CN105025017A - 基于防火墙的防挂马的方法及防火墙 - Google Patents

Abstract

本发明公开一种基于防火墙的防挂马的方法及防火墙，能够提高防火墙的工作效率，从而提升防火墙的性能。所述方法：获取待浏览的网页相应的统一资源定位符；通过查询预先建立的挂马网站特征库中对应所述统一资源定位符的特征组，判断所述统一资源定位符是否为挂马网站的统一资源定位符；其中，所述挂马网站特征库由多个特征组组成，每一个特征组由多个特征项组成，所述特征项为挂马网站的域名或者域名的一部分；若确定出所述统一资源定位符是挂马网站的统一资源定位符，则对所述统一资源定位符进行拦截处理。

Description

基于防火墙的防挂马的方法及防火墙

技术领域

本发明涉及网络安全技术领域，具体涉及一种基于防火墙的防挂马的方法及防火墙。

背景技术

当前的网络世界中，挂马是网络安全的主要威胁之一，所谓挂马，就是黑客通过SQL注入、服务器漏洞等方法获取网站管理员账号，然后在网站的后台通过数据库“备份/恢复”或者上传漏洞获取一个webshell(以asp、php、jsp或者cgi等网页文件形式存在的一种命令执行环境，也可以将其称做为一种网页后门。)，利用该webshell修改网站内容，向页面中加入恶意转向代码。也可以直接通过弱口令获得服务器或网站ftp(文件传输协议)，然后直接对网站页面进行修改。当访问被植入恶意代码的页面时，就会自动访问被转向的地址或下载木马病毒。

目前防火墙设备基本都有挂马防护的模块，而该模块所采用的技术大多都是通过上传一个挂马网站的特征库(挂马网站特征库内容为挂马网站的域名或域名的一部分)，然后在内网用户上网时防火墙会将统一资源定位符与挂马网站特征库中的每一项进行匹配，如果统一资源定位符中的某一部分与挂马网站特征库中的某一项相同，那么防火墙会判定该统一资源定位符为挂马网站，从而进行拦截，否则直接放行。

然后由于挂马网站数量的增加导致挂马网站特征库也在不断地扩大，一般在一个挂马网站特征库中会有上万条匹配项，这样防火墙内网用户在上网时每一个统一资源定位符都会去和特征库中的匹配项一一匹配，这样降低了防火墙的工作效率，从而影响了防火墙的性能。

发明内容

有鉴于此，本发明提供一种基于防火墙的防挂马的方法及防火墙，能够提高防火墙的工作效率，从而提升防火墙的性能。

为此目的，一方面，本发明提出一种基于防火墙的防挂马的方法，包括：

获取待浏览的网页相应的统一资源定位符；

通过查询预先建立的挂马网站特征库中对应所述统一资源定位符的特征组，判断所述统一资源定位符是否为挂马网站的统一资源定位符；其中，所述挂马网站特征库由多个特征组组成，每一个特征组由多个特征项组成，所述特征项为挂马网站的域名或者域名的一部分；

若确定出所述统一资源定位符是挂马网站的统一资源定位符，则对所述统一资源定位符进行拦截处理。

另一方面，本发明提出一种防火墙，包括：

获取单元，用于获取待浏览的网页相应的统一资源定位符；

判断单元，通过查询预先建立的挂马网站特征库中对应所述统一资源定位符的特征组，判断所述统一资源定位符是否为挂马网站的统一资源定位符；其中，所述挂马网站特征库由多个特征组组成，每一个特征组由多个特征项组成，所述特征项为挂马网站的域名或者域名的一部分；

拦截单元，用于若所述判断单元确定出所述统一资源定位符是挂马网站的统一资源定位符，则对所述统一资源定位符进行拦截处理。

本发明实施例所述的基于防火墙的防挂马的方法及防火墙，通过查询预先建立的挂马网站特征库中对应待浏览的网页相应的统一资源定位符的特征组，判断所述统一资源定位符是否为挂马网站的统一资源定位符，并在所述统一资源定位符是挂马网站的统一资源定位符时，对所述统一资源定位符进行拦截处理，相较于现有技术将所述统一资源定位符与挂马网站特征库中的每一项进行匹配来判断所述统一资源定位符是否为挂马网站的统一资源定位符，本发明只需要查询对应所述统一资源定位符的特征组即可确定出所述统一资源定位符是否为挂马网站的统一资源定位符，因而能够提高防火墙的工作效率，从而提升防火墙的性能。

