CN106485148A - 基于js‑bom结合的恶意代码行为分析沙箱的实现方法 - Google Patents

Abstract

本发明提出了一种基于JS‑BOM结合的恶意代码行为分析沙箱的实现方法，包括：步骤S1，设计JS执行引擎，并构建无用户交互UI的运行环境，在无用户交互UI的运行环境中，包括网页挂马在内的所有页面均可运行；步骤S2，利用浏览器对象BOM进行JS引擎的调用，通过JS执行引擎的底层对运行环境中的所有页面进行恶意代码行为的捕获；步骤S3，根据预设的恶意代码行为的特征，通过JS执行引擎的底层从有页面中筛选出网页挂马的恶意代码行为的页面。本发明实现准确地、大量地、自动化检测网页挂马程序，提高了恶意代码行为的检测准确性和全面性，为WEB网页技术提供安全的网络环境。

Description

基于JS-BOM结合的恶意代码行为分析沙箱的实现方法

技术领域

本发明涉及互联网技术领域，特别涉及一种基于JS-BOM结合的恶意代码行为分析沙箱的实现方法。

背景技术

随着互联网技术的房展，WEB网页技术已经逐渐成为了互联网上应用最为广泛的技术，也承载着很多重要的应用。但是，与此同时WEB网页技术也成为黑色产业关注的重点，其中网页挂马就最主要的一条黑色产业链。

网页挂马，又称为网页隐藏式恶意链接，是指攻击者在已经获得了控制权的网站的网页中嵌入恶意代码。具体地，当用户访问网页时，嵌入网页的恶意代码被执行，在用户不知情的情况下下载并执行恶意木马。网页挂马一般为JS的脚本程序借助浏览器本身的安全漏洞执行一些恶意的代码。

现有的检测网页挂马的方式包括以下几种：

(1)基于文本特征匹配技术检测网页挂马。

由于挂马程序的特殊性通常会使用一些恶意函数，同时也会使用ShellCode等特征代码。因此采用基于文本匹配的技术检测具备一定的条件。

但是该方法具有以下缺点：由于JS脚本的本身的灵活性，挂马程序一般都会有很多变形、加密方法。因此简单的基于特征匹配的方法，漏报以及误报的几率都很高，很难准确判断出是否为挂马页面。

(2)基于蜜罐技术的检测方式及基于代码行为检测的方法。

只有当代码运行起来后触发了某种恶意行为就可以判断改代码为恶意代码，通过这种方式很好地解决了基于文本特征检测的弊端，即JS变形的问题引起的漏报问题。

但是，该方法存在以下缺点：

由于基于代码行为的检测，要求将网页代码在蜜罐系统中完整地运行方能触发恶意行为，因此检测效率相比文本匹配要很低，同时需要漏洞触发的环境需要很多。如果漏洞环境不足会导致某些挂马页面无法触发恶意行为，从而形成漏报。

发明内容

本发明的目的旨在至少解决所述技术缺陷之一。

为此，本发明的目的在于提出一种基于JS-BOM结合的恶意代码行为分析沙箱的实现方法，实现准确地、大量地、自动化检测网页挂马程序，提高了恶意代码行为的检测准确性和全面性，为WEB网页技术提供安全的网络环境。

为了实现上述目的，本发明的实施例提供一种基于JS-BOM结合的恶意代码行为分析沙箱的实现方法，包括如下步骤：

步骤S1，设计JS执行引擎，并构建无用户交互UI的运行环境，在所述无用户交互UI的运行环境中，包括网页挂马在内的所有页面均可运行；

步骤S2，利用浏览器对象BOM进行JS引擎的调用，通过所述JS执行引擎的底层对运行环境中的所有页面进行恶意代码行为的捕获；

步骤S3，根据预设的恶意代码行为的特征，通过所述JS执行引擎的底层从所述有页面中筛选出网页挂马的恶意代码行为的页面。

进一步，在所述步骤S3中，所述预设的恶意代码行为的特征至少包括以下一种或多种的组合：

1)检测到网页程序发生多次不定向站点的跳转，每次跳转的站点服务器均不同，则判断该网页程序为恶意代码行为；

2针对不同的浏览器设置信息，检测到网页程序采用不同的控件调用方法或函数进行访问，则判断该网页程序为恶意代码行为；

3)检测到网页程序针对动态执行的频率以及DOM属性修改的频率超过预设频率值，则判断该网页程序为恶意代码行为；

4)检测到网页程序的动态执行代码的长度超过正常网页程序的预设倍数，则判断该网页程序为恶意代码行为；

5)检测到网页程序为构建ShellCode漏洞攻击代码而拼接形成的字符串的长度，超过预设长度，则判断该网页程序为恶意代码行为；

6)检测到网页程序的字符串具有预设的ShellCode漏洞特征，则判断该网页程序为恶意代码行为。

进一步，在所述步骤S3中，所述预设的恶意代码行为的特征，还包括：

7)检测到网页程序调用多个组件时，则判断该网页程序为恶意代码行为；

8)检测到网页程序调用的组件属性异常或传输参数异常时，则判断该网页程序为恶意代码行为；

9)检测到网页程序调用组件的实际顺序与预设的恶意调用该组件的顺序相匹配，则判断该网页程序为恶意代码行为。

进一步，在所述步骤S3之后，还包括如下步骤：在筛选出网页挂马的恶意代码行为的页面之后，根据该网页挂马对应的恶意代码行为的特征类型，采取相应处理措施清楚该网页挂马行为。

