CN110020239B - 恶意资源转移网页识别方法及装置 - Google Patents

Abstract

本发明实施例公开了一种恶意资源转移网页识别方法及装置，属于网络安全领域。该方法包括：获取终端当前访问的网页；识别网页是否为资源转移网页，资源转移网页用于进行在线资源转移；若网页为资源转移网页，则获取终端的恶意网页访问记录，恶意网页访问记录中包含至少一条恶意网页对应的访问记录；若资源转移网页与恶意网页访问记录中包含的恶意网页之间存在关联关系，则确定资源转移网页为恶意资源转移网页。基于资源转移网页与恶意网页之间的关联关系实现恶意资源转移网页的自识别，无需借助人工上报审核，从而提高了恶意资源转移的识别效率；同时，能够实时对各个终端访问的网页进行识别，提高恶意资源转移识别的时效性以及覆盖率。

Description

恶意资源转移网页识别方法及装置

技术领域

本发明实施例涉及网络安全领域，特别涉及一种恶意资源转移网页识别方法及装置。

背景技术

在线支付是一种通过互联网完成资源转移的交易方式，其中，转移的资源为电子钱包、虚拟红包、电子券、积分券、积分、电子代金券、游戏币、虚拟物品等，常见的在线支付方式包括扫码支付。然而，在线支付给用户带来便利的同时，也给不发分子带来了可乘之机。

比如，越来越多的恶意网站开始接入在线资源转移通道，并引导用户通过扫码的方式在恶意网站上完成在线资源转移。相关技术中，在线资源转移公司通常会设置相应的用户举报制度，当接收到用户上报的举报信息后，即根据举报信息对举报账号进行人工审核，并在核实该举报账号违规时，对举报账号进行资金冻结、关停等处理。

然而，由于恶意资源转移的识别依赖于用户主动上报，且需要人工进行审核，导致恶意资源转移的识别效率较低。

发明内容

为了解决相关技术中恶意资源转移的识别依赖于用户主动上报，且需要人工进行审核，导致恶意资源转移的识别效率较低的问题，本发明实施例提供了一种恶意资源转移网页识别方法及装置。所述技术方案如下：

根据本发明实施例的第一方面，提供了一种恶意资源转移网页识别方法，该方法包括：

获取终端当前访问的网页；

识别网页是否为资源转移网页，资源转移网页用于进行在线资源转移；

若网页为资源转移网页，则获取终端的恶意网页访问记录，恶意网页访问记录中包含至少一条恶意网页对应的访问记录；

若资源转移网页与恶意网页访问记录中包含的恶意网页之间存在关联关系，则确定资源转移网页为恶意资源转移网页。

根据本发明实施例的第二方面，提供了一种恶意资源转移网页识别装置，该装置包括：

第一获取模块，用于获取终端当前访问的网页；

识别模块，用于识别网页是否为资源转移网页，资源转移网页用于进行在线资源转移；

第二获取模块，用于当网页为资源转移网页时，获取终端的恶意网页访问记录，恶意网页访问记录中包含至少一条恶意网页对应的访问记录；

第一确定模块，用于当资源转移网页与恶意网页访问记录中包含的恶意网页之间存在关联关系时，确定资源转移网页为恶意资源转移网页。

根据本发明实施例的第三方面，提供了一种服务器，该服务器包括处理器和存储器，所述存储器中存储有至少一条指令、至少一段程序、代码集或指令集，所述指令、所述程序、所述代码集或所述指令集由所述处理器加载并执行以实现如第一方面所述的恶意资源转移网页识别方法。

根据本发明实施例的第四方面，提供了一种计算机可读存储介质，所述存储介质中存储有至少一条指令、至少一段程序、代码集或指令集，所述指令、所述程序、所述代码集或所述指令集由所述处理器加载并执行以实现如第一方面所述的恶意资源转移网页识别方法。

本发明实施例中，通过获取终端当前访问的网页，并在识别出该网页为资源转移网页时，获取该终端的恶意网页访问记录，进而在资源转移网页与恶意网页访问记录中某一恶意网页之间存在关联关系时，确定该资源转移网页为恶意资源转移网页，实现了恶意资源转移网页的自识别；整个识别过程中，基于资源转移网页与恶意网页之间的关联关系实现恶意资源转移网页的自识别，无需借助人工上报审核，从而提高了恶意资源转移的识别效率；同时，能够实时对各个终端访问的网页进行识别，提高恶意资源转移识别的时效性以及覆盖率。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1示出了本发明一个实施例提供的实施环境的示意图；

图2是本发明实施例中服务器识别恶意资源转移网页过程的实施示意图；

图3示出了本发明一个实施例提供的恶意资源转移网页识别方法的流程图；

图4是资源转移网页中显示资源转移图形码以及用户扫码支付过程的流程图；

图5示出了本发明另一个实施例提供的恶意资源转移网页识别方法的流程图；

图6A和图6B是终端对恶意资源转移网页进行处理后的界面示意图；

图7示出了本发明另一个实施例提供的恶意资源转移网页识别方法的流程图；

图8是网页中图形码识别过程的实施示意图；

图9示出了本发明另一个实施例提供的恶意资源转移网页识别方法的流程图；

图10示出了本发明一个实施例提供的恶意资源转移网页识别装置的结构方框图；

图11示出了本发明一个实施例提供的服务器的结构方框图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明实施方式作进一步地详细描述。

在本文中提及的“多个”是指两个或两个以上。“和/或”，描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。字符“/”一般表示前后关联对象是一种“或”的关系。

