量级，算法轻量级，易于使用浏览器扩展实现；2)普适性强，由于正常网站内所有网页一般采用统一的样式风格，因此只需检测可疑网页与目标网站内任一个网页是否匹配即可，而且不受网页语言种类的限制；3)低误报。

Description

一种钓鱼网站检测方法

【技术领域】

本发明提供一种钓鱼网站检测方法，属于计算机互联网(Web)安全领域。

【背景技术】

钓鱼网站仿冒真实网站的域名（URL）地址以及页面内容（通常伪装成银行及电子商务网站），或者利用真实网站服务器程序上的漏洞在站点的某些网页中插入危险的Javascript代码，以此来骗取用户银行或信用卡账号、密码等私人资料，使用户受到经济上的损失。目前针对网购的攻击则日益普遍，钓鱼网站取代病毒木马成为互联网第一大安全威胁，钓鱼网站的检测识别成为Web安全领域重要研究内容。

判断一个网站是否是钓鱼网站，一个重要的途径是验证该网站是否跟某个真实网站在视觉效果或内容上具有相似性。一些方案使用页面内容作为检测方法，根据页面内容关键字频度或者页脚版权声明大致确定疑似仿冒的目标网站。这种方式精确度不高，攻击者很容易使用替代的关键字躲避检测。一些方案使用网页文档对象模型（HTML Document Object Mode，DOM）结构作为相似度检测的依据，这种检测机制也很容易躲避，攻击者可以使用不同的DOM结构仿冒一个真实网站，普通用户在视觉上很难分辨。还有一些机制使用页面截图比较的方式计算相似度，该机制使用图形软件比较可疑网页的截图与目标网页截图的相似度。该方案缺点是效率不高、使用不方便，用户无法通过简单便捷的方法如浏览器扩展进行检测。

【发明内容】

(1)发明目的

本发明目的在于提供一种基于网页层叠样式表（Cascading Style Sheet，CSS）的相似度的钓鱼网站检测方法。传统方法在确定疑似网页后很难判断该网页是否仿照某个真实网页，本方案根据CSS相似度能为这种判决提供依据。

(2)技术方案

已知网页P_s以及疑似目标网页集D={P₁，P₂，...P_n}，检测P_s与D中任一网页P_d的相似度是否超过某一门限，若超过且二者不属于同一域名，则认为网页P_s是钓鱼网页。

为了实现上述目的，本发明一种钓鱼网站检测方法，它基于CSS的相似度检测的流程，其步骤如下：

步骤一：CSS文本提取

HTML文件的CSS一般有3种存在形式：外部样式表、内部样式表和内联样式表，按照不同的存在形式分别进行提取。将以上提取的所有的CSS字符串合并到同一个文件中。

步骤二：CSS文本解析

使用CSS解析器对步骤一得到的CSS文件进行自动解析，得到对应的规则对象集合。每条规则对象为键-值结构，包含该规则的规则类型、选择器名称、声明集合。规则类型表明该条规则是否是注释或者一条有功能的CSS语句。选择器名称表明该规则应用的目标。声明集合保存对相应目标使用的样式，集合中的每个元素都是对当前选择器一条属性描述，包括属性名称和属性值等信息。对于CSS文件中复合属性的条目在解析时可自动分解为多个单属性集合。

步骤三：比较元提取

本发明从规则集合中选择带某些特征的属性并重新整合，以便于相似度的快速计算。

对于值具有数字特征的属性，进一步处理生成比较元。比较元为“键：值”对，以便于查找和比较。其中，键为属性和属性值的链接，值为拥有该属性和属性值的选择器集合。由于很多网页中包含大量值为0的属性，给相似度计算的准确性带来一定干扰，本发明不将其当作比较元

步骤四：相似度计算

可以根据两个网页的比较元集合的匹配情况计算相似度。假设有比较元集合A和B，A对B的相似度定义为：A对B的相似度等于A与B的匹配集合得分与A的比较元总分之比。即：

在计算匹配得分和总分时需经以下几个步骤：

1)权值设定。对不同的匹配元素设定不同的权值。比较元的键的权值设为s₁，即当比较元集合A中某个比较元的键在比较元集合B中存在，则将匹配得分加s₁。比较元的值为选择器数组，数组中的不同类型的选择器对应不同的权值。令HTML标签选择器的权值为s₂，派生选择器的权值为s₃，类选择器的权值为s₄，ID选择器的权值为s₅。