附图说明

图1为本发明基于防火墙的防挂马的方法一实施例的流程示意图；

图2为本发明防火墙一实施例的方框结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

如图1所示，本实施例公开一种基于防火墙的防挂马的方法，包括：

S1、获取待浏览的网页相应的统一资源定位符；

S2、通过查询预先建立的挂马网站特征库中对应所述统一资源定位符的特征组，判断所述统一资源定位符是否为挂马网站的统一资源定位符；其中，所述挂马网站特征库由多个特征组组成，每一个特征组由多个特征项组成，所述特征项为挂马网站的域名或者域名的一部分；

S3、若确定出所述统一资源定位符是挂马网站的统一资源定位符，则对所述统一资源定位符进行拦截处理。

本发明实施例所述的基于防火墙的防挂马的方法，通过查询预先建立的挂马网站特征库中对应待浏览的网页相应的统一资源定位符的特征组，判断所述统一资源定位符是否为挂马网站的统一资源定位符，并在所述统一资源定位符是挂马网站的统一资源定位符时，对所述统一资源定位符进行拦截处理，相较于现有技术将所述统一资源定位符与挂马网站特征库中的每一项进行匹配来判断所述统一资源定位符是否为挂马网站的统一资源定位符，本发明只需要查询对应所述统一资源定位符的特征组即可确定出所述统一资源定位符是否为挂马网站的统一资源定位符，因而能够提高防火墙的工作效率，从而提升防火墙的性能。

可选地，在本发明基于防火墙的防挂马的方法的另一实施例中，所述挂马网站特征库由27个特征组组成，包括第一特征组，第二特征组，…，第二十七特征组，其中，对于第一特征组中任一个特征项，若该特征项的前四个字符组成的子串为“www.”，则该特征项中第五个字符为字符a或者字符A，否则，该特征项的第一个字符为字符a或者字符A，对于第i特征组中任一个特征项，若该特征项的前四个字符组成的子串为“www.”，则该特征项中第五个字符为英文字母表中字母a后的第i-1个字母或者字母A后的第i-1个字母，否则，该特征项的第一个字符为英文字母表中字母a后的第i-1个字母或者字母A后的第i-1个字母，i为从2到26的整数，对于第二十七特征组中任一个特征项，若该特征项的前四个字符组成的子串为“www.”，则该特征项中第五个字符为除英文字母外的其它字符，否则，该特征项的第一个字符为除英文字母外的其它字符。

本发明实施例中，对挂马网站特征库进行分组的过程如下：

1、对于挂马网站特征库中的每个特征项，判断该特征项是否以“www.”为首，若该特征项以“www.”为首，则识别“www.”后面的第一个字符，否则，识别该特征项的首字符。比如，若挂马网站特征库中的一特征项为www.test.com，则识别该特征项中“www.”后面的第一个字符，即字符“t”，又比如，若挂马网站特征库中的一特征项为newlife.com，则识别该特征项的第一个字符，即字符“n”。

2、根据识别结果，对挂马网站特征库中的所有特征项按照从a至z(不区分大小写)，以及除英文字母外的其它字符进行分组，共分成27组。

可选地，在本发明基于防火墙的防挂马的方法的另一实施例中，所述通过查询预先建立的挂马网站特征库中对应所述统一资源定位符的特征组，判断所述统一资源定位符是否为挂马网站的统一资源定位符，包括：

识别所述统一资源定位符中前11个字符组成的子串“http://www.”后面的第一个字符；

根据识别出的所述统一资源定位符中字符串“http://www.”后面的第一个字符确定出对应所述统一资源定位符的特征组；其中，若识别出的所述统一资源定位符中字符串“http://www.”后面的第一个字符为英文字母表中的字母，则对于确定出的对应所述统一资源定位符的特征组中任一个特征项，若该特征项的前四个字符组成的子串是“www.”，则该特征项中第五个字符为识别出的所述统一资源定位符中字符串“http://www.”后面的第一个字符的大写形式或者小写形式，否则，该特征项的第一个字符为识别出的所述统一资源定位符中字符串“http://www.”后面的第一个字符的大写形式或者小写形式，或者，若识别出的所述统一资源定位符中字符串“http://www.”后面的第一个字符不是英文字母表中的字母，则对于确定出的对应所述统一资源定位符的特征组中任一个特征项，若该特征项的前四个字符组成的子串是“www.”，则该特征项中第五个字符为除英文字母外的其它字符，否则，该特征项的第一个字符为除英文字母外的其它字符；