请参考图1，其示出了本发明一个实施例提供的实施环境的示意图，该实施环境中包括终端110和服务器120。

终端110是具有互联网访问功能的电子设备。该电子设备为智能手机、平板电脑、MP3播放器(Moving Picture Experts Group Audio Layer Ⅲ，动态影像压缩标准音频层面3)、MP4(Moving Picture Experts Group Audio Layer Ⅳ，动态影像压缩标准音频层面4)播放器或个人计算机等等。

在一种可能的实施方式中，终端110中运行有具有网页安全检测功能的应用程序，该应用程序为浏览器应用程序、即时通信应用程序、社交类应用程序、富媒体应用程序或安全管家类应用程序。比如，当用户使用浏览器应用程序进行互联网访问时，终端110即对所要访问网页的安全性进行检测。可选的，对于识别出包含恶意内容的网页(比如黄赌类网站的网页)，终端110在浏览器中显示警告标识，提示用户继续访问该网页存在安全隐患；对于不包含恶意内容的网页，终端110在浏览器中正常显示相应的网页内容。

终端110与服务器120之间通过有线网络或无线网络相连。

服务器120为一台服务器、由若干台服务器组成的服务器集群或云计算中心。

在一种可能的实施方式中，服务器120为终端110中(具有网页安全检测功能)应用程序的后台服务器。服务器120接收到终端110通过应用程序发送的网页识别请求后，即对网页识别请求中包含的网页进行识别，并向终端110返回相应的识别结果，以便终端110根据识别结果进行相应显示。

可选的，服务器120中构建有恶意网页数据库121和恶意资源转移数据库122，其中，恶意网页数据库121中存储有经过验证的恶意网页(或同时存储有经过验证的安全网页或恶意网页)，恶意资源转移数据库122中存储有经过验证的恶意资源转移网页。

可选的，图1所示的实施环境中还包括若干个资源转移平台130，且服务器120与各个资源转移平台130相连。服务器120在识别出恶意资源转移网页的同时，确定恶意资源转移网页所接入的在线资源转移通道所属的资源转移平台，并将恶意资源转移数据库122中相应的数据发送至资源转移平台130，以便资源转移平台130根据该数据对恶意资源转移网页中的收款账号进行处理。

可选地，上述的无线网络或有线网络使用标准通信技术和/或协议。网络通常为因特网、但也可以是任何网络，包括但不限于局域网(Local Area Network，LAN)、城域网(Metropolitan Area Network，MAN)、广域网(Wide Area Network，WAN)、移动、有线或者无线网络、专用网络或者虚拟专用网络的任何组合)。在一些实施例中，使用包括超文本标记语言(Hyper Text Mark-up Language，HTML)、可扩展标记语言(Extensible MarkupLanguage，XML)等的技术和/或格式来代表通过网络交换的数据。此外还可以使用诸如安全套接字层(Secure Socket Layer，SSL)、传输层安全(Transport Layer Security，TLS)、虚拟专用网络(Virtual Private Network，VPN)、网际协议安全(Internet ProtocolSecurity，IPsec)等常规加密技术来加密所有或者一些链路。在另一些实施例中，还可以使用定制和/或专用数据通信技术取代或者补充上述数据通信技术。

本发明各个实施例提供的恶意资源转移网页识别方法用于图1所示的服务器120，下面采用示意性的实施例进行说明。

如图2所示，本发明实施例中，服务器200中构建有恶意网页数据库210和恶意资源转移数据库220。其中，恶意网页数据库210中存储有各个终端的恶意网页访问记录，恶意资源转移数据库220中存储有各个终端的恶意资源转移网页访问记录。服务器200通过统一的识别请求接收接口获取到各个终端发送的网页识别请求后，首先通过资源转移网页识别模块230识别终该网页是否为资源转移网页，若该网页不是资源转移网页，服务器200则进一步检测恶意网页数据库210中是否包含该网页，并通过识别结果反馈接口将结果反馈给终端；若该网页为资源转移网页，服务器200进一步从恶意网页数据库210中获取终端的恶意网页访问记录，并在恶意网页访问记录与该资源转移网页之间存在关联关系时，向终端反馈相应的识别结果，并将该资源转移网页(恶意资源转移网页)添加到恶意资源转移数据库220中。

通过本发明实施例提供的恶意资源转移网页识别方法，在没有人为上报的情况下，服务器能够基于资源转移网页与恶意网页之间的关联关系实现恶意资源转移网页的自识别，从而提高了恶意资源转移的识别效率；同时，能够实时对各个终端访问的网页进行识别，提高恶意资源转移识别的时效性以及覆盖率。下面采用示意性的实施例进行说明。

请参考图3，其示出了本发明一个实施例提供的恶意资源转移网页识别方法的流程图，本实施例以该恶意资源转移网页识别方法用于图1所示的服务器120为例进行说明，该方法包括：

步骤301，获取终端当前访问的网页。

在一种可能的实施方式中，终端通过具有网页安全检测功能的应用程序进行网页访问时，向应用程序的服务器发送网页识别请求，服务器即从该网页识别请求中获取终端当前访问的网页。比如，服务器获取到当前访问的网页的URL(Uniform Resource Locator，统一资源定位符)。

可选的，当该服务器为浏览器应用程序对应的后台服务器时，该网页为浏览器应用程序当前访问的网页。

在其他可能的实施方式中，当终端运行具有网页安全检测功能的安全管家类应用程序，并通过任意应用程序进行网页访问时，安全管家类应用程序即获取任意应用程序当前访问网页的URL，比如浏览器应用程序当前访问的网页或即时通信应用程序当前访问的网页。

