CN106888220A - 一种钓鱼网站检测方法及设备 - Google Patents

Abstract

本发明公开了一种钓鱼网站检测方法及设备，属于互联网安全领域。所述方法包括：获取待测网站的至少一个预设特征信息，预设特征信息用于检测待测网站是否为可疑钓鱼网站；获取每个预设特征信息的风险值，根据多个风险值判断待测网站是否为可疑钓鱼网站；若判定待测网站是可疑钓鱼网站，则检测待测网站的网页内容，并根据网页内容检测结果，确定待测网站是否为钓鱼网站；若网页内容检测结果不能确定待测网站为钓鱼网站，则转入人工检测。通过多个风险值判断待测网站是否为可疑钓鱼网站，并对可疑网站进行网页内容检测，以及对确定为可疑网站但网页内容检测结果不确定时，再通过人工检测，从而提高了钓鱼网站的检测效率，提高了网络安全。

Description

一种钓鱼网站检测方法及设备

技术领域

本发明涉及互联网安全领域，特别涉及一种钓鱼网站检测方法及设备。

背景技术

随着互联网技术的快速发展，一些以网络交易为主的业务如电子商务、电子银行等也快速发展，随之而来的以钓鱼网站为主的网络安全问题也日益凸显，诈骗者通过在互联网上建立一个网站，伪装成银行及电子商务等服务网页，窃取用户提交的银行账号、密码等私密信息，对互联网用户的财产造成严重危害。

目前的钓鱼网站检测方法主要为黑名单过滤技术。黑名单过滤技术主要依靠不断对包括所有已知钓鱼网站和/或用户举报网站的黑名单进行更新，再对可疑网站进行检测时，通过查找该可疑网站的域名等信息是否包括在黑名单中，来判断该可疑网站是否为钓鱼网站。

利用上述方法对可疑网站进行的检测为被动检测，即这种检测方法通常在用户已经遭受钓鱼网站侵害后才能发挥作用，具有一定的滞后性，因此，如何能够有效检测出未记录在黑名单中的钓鱼网站，即实现钓鱼网站的主动检测，以及在钓鱼网站刚刚出现时即可检测出，从而避免或减少用户的损失。

发明内容

为了提高网络安全，提高钓鱼网站的检测效率和时效性，本发明实施例提供了一种钓鱼网站检测方法及设备。所述技术方案如下：

第一方面，提供了一种钓鱼网站检测方法，所述方法包括：

获取待测网站的至少一个预设特征信息，所述预设特征信息用于检测所述待测网站是否为可疑钓鱼网站；

获取每个所述预设特征信息的风险值，根据多个所述风险值判断所述待测网站是否为可疑钓鱼网站；

若判定所述待测网站是可疑钓鱼网站，则检测所述待测网站的网页内容，并根据所述网页内容检测结果，确定所述待测网站是否为钓鱼网站；

若所述网页内容检测结果不能确定所述待测网站为钓鱼网站，则转入人工检测。

结合第一方面，在第一种可能实现的方式中，所述预设特征信息包括所述待测网站访问者所在地分布情况、所述待测网站服务器所在地、所述待测网站的访问密集时段和所述待测网站首次被访问时间中的一个或多个，其中，所述获取所述待测网站的至少一个预设特征信息包括：

