CN112765022B - 一种基于数据流的Webshell静态检测方法及电子设备 - Google Patents

Abstract

本实施例采用基于数据流的Webshell静态检测方法及电子设备，通过对程序源文件基于数据流向构建有向图，对有向图中的数据流进行分析，提取用于分类的数据流特征，对Webshell进行检测，从而提高对Webshell的静态检测能力，并在很大程度上减少绕过Webshell的几率。

Description

一种基于数据流的Webshell静态检测方法及电子设备

技术领域

本申请实施例涉及Web应用安全防护领域，具体涉及一种基于数据流分析的Webshell静态检测方法及电子设备。

背景技术

传统的Webshell静态检测方法所采用的检测特征往往都具有一定的局限性，常用的方法包括采用正则表达式进行匹配、生成语法树提取语法树特征、文本统计量特征如字符分布等、中间表示的特征如Opcode（操作码---Operate Code）序列特征等，这些传统的方法对常见的Webshell文件检测中能起到一定的作用，但是对于像PHP（一种动态脚本语言）这类非常灵活的动态脚本语言，很容易针对性构造出绕过上述检测方法的Webshell，从而使现有常规检测方法失效。

发明内容

本申请实施例目的在于克服上述问题或者至少部分地解决或缓减上述问题，本申请提供的技术方案可以提高对WebShell的静态检测能力，减少构造绕过静态检测方法的Webshell的可能性。

第一方面，本申请实施例提供了一种基于数据流分析的Webshell静态检测方法，包括，

将源程序文件转换为中间代码序列；

对所述中间代码序列进行数据流动关系分析，并根据所述数据流动关系，对所述源程序文件构建有向图；

根据分类规则从所述有向图中提取图特征，获得图特征集合；

根据所述图特征集合判断所述源程序文件是否为Webshell。

本实施例通过采用了基于数据流分析的Webshell静态检测方法，对源程序文件基于数据流向构建有向图，对有向图中的数据流向进行分析，提取用于分类的数据流特征，对Webshell进行检测，可以提高对Webshell的静态检测能力，减少构造绕过静态检测方法的Webshell文件的可能性。

第二方面，本申请实施例还公开了一种基于数据流分析的Webshell静态检测装置，包括，

转换模块，用于将源程序文件转换为中间代码序列；

构建模块，用于对所述中间代码序列进行数据流动关系分析，并根据所述数据流动关系，对所述源程序文件构建有向图；

提取模块，用于根据分类规则从所述有向图中提取图特征，获得图特征集合；

判断模块，用于根据所述图特征集合判断所述源程序文件是否为Webshell。

与现有技术相比，本申请实施例提供的一种基于数据流分析的Webshell静态检测装置的有益效果与上述任一项技术方案的有益效果相同，在此不再赘述。

第三方面，本申请实施例还提供了一种电子设备，包括，

多个存储器，分别用于存储计算机软件；

多个处理器，分别执行计算机软件，以实现上述任意一项技术方案中所述的服务模块的功能和操作。

与现有技术相比，本申请实施例提供的一种电子设备的有益效果与上述任一项技术方案的有益效果相同，在此不再赘述。

附图说明

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。后文将参照附图以示例性而非限制性的方式详细描述本申请的一些具体实施例。附图中相同的附图标记标示了相同或类似的部件或部分，本领域技术人员应该理解的是，这些附图未必是按比例绘制的，在附图中：

图1是本发明一实施例提供的一种基于数据流分析的Webshell静态检测系统示意图；

图2是本发明一实施例提供的一种基于数据流分析的Webshell静态检测方法流程示意图；

图3是本发明一实施例提供对数据流源文件构建有向图；

图4是本发明一实施例提供的一种基于数据流分析的Webshell静态检测装置结构示意图；

图5是本发明一实施例提供的一种电子设备的结构示意图。

具体实施方式

为了使本技术领域的人员更好地理解本申请方案，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分的实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本申请保护的范围。

图1示出了可以应用本申请提供的基于数据流分析的Webshell静态检测系统的示例性架构图。

如图1所示，系统架构10可以包括终端设备11、12、03，网络104和服务器105，网络104用以在终端设备11、12、03和服务器105之间提供通信链路的介质，网络104可以包括各种连接类型，例如有线、无线通信链路或光缆等等。