步骤302，识别该网页是否为资源转移网页，资源转移网页用于进行在线资源转移。

获取到终端当前访问的网页后，服务器识别该网页是否为资源转移网页，若该网页为资源转移网页，服务器进一步通过下述步骤303至304确定该资源转移网页是否为恶意资源转移网页；若该网页为非资源转移网页，服务器则识别该网页中是否包含恶意内容，也即识别该网页是否为恶意网页。

在一种可能的实施方式中，服务器获取当前访问的网页的URL，并检测该URL中是否包含资源转移相关的字符串，若包含，则确定该网页为资源转移网页，若不包含，则确定该网页为非资源转移网页。

步骤303，若该网页为资源转移网页，则获取终端的恶意网页访问记录，恶意网页访问记录中包含至少一条恶意网页对应的访问记录。

由于用户访问恶意资源转移网页前，通常会对恶意网页进行访问，因此，为了确定当前访问的资源转移网页是否为恶意资源转移网页，服务器进一步获取该终端的恶意网页访问记录，以便后续基于恶意网页访问记录与资源转移网页之间的关联关系，确定该资源转移网页是否为恶意资源转移网页。

在一种可能的实施方式中，服务器获取终端当前访问的网页时，获取终端的标识，从而根据该标识从恶意网页数据库中获取该终端的恶意网址访问记录，可选的，获取到的恶意网址访问记录中包含：恶意网址、访问时刻、恶意网页类型。

步骤304，若资源转移网页与恶意网页访问记录中包含的恶意网页之间存在关联关系，则确定资源转移网页为恶意资源转移网页。

可选的，对于与恶意网页存在关联关系的资源转移网页，终端确定该资源转移网页为恶意资源转移网页，并向终端反馈相应的识别结果，以便终端根据该识别结果进行提示或对该恶意资源转移网页进行内容屏蔽。

针对识别网页间是否存在关联关系时所采用的方式，在一种可能的实施方式中，当检测到在访问恶意网页之后的预定时间段内访问了该资源转移网页，服务器确定该资源转移网页与恶意网页之间存在关联关系。

在另一种可能的实施方式中，当检测到资源转移网页是某一恶意网页的子网页时，服务器确定该资源转移网页与恶意网页之间存在关联关系。

综上所述，本实施例中，通过获取终端当前访问的网页，并在识别出该网页为资源转移网页时，获取该终端的恶意网页访问记录，进而在资源转移网页与恶意网页访问记录中某一恶意网页之间存在关联关系时，确定该资源转移网页为恶意资源转移网页，实现了恶意资源转移网页的自识别；整个识别过程中，基于资源转移网页与恶意网页之间的关联关系实现恶意资源转移网页的自识别，无需借助人工上报审核，从而提高了恶意资源转移的识别效率；同时，能够实时对各个终端访问的网页进行识别，提高恶意资源转移识别的时效性以及覆盖率。

网站接入在线资源转移通道后，通常会在资源转移网页中显示资源转移图形码(又称为支付码)，并引导用户通过扫描该资源转移图形码完成指定数值的资源转移。其中，支付网页中显示支付码以及扫码支付的流程如图4所示：

步骤401，网站后台生成订单；

步骤402，网站后台调用下单API(Application Interface，应用程序接口)，向支付平台发送交易生成请求；

步骤403，支付平台生成预支付交易；

步骤404，支付平台向网站后台返回预支付交易链接(code_url)；

步骤405，网站后台根据预支付交易链接生成支付码；

步骤406，网站后台向终端反馈生成的支付码；

步骤407，终端显示包含支付码的支付网页；

步骤408，支付终端向支付平台提交扫描链接，该扫描连接由扫描终端扫描支付码后得到；

步骤409，支付平台验证扫描链接的有效性；

步骤410，支付平台向支付终端返回支付授权；

步骤411，支付终端接收输入的支付密码；

步骤412，支付终端向支付平台提交包含支付密码的支付授权；

步骤413，支付平台验证支付授权并完成交易。

相关技术中，终端在显示包含资源转移图形码的资源转移网页时，该资源转移网页对应的URL中包含资源转移图形码对应的资源转移链接(即上述预交易支付链接)，且不同资源转移平台所采用的资源转移链接的格式不同。因此，在一种可能的实施方式中，服务器在识别终端当前访问的网页是否为资源转移网页时，即检测网页的URL中是否包含资源转移链接，并在包含资源转移链接时，确定该网页为资源转移网页，下面采用示意性的实施例进行说明。

请参考图5，其示出了本发明另一个实施例提供的恶意资源转移网页识别方法的流程图，本实施例以该恶意资源转移网页识别方法用于图1所示的服务器120为例进行说明，该方法包括：

步骤501，获取终端当前访问的网页。

本步骤的实施方式与上述步骤301相似，本实施例在此不再赘述。

步骤502，获取该网页的URL。

在一种可能的实施方式中，服务器从终端发送的网页识别请求中，获取当前访问的网页的URL。比如，服务器获取到网页的URL为：http://pay.example.com/MakeQRCode.aspx？data＝a://apay/bizpayurl？pr＝1wkCQ3u。

步骤503，根据资源转移链接特征表，识别URL中是否包含资源转移链接，资源转移链接特征表中包含不同资源转移平台所采用资源转移链接的特征信息，资源转移链接用于生成相应的资源转移图形码。

在一种可能的实施方式中，服务器预先对不同资源转移平台所采用的资源转移链接进行特征提取，进而根据特征提取结果生成不同资源转移平台所采用资源转移链接的资源转移链接模板，并将资源转移平台与资源转移链接模板的对应关系存储在资源转移链接特征表中，示意性的，该资源转移链接特征表如表一所示。