从生成的预设格式的访问日志中，获取所述待测网站的所述至少一个预设特征信息。

结合第一方面的第一种可能实现的方式，在第二种可能实现的方式中，通过以下操作中的至少一个，实现所述获取每个所述预设特征信息的风险值的步骤：

获取所述待测网站访问者所在地分布情况的风险值包括：

若所述访问者所在地集中在某几个区域，则所述待测网站访问者所在地分布情况的风险值为1；若否，则所述待测网站访问者所在地分布情况的风险值为0；

获取所述待测网站服务器所在地的风险值包括：

若所述待测网站服务器所在地在国外地区，则所述待测网站服务器所在地的风险值为1；若否，则所述待测网站服务器所在地的风险值为0；

获取所述待测网站的访问密集时段的风险值包括：

若所述待测网站的访问密集时段呈现爆发式访问，则所述待测网站的访问密集时段的风险值为1；若否，则所述待测网站的访问密集时段的风险值为0；

获取所述待测网站首次被访问时间的风险值包括：

若所述待测网站的首次被访问时间为近期，则所述待测网站的首次被访问时间的风险值为1；若否，则所述待测网站的首次被访问时间的风险值为0。

结合第一方面的第二种可能实现的方式，在第三种可能实现的方式中，所述根据多个所述风险值判断所述待测网站是否为可疑钓鱼网站包括：

计算所述多个风险值的和；

判断所述多个风险值的和是否大于预设阈值，若大于所述预设阈值，则确定所述待测网站为可疑钓鱼网站。

结合第一方面，在第四种可能实现的方式中，所述检测所述待测网站的网页内容包括：

将所述待测网站的所述网页内容与可能被仿冒的网站内容进行比对；

若所述比对结果显示高度相似，则确定所述待测网站为钓鱼网站；

若所述比对结果显示不相似，则不能确定所述待测网站为钓鱼网站，转入人工检测。

第二方面，提供了一种钓鱼网站检测设备，所述设备包括：

预设特征信息获取模块，用于获取待测网站的至少一个预设特征信息，所述预设特征信息用于检测所述待测网站是否为可疑钓鱼网站；

预设特征信息风险值获取模块，用于获取每个所述预设特征信息的风险值；

可疑钓鱼网站判断模块，用于根据多个所述风险值判断所述待测网站是否为可疑钓鱼网站；

网页内容检测模块，用于在判定所述待测网站是可疑钓鱼网站时，检测所述待测网站的网页内容；

钓鱼网站确定模块，用于根据所述网页内容检测结果，确定所述待测网站是否为钓鱼网站；

人工检测转入模块，用于当所述网页内容检测结果不能确定所述待测网站为钓鱼网站时，转入人工检测。

结合第二方面，在第一种可能实现的方式中，所述预设特征信息包括所述待测网站访问者所在地分布情况、所述待测网站服务器所在地、所述待测网站的访问密集时段和所述待测网站首次被访问时间中的一个或多个，其中，

所述预设特征信息获取模块具体用于从生成的预设格式的访问日志中，获取所述待测网站的所述至少一个预设特征信息；

所述预设特征信息获取模块还包括待测网站访问者所在地分布情况获取子模块、待测网站服务器所在地获取子模块、待测网站的访问密集时段获取子模块和待测网站首次被访问时间获取子模块。

