CN109190376A

CN109190376A - 一种网页木马检测方法、系统及电子设备和存储介质

Info

Publication number: CN109190376A
Application number: CN201811002264.5A
Authority: CN
Inventors: 王永强
Original assignee: Zhengzhou Yunhai Information Technology Co Ltd
Current assignee: Zhengzhou Yunhai Information Technology Co Ltd
Priority date: 2018-08-30
Filing date: 2018-08-30
Publication date: 2019-01-11
Anticipated expiration: 2038-08-30
Also published as: CN109190376B

Abstract

本申请公开了一种网页木马检测方法、系统及一种电子设备和计算机可读存储介质，该方法包括：当预设的检测周期时，获取所述检测周期内的所有URL地址和当前计算机状态数据；根据所述当前计算机状态检测每个所述URL地址为恶意URL地址；将所述恶意URL地址加入恶意URL库中，以便进行网页木马检测。本申请提供的网页木马检测方法，通过客户端的当前计算机状态数据判断检测周期内的每个URL地址是否为恶意URL地址，由恶意URL地址构建恶意URL库。当接收到包含恶意URL库中URL地址的访问请求时立即拦截该访问请求，利用当前计算机状态数据可以识别随机性较高的Web恶意软件。

Description

一种网页木马检测方法、系统及电子设备和存储介质

技术领域

本申请涉及计算机技术领域，更具体地说，涉及一种网页木马检测方法、系统及一种电子设备和一种计算机可读存储介质。

背景技术

随着互联网的发展，Web服务逐渐成为人们日常生活的一个基本部分，人们的生活也因互联网变得更加便利和丰富多彩。Web服务在带给人们便利的同时也带来了新的安全问题，基于Web的恶意软件已经成为互联网上的用户计算机最主要的威胁。

现有技术中的安全软件在对网页木马检测方面存在固有的缺陷，如不能检测混淆后的网页木马，不能检测零日病毒和变种新病毒等，纯粹基于虚拟机的检测技术在又不能够完全的模拟各种不同条件的客户端浏览情况，因而可能导致有许多随机性的木马成为漏网之鱼。

因此，如何识别多种随机性的木马病毒是本领域技术人员需要解决的问题。

发明内容

本申请的目的在于提供一种网页木马检测方法、系统及一种电子设备和一种计算机可读存储介质，能够识别多种随机性的木马病毒。

为实现上述目的，本申请提供了一种网页木马检测方法，包括：

当预设的检测周期时，获取所述检测周期内的所有URL地址和当前计算机状态数据；

根据所述当前计算机状态检测每个所述URL地址为恶意URL地址；

将所述恶意URL地址加入恶意URL库中，以便进行网页木马检测。

其中，还包括：

当检测到浏览器的访问请求时，判断所述恶意URL库中是否存在所述访问请求对应的URL地址；

若是，则拦截所述访问请求。

其中，所述当前计算机状态包括系统文件变化数据和/或注册表变化数据。

其中，根据所述当前计算机状态检测每个所述URL地址为恶意URL地址，包括：

判断所述当前计算机状态是否为健康状态；

若是，则将所有所述URL地址加入安全集合；

若否，则将所有所述URL地址加入危险集合，剔除所述危险集合中所述安全集合中包含的URL地址，并将剔除后的危险集合中的所有URL地址作为所述恶意URL地址。

其中，所述将剔除后的危险集合中的所有URL地址作为所述恶意URL地址之后，还包括：

确定每个所述恶意URL地址在所述危险集合中的个数，并根据所述个数确定每个所述恶意URL地址的危险等级。

其中，拦截所述访问请求之前，还包括：

判断所述访问请求对应的URL地址的危险等级是否大于预设值；

若是，则执行所述拦截所述访问请求的步骤。

为实现上述目的，本申请提供了一种网页木马检测系统，包括：

获取模块，用于当预设的检测周期时，获取所述检测周期内的所有URL地址和当前计算机状态数据；

检测模块，用于根据所述当前计算机状态检测每个所述URL地址为恶意URL地址；

加入模块，用于将所述恶意URL地址加入恶意URL库中，以便进行网页木马检测。

其中，还包括：

判断模块，用于当检测到浏览器的访问请求时，判断所述恶意URL库中是否存在所述访问请求对应的URL地址；

拦截模块，用于当所述恶意URL库中存在所述访问请求对应的URL地址时，拦截所述访问请求。

为实现上述目的，本申请提供了一种电子设备，包括：

存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序时实现如上述网页木马检测方法的步骤。

为实现上述目的，本申请提供了一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如上述网页木马检测方法的步骤。