表一

资源转移平台	资源转移链接模板
		资源转移平台A	a://apay/bizpayurl？pr＝*
资源转移平台B	https://qr.bpay.com/*
		资源转移平台C	https://cpay.xx.com/qr/*

其中，*为通配符，且不同交易对应资源转移链接中的*不同。

获取到网页的URL后，服务器基于该资源转移链接特征表，检测该URL中是否包含资源转移链接。在一种可能的实施方式中，服务器将该URL与资源转移链接特征表中的各个资源转移链接模板进行匹配，并根据匹配结果确定URL中是否包含资源转移链接。

若识别出URL中包含资源转移链接，服务器确定终端当前访问的网页为资源转移网页，并执行下述步骤504；若识别出URL中不包含资源转移链接，服务器确定终端当前访问的网页为非资源转移网页。

可选的，当确定该网页为非资源转移网页时，终端进一步检测该网页是否为恶意网页，并在该网页为恶意网页时，向终端反馈第一指令，以便终端根据第一指令提示用户当前网页中包含恶意内容；在该网页为安全网页时，向终端反馈第二指令，以便终端根据第二指令正常显示网页内容。

步骤504，若URL中包含资源转移链接，则将该网页确定为资源转移网页。

结合步骤502中的示例，由于URL中的“a://apay/bizpayurl？pr＝1wkCQ3u”与表一中资源转移平台A对应的资源转移链接模板匹配，因此，服务器确定该网页为资源转移网页。

终端显示的资源转移网页中，即包含该资源转移链接对应的资源转移图形码，该资源转移图形码是通过预定编码技术生成的包含该资源转移链接的图形码，比如，该资源转移图形码为条形码或二维码。当用户使用相应的资源转移应用程序扫描该资源转移图形码时，资源转移应用程序即能够解析资源转移图形码中包含的资源转移链接，并向资源转移平台提交扫描链接，进而获取资源转移平台返回的资源转移授权以进行指定数量的资源转移。

可选的，当识别出当前网页为资源转移网页时，服务器还能够确定该资源转移网页所接入的资源转移平台的类型。比如，由于URL中包含与资源转移平台A对应的资源转移链接模板相匹配的资源转移链接，因此，服务器确定当前访问的资源转移网页接入资源转移平台A。

步骤505，若网页为资源转移网页，则获取终端的恶意网页访问记录，恶意网页访问记录中包含至少一条恶意网页对应的访问记录。

进一步的，为了确定当前访问的资源转移网页是否与恶意网页之间存在关联关系，服务器进一步获取该终端的恶意网页访问记录。

在一种可能的实施方式中，服务器将各个终端的恶意网页访问记录存储在恶意网页数据库中，示意性的，该恶意网页数据库的存储结构如表二所示，其中，每条访问记录中包含终端标识、恶意网址、恶意类型和访问时刻。

表二

终端标识	恶意网址	恶意类型	访问时刻
				UID1	http://www.gamble-example1.com	博彩类	2017-08-29 16:52:01
UID2	http://www.gamble-example2.com	博彩类	2017-08-29 16:53:01
				UID3	http://www.gamble-example3.com	博彩类	2017-08-29 16:52:19
UID4	http://www.gamble-example4.com	色情类	2017-08-29 16:52:56

可选的，为了保证用户隐私，服务器对终端的网络环境参数(比如IP(InternetProtocol，互联网协议)地址、MAC(Media Access Control，媒体访问控制)地址或登陆应用程序时使用的用户帐号)进行不可逆哈希计算，比如通过MD5(Message Digest AlgorithmMD5，消息摘要算法第五版)或SHA-256(Secure Hash Algorithm，安全哈希算法)等算法对用户帐号进行哈希计算，并将计算得到的哈希值作为终端标识。

相应的，确定该网页为资源转移网页后，服务器根据终端标识从恶意网页数据库中查找终端的恶意网页访问记录。

比如，服务器获取到终端标识为UID1，并从表二所示的恶意网页数据库中获取到终端的恶意网页访问记录。

步骤506，对于恶意网页访问记录中的各个恶意网页，获取恶意网页对应的第一访问时刻。

由于用户在恶意资源转移网页上进行资源转移前，通常会访问相应的恶意网页，因此，服务器根据资源转移网页的访问时刻与恶意网页的访问时刻确定两者之间是否存在关联关系。

在一种可能的实施方式中，当查找到该终端对应的恶意网页访问记录时，服务器获取各条访问记录中包含的恶意网页的第一访问时刻。

结合表二所示，服务器获取到终端访问恶意网页的第一访问时刻为“2017-08-2916:52:01”。

步骤507，若资源转移网页的第二访问时刻与第一访问时刻的时间间隔小于预设时间阈值，则确定资源转移网页与恶意网页之间存在关联关系，并确定资源转移网页为恶意资源转移网页。

在一种可能的实施方式中，服务器接收到终端发送的网页识别请求时，即获取到网页(资源转移网页)的第二访问时刻。在检测资源转移网页与恶意网页之间是否存在关联关系时，服务器计算第二访问时刻与第一访问时刻的时间间隔，并检测该时间间隔是否小于预设时间阈值，若时间间隔小于预设时间阈值，则确定资源转移网页与恶意网页之间存在关联关系，即该资源转移网页为恶意资源转移网页；若时间间隔大于预设时间阈值，则确定资源转移网页与恶意网页之间不存在关联关系，即资源转移网页为安全资源转移网页。比如，该时间阈值为5分钟。