结合第二方面的第一种可能实现的方式，在第二种可能实现的方式中，所述预设特征信息风险值获取模块包括：

待测网站访问者所在地分布情况的风险值获取子模块，具体用于：

若所述访问者所在地集中在某几个区域，则所述待测网站访问者所在地分布情况的风险值为1；若否，则所述待测网站访问者所在地分布情况的风险值为0；

待测网站服务器所在地的风险值获取子模块，具体用于：

若所述待测网站服务器所在地在国外地区，则所述待测网站服务器所在地的风险值为1；若否，则所述待测网站服务器所在地的风险值为0；

待测网站的访问密集时段的风险值获取子模块，具体用于：

若所述待测网站的访问密集时段呈现爆发式访问，则所述待测网站的访问密集时段的风险值为1；若否，则所述待测网站的访问密集时段的风险值为0；

待测网站首次被访问时间的风险值获取子模块，具体用于：

若所述待测网站的首次被访问时间为近期，则所述待测网站的首次被访问时间的风险值为1；若否，则所述待测网站的首次被访问时间的风险值为0。

结合第二方面的第二种可能实现的方式，在第三种可能实现的方式中，所述可疑钓鱼网站判断模块具体用于：

计算子模块，用于计算所述多个风险值的和；

可疑钓鱼网站判断子模块，用于判断所述多个风险值的和是否大于预设阈值，若判定大于所述预设阈值时，则确定所述待测网站为可以钓鱼网站。

结合第二方面，在第四种可能实现的方式中，

所述网页内容检测模块包括内容比对子模块，用于将所述待测网站的所述网页内容与可能被仿冒的网站内容进行比对；

所述钓鱼网站确定模块具体用于当所述内容比对子模块的所述比对结果显示高度相似时，则确定所述待测网站为钓鱼网站；

所述人工检测转入模块具体用于当所述内容比对子模块的所述比对结果显示不相似，则不能确定所述待测网站为钓鱼网站，转入人工检测。

本发明实施例提供的技术方案带来的有益效果是：本发明通过获取待测网站的至少一个预设特征信息，并且获取预设特征信息的风险值，再根据多个风险值判断待测网站是否为可疑钓鱼网站，因为预设特征信息用于检测待测网站是否为可疑钓鱼网站，表示符合该至少一个预设特征信息的网站可能是钓鱼网站，从而能够根据待测网站的预设特征信息，对新出现的网站先进行过滤，对一些可能是钓鱼网站的网页及时进行检测和筛选，从而有助于提高网络安全，提高了钓鱼网站的检测效率和及时性；同时，再通过检测网页内容对可疑钓鱼网站进行确认，这样能够及时对可能是钓鱼网站的网站进行检测，确定其是否真的为钓鱼网站，且当网页内容检测不能确认为是钓鱼网站时，转入人工检测，避免了一些误判断情况的发生，从而进一步提高了检测效率，能够及时发现钓鱼网站，提高了网络安全性。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例提供的一种钓鱼网站检测方法流程图；

图2是本发明实施例提供的一种钓鱼网站检测设备结构示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

实施例一

本发明实施例提供了一种钓鱼网站检测方法，参照图1所示，包括以下方法：

101、获取待测网站的至少一个预设特征信息，预设特征信息用于检测待测网站是否为可疑钓鱼网站。

其中，预设特征信息可以包括待测网站访问者所在地分布情况、待测网站服务器所在地、待测网站的访问密集时段和待测网站首次被访问时间中的一个或多个。

具体的，将待测网站访问者所在地分布情况作为检测待测网站是否为可疑钓鱼网站的预设特征信息，是因为钓鱼网站通常是针对某几个地区行骗，而正常网站则没有该特征，所以可以将待测网站访问者所在地分布情况作为预设特征信息之一；将待测网站服务器所在地作为检测待测网站是否为可疑钓鱼网站的预设特征信息，是因为钓鱼网站服务器通常设置在国外，而针对中国境内用户正常登陆或访问的网站的服务器一般会设置在国内，所以可以将待测网站服务器所在地作为检测待测网站是否为钓鱼网站的预设特征信息之一；将待测网站的访问密集时段作为为检测待测网站是否为可疑钓鱼网站的预设特征信息，是因为钓鱼网站通常会出现爆发式密集访问，即在某一个或几个时段出现大量访问，而其他时间段则几乎没有访问，而对于正常网站来说一般不会出现爆发式访问，对于可能在促销等特殊活动期间出现的爆发式访问来说，正常网站的该种爆发式访问仅限定在特殊活动的整个期间内，而不会出现间断的几个时间段，并且当正常网站出现爆发式访问时，该正常网站的其他预设特征信息为正常，所以可排除特殊情况下正常网站可能出现的爆发式密集访问，所以可以将待测网站的访问密集时段作为检测待测网站是否为钓鱼网站的预设特征信息之一；将待测网站首次被访问时间作为检测待测网站是否为可疑钓鱼网站的预设特征信息，是因为钓鱼网站通常都是近期内突然出现，并在出现后一段时间内进行大量行骗，所以可以将待测网站首次被访问时间作为检测待测网站是否为钓鱼网站的预设特征信息之一。

需要说明的是，上述四种预设特征信息是对大量钓鱼网站进行聚类分析所提取的钓鱼网站的共同特征信息，除此以外，也可以包括其他的能够用于检测待测网站是否为钓鱼网站的预设特征信息，本发明实施例对此不加以限定。

同时，需要说明的是，在实际应用中，将该四种预设特征信息相结合在一起能够进一步提高检测为钓鱼网站的正确率，为优选方案，但是不排除采用其中的一项、两项的结合或三项的结合以检测钓鱼网站，其均在本发明保护范围之内，本发明实施例对此不作限定。

通过获取待测网站的至少一个预设特征信息，该至少一个预设特征信息能够用于检测待测网站是否为可疑钓鱼网站，从而能够对新出现的网站或者其他网站进行初筛，从而能够及时的发现问题网站，以进一步确定是否为钓鱼网站，从而进一步提高了钓鱼网站的检测效率。

其中，获取待测网站的至少一个预设特征信息的过程可以包括：

从生成的预设格式的访问日志中，获取待测网站的至少一个预设特征信息。

a、从网络采集设备中获取网页的访问信息。

b、将获取的网页访问信息按照该预设格式保存形成访问日志。

具体的，该预设格式的访问日志可以是从网页的访问信息中提取的包含的待测网站访问者所在地分布情况、待测网站服务器所在地、待测网站的访问密集时段和待测网站首次被访问时间的信息的统计表格；该预设格式的访问日志还可以是从网页的访问信息中提取的包含访问者IP地址、待测网站的IP地址、待测网站的访问次数及访问时间以及待测网站首次被访问时间的信息的统计数据，根据该统计数据再得出关于待测网站访问者所在地分布情况、待测网站服务器所在地、待测网站的访问密集时段和待测网站首次被访问时间的结果数据；除此以外，该预设格式的访问日志还可以是其他方式或格式，本发明实施例对具体的预设格式的访问日志不加以限定。

