CN107517193A - 恶意网站识别方法和装置 - Google Patents

Abstract

本申请公开了恶意网站识别方法和装置。该方法的一具体实施方式包括：确定待识别网站的域名对应的IP地址；判断待识别网站的域名是否在IP地址对应的恶意网站域名列表中，恶意网站域名列表基于预先同时识别对应于同一IP地址的域名对应的网站是否为恶意网站而获得；根据判断结果，确定待识别网站是否为恶意网站。实现了利用已识别出的恶意网站的域名对应的IP地址，对属于该IP地址的所有网站进行批量识别，判断是否存在恶意网站，提升了识别效率，进而增加恶意网站的检出率。

Description

恶意网站识别方法和装置

技术领域

本申请涉及互联网领域，具体涉及网络安全领域，尤其涉及恶意网站识别方法和装置。

背景技术

随着互联网的快速发展，网站的规模达到海量级别。恶意网站作为对网络安全的最大威胁之一，在网络安全中，对恶意网站进行识别是确保网络安全的重中之重。目前，通常采用的对恶意网站进行识别的方式为：针对单个网站的页面特征进行识别，判断单个网站是否为恶意网站。

然而，当采用上述方式对恶意网站进行识别时，仅针对单个网站的特征进行识别，由于网站为海量级别，导致识别效率低。

发明内容

本申请提供了恶意网站识别方法和装置，用于解决上述背景技术部分存在的技术问题。

第一方面，本申请提供了恶意网站识别方法，该方法包括：确定待识别网站的域名对应的IP地址；判断待识别网站的域名是否在IP地址对应的恶意网站域名列表中，恶意网站域名列表基于预先同时识别对应于同一IP地址的域名对应的网站是否为恶意网站而获得；根据判断结果，确定待识别网站是否为恶意网站。

第二方面，本申请提供了恶意网站识别装置，该装置包括：地址确定单元，配置用于确定待识别网站的域名对应的IP地址；判断单元，配置用于判断待识别网站的域名是否在IP地址对应的恶意网站域名列表中，恶意网站域名列表基于预先同时识别对应于同一IP地址的域名对应的网站是否为恶意网站而获得；恶意网站确定单元，配置用于根据判断结果，确定待识别网站是否为恶意网站。

本申请提供的恶意网站识别方法和装置，通过确定待识别网站的域名对应的IP地址；判断待识别网站的域名是否在IP地址对应的恶意网站域名列表中，恶意网站域名列表基于预先同时识别对应于同一IP地址的域名对应的网站是否为恶意网站而获得；根据判断结果，确定待识别网站是否为恶意网站。实现了利用已识别出的恶意网站的域名对应的IP地址，对属于该IP地址的所有网站进行批量识别，判断是否存在恶意网站，提升了识别效率，进而增加恶意网站的检出率。

附图说明

通过阅读参照以下附图所作的对非限制性实施例所作的详细描述，本申请的其它特征、目的和优点将会变得更明显：

图1是可以应用于本申请的恶意网站识别方法或装置的实施例的示例性系统架构；

图2示出了根据本申请的恶意网站识别方法的一个实施例的流程图；

图3示出了查询恶意网站的IP地址的一个示例性效果图；

图4示出了查询IP地址对应的域名的一个示例性效果图；

图5示出了批量识别恶意网站的一个示例性流程图；

图6示出了批量识别恶意网站的一个效果示意图；

图7示出了根据本申请的恶意网站识别装置的一个实施例的结构示意图；

图8是适于用来实现本申请实施例的恶意网站识别装置的计算机系统的结构示意图。

具体实施方式

下面结合附图和实施例对本申请作进一步的详细说明。可以理解的是，此处所描述的具体实施例仅仅用于解释相关发明，而非对该发明的限定。另外还需要说明的是，为了便于描述，附图中仅示出了与有关发明相关的部分。