终端设备11、12、03通过网络104与服务器105交互，以接收或发送消息等。终端设备11、12、03上可以安装有各种通讯客户端应用，例如网页浏览器应用、图像处理类应用、搜索类应用、即时通信工具、邮箱客户端、社交平台软件、文本编辑类应用、阅读类应用等。

终端设备11、12、03可以是硬件和软件组成的嵌入式系统，也可以是应用软件。当终端设备11、12、03为嵌入式系统时，可以是具有显示屏并且支持与服务器通信的各种电子设备，包括但不限于智能手机、平板电脑、电子书阅读器、MP3播放器（Moving PictureExperts Group Audio Layer III，动态影像专家压缩标准音频层面3）、MP4（MovingPicture Experts Group Audio Layer IV，动态影像专家压缩标准音频层面4）播放器、膝上型便携计算机和台式计算机等等。当终端设备11、12、03为应用软件时，其可以实现成多个软件或软件模块（例如用来提供分布式服务），也可以实现成单个软件或软件模块。在此不做具体限定。

服务器105可以是提供各种服务的服务器，例如对终端设备11、12、03发送的访问请求进行处理的后台服务器。后台服务器可以生成与终端设备11、12、03分别相对应的标识信息并将该标识信息发送至对应的终端设备。

需要说明的是，服务器可以是内置有系统软件的硬件，也可以是应用软件，当服务器为硬件时，可以实现成多个服务器组成的分布式服务器集群，也可以实现成单个服务器。当服务器为软件时，可以实现成多个软件或软件模块（例如用来提供分布式服务的软件或软件模块），也可以实现成单个软件或软件模块。在此不做具体限定。

需要说明的是，本申请实施例提供的基于数据流分析的Webshell静态检测系统一般由服务器105执行，相应地，基于数据流分析的Webshell静态检测系统一般部署于服务器105上。

应该理解，图1中的终端设备、网络和服务器的数目仅仅是示意性的。根据实现需要，可以具有任意数目的终端设备、网络和服务器。继续参考图2，示出了根据本申请提供的一种基于数据流分析的Webshell静态检测方法的一个实施例的流程图，该种基于数据流分析的Webshell静态检测方法应用于Web应用服务器，包括以下步骤：

步骤S21，将程序源文件转换为中间代码序列；

需要说明的是，将程序源文件通过软件工具转换为中间代码序列（即Opcode---Operate Code），在本发明实施例中，程序源文件为PHP源文件，PHP 是一种非常灵活的动态语言，其中，每一条所述中间代码序列包括操作符、返回值和操作数，其中：

所述操作符表示所述中间代码序列待执行的操作；

所述返回值表示存储操作结果的变量；

所述操作数表示执行操作符的对象。

在本发明实施例中，通过PHP 的VLD扩展将程序源文件转换为中间代码序列Opcode，中间代码序列Opcode中的每一条主要由操作符、返回值、操作数三部分组成，其中操作符表示该条Opcode中间代码序列要执行的具体操作，如赋值运算、函数调用、求和等，返回值为表示存储操作结果的变量，操作数可能存在多个值，表示执行操作符的对象，操作数可以为变量或者常量。

步骤S22，对所述中间代码序列进行数据流动关系分析，并根据所述数据流动关系，对所述数据流源文件构建有向图；

需要说明的是，对转换的得到的中间代码序列进行分析，提取点集 V 和边集 E，根据提取点集 V 和边集 E构造有向图。对于点集 V 的提取，中间代码序列中的所有变量、函数名都作为图上的节点，为了方便对函数调用进行分析，被加入节点的函数名所对应函数的每个形参也都建立一个节点，形参的属性包含该形参为第几个参数。对于边集 E 的提取，针对每一条中间代码序列进行分析，如果该中间代码序列的操作数之间存在值传递，则按传递方向建立有向边。如对于加法操作，变量 $a 加 变量 $b 值会存储在返回值变量 $sum 中，则建立两条有向边，分别为 V($a) => V($sum) 和 V($b) => V($sum)，其中 V(x)表示变量 x 在有向图中对应的点。如下为一个参考示例，对于以下 PHP 源文件：

<?php

$func = $_REQUEST['func'];

$arr = array('test' => 1, $_REQUEST['pass'] => 2);

uasort($arr, $func);