通过该生成的预设格式的访问日志，能够对待测网站的访问数据进行详细统计，方便了数据的获取，从而进一步提高了检测的效率。

c、从该预设格式的访问日志中，获取待测网站的至少一个预设特征信息。

具体的，若预设特征信息包括待测网站访问者所在地分布情况、待测网站服务器所在地、待测网站的访问密集时段和待测网站首次被访问时间中的一个或多个；

则获取待测网站访问者所在地分布情况可以包括：

通过访问者IP地址追溯访问者所在地区，如从保存的该预设格式的访问日志中获取待测网站访问者的IP，以通过该IP地址获取访问者所在地区。

获取待测网站服务器所在地可以包括：

通过待测网站的IP地址追溯待测网站服务器所在地，如从保存的该预设格式的访问日志中获取被访问网站即待测网站的IP地址，以通过该IP地址获取待测网站服务器所在地；

获取待测网站的访问密集时段可以包括：

通过统计访问者对待测网站网页的访问次数以及访问时间，获取待测网页的访问密集时段，如从保存的该预设格式的访问日志中获取待测网站的访问次数以及访问时间段的统计数据；

获取待测网站首次被访问时间可以包括：

通过保存的访问日志中获取待测网站网页第一次出现的时间；

除此以外，还可以通过其他方式获取待测网站的至少一个预设特征信息，本发明实施例对具体获取方式不加以限定。

可选的，方法还包括：

设置触发警报。

具体的，设置预设格式的访问日志中的数据统计发出警报的预设条件，如当对某个网站的访问日志中的统计的改网站访问者所在地分布情况、待测网站服务器所在地、待测网站的访问密集时段和待测网站首次被访问时间均满足预设条件，则发出警报，以及时对该网站进行检测，从而使得检测更加及时，进一步提高了检测效率。

102、获取每个预设特征信息的风险值，根据多个风险值判断待测网站是否为可疑钓鱼网站。

具体的，可以通过以下方式获取每个预设特征信息的风险值：

获取待测网站访问者所在地分布情况的风险值包括：

若访问者所在地集中在某几个区域，则待测网站访问者所在地分布情况的风险值为1；若否，则待测网站访问者所在地分布情况的风险值为0；

获取待测网站服务器所在地的风险值包括：

若待测网站服务器所在地在国外地区，则待测网站服务器所在地的风险值为1；若否，则待测网站服务器所在地的风险值为0；

获取待测网站的访问密集时段的风险值包括：

若待测网站的访问密集时段呈现爆发式访问，则待测网站的访问密集时段的风险值为1；若否，则待测网站的访问密集时段的风险值为0；

获取待测网站首次被访问时间的风险值包括：

若待测网站的首次被访问时间为近期，则待测网站的首次被访问时间的风险值为1；若否，则待测网站的首次被访问时间的风险值为0。

其中，根据多个风险值判断待测网站是否为可疑钓鱼网站可以通过以下方式实现：

a、计算多个风险值的和；

b、判断多个风险值的和是否大于预设阈值，若大于预设阈值，则确定待测网站为可疑钓鱼网站。

具体的，根据预设公式计算该多个风险值的和，该预设公式可以如下：

其中，M表示每个预设特征信息的风险值，W表示每个预设特征信息的权重，D表示最终判别结果，即为可疑度，i表示预设特征信息；

预设阈值可以用G表示，W和G可以根据专家指导、机械学习结果或两者结合进行确定。

通过计算判断多个风险值的和是否大于预设阈值，以确定待测网站是否为可疑钓鱼网站，更便于对各个网站的可疑度进行计算并经计算统计各个网站的可疑度，从而当可疑度大于预设阈值时判定为可疑钓鱼网站，使得判断结果更加准确及时，适用于所有网站，从而进一步提高了检测的效率。