需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。下面将参考附图并结合实施例来详细说明本申请。

图1示出了可以应用于本申请的恶意网站识别方法或装置的实施例的示例性系统架构100。

如图1所示，系统架构100可以包括终端设备101、102、103，网络104和服务器105。网络104用以在终端设备101、102、103和服务器105之间提供传输链路的介质。网络104可以包括各种连接类型，例如有线、无线传输链路或者光纤电缆等等。

用户可以使用终端设备101、102、103通过网络104与服务器105交互，以接收或发送消息等。终端设备101、102、103上可以安装有各种通讯应用，例如网络安全类应用、浏览器类应用、即时通信工具等。

终端设备101、102、103可以是具有显示屏并且支持网络通信的各种电子设备，包括但不限于智能手机、平板电脑、电子书阅读器、MP3播放器(Moving Picture Experts Group Audio Layer III，动态影像专家压缩标准音频层面3)、MP4(Moving Picture Experts Group AudioLayer IV，动态影像专家压缩标准音频层面4)播放器、膝上型便携计算机和台式计算机等等。

服务器105可以接收终端设备101、102、103的发送的恶意网站识别请求，判断待识别的网站是否在恶意网站域名列表中，该恶意网站域名列表可以基于预先对部署于同一台服务器的网站批量进行恶意识别而生成。服务器105可以将识别结果反馈给终端设备101、102、103。

终端设备101、102、103也可以接收用户例如网络安全工程师在本地输入的待识别网站的域名，判断待识别网站是否在恶意网站域名列表中，该恶意网站域名列表可以基于预先对部署于同一台服务器的网站批量进行恶意识别而生成。然后，将识别结果呈现给用户。

应该理解，图1中的终端设备、网络和服务器的数目仅仅是示意性的。根据实现需要，可以具有任意数目的终端设备、网络和服务器。

请参考图2，其示出了根据本申请的恶意网站识别方法的一个实施例的流程200。本申请实施例所提供的恶意网站识别方法可以由图1中终端设备101、102、103或服务器105执行，相应地，恶意网站识别装置可以设置于终端设备101、102、103或服务器105中。该方法包括以下步骤：

步骤201，确定待识别网站的域名对应的IP地址。

在本实施例中，在需要判断待识别网站是否为恶意网站时，可以首先确定待识别网站的域名对应的IP地址。

在本实施例的一些可选的实现方式中，在确定待识别网站的域名对应的IP地址之前，还包括：采用网络爬虫获取海量网站的域名以及域名对应的IP地址；建立域名与IP地址的对应关系。

在本实施例中，可以采用网络爬虫获取海量网站的域名以及域名对应的IP地址，建立海量域名与IP地址的对应关系。仅需对在现有的网络爬虫架构进行改进，即在网络爬虫抓取页面的过程中，同时记录网络爬虫抓取的页面所在的域名和域名对应的IP地址，然后，可以将域名与IP地址对应存储。从而利用网络爬虫建立海量网站的域名与IP地址的对应关系。例如，当多个网站部署于同一台服务器时，则多个网站具有不同的域名，多个网站对应的IP地址即部署在服务器的IP地址相同。在通过网络爬虫抓取海量的网站的页面的过程中，可以获取对应于同一IP地址的多个不同的域名，从而建立多个不同网站的域名与同一IP地址的对应关系。

在本实施例的一些可选的实现方式中，可以根据通过网络爬虫建立的海量网站的域名和域名的IP地址之间的对应关系，确定出待识别网站的域名对应的IP地址。

请参考图3，其示出了查询恶意网站的IP地址的一个示例性效果图。

在图3中，示出了输入框301、查询服务器IP按钮302、域名指向记录303。输入框301中包含用户例如安全工程师输入的已识别出的恶意网站的域名。用户可以通过点击查询服务器IP按钮302，通过网络爬虫抓取海量的网站的页面的过程中，建立的海量网站的域名和域名的IP地址之间的对应关系，查询出已识别出的恶意网站的域名对应的IP地址。域名指向记录303包含查询出的已识别出的恶意网站的域名对应的IP地址。