将所述统一资源定位符与确定出的对应所述统一资源定位符的特征组中的特征项进行匹配，根据所述匹配的结果，若所述统一资源定位符与确定出的对应所述统一资源定位符的特征组中的一个特征项相匹配，则确定出所述统一资源定位符是挂马网站的统一资源定位符，否则，确定出所述统一资源定位符不是挂马网站的统一资源定位符。

本发明通过识别外网url(统一资源定位符)中前11个字符组成的子串“http://www.”后面的首字符来判断挂马网站特征库中外网url相对应的特征组，然后将该url与该特征组中的特征项进行匹配来确定出所述外网url是否是挂马网站的统一资源定位符，能够有效的改善防火墙系统的性能。

可选地，在本发明基于防火墙的防挂马的方法的另一实施例中，所述第一特征组的特征字符为字符a和字符A，所述第i特征组的特征字符为英文字母表中字母a后的第i-1个字母和字母A后的第i-1个字母；

其中，所述根据识别出的所述统一资源定位符中字符串“http://www.”后面的第一个字符确定出对应所述统一资源定位符的特征组，包括：

判断识别出的所述统一资源定位符中字符串“http://www.”后面的第一个字符是否为英文字母表中从字母a至字母z中的字母或者从字母A至字母Z中的字母；

若识别出的所述统一资源定位符中字符串“http://www.”后面的第一个字符是英文字母表中从字母a至字母z中的字母或者从字母A至字母Z中的字母，则确定出对应所述统一资源定位符的特征组为特征字符之一与识别出的所述统一资源定位符中字符串“http://www.”后面的第一个字符相同的特征组，否则，则确定出对应所述统一资源定位符的特征组为所述第二十七特征组。

可选地，在本发明基于防火墙的防挂马的方法的另一实施例中，还包括：

若确定出所述统一资源定位符不是挂马网站的统一资源定位符，则对所述统一资源定位符进行放行处理。

如图2所示，本实施例公开一种防火墙，其特征在于，包括：

获取单元1，用于获取待浏览的网页相应的统一资源定位符；

判断单元2，通过查询预先建立的挂马网站特征库中对应所述统一资源定位符的特征组，判断所述统一资源定位符是否为挂马网站的统一资源定位符；其中，所述挂马网站特征库由多个特征组组成，每一个特征组由多个特征项组成，所述特征项为挂马网站的域名或者域名的一部分；

拦截单元3，用于若所述判断单元2确定出所述统一资源定位符是挂马网站的统一资源定位符，则对所述统一资源定位符进行拦截处理。

本发明实施例所述的防火墙，通过查询预先建立的挂马网站特征库中对应待浏览的网页相应的统一资源定位符的特征组，判断所述统一资源定位符是否为挂马网站的统一资源定位符，并在所述统一资源定位符是挂马网站的统一资源定位符时，对所述统一资源定位符进行拦截处理，相较于现有技术将所述统一资源定位符与挂马网站特征库中的每一项进行匹配来判断所述统一资源定位符是否为挂马网站的统一资源定位符，本发明只需要查询对应所述统一资源定位符的特征组即可确定出所述统一资源定位符是否为挂马网站的统一资源定位符，因而能够提高防火墙的工作效率，从而提升防火墙的性能。

可选地，在本发明防火墙的另一实施例中，所述挂马网站特征库由27个特征组组成，包括第一特征组，第二特征组，…，第二十七特征组，其中，对于第一特征组中任一个特征项，若该特征项的前四个字符组成的子串为“www.”，则该特征项中第五个字符为字符a或者字符A，否则，该特征项的第一个字符为字符a或者字符A，对于第i特征组中任一个特征项，若该特征项的前四个字符组成的子串为“www.”，则该特征项中第五个字符为英文字母表中字母a后的第i-1个字母或者字母A后的第i-1个字母，否则，该特征项的第一个字符为英文字母表中字母a后的第i-1个字母或者字母A后的第i-1个字母，i为从2到26的整数，对于第二十七特征组中任一个特征项，若该特征项的前四个字符组成的子串为“www.”，则该特征项中第五个字符为除英文字母外的其它字符，否则，该特征项的第一个字符为除英文字母外的其它字符。