示意性的，恶意网页的第一访问时刻为“2017-08-29 16:52:01”，且资源转移网页的第二访问时刻为“2017-08-29 16:53:25”，服务器计算得到两者的时间间隔为1分24秒＜预设时间阈值，即确定该资源转移网页为恶意资源转移网页。

需要说明的是，当存在至少两条恶意网页的访问时刻与资源转移网页的访问时刻的时间间隔小于预设时间阈值时，服务器确定最小时间间隔对应的恶意网页与资源转移网页关联，也即，将最近访问的恶意网页确定为资源转移网页的关联网页。

步骤508，向终端反馈识别出的恶意资源转移网页，以便终端在访问与恶意资源转移网页的相似度大于阈值的网页时，对网页进行预定处理，预定处理方式包括显示提示信息和屏蔽网页内容中的至少一种。

识别出当前访问的网页为恶意资源转移网页后，为了避免用户后续再次访问该资源转移网页造成财产损失，服务器向终端反馈识别出的恶意资源转移网页，相应的，终端对服务器反馈的恶意资源转移网页进行存储。

后续进行网页访问时，终端计算当前访问的网页(URL)与恶意资源转移网页(URL)的相似度，并在两者的相似度大于阈值时，确定当前访问的网页为恶意资源转移网页。进一步，对于识别出的恶意资源转移网页，终端在显示恶意资源转移网页时，显示相应的提示信息，提示用户此次访问存在安全风险，或者，终端对该恶意资源转移网页中的网页内容进行屏蔽，比如，对恶意资源转移网页中包含的图片进行屏蔽，从而避免用户扫码支付。

如图6A所示，服务器61向终端62反馈恶意资源转移网页的URL为http://pay.example.com/MakeQRCode.aspx？data＝a://apay/bizpayurl？pr＝1wkCQ3u，终端62对该URL进行存储。当终端62当前访问的网页的URL为http://pay.example.com/MakeQRCode.aspx？data＝a://apay/bizpayurl？pr＝25kCJ3u时，由于两者的相似度大于阈值，因此终端62显示提示信息621，此时，恶意资源转移网页中的二维码622仍正常显示。

又比如，如图6B所示，当两者的相似度大于阈值时，终端62对恶意资源转移网页中的图片进行屏蔽，即不再显示二维码622，从而避免用户进行扫码支付。

本实施例中，服务器根据资源转移链接特征表识别网页的URL中是否包含资源转移链接，进而确定该网页是否为资源转移网页，提高了资源转移网页识别的准确率，有利于提高后续恶意资源转移网页识别的准确性。

本实施例中，服务器根据资源转移网页与恶意网页之间的访问时间间隔，确定资源转移网页与恶意网页之间是否存在关联关系，能够有效识别出用户在恶意网站上的资源转移行为，进一步提高了恶意资源转移网页识别的准确性。

本实施例中，服务器向终端反馈识别出的恶意资源转移网页，以便终端在访问与恶意资源转移网页的相似度大于阈值的网页时，对网页进行相应处理，避免用户后续再次访问该资源转移网页造成财产损失。

图5所示实施例中，由于恶意资源转移网页中显示的二维码根据资源转移链接实时生成(即二维码不断发生变化)，因此，恶意资源转移网页的URL中包含资源转移链接。而在一种可能的场景下，恶意资源转移网页中显示的二维码为固定添加到网页中的图片(即二维码不变，类似于线下收款码)，这种场景下，恶意网站无需与资源转移平台进行交互以获取资源转移链接，导致恶意资源转移网页的URL中不包含资源转移链接。为了能够在这一场景下识别出当前网页为资源转移网页，在图5的基础上，如图7所示，上述步骤503之后还包括如下步骤。

步骤509，若URL中不包含资源转移链接，则获取网页中包含的网页内容。

针对获取网页中包含网页内容的方式，在一种可能的实施方式中，服务器根据获取到的URL模拟访问网页，并通过截图的方式获取网页中包含的网页内容，该网页内容包括文字、图片。

示意性的，如图8所示，服务器通过截图操作获取到网页内容81。

步骤510，当网页内容中包含图形码时，通过预定图形码解析技术解析该图形码，图形码包括二维码和条形码中的至少一种。

对于获取到的网页内容，终端检测网页内容中是否包含图形码，并在包含图形码时，通过相应图形码解析技术解析出该图形码中包含的信息，其中，图形码解析技术为二维码解析技术或条形码解析技术。

示意性的，如图8所示，服务器通过二维码识别技术，识别网页内容81中包含的二维码82。

步骤511，检测图形码解析结果中是否包含预设资源转移关键词。

进一步的，服务器检测该解析结果中是否包含预设资源转移关键词，若包含，则确定该图形码用于收款，即包含该图形码的网页为资源转移网页；若不包含，则确定该图形码并非用于收款，即包含该图形码的网页并非资源转移网页。

比如，该预设资源转移关键词为pay、zhifu等等。

步骤512，若图形码识别结果中包含预设资源转移关键词，则确定该网页为资源转移网页。

确定该网页为资源转移网页后，服务器进一步通过上述步骤505至508确定该资源转移网页是否为恶意资源转移网页。

示意性的，如图8所示，服务器识别二维码82得到的识别结果中包含资源转移关键词“pay”，因此，服务器确定终端当前访问的网页为资源转移网页。

本实施例中，在网页的URL中不包含资源转移链接的情况下，服务器通过获取网页内容，使用图形码解析技术识别出图形码中包含的信息，并在上述信息中包含资源转移关键词时，确定图形码为资源转移图形码，进而确定当前网页为资源转移网页，达到了提高资源转移网页识别范围的效果。