通过以上方案可知，本申请提供的一种网页木马检测方法，包括：当预设的检测周期时，获取所述检测周期内的所有URL地址和当前计算机状态数据；根据所述当前计算机状态检测每个所述URL地址为恶意URL地址；将所述恶意URL地址加入恶意URL库中，以便进行网页木马检测。

本申请提供的网页木马检测方法，通过客户端的当前计算机状态数据判断检测周期内的每个URL地址是否为恶意URL地址，由恶意URL地址构建恶意URL库。当接收到包含恶意URL库中URL地址的访问请求时立即拦截该访问请求，利用当前计算机状态数据可以识别随机性较高的Web恶意软件，从判定之时起，该Web恶意软件就永远被阻挡在了所有的用户计算机之外，从而最大可能的保护了整个数据中心的安全。本申请还公开了一种网页木马检测系统及一种电子设备和一种计算机可读存储介质，同样能实现上述技术效果。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本申请实施例公开的一种网页木马检测方法的流程图；

图2为本申请实施例公开的另一种网页木马检测方法的流程图；

图3为本申请实施例公开的一种网页木马检测系统的结构图；

图4为本申请实施例公开的一种电子设备的结构图；

图5为本申请实施例公开的另一种电子设备的结构图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

本申请实施例公开了一种网页木马检测方法，能够识别多种随机性的木马病毒。

参见图1，本申请实施例公开的一种网页木马检测方法的流程图，如图1所示，包括：

S101：当预设的检测周期时，获取所述检测周期内的所有URL地址和当前计算机状态数据；

在本实施例中，网页木马检测系统为客户端服务器结构的分布式系统，客户端包括URL过滤模块，URL记录模块，计算机状态监视模块和数据提交模块。

URL过滤模块是给用户提供安全服务的模块，它实现的功能是对用户浏览器发出的访问请求进行判断，拒绝木马URL的访问。URL记录模块将用户浏览器发出的所有URL请求中的URL地址通过树的方式记录起来。计算机状态监视模块采集并存储当前计算机状态数据。数据提交模块向服务器发送URL记录模块记录的URL地址和计算机状态监视模块存储的当前计算机状态数据。

S102：根据所述当前计算机状态检测每个所述URL地址为恶意URL地址；

在具体实施中，服务器根据当前计算机状态通过木马检测算法完成木马URL的筛选检测工作，实时构建恶意URL库，并同步下发全网及时阻断防御。本实施例不对具体的木马检测算法进行具体限定，将在下一实施例进行举例说明。此处的当前计算机状态包括系统文件变化数据、注册表变化数据等。

S103：将所述恶意URL地址加入恶意URL库中，以便进行网页木马检测。

可以理解的是，由上一步骤中检测处的恶意URL地址构建恶意URL库，当检测到浏览器的访问请求时，判断所述恶意URL库中是否存在所述访问请求对应的URL地址；若是，则拦截所述访问请求。

在具体实施中，当接收到浏览器的访问请求时，URL过滤模块对用户浏览器发出的访问请求进行判断，拒绝木马URL访问，即判断恶意URL库中是否存在访问请求对应的URL地址，若是，则拦截该访问请求，若否，则允许该访问请求。

本申请实施例提供的网页木马检测方法，通过客户端的当前计算机状态数据判断检测周期内的每个URL地址是否为恶意URL地址，由恶意URL地址构建恶意URL库。当接收到包含恶意URL库中URL地址的访问请求时立即拦截该访问请求，利用当前计算机状态数据可以识别随机性较高的Web恶意软件，从判定之时起，该Web恶意软件就永远被阻挡在了所有的用户计算机之外，从而最大可能的保护了整个数据中心的安全。

下面对木马检测算法进行具体介绍，具体的：

参见图2，本申请实施例提供的另一种网页木马检测方法的流程图，如图2所示，包括：

S201：判断所述当前计算机状态是否为健康状态；若是，则进入S202；若否，则进入S203；

S202：将所有所述URL地址加入安全集合；

S203：将所有所述URL地址加入危险集合，剔除所述危险集合中所述安全集合中包含的URL地址，并将剔除后的危险集合中的所有URL地址作为所述恶意URL地址。

在具体实施中，每一个底层服务器上都有基于虚拟机的URL检测引擎，该引擎用于检测URL是否是恶意URL。每个服务器上的检测引擎的数量由服务器的计算能力决定，记为nEngine。用户数据分别在两个二维数组中处理，分别为Set(k，m)和State(k，m)，Set(k，m)为用户k的浏览器在检测周期m内请求的所有URL地址，优选的，恶意URL仅存在于访问树的叶子节点。State(k，m)为用户k的计算机在检测周期m结束时刻的计算机状态，它的值是1或者0，如果值为0，表示计算机的状态在m时段内是健康状态，如果值为1，表示在该检测周期内，计算机的系统行为有木马特征，计算机处于非健康状态。