103、若判定待测网站是可疑钓鱼网站，则检测待测网站的网页内容，并根据网页内容检测结果，确定待测网站是否为钓鱼网站。

具体的，检测待测网站的网页内容可以包括：

将待测网站的网页内容与可能被仿冒的网站内容进行比对；

若比对结果显示高度相似，则确定待测网站为钓鱼网站；

若比对结果显示不相似，则不能确定待测网站为钓鱼网站，转入人工检测。

可选的，将该待测网站的网页内容与可能被仿冒的多个网站内容分别进行比对，获取与每个可能被仿冒的网站的得比对结果，根据与每个可能被仿冒的网站的比对结果，确定该待测网站是否为钓鱼网站。

示例性的，若该待测网站为购物类网站，则将该待测网站的网页内容与可能被仿冒的网站，如淘宝、京东、唯品会等各个购物网站进行比对，以确定网页内容是否相似；通过将待测网站的网页内容与可能被仿冒的网站内容进行比对，该可能被仿冒的网站可能有多个，将其一一进行比对，避免了漏判断的发生。

104、若网页内容检测结果不能确定待测网站为钓鱼网站，则转入人工检测。

通过对网页内容检测结果不能确定待测网站是否为钓鱼网站时，转入人工检测，相较于仅通过网页内容判断是否为钓鱼网站而言，通过人工检测能够避免了一些误判断情况的发生，从而进一步提高了检测效率，能够及时发现钓鱼网站，提高了网络安全性。

本发明实施例提供了一种钓鱼网站检测方法，通过获取待测网站的至少一个预设特征信息，并且获取预设特征信息的风险值，再根据多个风险值判断待测网站是否为可疑钓鱼网站，因为预设特征信息用于检测待测网站是否为可疑钓鱼网站，表示符合该至少一个预设特征信息的网站可能是钓鱼网站，从而能够根据待测网站的预设特征信息，对新出现的网站先进行过滤，对一些可能是钓鱼网站的网页及时进行检测和筛选，从而有助于提高网络安全，提高了钓鱼网站的检测效率和及时性；同时，再通过检测网页内容对可疑钓鱼网站进行确认，这样能够及时对可能是钓鱼网站的网站进行检测，确定其是否真的为钓鱼网站，且当网页内容检测不能确认为是钓鱼网站时，转入人工检测，避免了一些误判断情况的发生，从而进一步提高了检测效率，能够及时发现钓鱼网站，提高了网络安全性。

实施例二

本发明实施例提供了一种钓鱼网站检测设备，参照图2所示，设备2包括：

预设特征信息获取模块21，用于获取待测网站的至少一个预设特征信息，预设特征信息用于检测待测网站是否为可疑钓鱼网站；

预设特征信息风险值获取模块22，用于获取每个预设特征信息的风险值；

可疑钓鱼网站判断模块23，用于根据多个风险值判断待测网站是否为可疑钓鱼网站；

网页内容检测模块24，用于在判定待测网站是可疑钓鱼网站时，检测待测网站的网页内容；

钓鱼网站确定模块25，用于根据网页内容检测结果，确定待测网站是否为钓鱼网站；

人工检测转入模块26，用于当网页内容检测结果不能确定待测网站为钓鱼网站时，转入人工检测。

可选的，预设特征信息包括待测网站访问者所在地分布情况、待测网站服务器所在地、待测网站的访问密集时段和待测网站首次被访问时间中的一个或多个，其中，

预设特征信息获取模块21具体用于从生成的预设格式的访问日志，获取待测网站的至少一个预设特征信息。

预设特征信息获取模块21还包括待测网站访问者所在地分布情况获取子模块211，用于获取待测网站访问者所在地分布情况；待测网站服务器所在地获取子模块212，用于获取待测网站服务器所在地；待测网站的访问密集时段获取子模块213，用于获取待测网站的访问密集时段；以及待测网站首次被访问时间获取子模块214，用于获取待测网站首次被访问时间。