2)得分计算。

A的总分的计算方式为：

其中k₂、k₃、k₄、k₅分别为对应的比较元HTML标签选择器、派生选择器、类选择器、ID选择器的个数。

A的匹配得分的计算方式为：集合A中任一比较元的键在比较元集合B中存在，则将匹配得分加s₁，若不存在则该比较元得分为0。若集合B存在该键，然后比较该键对应值中选择器的匹配数目，根据匹配类型的权值计算匹配得分总和。

3)相似度计算。A对B的相似度为A与B的匹配得分与A的比较元总分之比。

其中，步骤二中所述的CSS文本进行解析，可使用CSS解析器自动进行操作，以输出CSS对象模型。

其中，在步骤三中所述的从规则集合中选择带某些特征的属性并重新整合，其方法如下：

A.提取值以‘.’号开头的属性；

B.提取值以数字开头的属性；

C.提取属值为颜色的属性。

D.对提取的属性及对应值进行处理生成比较元。比较元为“键：值”对，以便于查找和比较。

(3)本发明有以下优点：1)轻量级。本发明算法轻量级，易于使用浏览器扩展实现。2)普适性强。由于正常网站内所有网页一般采用统一的样式风格，因此只需检测可疑网页与目标网站内任一个网页是否匹配即可，而且本发明不受网页语言种类的限制。3)低误报。

【附图说明】

图1为本发明网页相似度计算总体流程图。

【具体实施方式】

下面结合附图对本发明进行进一步详细说明。如图1所示，本发明一种钓鱼网站检测方法，它比较两个网页的页面相似度，需经过四个步骤：1)分别提取两个网页提取CSS文本信息。对于一个网页其CSS文本一般有三种存在方式，即外部样式表、内部样式表和内联样式表。2)从获得CSS文本中提取规则集合，规则集合为为JSON格式。3)从规则集合中提取相应规则，并进行重新组合作为匹配元。4)从两个网页分别得到的匹配元进行匹配计算，得到两个网页的相似度。若相似度大于门限，则认为两个网页具有高的相似性，否则不相似。

本发明一种钓鱼网站检测方法，它基于层叠样式表的网页相似度检测方法，该方法就相似度计算的整个流程给予详细说明，其具体步骤如下：

步骤一：CSS文本提取

CSS文本在网页中一般有三种存在形式，其提取方法如下：

1)外部样式表。外部样式表的加载方式有两种，一种是以link标签开头的样式表，形如：<link rel=“stylesheet”type=“text/css”href=”core1.css”/>。link是HTML标签，常放置在head标签内，href属性指向的是该外部样式表的位置，即当前域名目录下的core1.css文件为需加载的外部样式表。另一种是import开头的外部样式表，行如:<style>importurl(“core2.css”)</style>。import是CSS的一个标签，常放置于内部样式表的<style>标签内，或者放置于外部样式表CSS文件内，其中core2.css即为要加载的外部样式表。根据当前当前网页的域名和外部样式表文件名得到该样式表的完整地址，使用ajax获取该地址对应的CSS文本信息。

2)内部样式表。内部样式表为HTML内部<style></style>标签内部的样式表。可以根据正则表达式从当前网页中匹配<style>标签内的文本，也可根据DOM结构获取<style>节点的子节点，从而提取所需的CSS文本信息。

3)内联样式表。内联样式表指的是HTML标签内部的样式表，如<p style=“color:red”></p>，其中CSS文本为style的值。对于这种形式的样式表，可遍历DOM元素，获取所有元素style属性对应的CSS文本。