一个木马的下载或者运行会导致系统文件的增加或者修改注册表等系统状态的变化。可以得出结论，如果State(k，m)＝0，那么所有在Set(k，m)内的URL都是安全的URL，如果State(k，m)＝1，则Set(k，m)内的URL可能有木马URL存在，也可能没有木马URL。设定Security-Set表示一个完全由安全URL组成的集合，并且Suspicious_Set(k，m)是用户k在m时段内访问的所有可疑URL的集合。很显然，可以通过将Suspicious_Set(k，m)中且存在于Suspicious_Set中的URL减去，这样命中木马URL的效率大大提升。

作为一种优选实施方式，还包括：确定每个所述恶意URL地址在所述危险集合中的个数，并根据所述个数确定每个所述恶意URL地址的危险等级。在拦截访问请求之前，还包括：判断访问请求对应的URL地址的危险等级是否大于预设值；若是，则执行该拦截所述访问请求的步骤。

在具体实施中，危险等级即表示一个URL的可疑级别，它的值为URL在所有Suspicious_Set中出现的次数。可疑指数被存储在一个一维降序数组susgree_list中，susgree_list(k).URL表示可疑指数为第k的URL,susgree_list(k).degree表示该URL的可疑指数。可疑指数的上界被称为嫌疑界限，它表示检测算法的有效性并可以通过实验获得该值。

本实施例的木马检测算法如下：

输入：Set,State,n_User,n_Engine

输出：Blacklist,Security_Set,susgree list

初始化：Security_Set＝#,susgree_list＝0,TimePeriod＝0,Blacklist＝#

while(！TIMEOUT(TimePeriod))

for k＝1to n_User

Suspicious Set＝#

if State(k,TimePeriod)＝＝1

Suspicious_Set(k,TimePeriod)＝Set(k,TimePeriod)

else

Security_Set＝Security_Set U Set(k,TimePeriod)

end if

Suspicious_Set(k,TimePeriod)＝＝Security_Set

for each URL in Suspicious_Set

susgree_list(URL)＝susgree_list(URL)+1

end for

FREE(Set(k,TimePeriod))

FREE(State(k,TimePeriod))

FREE(Suspicous_Set(k,TimePeriod))

end for

for m＝1to n Engine

if URL_CHECKING ENGINE(susgree(m).URL)＝＝0

Security_Set＝Security_Set U{susgree(m).URL}

else

Blacklist＝Blacklist U{susgree(m).URL}

end if

ERASE(susgree,m)

end for

end while

下面对本申请实施例提供的一种网页木马检测系统进行介绍，下文描述的一种网页木马检测系统与上文描述的一种网页木马检测方法可以相互参照。

参见图3，本申请实施例提供的一种网页木马检测系统的结构图，如图3所示，包括：

获取模块301，用于当预设的检测周期时，获取所述检测周期内的所有URL地址和当前计算机状态数据；

检测模块302，用于根据所述当前计算机状态检测每个所述URL地址为恶意URL地址；

加入模块303，用于将所述恶意URL地址加入恶意URL库中，以便进行网页木马检测。

本申请实施例提供的网页木马检测系统，通过客户端的当前计算机状态数据判断检测周期内的每个URL地址是否为恶意URL地址，由恶意URL地址构建恶意URL库。当接收到包含恶意URL库中URL地址的访问请求时立即拦截该访问请求，利用当前计算机状态数据可以识别随机性较高的Web恶意软件，从判定之时起，该Web恶意软件就永远被阻挡在了所有的用户计算机之外，从而最大可能的保护了整个数据中心的安全。

在上述实施例的基础上，作为一种优选实施方式，还包括：

在上述实施例的基础上，作为一种优选实施方式，所述当前计算机状态包括系统文件变化数据和/或注册表变化数据。

在上述实施例的基础上，作为一种优选实施方式，所述检测模块302包括：

判断单元，用于判断所述当前计算机状态是否为健康状态；若是，则启动加入单元的工作流程；若否，则启动剔除单元的工作流程；

所述加入单元，用于将所有所述URL地址加入安全集合；

所述剔除单元，用于将所有所述URL地址加入危险集合，剔除所述危险集合中所述安全集合中包含的URL地址，并将剔除后的危险集合中的所有URL地址作为所述恶意URL地址。