需要说明的是，为了避免服务器对所有的网页均进行恶意资源转移识别，造成服务器处理压力过大的问题，在一种可能的实施方式中，服务器在检测到终端访问恶意网页后的预定时长内，启动恶意资源转移进程进行恶意资源转移识别。

在一种可能的实施方式中，服务器识别出恶意资源转移网页后，向相应的资源转移平台进行反馈，以便资源转移平台对相应的恶意资源转移账号进行处理，避免其他用户继续在恶意资源转移网页上进行扫码支付。示意性的，在图5的基础上，如图9所示，上述步骤507之后，还包括如下步骤。

步骤513，将恶意资源转移网页与恶意网页关联存储到恶意资源转移数据库中。

识别出恶意资源转移网页与恶意网页之间的关联关系后，服务器将恶意资源转移网页与恶意网页关联存储到恶意资源转移数据库中，该恶意资源转移数据库中的每条数据包括表二所示的访问记录，以及下述表三所示的访问记录(主键为终端标识)。

表三

步骤514，确定恶意资源转移网页对应的资源转移平台。

在一种可能的实施方式中，服务器确定出与URL中资源转移链接相匹配的资源转移链接模板后，即将该资源转移链接模板对应的资源转移平台确定为恶意资源转移网页对应的资源转移平台。

步骤515，每隔预定时间间隔，向各个资源转移平台发送恶意资源转移数据库中的数据，以便资源转移平台根据数据确定恶意资源转移账号，并对恶意资源转移账号进行处理。

服务器与各个资源转移平台之间建立连接，并根据恶意资源转移数据库中各条数据包含的资源转移平台信息，每隔预定时间间隔(比如一天)向各个资源转移平台发送相应的数据。资源转移平台接收到服务器发送的数据后，即根据数据中恶意资源转移网址包含的资源转移链接获取交易详情(包括付款账号、收款账号、付款金额等信息)，从而确定收款账号，并将该收款账号确定为恶意资源转移账号，进而对恶意资源转移账号进行资金冻结、关停等处理。

由于该恶意资源转移数据库存储有与恶意网页关联的恶意资源转移网页，因此，资源转移平台还可以通过访问与恶意资源转移网页关联的恶意网页进行取证核实。

本实施例中，服务器将恶意资源转移网页与恶意网页关联存储到恶意资源转移数据库中，并向各个资源转移平台发送恶意资源转移数据库中的数据，以便资源转移平台对相应的恶意资源转移账号进行及时处理，从而避免其他用户继续在恶意资源转移网页上进行扫码支付，进一步提高了在线资源转移的安全性。

下述为本发明装置实施例，对于装置实施例中未详尽描述的细节，可以参考上述一一对应的方法实施例。

请参考图10，其示出了本发明一个实施例提供的恶意资源转移网页识别装置的结构方框图。该恶意资源转移网页识别装置通过硬件或者软硬件的结合实现成为图1中服务器120的全部或者一部分。该装置包括：

第一获取模块1010，用于获取终端当前访问的网页；

识别模块1020，用于识别所述网页是否为资源转移网页，所述资源转移网页用于进行在线资源转移；

第二获取模块1030，用于当所述网页为所述资源转移网页时，获取所述终端的恶意网页访问记录，所述恶意网页访问记录中包含至少一条恶意网页对应的访问记录；

第一确定模块1040，用于当所述资源转移网页与所述恶意网页访问记录中包含的恶意网页之间存在关联关系时，确定所述资源转移网页为恶意资源转移网页。

可选的，所述恶意网页访问记录中包含恶意网页的第一访问时刻；

所述第一确定模块1040，包括：

第一获取单元，用于对于所述恶意网页访问记录中的各个恶意网页，获取所述恶意网页对应的所述第一访问时刻；

第一确定单元，用于当所述资源转移网页的第二访问时刻与所述第一访问时刻的时间间隔小于预设时间阈值时，确定所述资源转移网页与所述恶意网页之间存在所述关联关系，并确定所述资源转移网页为所述恶意资源转移网页。

可选的，所述识别模块1020，包括：

第二获取单元，用于获取所述网页的统一资源定位符URL；

识别模块，用于根据资源转移链接特征表，识别所述URL中是否包含资源转移链接，所述资源转移链接特征表中包含不同资源转移平台所采用资源转移链接的特征信息，所述资源转移链接用于生成相应的资源转移图形码；

第二确定单元，用于当所述URL中包含所述资源转移链接时，将所述网页确定为所述资源转移网页。

可选的，所述识别模块1020，还包括：

第三获取单元，用于当所述URL中不包含所述资源转移链接时，获取所述网页中包含的网页内容；

解析单元，用于当所述网页内容中包含图形码时，通过预定图形码解析技术解析所述图形码，所述图形码包括二维码和条形码中的至少一种；

检测单元，用于检测图形码解析结果中是否包含预设资源转移关键词；

第三确定单元，用于当所述图形码识别结果中包含所述预设资源转移关键词时，确定所述网页为所述资源转移网页。

可选的，所述装置，还包括：

存储模块，用于将所述恶意资源转移网页与所述恶意网页关联存储到恶意资源转移数据库中；

第二确定模块，用于确定所述恶意资源转移网页对应的资源转移平台；

发送模块，用于每隔预定时间间隔，向各个资源转移平台发送所述恶意资源转移数据库中的数据，以便所述资源转移平台根据资源转移数据确定恶意资源转移账号，并对所述恶意资源转移账号进行处理。