请参考图4，其示出了查询IP地址对应的域名的一个示例性效果图。

在图4中，示出了输入框401、反向查询按钮402、域名指向记录403。输入框401中包含输入的已识别出的恶意网站的IP地址。用户例如网络安全工程师可以通过点击反向查询按钮402，根据预先通过网络爬虫建立的海量域名与IP地址的对应关系，查询出恶意网站的IP地址对应的多个域名。例如，与恶意网站部署在同一台服务器上的所有网站的域名。域名指向记录403包含已识别的出恶意网站的恶意类型，而其他网站的恶意类型为未知，有待于进一步批量进行识别而确定。

步骤202，判断待识别网站的域名是否在IP地址对应的恶意网站域名列表中。

在本实施例中，恶意网站域名列表基于预先同时识别对应于同一IP地址的域名对应的网站是否为恶意网站而获得。可以预先查找出恶意网站的域名对应的IP地址，批量对对应于该IP地址的多个域名对应的网站是否为恶意网站进行识别，从而生成恶意网站域名列表。在判断待识别网站是否为恶意网站时，可以判断判断待识别网站的域名是否在恶意网站域名列表中。

在本实施例的一些可选的实现方式中，还包括：获取已识别出的恶意网站的域名；确定已识别出的恶意网站的域名对应的IP地址；基于通过网络爬虫建立的海量域名与IP地址的对应关系，查找出对应于恶意网站的域名对应的IP地址的域名；同时识别对应于该IP地址的域名对应的网站是否为恶意网站；基于识别结果，生成恶意网站域名列表。

以部署于同一服务器上的多个网站为例，当已经识别出多个网站中的任意一个网站为恶意网站时，则可以根据预先建立的海量域名与IP地址的对应关系，查询出该已经识别出的恶意网站的域名对应的IP地址。然后，根据可以根据预先建立的海量域名与IP地址的对应关系，查询出恶意网站的IP地址对应的多个域名地址，即与该恶意网站部署于同一台服务器的网站的域名。然后，可以同时识别对应于同一IP地址的域名对应的网站是否为恶意网站，即批量对部署于同一台服务器上的网站是否为恶意网站进行识别。通过批量对部署于同一台服务器上的网站是否为恶意网站进行识别，可以识别出部署于同一台服务器上的恶意网站，从而生成恶意网站域名列表中。

在本实施例的一些可选的实现方式中，同时识别对应于IP地址的域名对应的网站是否为恶意网站包括：确定域名的注册者所属的预设注册者名单，预设注册者名单包括：注册者白名单、注册者黑名单，注册者白名单包含合法域名的注册者的名称，注册者黑名单包含非法域名的注册者的名称；当域名的注册者在注册者白名单中时，不识别域名对应的网站是否为恶意网站；当域名的注册者在注册者黑名单中时，识别域名对应的网站是否为恶意网站。

在本实施例中，在批量对对应于同一IP地址的域名的网站是否为恶意网站进行识别时，可以首先根据待识别网站的域名所在的注册者名单，确定是否需要对网站是否为恶意网站进行判断。当域名在注册者白名单中时，则在批量识别时可以不识别该域名对应的网站是否为恶意网站。当域名在注册者黑名单中时，则在批量识别时需要识别该域名对应的网站是否为恶意网站。对于域名的注册者是否可信未知的域名，在批量识别时需要识别该域名对应的网站是否为恶意网站。

在本实施例的一些可选的实现方式中，从第三方域名注册平台获取已识别出的恶意网站的域名的注册者的名称；将注册者的名称加入到注册者黑名单中。

在本实施例中，可以在确定网站的域名所在的注册者名单之前，预先建立注册者白名单和注册者黑名单。可以将可信任的网站的例如官方网站的注册者的名称加入到注册者白名单中。对于已识别出的恶意网站，可以预先从第三方域名注册平台获取已识别出的恶意网站的域名的注册者的名称，将该注册者的名称加入到注册者黑名单中。

