CN111125704A - 一种网页挂马识别方法及系统 - Google Patents

Abstract

本发明公开了一种网页挂马识别方法及系统。该方法包括：获取待检测网站的URL；并推送待检测URL至虚拟机沙箱；沙箱内安装有挂马检测和验证系统；采用挂马检测和验证系统中的模拟浏览器对待检测URL进行模拟访问，并对接收到的响应内容进行解析；判断解析后的响应内容中是否存在与第一设定标签相同或相似的内容；其中，第一设定标签为预设关键词；若存在，则发出警告；确定解析后的响应内容中与第二设定标签相关度大于预设值的内容，记为可疑响应内容；其中，第二设定标签包括挂马标签；在沙箱内采用模拟浏览器执行可疑响应内容；将执行结果与用于检测挂马行为的预设验证规则进行匹配，如果匹配成功，则发出警告。本发明具有挂马识别效率高的优势。

Description

一种网页挂马识别方法及系统

技术领域

本发明涉及网络安全技术领域，特别是涉及一种网页挂马识别方法及系统。

背景技术

随着互联网技术的发展，互联网的使用越来越多，为了提高用户浏览安全性，快速检测出挂马的网页，及时给予用户告警，减少用户因网页挂马而遭受经济或其他损失。而传统的网页挂马验证更多的是借助于人工进行分析，检测效率低，因此，亟需一种检测效率高的网页挂马识别方法。

发明内容

本发明的目的是提供一种检测效率高的网页挂马识别方法及系统。

为实现上述目的，本发明提供了如下方案：

一种网页挂马识别方法，包括：

获取待检测网站的URL，记为待检测URL；

启动虚拟机沙箱，并推送所述待检测URL至所述沙箱；所述沙箱内安装有挂马检测和验证系统；

采用所述挂马检测和验证系统中的模拟浏览器对所述待检测URL进行模拟访问，并对接收到的响应内容进行解析；

判断解析后的响应内容中是否存在与第一设定标签相同或相似的内容；所述第一设定标签为预设关键词；

若存在，则发出警告；

确定解析后的响应内容中与第二设定标签相关度大于预设值的内容，记为可疑响应内容；所述第二设定标签包括挂马标签；

在所述沙箱内采用模拟浏览器执行所述可疑响应内容，得到执行结果；

将所述执行结果与预设验证规则进行匹配，得到匹配结果，如果匹配结果表示匹配成功，则发出警告，所述预设验证规则用于检测挂马行为。

可选的，所述预设验证规则包括第一具体破坏行为、第二具体破坏行为、第三具体破坏行为和第四具体破坏行为；所述第一具体破坏行为包括：攻击性内存分配、内存溢出、启动新的线程/进程中的一种或多种；所述第二具体破坏行为包括注册表写入、修改、删除、提权、初始化中的一种或多种；所述第三具体破坏行为包括文件系统的新增、修改、删除、属性变更中的一种或多种；所述第四具体破坏行为新增用户、修改用户权限、提升用户权限、删除用户中的一种或多种。

可选的，所述将所述执行结果与预设验证规则进行匹配，具体包括：

将所述执行结果分别与第一具体破坏行为、第二具体破坏行为、第三具体破坏行为和第四具体破坏行为进行匹配。

可选的，所述方法还包括：若匹配不成功，则判断所述执行结果是否属于内存破坏行为、注册表破坏行为、文件破坏行为或操作系统破坏行为，如果是，则记录所述执行结果，将所述执行结果添加到具体破坏行为，以供下次识别挂马时应用。