防火墙的内网用户在访问外网时，防火墙会先识别外网url的前11个字符组成的子串“http://www.”后面的首位字符，然后将url与挂马网站特征库中对应url的特征组中的每一特征项进行匹配，根据匹配结果对url进行是否拦截处理，这就使得防火墙在进行挂马网站防护时不会再以传统的方式将url与挂马网站特征库中的每一个特征项进行匹配识别，而是先判断url中“http://www.”后面的首个字符属性，然后同特征库中与该字符相对应的分组进行匹配识别，这样有效的提高了防火墙的工作效率，同时对防火墙系统的性能提升也会起到明显的效果。

可选地，在本发明防火墙的另一实施例中，所述判断单元，包括：

识别子单元，用于识别所述统一资源定位符中前11个字符组成的子串“http://www.”后面的第一个字符；

特征组确定子单元，用于根据识别出的所述统一资源定位符中字符串“http://www.”后面的第一个字符确定出对应所述统一资源定位符的特征组；其中，若识别出的所述统一资源定位符中字符串“http://www.”后面的第一个字符为英文字母表中的字母，则对于确定出的对应所述统一资源定位符的特征组中任一个特征项，若该特征项的前四个字符组成的子串是“www.”，则该特征项中第五个字符为识别出的所述统一资源定位符中字符串“http://www.”后面的第一个字符的大写形式或者小写形式，否则，该特征项的第一个字符为识别出的所述统一资源定位符中字符串“http://www.”后面的第一个字符的大写形式或者小写形式，或者，若识别出的所述统一资源定位符中字符串“http://www.”后面的第一个字符不是英文字母表中的字母，则对于确定出的对应所述统一资源定位符的特征组中任一个特征项，若该特征项的前四个字符组成的子串是“www.”，则该特征项中第五个字符为除英文字母外的其它字符，否则，该特征项的第一个字符为除英文字母外的其它字符；

匹配子单元，用于将所述统一资源定位符与确定出的对应所述统一资源定位符的特征组中的特征项进行匹配，根据所述匹配的结果，若所述统一资源定位符与确定出的对应所述统一资源定位符的特征组中的一个特征项相匹配，则确定出所述统一资源定位符是挂马网站的统一资源定位符，否则，确定出所述统一资源定位符不是挂马网站的统一资源定位符。

可选地，在本发明防火墙的另一实施例中，所述第一特征组的特征字符为字符a和字符A，所述第i特征组的特征字符为英文字母表中字母a后的第i-1个字母和字母A后的第i-1个字母；

其中，所述特征组确定子单元，包括：

判断模块，用于判断识别出的所述统一资源定位符中字符串“http://www.”后面的第一个字符是否为英文字母表中从字母a至字母z中的字母或者从字母A至字母Z中的字母；

特征组确定模块，用于若所述判断模块确定出识别出的所述统一资源定位符中字符串“http://www.”后面的第一个字符是英文字母表中从字母a至字母z中的字母或者从字母A至字母Z中的字母，则确定出对应所述统一资源定位符的特征组为特征字符之一与识别出的所述统一资源定位符中字符串“http://www.”后面的第一个字符相同的特征组，否则，则确定出对应所述统一资源定位符的特征组为所述第二十七特征组。

可选地，在本发明防火墙的另一实施例中，还包括：

放行单元，用于若所述判断单元确定出所述统一资源定位符不是挂马网站的统一资源定位符，则对所述统一资源定位符进行放行处理。

虽然结合附图描述了本发明的实施方式，但是本领域技术人员可以在不脱离本发明的精神和范围的情况下做出各种修改和变型，这样的修改和变型均落入由所附权利要求所限定的范围之内。

Claims (10)

1.一种基于防火墙的防挂马的方法，其特征在于，包括：

获取待浏览的网页相应的统一资源定位符；

通过查询预先建立的挂马网站特征库中对应所述统一资源定位符的特征组，判断所述统一资源定位符是否为挂马网站的统一资源定位符；其中，所述挂马网站特征库由多个特征组组成，每一个特征组由多个特征项组成，所述特征项为挂马网站的域名或者域名的一部分；