在本实施例中，通过根据待识别的网站的域名的注册者所属的预设注册者名单，确定在批量对对应于同一IP地址的域名对应的网站是否为恶意网站时，是否需要识别待识别的网站是否为恶意网站。从而在识别海量域名对应的网站是否为恶意网站的过程中，可以不对可信任的注册者注册的域名对应的网站进行恶意识别，进一步提升识别效率。

步骤203，根据判断结果，确定待识别网站是否为恶意网站。

在本实施例中，在通过步骤202判断待识别网站的域名是否在待识别网站的域名对应的IP地址对应的恶意网站域名列表中之后，可以根据判断结果，确定待识别网站是否为恶意网站。当待识别网站的域名在待识别网站的域名对应的IP地址对应的恶意网站域名列表中时，可以确定待识别网站为恶意网站。当待识别网站的域名不在待识别网站的域名对应的IP地址对应的恶意网站域名列表中时，可以确定待识别网站不是恶意网站。

请参考图5，其示出了批量识别恶意网站的一个示例性流程图。

首先，可以接收输入的恶意网站的域名。例如网络安全工程师输入的恶意网站的域名。在域名反查系统中进行域名反查。域名反查系统中包含通过分布在不同地区的网络爬虫建立海量域名和IP地址的对应关系。通过在域名反查系统中进行域名反查，可以查找出恶意网站的域名对应的IP地址，得到同源网站列表。同源网站列表中包含对应于同一IP地址的网站，即与该恶意网站部署在同一台服务器的其他网站。在得到同源网站列表之后，可以利用恶意网站检测引擎批量对同源网站列表中的多个网站是否为恶意网站对进行识别。当识别出恶意网站时，则可以对该恶意网站进行标记，当识别出网站为不是恶意网站时，则不进行标记。

请参考图6，其示出了批量识别恶意网站的一个效果示意图。

在图6中，示出了已识别出的恶意网站的IP地址、对应于该IP地址的多个域名、多个域名对应的网站的标题、利用恶意网站检测引擎批量对多个网站是否为恶意网站对进行识别之后得到的识别结果即识别出的恶意类型。

请参考图7，作为对上述各图所示方法的实现，本申请提供了一种恶意网站识别装置的一个实施例，该装置实施例与图2所示的方法实施例相对应。

如图7所示，本实施例的恶意网站识别装置700包括：地址确定单元701，判断单元702，恶意网站确定单元703。其中，地址确定单元701配置用于确定待识别网站的域名对应的IP地址；判断单元702配置用于判断待识别网站的域名是否在IP地址对应的恶意网站域名列表中，恶意网站域名列表基于预先同时识别对应于同一IP地址的域名对应的网站是否为恶意网站而获得；恶意网站确定单元703配置用于根据判断结果，确定待识别网站是否为恶意网站。

在本实施例的一些可选的实现方式中，装置700还包括：获取单元(未示出)，配置用于采用网络爬虫获取海量网站的域名以及域名对应的IP地址；建立单元(未示出)，配置用于建立域名与IP地址的对应关系。

在本实施例的一些可选的实现方式中，地址确定单元701包括：IP地址确定子单元(未示出)，配置用于基于域名与IP地址的对应关系，确定待识别网站的域名对应的IP地址。

在本实施例的一些可选的实现方式中，装置700还包括：域名获取单元(未示出)，配置用于获取已识别出的恶意网站的域名；IP地址确定单元(未示出)，配置用于确定域名对应的IP地址；查找单元(未示出)，配置用于基于域名与IP地址的对应关系，查找出对应于IP地址的域名；识别单元(未示出)，配置用于同时识别对应于IP地址的域名对应的网站是否为恶意网站；列表生成单元(未示出)，配置用于基于识别结果，生成恶意网站域名列表。