可选的，所述方法还包括：

判断解析后的响应内容中是否存在网页外链；

如果存在所述网页外链，则判断所述网页外链所对应的网站的内容是否包括赌博、色情、邪教或非法内容；

如果所述网页外链所对应的网站的内容包括赌博、色情、邪教或非法内容，则发出警告。

可选的，在所述获取待检测网站的URL之前，还包括：

通过爬虫方式对待检测网站所有URL进行抓取，记录URL顺序关系，并保存在本地数据库中。

可选的，所述挂马标签包括引用挂马、JS文件挂马、JS加密挂马、BODY体挂马、隐藏挂马、CSS挂马、属性挂马中的一种或多种。

本发明还提供了一种网页挂马识别系统，包括：

待检测URL获取模块，用于获取待检测网站的URL，记为待检测URL；

待检测URL推送模块，用于启动虚拟机沙箱，并推送所述待检测URL至所述沙箱；所述沙箱内安装有挂马检测和验证系统；

响应内容解析模块，用于采用所述挂马检测和验证系统中的模拟浏览器对所述待检测URL进行模拟访问，并对接收到的响应内容进行解析；

第一判断模块，用于判断解析后的响应内容中是否存在与第一设定标签相同或相似的内容；所述第一设定标签为预设关键词；

第一警告模块，用于当解析后的响应内容中存在与第一设定标签相同或相似的内容时，发出警告；

可疑响应内容确定模块，用于确定解析后的响应内容中与第二设定标签相关度大于预设值的内容，记为可疑响应内容；所述第二设定标签包括挂马标签；

可疑响应内容执行模块，用于在所述沙箱内采用模拟浏览器执行所述可疑响应内容，得到执行结果；

匹配模块，用于将所述执行结果与预设验证规则进行匹配，得到匹配结果，如果匹配结果表示匹配成功，则发出警告，所述预设验证规则用于检测挂马行为。

可选的，所述匹配模块，具体包括：

匹配单元，用于将所述执行结果分别与第一具体破坏行为、第二具体破坏行为、第三具体破坏行为和第四具体破坏行为进行匹配；

判断单元，用于在匹配结果表示匹配不成功时，判断所述执行结果是否属于内存破坏行为、注册表破坏行为、文件破坏行为或操作系统破坏行为；

自学习单元，用于在所述执行结果属于内存破坏行为、注册表破坏行为、文件破坏行为或操作系统破坏行为时，记录所述执行结果，将所述执行结果添加到具体破坏行为，以供下次识别挂马时应用；

其中，所述第一具体破坏行为包括：攻击性内存分配、内存溢出、启动新的线程/进程中的一种或多种；所述第二具体破坏行为包括注册表写入、修改、删除、提权、初始化中的一种或多种；所述第三具体破坏行为包括文件系统的新增、修改、删除、属性变更中的一种或多种；所述第四具体破坏行为新增用户、修改用户权限、提升用户权限、删除用户中的一种或多种。

可选的，所述系统还包括：

第二判断模块，用于判断解析后的响应内容中是否存在网页外链；

外链内容确定模块，用于当解析后的响应内容中存在所述网页外链时，判断所述网页外链所对应的网站的内容是否包括赌博、色情、邪教或非法内容；

第二警告模块，用于当所述网页外链所对应的网站的内容包括赌博、色情、邪教或非法内容时，发出警告。

根据本发明提供的具体实施例，本发明公开了以下技术效果：本发明提供的网页挂马识别方法及系统，通过获取待检测网站的URL，并推送所述待检测URL至虚拟机沙箱；采用沙箱挂马检测和验证系统中的模拟浏览器对所述待检测URL进行模拟访问，并对接收到的响应内容进行解析；筛选出解析后的响应内容中与预设标签相同或相似或相关性比较强的内容，该预设标签包括关键词以及挂马标签；在所述沙箱内采用模拟浏览器执行可疑响应内容；将执行结果与预设验证规则进行匹配，如果匹配结果表示匹配成功，则发出警告。可见，本发明的挂马识别过程是在虚拟沙箱中实现的，无需人工识别，相较于现有技术，本发明能够快速的对挂马网页进行识别，具有识别效率高的优势。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例中网页挂马识别方法的流程图；

图2为本发明实施例中网页挂马识别系统的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

为使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图和具体实施方式对本发明作进一步详细的说明。

如图1所示，本发明提供了一种网页挂马识别方法，包括：

步骤101：获取待检测网站的URL，记为待检测URL；

步骤102：根据多进程任务管理和调度程序建立并启动虚拟机沙箱，并推送所述待检测URL至所述沙箱；所述沙箱内安装有挂马检测和验证系统；

步骤103：采用所述挂马检测和验证系统中的模拟浏览器对所述待检测URL进行模拟访问，并对接收到的响应内容进行解析。可以如下操作：在虚拟机沙箱内根据传入的URL地址进行模拟访问，对收到的httpresponse(响应)中的内容部分进行解析(Bytes[字节]→characters[字符]→tokens[标签]→nodes[节点]→objectmodel[DOM数]),从而获得解析后的html网页内容。