以上三种样式表不一定同时存在，有些网页可能只存在其中的一种或两种。将提取的CSS文本组合在一个文件中用于后续处理。

步骤二：CSS文本解析

该步骤中可使用解析器自动解析CSS字符串并输出CSS对象模型。该对象模型包括CSS文本解析后的所有规则，每条规则均包括以下信息：

1)规则类型。规则类型表明该条规则是何种类型。

2)选择器。选择器表明该条规则的应用对象，一个选择器可能包括几个应用对象，之间用逗号隔开。

3)声明集合。声明集合包含一条或多条属性值对，是对对应选择器的样式描述。对于复合属性的条目在解析时可自动分解为多个单属性集合。如“border:1px solid red”分解为“border-top:1px solid red”、“border-left:1px solid red”、“border-bottom:1pxsolid red”、“border-left:1px solid red”四条单属性规则。

步骤三：比较元提取

规则集合中包括网页元素的所有属性，绝大多数属性对网页相似度的比较意义不大且经常带来误报。本发明从规则集合中选择带数字特征的属性并重新整合。

数字特征包括以下几种情况：

1)属性值以‘.’号开头，如“font-size:.5em”。此时该属性被选中，并自动将‘.5em’填充为‘0.5em’。

2)属性值以数字开头，如“padding-top:2px”。

3)属性值为颜色值，如“color:#ff0000”。判断属性值是不是颜色值可检查其值是否为特定的颜色单词，如“red”、“green”等。也可根据属性值是否以“#”或者“RGB”开头来判断。

对于情况3)，颜色表示有多种方式，如“color:red”、“color:#f00”、“RGB(255,0,0)”等。此时将不同的表示方式转换为统一的格式，即“#color:#ff0000”。

对于值具有数字特征的属性，进一步处理生成比较元。比较元为“键：值”对，以便于查找和比较。其中，键为属性和属性值的链接，值为拥有该属性和属性值的选择器集合。如对于CSS文本：“#div1，#div2:{width:300px；height:400px；background-color:red}#div3:{width:300px；}”，生成3个比较元：“width300px”:[“#div1”，“#div2”，“#div3”]、“height400px”:[“#div1”，“#div2”]、“background-color#ff0000”:[“#div1”，“#div2”]。

另外，对于值为0的属性，本发明不将其当作比较元。这是由于很多网页中包含大量值为0的属性，给相似度计算的准确性带来一定干扰。

步骤四：相似度计算；

可以根据两个网页的比较元集合的匹配情况计算相似度。本发明中网页P_A对网页P_B的相似度并不等同于网页P_B对网页P_A的相似度，若网页P_A中的比较元集合是网页P_B比较元集合的子集，则认为网页P_A完全相似于网页P_B。这是因为在真实环境下，钓鱼网站P_A在模仿一个真实网站P_B时可能只使用真实网站的部分CSS信息达到近似的视觉效果，此时仍认为P_A相似于P_B。

假设有如下两个比较元集合A和B，要计算A对B的相似度。本发明令：

A：

“color#ff0000”:[“p”，“div p”，“.main”，“#div2”，“#div3”]

B：

“color#ff0000”:[“p”，“.main”，“#div1”，“#div2”，“#div3”]

“height400px”:[“#div1”，“#div2”]

在计算匹配得分和总分时需经以下几个步骤：

4)权值设定。对不同的匹配元素设定不同的权值。比较元的键的权值设为s₁，即当比较元集合A中某个比较元的键在比较元集合B中存在，则将匹配得分加s₁。比较元的值为选择器数组，数组中的不同类型的选择器对应不同的权值。令HTML标签选择器的权值为s₂，派生选择器的权值为s₃，类选择器的权值为s₄，ID选择器的权值为s₅。本发明选择s₁=1、s₂=2，、s₃=3、s₄=4、s₅=5。

5)得分计算。

A的总分的计算方式为：

其中k₂、k₃、k₄、k₅分别为对应的比较元HTML标签选择器、派生选择器、类选择器、ID选择器的个数。

A的匹配得分的计算方式为：集合A中任一比较元的键在比较元集合B中存在，则将匹配得分加s₁，若不存在则该比较元得分为0。若集合B存在该键，然后比较该键对应值中选择器的匹配数目，根据匹配类型的权值计算匹配得分总和。