可选的，所述装置，还包括：

反馈模块，用于向所述终端反馈识别出的所述恶意资源转移网页，以便所述终端在访问与所述恶意资源转移网页的相似度大于阈值的网页时，对所述网页进行预定处理，预定处理方式包括显示提示信息和屏蔽网页内容中的至少一种。

综上所述，本实施例中，，通过获取终端当前访问的网页，并在识别出该网页为资源转移网页时，获取该终端的恶意网页访问记录，进而在资源转移网页与恶意网页访问记录中某一恶意网页之间存在关联关系时，确定该资源转移网页为恶意资源转移网页，实现了恶意资源转移网页的自识别；整个识别过程中，基于资源转移网页与恶意网页之间的关联关系实现恶意资源转移网页的自识别，无需借助人工上报审核，从而提高了恶意资源转移的识别效率；同时，能够实时对各个终端访问的网页进行识别，提高恶意资源转移识别的时效性以及覆盖率。

本实施例中，服务器根据资源转移链接特征表识别网页的URL中是否包含资源转移链接，进而确定该网页是否为资源转移网页，提高了资源转移网页识别的准确率，有利于提高后续恶意资源转移网页识别的准确性。

本实施例中，服务器根据资源转移网页与恶意网页之间的访问时间间隔，确定资源转移网页与恶意网页之间是否存在关联关系，能够有效识别出用户在恶意网站上的资源转移行为，进一步提高了恶意资源转移网页识别的准确性。

本实施例中，服务器向终端反馈识别出的恶意资源转移网页，以便终端在访问与恶意资源转移网页的相似度大于阈值的网页时，对网页进行相应处理，避免用户后续再次访问该资源转移网页造成财产损失。

本实施例中，在网页的URL中不包含资源转移链接的情况下，服务器通过获取网页内容，使用图形码解析技术识别出图形码中包含的信息，并在上述信息中包含资源转移关键词时，确定图形码为资源转移图形码，进而确定当前网页为资源转移网页，达到了提高资源转移网页识别范围的效果。

本实施例中，服务器将恶意资源转移网页与恶意网页关联存储到恶意资源转移数据库中，并向各个资源转移平台发送恶意资源转移数据库中的数据，以便资源转移平台对相应的恶意资源转移账号进行及时处理，从而避免其他用户继续在恶意资源转移网页上进行扫码支付，进一步提高了在线资源转移的安全性。

请参考图11，其示出了本发明一个实施例提供的服务器的结构方框图。该服务器600实现为上述实施例的恶意资源转移网页识别装置。具体来讲：

服务器600包括中央处理单元(CPU)601、包括随机存取存储器(RAM)602和只读存储器(ROM)603的系统存储器604，以及连接系统存储器604和中央处理单元601的系统总线605。所述服务器600还包括帮助计算机内的各个器件之间传输信息的基本输入/输出系统(I/O系统)606，和用于存储操作系统613、应用程序614和其他程序模块615的大容量存储设备607。

所述基本输入/输出系统606包括有用于显示信息的显示器608和用于用户输入信息的诸如鼠标、键盘之类的输入设备609。其中所述显示器608和输入设备609都通过连接到系统总线605的输入输出控制器610连接到中央处理单元601。所述基本输入/输出系统606还可以包括输入输出控制器610以用于接收和处理来自键盘、鼠标、或电子触控笔等多个其他设备的输入。类似地，输入输出控制器610还提供输出到显示屏、打印机或其他类型的输出设备。

所述大容量存储设备607通过连接到系统总线605的大容量存储控制器(未示出)连接到中央处理单元601。所述大容量存储设备607及其相关联的计算机可读介质为服务器600提供非易失性存储。也就是说，所述大容量存储设备607可以包括诸如硬盘或者CD-ROM驱动器之类的计算机可读介质(未示出)。

不失一般性，所述计算机可读介质可以包括计算机存储介质和通信介质。计算机存储介质包括以用于存储诸如计算机可读指令、数据结构、程序模块或其他数据等信息的任何方法或技术实现的易失性和非易失性、可移动和不可移动介质。计算机存储介质包括RAM、ROM、EPROM、EEPROM、闪存或其他固态存储其技术，CD-ROM、DVD或其他光学存储、磁带盒、磁带、磁盘存储或其他磁性存储设备。当然，本领域技术人员可知所述计算机存储介质不局限于上述几种。上述的系统存储器604和大容量存储设备607可以统称为存储器。

根据本发明的各种实施例，所述服务器600还可以通过诸如因特网等网络连接到网络上的远程计算机运行。也即服务器600可以通过连接在所述系统总线605上的网络接口单元611连接到网络612，或者说，也可以使用网络接口单元611来连接到其他类型的网络或远程计算机系统(未示出)。

所述存储器还包括一个或者一个以上的程序，所述一个或者一个以上程序存储于存储器中，所述一个或者一个以上程序包含用于进行本发明实施例提供的恶意资源转移网页识别方法的指令。

本发明实施例还提供了一种计算机可读存储介质，所述存储介质中存储有至少一条指令、至少一段程序、代码集或指令集，所述指令、所述程序、所述代码集或所述指令集由所述处理器加载并执行以实现上述各个实施例的恶意资源转移网页识别方法。

上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。

以上所述仅为本发明的较佳实施例，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (6)

1.一种恶意资源转移网页识别方法，其特征在于，所述方法包括：

获取终端当前访问的网页；

获取所述网页的统一资源定位符URL；

根据资源转移链接特征表，识别所述URL中是否包含资源转移链接，所述资源转移链接特征表中包含不同资源转移平台所采用资源转移链接对应的资源转移链接模板，所述资源转移链接用于生成相应的资源转移图形码；