步骤104：判断解析后的响应内容中是否存在与第一设定标签相同或相似的内容；所述第一设定标签为预设关键词；

步骤105：如果解析后的响应内容中存在与第一设定标签相同或相似的内容，则发出警告；

步骤106：确定解析后的响应内容中与第二设定标签相关度大于预设值的内容，记为可疑响应内容；所述第二设定标签包括挂马标签；所述挂马标签可以包括引用挂马、JS文件挂马、JS加密挂马、BODY体挂马、隐藏挂马、CSS挂马、属性挂马中的一种或多种；挂马标签的示例如表1所示。

表1

步骤107：在所述沙箱内采用模拟浏览器执行所述可疑响应内容，得到执行结果；

步骤108：将所述执行结果与预设验证规则通过正则表达式进行匹配，得到匹配结果，如果匹配结果表示匹配成功，则发出警告，所述预设验证规则用于检测挂马行为。

其中，警告可以通过短信、邮件的方式发出。

在上述实施例中，收集网络公开的网页挂马特征数据，获得模型训练样本，建立网页挂马预设验证规则，该规则可以包括第一具体破坏行为、第二具体破坏行为、第三具体破坏行为和第四具体破坏行为；所述第一具体破坏行为包括：攻击性内存分配、内存溢出、启动新的线程/进程中的一种或多种；所述第二具体破坏行为包括注册表写入、修改、删除、提权、初始化中的一种或多种；所述第三具体破坏行为包括文件系统的新增、修改、删除、属性变更中的一种或多种；所述第四具体破坏行为新增用户、修改用户权限、提升用户权限、删除用户中的一种或多种。

步骤108可以如下操作：

将所述执行结果分别与第一具体破坏行为、第二具体破坏行为、第三具体破坏行为和第四具体破坏行为通过正则表达式进行匹配。

在上述实施例的基础上，本实施例还包括：当执行结果与上述实施例中的具体破坏行为匹配不成功时，则判断所述执行结果是否属于内存破坏行为、注册表破坏行为、文件破坏行为或操作系统破坏行为，如果是，则记录所述执行结果，将所述执行结果添加到具体破坏行为，以供下次识别挂马时应用。比如，某种执行结果与各具体破坏行为均不匹配，但是，该执行结果是一种破坏行为，那么，则将该执行结果记录下来，并作为一种具体破坏行为存储起来，等后续进行挂马识别时，将其与之前存储的具体破坏行为一起作为识别标准去对新的执行结果进行匹配识别。

其中，内存破坏行为、注册表破坏行为、文件破坏行为或操作系统破坏行为与第一具体破坏行为、第二具体破坏行为、第三具体破坏行为和第四具体破坏行为之间的关系为：内存破坏行为包括但不限于第一具体破坏行为，注册表破坏行为包括但不限于第二具体破坏行为，文件破坏行为包括但不限于第三具体破坏行为，操作系统破坏行为包括但不限于第四具体破坏行为，如表2所示。

表2

本实施例中挂马特征自学习的设计方式，一方面能够对下次的类似情况进行快速的判断，提高检测的性能和效率，另一方面，通过对可疑内容的自学习，能够不断完善识别网页挂马的规则，提高识别准确率。

在上述实施例的基础上，本实施例还包括：

判断解析后的响应内容中是否存在网页外链；

如果存在所述网页外链，则判断所述网页外链所对应的网站的内容是否包括赌博、色情、邪教或非法内容；

如果所述网页外链所对应的网站的内容包括赌博、色情、邪教或非法内容，则发出警告。

在上述实施例中，在步骤101之前，还可以包括：

通过爬虫方式(模拟浏览器对待验证网站进行访问，同时记录待验证网站的URL地址)对待检测网站所有URL进行抓取，同时记录URL顺序(以待验证网站根目录为主节点，以二级页面为子节点，按此方式进行多级节点记录顺序)关系，保存在本地数据库中。