根据本发明实施例的基于JS-BOM结合的恶意代码行为分析沙箱的实现方法，利用基于JS引擎以及完整浏览器对象BOM实现模拟浏览器的功能，构建无UI运行环境，对该运行环境中的所有网页进行检测，并根据预设的恶意代码行为的特征，在底层捕获恶意行为实现基于行为检测的轻量级的沙箱技术，实现准确地、大量地、自动化检测网页挂马程序，避免了文本特征检测漏报问题，同时也解决了传统的蜜罐检测的性能以及漏报问题，提高了恶意代码行为的检测准确性和全面性，从而为WEB网页技术提供安全的网络环境。

本发明附加的方面和优点将在下面的描述中部分给出，部分将从下面的描述中变得明显，或通过本发明的实践了解到。

附图说明

本发明的上述和/或附加的方面和优点从结合下面附图对实施例的描述中将变得明显和容易理解，其中：

图1为根据本发明一个实施例的基于JS-BOM结合的恶意代码行为分析沙箱的实现方法的流程图；

图2为根据本发明另一个实施例的基于JS-BOM结合的恶意代码行为分析沙箱的实现方法的流程图。

具体实施方式

下面详细描述本发明的实施例，所述实施例的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施例是示例性的，旨在用于解释本发明，而不能理解为对本发明的限制。

如图1所示，本发明实施例的基于JS-BOM结合的恶意代码行为分析沙箱的实现方法，包括如下步骤：

步骤S1，设计JS执行引擎，并构建无用户交互UI的运行环境，在无用户交互UI的运行环境中，包括网页挂马在内的所有页面均可运行。

步骤S2，利用浏览器对象BOM进行JS引擎的调用，通过JS执行引擎的底层对运行环境中的所有页面进行恶意代码行为的捕获。

通过步骤S1设置的无UI运行环境，所有网页均可运行，包括恶意的网页挂马的网页也可以运行，从而可以利用JS的执行引擎的底层捕获恶意的行为。

步骤S3，根据预设的恶意代码行为的特征，通过JS执行引擎的底层从有页面中筛选出网页挂马的恶意代码行为的页面。

在本发明的一个实施例中，预设的恶意代码行为的特征至少包括以下一种或多种的组合：

1)多次不同站点服务器的重定向

由于网页挂马程序为了更好地隐藏自己，通常会使用多次跳转，而且每次都跳转到不同的服务器站点，这样才能在最后访问到真正的恶意页面。这一点是区别于正常的网页程序的重要特征。

基于此，当JS的执行引擎检测到网页程序发生多次不定向站点的跳转，每次跳转的站点服务器均不同，则判断该网页程序为恶意代码行为，对其进行捕获和记录。

2)使用不同的浏览器设置返回的结果不同

由于网页挂马程序是针对浏览器的漏洞进行攻击的，因此对于不同浏览器攻击的代码完全不同。基于此，本发明设计针对不同的浏览器设置信息(设置的代码或函数执行顺序)，当JS的执行引擎检测到网页程序采用不同的控件调用方法或函数进行访问，则判断该网页程序为恶意代码行为，对其进行捕获和记录。

3)高频的动态执行和DOM修改

由于网页挂马程序是针对浏览器进行攻击，通常要进行ShellCode漏洞攻击代码的执行或者动态地针对DOM进行修改从而造成浏览器的溢出。基于此，当JS的执行引擎检测到网页程序针对动态执行的频率以及DOM属性修改的频率超过预设频率值，则判断该网页程序为恶意代码行为，对其进行捕获和记录。

4)动态执行代码的长度

由于网页挂马程序执行代码为ShellCode漏洞攻击代码，该代码长度相对于正常程序执行的代码要长很多，这一点是网页挂马的一种动态特征。基于此，当JS的执行引擎检测到网页程序的动态执行代码的长度超过正常网页程序的预设倍数，则判断该网页程序为恶意代码行为，对其进行捕获和记录。

5)字符串分配长度超长

由于网页挂马程序为动态构建ShellCode，会进行大量的字符串拼接，最终形成一个超长的字符串。基于此，当JS的执行引擎检测到网页程序为构建ShellCode漏洞攻击代码而拼接形成的字符串的长度超过预设长度，则判断该网页程序为恶意代码行为，对其进行捕获和记录。

6)发现ShellCode特征的字符串

对于每一个字符串，当JS的执行引擎检测到网页程序的字符串具有预设的ShellCode漏洞特征，则判断该网页程序为恶意代码行为，对其进行捕获和记录。其中，预设的ShellCode漏洞特征即为已知ShellCode特征。