在本实施例的一些可选的实现方式中，识别单元包括：注册者名单确定子单元(未示出)，配置用于确定域名的注册者所属的预设注册者名单，预设注册者名单包括：注册者白名单、注册者黑名单，注册者白名单包含合法域名的注册者的名称，注册者黑名单包含非法域名的注册者的名称；第一执行子单元(未示出)，配置用于当域名的注册者在注册者白名单中时，不识别域名对应的网站是否为恶意网站；第二执行子单元(未示出)，配置用于当域名的注册者在注册者黑名单中时，识别域名对应的网站是否为恶意网站。

在本实施例的一些可选的实现方式中，装置700还包括：名称获取单元(未示出)，配置用于从第三方域名注册平台获取已识别出的恶意网站的域名的注册者的名称；加入单元(未示出)，配置用于将注册者的名称加入到注册者黑名单中。

图8示出了适于用来实现本申请实施例的恶意网站识别装置的计算机系统的结构示意图。

如图8所示，计算机系统800包括中央处理单元(CPU)801，其可以根据存储在只读存储器(ROM)802中的程序或者从存储部分808加载到随机访问存储器(RAM)803中的程序而执行各种适当的动作和处理。在RAM803中，还存储有系统800操作所需的各种程序和数据。CPU801、ROM 802以及RAM803通过总线804彼此相连。输入/输出(I/O)接口805也连接至总线804。

以下部件连接至I/O接口805：包括键盘、鼠标等的输入部分806；包括诸如阴极射线管(CRT)、液晶显示器(LCD)等以及扬声器等的输出部分807；包括硬盘等的存储部分808；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分809。通信部分809经由诸如因特网的网络执行通信处理。驱动器810也根据需要连接至I/O接口805。可拆卸介质811，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器810上，以便于从其上读出的计算机程序根据需要被安装入存储部分808。

特别地，根据本公开的实施例，上文参考流程图描述的过程可以被实现为计算机软件程序。例如，本公开的实施例包括一种计算机程序产品，其包括有形地包含在机器可读介质上的计算机程序，所述计算机程序包含用于执行流程图所示的方法的程序代码。在这样的实施例中，该计算机程序可以通过通信部分809从网络上被下载和安装，和/或从可拆卸介质811被安装。

附图中的流程图和框图，图示了按照本申请各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，所述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

作为另一方面，本申请还提供了一种非易失性计算机存储介质，该非易失性计算机存储介质可以是上述实施例中所述设备中所包含的非易失性计算机存储介质；也可以是单独存在，未装配入终端中的非易失性计算机存储介质。上述非易失性计算机存储介质存储有一个或者多个程序，当所述一个或者多个程序被一个设备执行时，使得所述设备：确定待识别网站的域名对应的IP地址；判断所述待识别网站的域名是否在所述IP地址对应的恶意网站域名列表中，所述恶意网站域名列表基于预先同时识别对应于同一IP地址的域名对应的网站是否为恶意网站而获得；根据判断结果，确定待识别网站是否为恶意网站。

以上描述仅为本申请的较佳实施例以及对所运用技术原理的说明。本领域技术人员应当理解，本申请中所涉及的发明范围，并不限于上述技术特征的特定组合而成的技术方案，同时也应涵盖在不脱离所述发明构思的情况下，由上述技术特征或其等同特征进行任意组合而形成的其它技术方案。例如上述特征与本申请中公开的(但不限于)具有类似功能的技术特征进行互相替换而形成的技术方案。

Claims (12)