如图2所示，本发明还提供了一种网页挂马识别系统，该系统包括：

待检测URL获取模块201，用于获取待检测网站的URL，记为待检测URL；

待检测URL推送模块202，用于启动虚拟机沙箱，并推送所述待检测URL至所述沙箱；所述沙箱内安装有挂马检测和验证系统；

响应内容解析模块203，用于采用所述挂马检测和验证系统中的模拟浏览器对所述待检测URL进行模拟访问，并对接收到的响应内容进行解析；

第一判断模块204，用于判断解析后的响应内容中是否存在与第一设定标签相同或相似的内容；所述第一设定标签为预设关键词；

第一警告模块205，用于当解析后的响应内容中存在与第一设定标签相同或相似的内容时，发出警告；

可疑响应内容确定模块206，用于确定解析后的响应内容中与第二设定标签相关度大于预设值的内容，记为可疑响应内容；所述第二设定标签包括挂马标签；

可疑响应内容执行模块207，用于在所述沙箱内采用模拟浏览器执行所述可疑响应内容，得到执行结果；

匹配模块208，用于将所述执行结果与预设验证规则进行匹配，得到匹配结果，如果匹配结果表示匹配成功，则发出警告，所述预设验证规则用于检测挂马行为。

在上述实施例的基础上，本实施例中的匹配模块208，可以包括：

匹配单元，用于将所述执行结果分别与第一具体破坏行为、第二具体破坏行为、第三具体破坏行为和第四具体破坏行为进行匹配；

判断单元，用于在匹配结果表示匹配不成功时，判断所述执行结果是否属于内存破坏行为、注册表破坏行为、文件破坏行为或操作系统破坏行为；

自学习单元，用于在所述执行结果属于内存破坏行为、注册表破坏行为、文件破坏行为或操作系统破坏行为时，记录所述执行结果，将所述执行结果添加到具体破坏行为，以供下次识别挂马时应用。

其中，所述第一具体破坏行为包括：攻击性内存分配、内存溢出、启动新的线程/进程中的一种或多种；所述第二具体破坏行为包括注册表写入、修改、删除、提权、初始化中的一种或多种；所述第三具体破坏行为包括文件系统的新增、修改、删除、属性变更中的一种或多种；所述第四具体破坏行为新增用户、修改用户权限、提升用户权限、删除用户中的一种或多种。

在上述实施例的基础上，本实施例中的系统还可以包括：

第二判断模块，用于判断解析后的响应内容中是否存在网页外链；

外链内容确定模块，用于当解析后的响应内容中存在所述网页外链时，判断所述网页外链所对应的网站的内容是否包括赌博、色情、邪教或非法内容；

第二警告模块，用于当所述网页外链所对应的网站的内容包括赌博、色情、邪教或非法内容时，发出警告。

本发明提供的网页挂马识别系统，通过结合沙箱实现了网站内容全方位快速检测验证，同时对可疑内容进行程序自学习，能够准确分析网页挂马并告警，提升了验证效率，提高了验证准确率。

本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例公开的系统而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。

本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处。综上所述，本说明书内容不应理解为对本发明的限制。

Claims (10)

1.一种网页挂马识别方法，其特征在于，包括：

获取待检测网站的URL，记为待检测URL；

启动虚拟机沙箱，并推送所述待检测URL至所述沙箱；所述沙箱内安装有挂马检测和验证系统；

采用所述挂马检测和验证系统中的模拟浏览器对所述待检测URL进行模拟访问，并对接收到的响应内容进行解析；

判断解析后的响应内容中是否存在与第一设定标签相同或相似的内容；所述第一设定标签为预设关键词；

若存在，则发出警告；

确定解析后的响应内容中与第二设定标签相关度大于预设值的内容，记为可疑响应内容；所述第二设定标签包括挂马标签；

在所述沙箱内采用模拟浏览器执行所述可疑响应内容，得到执行结果；

将所述执行结果与预设验证规则进行匹配，得到匹配结果，如果匹配结果表示匹配成功，则发出警告，所述预设验证规则用于检测挂马行为。

2.根据权利要求1所述的网页挂马识别方法，其特征在于，所述预设验证规则包括第一具体破坏行为、第二具体破坏行为、第三具体破坏行为和第四具体破坏行为；所述第一具体破坏行为包括：攻击性内存分配、内存溢出、启动新的线程/进程中的一种或多种；所述第二具体破坏行为包括注册表写入、修改、删除、提权、初始化中的一种或多种；所述第三具体破坏行为包括文件系统的新增、修改、删除、属性变更中的一种或多种；所述第四具体破坏行为新增用户、修改用户权限、提升用户权限、删除用户中的一种或多种。