7)多个组件调用

通常网页挂马程序为提高命中率，会尝试很多种组件的很多种漏洞来进行攻击。基于此，当JS的执行引擎检测到网页程序调用多个组件时，则判断该网页程序为恶意代码行为，对其进行捕获和记录。即，根据网页程序对于组件调用的次数来判断其是否为恶意的网页挂马程序。

8)组件属性或参数异常

为了进行溢出攻击，通常网页挂马程序会针对组件的属性或者方法来进行溢出攻击，传入超长参数或者异常参数，从而造成程序执行异常。基于此，当JS的执行引擎检测到网页程序调用的组件属性异常或传输参数异常时，则判断该网页程序为恶意代码行为，对其进行捕获和记录。

9)组件方法调用顺序

由于浏览器或者组件漏洞的某种利用方法通常是固定的，因此当JS的执行引擎检测到网页程序调用组件的实际顺序与预设的恶意调用该组件的顺序相匹配，则判断该网页程序为恶意代码行为，对其进行捕获和记录。

如图2所示，在步骤S3之后，还包括如下步骤：在筛选出网页挂马的恶意代码行为的页面之后，根据该网页挂马对应的恶意代码行为的特征类型，采取相应处理措施清楚该网页挂马行为。

根据本发明实施例的基于JS-BOM结合的恶意代码行为分析沙箱的实现方法，利用基于JS引擎以及完整浏览器对象BOM实现模拟浏览器的功能，构建无UI运行环境，对该运行环境中的所有网页进行检测，并根据预设的恶意代码行为的特征，在底层捕获恶意行为实现基于行为检测的轻量级的沙箱技术，实现准确地、大量地、自动化检测网页挂马程序，避免了文本特征检测漏报问题，同时也解决了传统的蜜罐检测的性能以及漏报问题，提高了恶意代码行为的检测准确性和全面性，从而为WEB网页技术提供安全的网络环境。

在本说明书的描述中，参考术语“一个实施例”、“一些实施例”、“示例”、“具体示例”、或“一些示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本发明的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不一定指的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任何的一个或多个实施例或示例中以合适的方式结合。

尽管上面已经示出和描述了本发明的实施例，可以理解的是，上述实施例是示例性的，不能理解为对本发明的限制，本领域的普通技术人员在不脱离本发明的原理和宗旨的情况下在本发明的范围内可以对上述实施例进行变化、修改、替换和变型。本发明的范围由所附权利要求及其等同限定。

Claims (4)

1.一种基于JS-BOM结合的恶意代码行为分析沙箱的实现方法，其特征在于，包括如下步骤：

步骤S1，设计JS执行引擎，并构建无用户交互UI的运行环境，在所述无用户交互UI的运行环境中，包括网页挂马在内的所有页面均可运行；

步骤S2，利用浏览器对象BOM进行JS引擎的调用，通过所述JS执行引擎的底层对运行环境中的所有页面进行恶意代码行为的捕获；

步骤S3，根据预设的恶意代码行为的特征，通过所述JS执行引擎的底层从所述有页面中筛选出网页挂马的恶意代码行为的页面。

2.如权利要求1所述的基于JS-BOM结合的恶意代码行为分析沙箱的实现方法，其特征在于，在所述步骤S3中，所述预设的恶意代码行为的特征至少包括以下一种或多种的组合：

1)检测到网页程序发生多次不定向站点的跳转，每次跳转的站点服务器均不同，则判断该网页程序为恶意代码行为；

2针对不同的浏览器设置信息，检测到网页程序采用不同的控件调用方法或函数进行访问，则判断该网页程序为恶意代码行为；

3)检测到网页程序针对动态执行的频率以及DOM属性修改的频率超过预设频率值，则判断该网页程序为恶意代码行为；

4)检测到网页程序的动态执行代码的长度超过正常网页程序的预设倍数，则判断该网页程序为恶意代码行为；

5)检测到网页程序为构建ShellCode漏洞攻击代码而拼接形成的字符串的长度，超过预设长度，则判断该网页程序为恶意代码行为；

6)检测到网页程序的字符串具有预设的ShellCode漏洞特征，则判断该网页程序为恶意代码行为。

3.如权利要求1或2所述的基于JS-BOM结合的恶意代码行为分析沙箱的实现方法，其特征在于，在所述步骤S3中，所述预设的恶意代码行为的特征，还包括：

7)检测到网页程序调用多个组件时，则判断该网页程序为恶意代码行为；

8)检测到网页程序调用的组件属性异常或传输参数异常时，则判断该网页程序为恶意代码行为；

9)检测到网页程序调用组件的实际顺序与预设的恶意调用该组件的顺序相匹配，则判断该网页程序为恶意代码行为。

4.如权利要求1所述的基于JS-BOM结合的恶意代码行为分析沙箱的实现方法，其特征在于，在所述步骤S3之后，还包括如下步骤：在筛选出网页挂马的恶意代码行为的页面之后，根据该网页挂马对应的恶意代码行为的特征类型，采取相应处理措施清楚该网页挂马行为。