若确定出所述统一资源定位符是挂马网站的统一资源定位符，则对所述统一资源定位符进行拦截处理。

2.根据权利要求1所述的基于防火墙的防挂马的方法，其特征在于，所述挂马网站特征库由27个特征组组成，包括第一特征组，第二特征组，…，第二十七特征组，其中，对于第一特征组中任一个特征项，若该特征项的前四个字符组成的子串为“www.”，则该特征项中第五个字符为字符a或者字符A，否则，该特征项的第一个字符为字符a或者字符A，对于第i特征组中任一个特征项，若该特征项的前四个字符组成的子串为“www.”，则该特征项中第五个字符为英文字母表中字母a后的第i-1个字母或者字母A后的第i-1个字母，否则，该特征项的第一个字符为英文字母表中字母a后的第i-1个字母或者字母A后的第i-1个字母，i为从2到26的整数，对于第二十七特征组中任一个特征项，若该特征项的前四个字符组成的子串为“www.”，则该特征项中第五个字符为除英文字母外的其它字符，否则，该特征项的第一个字符为除英文字母外的其它字符。

3.根据权利要求2所述的基于防火墙的防挂马的方法，其特征在于，所述通过查询预先建立的挂马网站特征库中对应所述统一资源定位符的特征组，判断所述统一资源定位符是否为挂马网站的统一资源定位符，包括：

识别所述统一资源定位符中前11个字符组成的子串“http://www.”后面的第一个字符；

根据识别出的所述统一资源定位符中字符串“http://www.”后面的第一个字符确定出对应所述统一资源定位符的特征组；其中，若识别出的所述统一资源定位符中字符串“http://www.”后面的第一个字符为英文字母表中的字母，则对于确定出的对应所述统一资源定位符的特征组中任一个特征项，若该特征项的前四个字符组成的子串是“www.”，则该特征项中第五个字符为识别出的所述统一资源定位符中字符串“http://www.”后面的第一个字符的大写形式或者小写形式，否则，该特征项的第一个字符为识别出的所述统一资源定位符中字符串“http://www.”后面的第一个字符的大写形式或者小写形式，或者，若识别出的所述统一资源定位符中字符串“http://www.”后面的第一个字符不是英文字母表中的字母，则对于确定出的对应所述统一资源定位符的特征组中任一个特征项，若该特征项的前四个字符组成的子串是“www.”，则该特征项中第五个字符为除英文字母外的其它字符，否则，该特征项的第一个字符为除英文字母外的其它字符；

将所述统一资源定位符与确定出的对应所述统一资源定位符的特征组中的特征项进行匹配，根据所述匹配的结果，若所述统一资源定位符与确定出的对应所述统一资源定位符的特征组中的一个特征项相匹配，则确定出所述统一资源定位符是挂马网站的统一资源定位符，否则，确定出所述统一资源定位符不是挂马网站的统一资源定位符。

4.根据权利要求3所述的基于防火墙的防挂马的方法，其特征在于，所述第一特征组的特征字符为字符a和字符A，所述第i特征组的特征字符为英文字母表中字母a后的第i-1个字母和字母A后的第i-1个字母；

其中，所述根据识别出的所述统一资源定位符中字符串“http://www.”后面的第一个字符确定出对应所述统一资源定位符的特征组，包括：

判断识别出的所述统一资源定位符中字符串“http://www.”后面的第一个字符是否为英文字母表中从字母a至字母z中的字母或者从字母A至字母Z中的字母；

若识别出的所述统一资源定位符中字符串“http://www.”后面的第一个字符是英文字母表中从字母a至字母z中的字母或者从字母A至字母Z中的字母，则确定出对应所述统一资源定位符的特征组为特征字符之一与识别出的所述统一资源定位符中字符串“http://www.”后面的第一个字符相同的特征组，否则，则确定出对应所述统一资源定位符的特征组为所述第二十七特征组。