在上述实施例的基础上，作为一种优选实施方式，还包括：

确定单元，用于确定每个所述恶意URL地址在所述危险集合中的个数，并根据所述个数确定每个所述恶意URL地址的危险等级。

在上述实施例的基础上，作为一种优选实施方式，还包括：

危险等级模块，用于判断所述访问请求对应的URL地址的危险等级是否大于预设值；若是，则执行所述拦截所述访问请求的步骤。

本申请还提供了一种电子设备，参见图4，本申请实施例提供的一种电子设备的结构图，如图4所示，包括：

存储器100，用于存储计算机程序；

处理器200，用于执行所述计算机程序时可以实现上述实施例所提供的步骤。

具体的，存储器100包括非易失性存储介质、内存储器。该非易失性存储介质存储有操作系统和计算机可读指令，该内存储器为非易失性存储介质中的操作系统和计算机可读指令的运行提供环境。处理器200为电子设备提供计算和控制能力，执行所述存储器100中保存的计算机程序时，可以实现上述任一实施例提供的网页木马检测方法的步骤。

本申请实施例通过客户端的当前计算机状态数据判断检测周期内的每个URL地址是否为恶意URL地址，由恶意URL地址构建恶意URL库。当接收到包含恶意URL库中URL地址的访问请求时立即拦截该访问请求，利用当前计算机状态数据可以识别随机性较高的Web恶意软件，从判定之时起，该Web恶意软件就永远被阻挡在了所有的用户计算机之外，从而最大可能的保护了整个数据中心的安全。

在上述实施例的基础上，作为优选实施方式，参见图5，所述电子设备还包括：

输入接口300，与处理器200相连，用于获取外部导入的计算机程序、参数和指令，经处理器200控制保存至存储器100中。该输入接口300可以与输入装置相连，接收用户手动输入的参数或指令。该输入装置可以是显示屏上覆盖的触摸层，也可以是终端外壳上设置的按键、轨迹球或触控板，也可以是键盘、触控板或鼠标等。

显示单元400，与处理器200相连，用于显示处理器200发送的数据。该显示单元400可以为PC机上的显示屏、液晶显示屏或者电子墨水显示屏等。具体的，在本实施例中，可以通过显示单元400显示网页木马检测结果等。

网络端口500，与处理器200相连，用于与外部各终端设备进行通信连接。该通信连接所采用的通信技术可以为有线通信技术或无线通信技术，如移动高清链接技术(MHL)、通用串行总线(USB)、高清多媒体接口(HDMI)、无线保真技术(WiFi)、蓝牙通信技术、低功耗蓝牙通信技术、基于IEEE802.11s的通信技术等。

本申请还提供了一种计算机可读存储介质，该存储介质可以包括：U盘、移动硬盘、只读存储器(Read-Only Memory，ROM)、随机存取存储器(Random Access Memory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。该存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现上述任一实施例提供的网页木马检测方法的步骤。

说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例公开的系统而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。应当指出，对于本技术领域的普通技术人员来说，在不脱离本申请原理的前提下，还可以对本申请进行若干改进和修饰，这些改进和修饰也落入本申请权利要求的保护范围内。

还需要说明的是，在本说明书中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

Claims

1.一种网页木马检测方法，其特征在于，包括：

2.根据权利要求1所述网页木马检测方法，其特征在于，还包括：

若是，则拦截所述访问请求。

3.根据权利要求1所述网页木马检测方法，其特征在于，所述当前计算机状态包括系统文件变化数据和/或注册表变化数据。

4.根据权利要求1-3任一项所述网页木马检测方法，其特征在于，根据所述当前计算机状态检测每个所述URL地址为恶意URL地址，包括：

判断所述当前计算机状态是否为健康状态；

若是，则将所有所述URL地址加入安全集合；

5.根据权利要求4所述网页木马检测方法，其特征在于，所述将剔除后的危险集合中的所有URL地址作为所述恶意URL地址之后，还包括：

6.根据权利要求5所述网页木马检测方法，其特征在于，拦截所述访问请求之前，还包括：

若是，则执行所述拦截所述访问请求的步骤。

7.一种网页木马检测系统，其特征在于，包括：

8.根据权利要求7所述网页木马检测系统，其特征在于，还包括：

9.一种电子设备，其特征在于，包括：

存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序时实现如权利要求1至6任一项所述网页木马检测方法的步骤。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1至6任一项所述网页木马检测方法的步骤。