例如，A只有一个比较元，比较元的值有4个选择器“p”、“div p”、“.main”、“#div2”和”#div3”，对应的权值为s₂、s₃、s₄、s₅、s₅，因此比较元总分为s₁+s₂+s₃+s₄+2*s₅=20。由于A比较元“color#ff0000”中的选择器集合与B相应的选择器集合的交集为“p”、“.main”、“#div2”、“#div3”，因此匹配得分为s₁+s₂+s₄+2*s₅=17。

6)相似度计算。A对B的相似度为A与B的匹配得分与A的比较元总分之比。上例中，A对B的相似度为

同理，B对A的相似度为

$\frac{s_1+s_2+s_4+2*s_5}{(s_1+s_2+s_4+3*s_5)+(s_1+2*s_5)}=\frac{1+2+4+2*5}{(1+2+4+3*5)+(1+2*5)}=0.74.$

若待测网页和真实网页相似度大于门限，且不属于同一域，则说明待测网页是钓鱼网页，否则为真实网页。

Claims (3)

1.一种钓鱼网站检测方法，其特征在于：该方法步骤如下：

步骤一：层叠样式表CSS文本提取

超文本标记语言HTML文件的层叠样式表CSS有3种存在形式：外部样式表、内部样式表和内联样式表，按照不同的存在形式分别进行提取；将以上提取的所有的层叠样式表CSS字符串合并到同一个文件中；

步骤二：层叠样式表CSS文本解析

使用层叠样式表CSS解析器对步骤一得到的层叠样式表CSS文件进行自动解析，得到对应的规则对象集合；每条规则对象为键-值结构，包含该规则的规则类型、选择器名称及声明集合；规则类型表明该条规则是否是注释或者一条有功能的层叠样式表CSS语句；选择器名称表明该规则应用的目标；声明集合保存对相应目标使用的样式，集合中的每个元素都是对当前选择器一条属性描述，包括属性名称和属性值信息；对于层叠样式表CSS文件中复合属性的条目在解析时自动分解为多个单属性集合；

步骤三：比较元提取

从规则集合中选择带某些特征的属性并重新整合，以便于相似度的快速计算；

对于值具有数字特征的属性，进一步处理生成比较元；比较元为“键：值”对，以便于查找和比较；其中，键为属性和属性值的链接，值为拥有该属性和属性值的选择器集合；

步骤四：相似度计算

根据两个网页的比较元集合的匹配情况计算相似度；假设有比较元集合A和B，A对B的相似度定义为：A对B的相似度等于A与B的匹配集合得分与A的比较元总分之比；即：

在计算匹配得分和总分时需经以下几个步骤：

1)权值设定；对不同的匹配元素设定不同的权值；比较元的键的权值设为s₁，即当比较元集合A中某个比较元的键在比较元集合B中存在，则将匹配得分加s₁；比较元的值为选择器数组，数组中的不同类型的选择器对应不同的权值；令超文本标记语言HTML标签选择器的权值为s₂，派生选择器的权值为s₃，类选择器的权值为s₄，ID选择器的权值为s₅；

2)得分计算；

A的总分的计算方式为：

其中k₂、k₃、k₄、k₅分别为对应的比较元超文本标记语言HTML标签选择器、派生选择器、类选择器、ID选择器的个数；

A的匹配得分的计算方式为：集合A中任一比较元的键在比较元集合B中存在，则将匹配得分加s₁，若不存在则该比较元得分为0；若集合B存在该键，然后比较该键对应值中选择器的匹配数目，根据匹配类型的权值计算匹配得分总和；

3)相似度计算；A对B的相似度为A与B的匹配得分与A的比较元总分之比。

2.根据权利要求1所述的一种钓鱼网站检测方法,其特征在于：在步骤二中所述的层叠样式表CSS文本进行解析，是使用层叠样式表CSS解析器自动进行操作，以输出层叠样式表CSS对象模型。

3.根据权利要求1所述的一种钓鱼网站检测方法,其特征在于：在步骤三中所述的从规则集合中选择带某些特征的属性并重新整合，其方法如下：

A.提取值以‘.’号开头的属性；

B.提取值以数字开头的属性；

C.提取属值为颜色的属性；

D.对提取的属性及对应值进行处理生成比较元；比较元为“键：值”对，以便于查找和比较。

Images