5.根据权利要求1所述的基于防火墙的防挂马的方法，其特征在于，还包括：

若确定出所述统一资源定位符不是挂马网站的统一资源定位符，则对所述统一资源定位符进行放行处理。

6.一种防火墙，其特征在于，包括：

获取单元，用于获取待浏览的网页相应的统一资源定位符；

判断单元，通过查询预先建立的挂马网站特征库中对应所述统一资源定位符的特征组，判断所述统一资源定位符是否为挂马网站的统一资源定位符；其中，所述挂马网站特征库由多个特征组组成，每一个特征组由多个特征项组成，所述特征项为挂马网站的域名或者域名的一部分；

拦截单元，用于若所述判断单元确定出所述统一资源定位符是挂马网站的统一资源定位符，则对所述统一资源定位符进行拦截处理。

7.根据权利要求6所述的防火墙，其特征在于，所述挂马网站特征库由27个特征组组成，包括第一特征组，第二特征组，…，第二十七特征组，其中，对于第一特征组中任一个特征项，若该特征项的前四个字符组成的子串为“www.”，则该特征项中第五个字符为字符a或者字符A，否则，该特征项的第一个字符为字符a或者字符A，对于第i特征组中任一个特征项，若该特征项的前四个字符组成的子串为“www.”，则该特征项中第五个字符为英文字母表中字母a后的第i-1个字母或者字母A后的第i-1个字母，否则，该特征项的第一个字符为英文字母表中字母a后的第i-1个字母或者字母A后的第i-1个字母，i为从2到26的整数，对于第二十七特征组中任一个特征项，若该特征项的前四个字符组成的子串为“www.”，则该特征项中第五个字符为除英文字母外的其它字符，否则，该特征项的第一个字符为除英文字母外的其它字符。

8.根据权利要求7所述的防火墙，其特征在于，所述判断单元，包括：

识别子单元，用于识别所述统一资源定位符中前11个字符组成的子串“http://www.”后面的第一个字符；

特征组确定子单元，用于根据识别出的所述统一资源定位符中字符串“http://www.”后面的第一个字符确定出对应所述统一资源定位符的特征组；其中，若识别出的所述统一资源定位符中字符串“http://www.”后面的第一个字符为英文字母表中的字母，则对于确定出的对应所述统一资源定位符的特征组中任一个特征项，若该特征项的前四个字符组成的子串是“www.”，则该特征项中第五个字符为识别出的所述统一资源定位符中字符串“http://www.”后面的第一个字符的大写形式或者小写形式，否则，该特征项的第一个字符为识别出的所述统一资源定位符中字符串“http://www.”后面的第一个字符的大写形式或者小写形式，或者，若识别出的所述统一资源定位符中字符串“http://www.”后面的第一个字符不是英文字母表中的字母，则对于确定出的对应所述统一资源定位符的特征组中任一个特征项，若该特征项的前四个字符组成的子串是“www.”，则该特征项中第五个字符为除英文字母外的其它字符，否则，该特征项的第一个字符为除英文字母外的其它字符；

匹配子单元，用于将所述统一资源定位符与确定出的对应所述统一资源定位符的特征组中的特征项进行匹配，根据所述匹配的结果，若所述统一资源定位符与确定出的对应所述统一资源定位符的特征组中的一个特征项相匹配，则确定出所述统一资源定位符是挂马网站的统一资源定位符，否则，确定出所述统一资源定位符不是挂马网站的统一资源定位符。

9.根据权利要求8所述的防火墙，其特征在于，所述第一特征组的特征字符为字符a，所述第i特征组的特征字符为英文字母表中字母a后的第i-1个字母；

其中，所述特征组确定子单元，包括：

判断模块，用于判断识别出的所述统一资源定位符中字符串“http://www.”后面的第一个字符是否为英文字母表中从字母a至字母z中的字母；

特征组确定模块，用于若所述判断模块确定出识别出的所述统一资源定位符中字符串“http://www.”后面的第一个字符是英文字母表中从字母a至字母z中的字母，则确定出对应所述统一资源定位符的特征组为特征字符与识别出的所述统一资源定位符中字符串“http://www.”后面的第一个字符相同的特征组，否则，则确定出对应所述统一资源定位符的特征组为所述第二十七特征组。

10.根据权利要求6所述的防火墙，其特征在于，还包括：

放行单元，用于若所述判断单元确定出所述统一资源定位符不是挂马网站的统一资源定位符，则对所述统一资源定位符进行放行处理。