可选的，预设特征信息风险值获取模块22包括：

待测网站访问者所在地分布情况的风险值获取子模块221，具体用于：

若访问者所在地集中在某几个区域，则待测网站访问者所在地分布情况的风险值为1；若否，则待测网站访问者所在地分布情况的风险值为0；

待测网站服务器所在地的风险值获取子模块222，具体用于：

若待测网站服务器所在地在国外地区，则待测网站服务器所在地的风险值为1；若否，则待测网站服务器所在地的风险值为0；

待测网站的访问密集时段的风险值获取子模块223，具体用于：

若待测网站的访问密集时段呈现爆发式访问，则待测网站的访问密集时段的风险值为1；若否，则待测网站的访问密集时段的风险值为0；

待测网站首次被访问时间的风险值获取子模块224，具体用于：

若待测网站的首次被访问时间为近期，则待测网站的首次被访问时间的风险值为1；若否，则待测网站的首次被访问时间的风险值为0。

可选的，可疑钓鱼网站判断模块23具体用于：

计算子模块231，用于计算多个风险值的和；

可疑钓鱼网站判断子模块232，用于判断多个风险值的和是否大于预设阈值，若判定大于预设阈值时，则确定待测网站为可以钓鱼网站。

可选的，

网页内容检测模块24包括内容比对子模块241，用于将待测网站的网页内容与可能被仿冒的网站内容进行比对；

钓鱼网站确定模块25具体用于当内容比对子模块241的比对结果显示高度相似时，则确定待测网站为钓鱼网站；

人工检测转入模块26具体用于当内容比对子模块241的比对结果显示不相似，则不能确定待测网站为钓鱼网站，转入人工检测。

本发明实施例提供了一种钓鱼网站检测设备，该设备通过获取待测网站的至少一个预设特征信息，并且获取预设特征信息的风险值，再根据多个风险值判断待测网站是否为可疑钓鱼网站，因为预设特征信息用于检测待测网站是否为可疑钓鱼网站，表示符合该至少一个预设特征信息的网站可能是钓鱼网站，从而能够根据待测网站的预设特征信息，对新出现的网站先进行过滤，对一些可能是钓鱼网站的网页及时进行检测和筛选，从而有助于提高网络安全，提高了钓鱼网站的检测效率和及时性；同时，再通过检测网页内容对可疑钓鱼网站进行确认，这样能够及时对可能是钓鱼网站的网站进行检测，确定其是否真的为钓鱼网站，且当网页内容检测不能确认为是钓鱼网站时，转入人工检测，避免了一些误判断情况的发生，从而进一步提高了检测效率，能够及时发现钓鱼网站，提高了网络安全性。

上述所有可选技术方案，可以采用任意结合形成本发明的可选实施例，在此不再一一赘述。

需要说明的是：上述实施例提供的钓鱼网站检测装置在触发钓鱼网站检测时，仅以上述各功能模块的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能模块完成，即将设备的内部结构划分成不同的功能模块，以完成以上描述的全部或者部分功能。另外，上述实施例提供的钓鱼网站检测设备与钓鱼网站检测方法实施例属于同一构思，其具体实现过程详见方法实施例，这里不再赘述。

本领域普通技术人员可以理解实现上述实施例的全部或部分步骤可以通过硬件来完成，也可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可读存储介质中，上述提到的存储介质可以是只读存储器，磁盘或光盘等。

以上所述仅为本发明的较佳实施例，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种钓鱼网站检测方法，其特征在于，所述方法包括：

获取待测网站的至少一个预设特征信息，所述预设特征信息用于检测所述待测网站是否为可疑钓鱼网站；

获取每个所述预设特征信息的风险值，根据多个所述风险值判断所述待测网站是否为可疑钓鱼网站；

若判定所述待测网站是可疑钓鱼网站，则检测所述待测网站的网页内容，并根据所述网页内容检测结果，确定所述待测网站是否为钓鱼网站；

若所述网页内容检测结果不能确定所述待测网站为钓鱼网站，则转入人工检测。

2.根据权利要求1所述的方法，其特征在于，所述预设特征信息包括所述待测网站访问者所在地分布情况、所述待测网站服务器所在地、所述待测网站的访问密集时段和所述待测网站首次被访问时间中的一个或多个，其中，所述获取所述待测网站的至少一个预设特征信息包括：