1.一种恶意网站识别方法，其特征在于，所述方法包括：

确定待识别网站的域名对应的IP地址；

判断所述待识别网站的域名是否在所述IP地址对应的恶意网站域名列表中，恶意网站域名列表基于预先同时识别对应于同一IP地址的域名对应的网站是否为恶意网站而获得；

根据判断结果，确定所述待识别网站是否为恶意网站。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

采用网络爬虫获取海量网站的域名以及所述域名对应的IP地址；

建立所述域名与所述IP地址的对应关系。

3.根据权利要求2所述的方法，其特征在于，确定待识别网站的域名对应的IP地址包括：

基于所述域名与所述IP地址的对应关系，确定待识别网站的域名对应的IP地址。

4.根据权利要求3所述的方法，其特征在于，所述方法还包括：

获取已识别出的恶意网站的域名；

确定所述域名对应的IP地址；

基于所述域名与所述IP地址的对应关系，查找出对应于所述IP地址的域名；

同时识别对应于所述IP地址的域名对应的网站是否为恶意网站；

基于识别结果，生成所述恶意网站域名列表。

5.根据权利要求4所述的方法，其特征在于，同时识别对应于所述IP地址的域名对应的网站是否为恶意网站包括：

确定所述域名的注册者所属的预设注册者名单，所述预设注册者名单包括：注册者白名单、注册者黑名单，所述注册者白名单包含合法域名的注册者的名称，所述注册者黑名单包含非法域名的注册者的名称；

当所述域名的注册者在注册者白名单中时，不识别所述域名对应的网站是否为恶意网站；

当所述域名的注册者在注册者黑名单中时，识别所述域名对应的网站是否为恶意网站。

6.根据权利要求5所述的方法，其特征在于，所述方法还包括：

从第三方域名注册平台获取已识别出的恶意网站的域名的注册者的名称；

将所述注册者的名称加入到所述注册者黑名单中。

7.一种恶意网站识别装置，其特征在于，所述装置包括：

地址确定单元，配置用于确定待识别网站的域名对应的IP地址；

判断单元，配置用于判断所述待识别网站的域名是否在所述IP地址对应的恶意网站域名列表中，恶意网站域名列表基于预先同时识别对应于同一IP地址的域名对应的网站是否为恶意网站而获得；

恶意网站确定单元，配置用于根据判断结果，确定所述待识别网站是否为恶意网站。

8.根据权利要求7所述的装置，其特征在于，所述装置还包括：

获取单元，配置用于采用网络爬虫获取海量网站的域名以及所述域名对应的IP地址；

建立单元，配置用于建立所述域名与所述IP地址的对应关系。

9.根据权利要求8所述的装置，其特征在于，地址确定单元包括：

IP地址确定子单元，配置用于基于所述域名与所述IP地址的对应关系，确定待识别网站的域名对应的IP地址。

10.根据权利要求9所述的装置，其特征在于，所述装置还包括：

域名获取单元，配置用于获取已识别出的恶意网站的域名；

IP地址确定单元，配置用于确定所述域名对应的IP地址；

查找单元，配置用于基于所述域名与所述IP地址的对应关系，查找出对应于所述IP地址的域名；

识别单元，配置用于同时识别对应于所述IP地址的域名对应的网站是否为恶意网站；

列表生成单元，配置用于基于识别结果，生成所述恶意网站域名列表。

11.根据权利要求10所述的装置，其特征在于，所述识别单元包括：

注册者名单确定子单元，配置用于确定所述域名的注册者所属的预设注册者名单，所述预设注册者名单包括：注册者白名单、注册者黑名单，所述注册者白名单包含合法域名的注册者的名称，所述注册者黑名单包含非法域名的注册者的名称；

第一执行子单元，配置用于当所述域名的注册者在注册者白名单中时，不识别所述域名对应的网站是否为恶意网站；

第二执行子单元，配置用于当所述域名的注册者在注册者黑名单中时，识别所述域名对应的网站是否为恶意网站。

12.根据权利要求11所述的装置，其特征在于，所述装置还包括：

名称获取单元，配置用于从第三方域名注册平台获取已识别出的恶意网站的域名的注册者的名称；

加入单元，配置用于将所述注册者的名称加入到所述注册者黑名单中。