3.根据权利要求2所述的网页挂马识别方法，其特征在于，所述将所述执行结果与预设验证规则进行匹配，具体包括：

将所述执行结果分别与第一具体破坏行为、第二具体破坏行为、第三具体破坏行为和第四具体破坏行为进行匹配。

4.根据权利要求2或3所述的网页挂马识别方法，其特征在于，所述方法还包括：若匹配不成功，则判断所述执行结果是否属于内存破坏行为、注册表破坏行为、文件破坏行为或操作系统破坏行为，如果是，则记录所述执行结果，将所述执行结果添加到具体破坏行为，以供下次识别挂马时应用。

5.根据权利要求1所述的网页挂马识别方法，其特征在于，所述方法还包括：

判断解析后的响应内容中是否存在网页外链；

如果存在所述网页外链，则判断所述网页外链所对应的网站的内容是否包括赌博、色情、邪教或非法内容；

如果所述网页外链所对应的网站的内容包括赌博、色情、邪教或非法内容，则发出警告。

6.根据权利要求1所述的网页挂马识别方法，其特征在于，在所述获取待检测网站的URL之前，还包括：

通过爬虫方式对待检测网站所有URL进行抓取，记录URL顺序关系，并保存在本地数据库中。

7.根据权利要求1所述的网页挂马识别方法，其特征在于，所述挂马标签包括引用挂马、JS文件挂马、JS加密挂马、BODY体挂马、隐藏挂马、CSS挂马、属性挂马中的一种或多种。

8.一种网页挂马识别系统，其特征在于，包括：

待检测URL获取模块，用于获取待检测网站的URL，记为待检测URL；

待检测URL推送模块，用于启动虚拟机沙箱，并推送所述待检测URL至所述沙箱；所述沙箱内安装有挂马检测和验证系统；

响应内容解析模块，用于采用所述挂马检测和验证系统中的模拟浏览器对所述待检测URL进行模拟访问，并对接收到的响应内容进行解析；

第一判断模块，用于判断解析后的响应内容中是否存在与第一设定标签相同或相似的内容；所述第一设定标签为预设关键词；

第一警告模块，用于当解析后的响应内容中存在与第一设定标签相同或相似的内容时，发出警告；

可疑响应内容确定模块，用于确定解析后的响应内容中与第二设定标签相关度大于预设值的内容，记为可疑响应内容；所述第二设定标签包括挂马标签；

可疑响应内容执行模块，用于在所述沙箱内采用模拟浏览器执行所述可疑响应内容，得到执行结果；

匹配模块，用于将所述执行结果与预设验证规则进行匹配，得到匹配结果，如果匹配结果表示匹配成功，则发出警告，所述预设验证规则用于检测挂马行为。

9.根据权利要求8所述的网页挂马识别系统，其特征在于，所述匹配模块，具体包括：

匹配单元，用于将所述执行结果分别与第一具体破坏行为、第二具体破坏行为、第三具体破坏行为和第四具体破坏行为进行匹配；

判断单元，用于在匹配结果表示匹配不成功时，判断所述执行结果是否属于内存破坏行为、注册表破坏行为、文件破坏行为或操作系统破坏行为；

自学习单元，用于在所述执行结果属于内存破坏行为、注册表破坏行为、文件破坏行为或操作系统破坏行为时，记录所述执行结果，将所述执行结果添加到具体破坏行为，以供下次识别挂马时应用；

其中，所述第一具体破坏行为包括：攻击性内存分配、内存溢出、启动新的线程/进程中的一种或多种；所述第二具体破坏行为包括注册表写入、修改、删除、提权、初始化中的一种或多种；所述第三具体破坏行为包括文件系统的新增、修改、删除、属性变更中的一种或多种；所述第四具体破坏行为新增用户、修改用户权限、提升用户权限、删除用户中的一种或多种。

10.根据权利要求8所述的网页挂马识别系统，其特征在于，所述系统还包括：

第二判断模块，用于判断解析后的响应内容中是否存在网页外链；

外链内容确定模块，用于当解析后的响应内容中存在所述网页外链时，判断所述网页外链所对应的网站的内容是否包括赌博、色情、邪教或非法内容；

第二警告模块，用于当所述网页外链所对应的网站的内容包括赌博、色情、邪教或非法内容时，发出警告。

Images