从生成的预设格式的访问日志中，获取所述待测网站的所述至少一个预设特征信息。

3.根据权利要求2所述的方法，其特征在于，通过以下操作中的至少一个，实现所述获取每个所述预设特征信息的风险值的步骤：

获取所述待测网站访问者所在地分布情况的风险值包括：

若所述访问者所在地集中在某几个区域，则所述待测网站访问者所在地分布情况的风险值为1；若否，则所述待测网站访问者所在地分布情况的风险值为0；

获取所述待测网站服务器所在地的风险值包括：

若所述待测网站服务器所在地在国外地区，则所述待测网站服务器所在地的风险值为1；若否，则所述待测网站服务器所在地的风险值为0；

获取所述待测网站的访问密集时段的风险值包括：

若所述待测网站的访问密集时段呈现爆发式访问，则所述待测网站的访问密集时段的风险值为1；若否，则所述待测网站的访问密集时段的风险值为0；

获取所述待测网站首次被访问时间的风险值包括：

若所述待测网站的首次被访问时间为近期，则所述待测网站的首次被访问时间的风险值为1；若否，则所述待测网站的首次被访问时间的风险值为0。

4.根据权利要求3所述的方法，其特征在于，所述根据多个所述风险值判断所述待测网站是否为可疑钓鱼网站包括：

计算所述多个风险值的和；

判断所述多个风险值的和是否大于预设阈值，若大于所述预设阈值，则确定所述待测网站为可疑钓鱼网站。

5.根据权利要求1所述的方法，其特征在于，所述检测所述待测网站的网页内容包括：

将所述待测网站的所述网页内容与可能被仿冒的网站内容进行比对；

若所述比对结果显示高度相似，则确定所述待测网站为钓鱼网站；

若所述比对结果显示不相似，则不能确定所述待测网站为钓鱼网站，转入人工检测。

6.一种钓鱼网站检测设备，其特征在于，所述设备包括：

预设特征信息获取模块，用于获取待测网站的至少一个预设特征信息，所述预设特征信息用于检测所述待测网站是否为可疑钓鱼网站；

预设特征信息风险值获取模块，用于获取每个所述预设特征信息的风险值；

可疑钓鱼网站判断模块，用于根据多个所述风险值判断所述待测网站是否为可疑钓鱼网站；

网页内容检测模块，用于在判定所述待测网站是可疑钓鱼网站时，检测所述待测网站的网页内容；

钓鱼网站确定模块，用于根据所述网页内容检测结果，确定所述待测网站是否为钓鱼网站；

人工检测转入模块，用于当所述网页内容检测结果不能确定所述待测网站为钓鱼网站时，转入人工检测。

7.根据权利要求6所述的设备，其特征在于，所述预设特征信息包括所述待测网站访问者所在地分布情况、所述待测网站服务器所在地、所述待测网站的访问密集时段和所述待测网站首次被访问时间中的一个或多个，其中，

所述预设特征信息获取模块具体用于从生成的预设格式的访问日志中，获取所述待测网站的所述至少一个预设特征信息；

所述预设特征信息获取模块还包括待测网站访问者所在地分布情况获取子模块、待测网站服务器所在地获取子模块、待测网站的访问密集时段获取子模块和待测网站首次被访问时间获取子模块。

8.根据权利要求7所述的设备，其特征在于，所述预设特征信息风险值获取模块包括：

待测网站访问者所在地分布情况的风险值获取子模块，具体用于：

若所述访问者所在地集中在某几个区域，则所述待测网站访问者所在地分布情况的风险值为1；若否，则所述待测网站访问者所在地分布情况的风险值为0；

待测网站服务器所在地的风险值获取子模块，具体用于：

若所述待测网站服务器所在地在国外地区，则所述待测网站服务器所在地的风险值为1；若否，则所述待测网站服务器所在地的风险值为0；

待测网站的访问密集时段的风险值获取子模块，具体用于：

若所述待测网站的访问密集时段呈现爆发式访问，则所述待测网站的访问密集时段的风险值为1；若否，则所述待测网站的访问密集时段的风险值为0；

待测网站首次被访问时间的风险值获取子模块，具体用于：

若所述待测网站的首次被访问时间为近期，则所述待测网站的首次被访问时间的风险值为1；若否，则所述待测网站的首次被访问时间的风险值为0。

9.根据权利要求8所述的设备，其特征在于，所述可疑钓鱼网站判断模块具体用于：

计算子模块，用于计算所述多个风险值的和；

可疑钓鱼网站判断子模块，用于判断所述多个风险值的和是否大于预设阈值，若判定大于所述预设阈值时，则确定所述待测网站为可以钓鱼网站。

10.根据权利要求6所述的设备，其特征在于，

所述网页内容检测模块包括内容比对子模块，用于将所述待测网站的所述网页内容与可能被仿冒的网站内容进行比对；

所述钓鱼网站确定模块具体用于当所述内容比对子模块的所述比对结果显示高度相似时，则确定所述待测网站为钓鱼网站；

所述人工检测转入模块具体用于当所述内容比对子模块的所述比对结果显示不相似，则不能确定所述待测网站为钓鱼网站，转入人工检测。