若所述URL中包含所述资源转移链接，则将所述网页确定为资源转移网页，所述资源转移网页用于进行在线资源转移，所述资源转移网页内显示有所述资源转移链接对应的所述资源转移图形码；

若所述网页为所述资源转移网页，则获取所述终端的恶意网页访问记录，所述恶意网页访问记录中包含至少一条恶意网页对应的访问记录；

对于所述恶意网页访问记录中的各个恶意网页，获取所述恶意网页对应的第一访问时刻；

若所述资源转移网页的第二访问时刻与所述第一访问时刻的时间间隔小于预设时间阈值，则确定所述资源转移网页与所述恶意网页之间存在关联关系，并确定所述资源转移网页为恶意资源转移网页；

向所述终端反馈识别出的所述恶意资源转移网页，以便所述终端在检测到网页访问行为时计算访问网页与所述恶意资源转移网页的相似度，以及在所述相似度大于阈值时，对所述访问网页进行预定处理，预定处理方式包括显示提示信息和屏蔽网页内容中的至少一种；

将所述恶意资源转移网页与所述恶意网页关联存储到恶意资源转移数据库中；

确定所述恶意资源转移网页对应的资源转移平台；

每隔预定时间间隔，向各个资源转移平台发送所述恶意资源转移数据库中的数据，以便所述资源转移平台根据所述数据确定恶意资源转移账号，并对所述恶意资源转移账号进行处理，其中，所述资源转移平台用于根据所述恶意资源转移网页对应的资源转移链接获取交易详情，且根据所述交易详情确定所述恶意资源转移账号。

2.根据权利要求1所述的方法，其特征在于，所述识别所述URL中是否包含资源转移链接之后，还包括：

若所述URL中不包含所述资源转移链接，则获取所述网页中包含的网页内容；

当所述网页内容中包含图形码时，通过预定图形码解析技术解析所述图形码，所述图形码包括二维码和条形码中的至少一种；

检测图形码解析结果中是否包含预设资源转移关键词；

若所述图形码识别结果中包含所述预设资源转移关键词，则确定所述网页为所述资源转移网页。

3.一种恶意资源转移网页识别装置，其特征在于，所述装置包括：

第一获取模块，用于获取终端当前访问的网页；

识别模块，用于获取所述网页的统一资源定位符URL；根据资源转移链接特征表，识别所述URL中是否包含资源转移链接，所述资源转移链接特征表中包含不同资源转移平台所采用资源转移链接对应的资源转移链接模板，所述资源转移链接用于生成相应的资源转移图形码；若所述URL中包含所述资源转移链接，则将所述网页确定为资源转移网页，所述资源转移网页用于进行在线资源转移，所述资源转移网页内显示有所述资源转移链接对应的所述资源转移图形码；

第二获取模块，用于当所述网页为所述资源转移网页时，获取所述终端的恶意网页访问记录，所述恶意网页访问记录中包含至少一条恶意网页对应的访问记录；

第一确定模块，用于对于所述恶意网页访问记录中的各个恶意网页，获取所述恶意网页对应的第一访问时刻；当所述资源转移网页的第二访问时刻与所述第一访问时刻的时间间隔小于预设时间阈值时，确定所述资源转移网页与所述恶意网页之间存在关联关系，并确定所述资源转移网页为恶意资源转移网页；

反馈模块，用于向所述终端反馈识别出的所述恶意资源转移网页，以便所述终端在检测到网页访问行为时计算访问网页与所述恶意资源转移网页的相似度，以及在所述相似度大于阈值时，对所述访问网页进行预定处理，预定处理方式包括显示提示信息和屏蔽网页内容中的至少一种；

存储模块，用于将所述恶意资源转移网页与所述恶意网页关联存储到恶意资源转移数据库中；

第二确定模块，用于确定所述恶意资源转移网页对应的资源转移平台；

发送模块，用于每隔预定时间间隔，向各个资源转移平台发送所述恶意资源转移数据库中的数据，以便所述资源转移平台根据所述数据确定恶意资源转移账号，并对所述恶意资源转移账号进行处理，其中，所述资源转移平台用于根据所述恶意资源转移网页对应的资源转移链接获取交易详情，且根据所述交易详情确定所述恶意资源转移账号。

4.根据权利要求3所述的装置，其特征在于，所述识别模块，还包括：

第三获取单元，用于若所述URL中不包含所述资源转移链接，则获取所述网页中包含的网页内容；

解析单元，用于当所述网页内容中包含图形码时，通过预定图形码解析技术解析所述图形码，所述图形码包括二维码和条形码中的至少一种；

检测单元，用于检测图形码解析结果中是否包含预设资源转移关键词；

第三确定单元，用于若所述图形码识别结果中包含所述预设资源转移关键词，则确定所述网页为所述资源转移网页。

5.一种服务器，其特征在于，所述服务器包括处理器和存储器，所述存储器中存储有至少一条指令、至少一段程序、代码集或指令集，所述指令、所述程序、所述代码集或所述指令集由所述处理器加载并执行以实现如权利要求1至2任一所述的恶意资源转移网页识别方法。

6.一种计算机可读存储介质，其特征在于，所述存储介质中存储有至少一条指令、至少一段程序、代码集或指令集，所述指令、所述程序、所述代码集或所述指令集由所述处理器加载并执行以实现如权利要求1至2任一所述的恶意资源转移网页识别方法。

Images