通过上述获取的点集和边集，构造的有向图如图3所示:

在有向图中，其中$_REQUEST 为全局变量，并且为用户可控变量，$func、$arr 为普通变量，用 cv 表示该属性，main 为作用域，uasort 函数由函数调用结点和两个形参节点构成，由于图中存在赋值运算，便根据赋值关系建立了图中所示的有向边，。

步骤S23，根据分类规则从所述有向图中提取图特征，获得图特征集合；

需要说明的是，这一步包含特征准备和特征搜索两部分。本发明根据领域经验结合建图方法，整理了用于表征Webshell文件的有向图子序列结合，该集合特征类型包括用户可控结点数据流动到敏感函数参数、用户可控结点数据流动到动态调用函数参数、复杂动态构造过程数据流向敏感函数参数/动态函数调用参数等，基于该特征集合，在有向图进行搜索，对图中的路径进行遍历，该过程会根据起始结点和后续结点进行检索以提高搜索效率，最后得到命中特征集合。

步骤S24，根据所述图特征集合判断所述数据流源文件是否为Webshell。

需要说明的是，将所有命中的特征进行加权求和，得到的总权值和既定阈值进行对比，若高于阈值则为Webshell，反之则为正常PHP程序源文件。本发明收集了大量正常程序和Webshell进行统计分析获得阈值，本发明基于上述图特征集合使用逻辑回归得到了预置特征权重和阈值。

本发明通过对PHP程序源文件进行静态分析，将PHP程序源文件转换为中间代码序列，再基于中间代码序列分析出其中的数据流动关系，并根据数据流动关系，将PHP程序源文件构建为一张有向图，再在有向图上提取图特征作为分类特征，最终基于图特征进行分类。本发明中的有向图由一个带有属性的点集 V 和边集 E 构成，其中点集 V 包括源文件中的变量、函数/方法调用、函数/方法参数、函数/方法返回值和中间代码序列中生成的临时变量，点集 V的属性包含了点的类型、点的作用域，如变量节点、函数调用节点等，边集 E包含了全部的数据流动关系，即两个节点 v1、v2 之间如果存在数据流动，则增加一条 v1-> v2 的有向边。本发明中的图特征指有向图中的全部路径的子序列特征，如对于 [v1,v3, v5] 这个子序列特征，如果图中存在 v1->v2->v3->v4->v5 这条路径，则这条路径便有该子序列特征，本发明根据领域知识整理了预置图特征集合，每个特征具有特定权重，最终根据有向图的命中的所有图特征加权得到评估值，通过和阈值比较，得到该有向图的分类结果，也就是PHP源程序文件是否是Webshell的分类结果。

本发明通过数据库关系中的点集和边集的构造将PHP程序源文件映射到有向图，并将数据流特征映射到有向图的子路径中，这种方式将对PHP程序源代码的分析问题转换为对数据流有向图的分析，在保留了对Webshell特征表征能力的前提下，简化了分析过程并提高了分类准确性和效率。

如图3所示，本发明实施例还提供了一种基于数据流分析的Webshell静态检测装置，包括，

转换模块31，用于将PHP程序源文件转换为中间代码序列；

构建模块32，用于对所述中间代码序列进行数据流动关系分析，并根据所述数据流动关系，对所述PHP程序源文件构建有向图；

提取模块33，用于根据分类规则从所述有向图中提取图特征，获得图特征集合；

判断模块34，用于根据所述图特征集合判断所述PHP程序源文件是否为Webshell。

图3中的基于数据流分析的Webshell静态检测装置执行图2中的流程，具体执行方法和图2相同，在此就在赘述。

与现有技术相比，本申请实施例提供的一种基于数据流分析的Webshell静态检测装置的有益效果与上述任一项技术方案的有益效果相同，在此不再赘述。

继续参考图4，本申请实施例还提供了一种电子设备，（例如图1中的服务器）的结构示意图，图4示出的服务器仅仅是一个示例，不应对本申请提供的实施例的功能和使用范围带来任何限制。

多个存储器，分别用于存储计算机软件；

多个处理器，分别执行计算机软件，以实现上述任一一技术方案所述的服务模块的功能和操作。

具体该电子设备可以包括处理装置（例如中央处理器、图形处理器等）41，其可以根据存储在只读存储器（ROM）42中的程序或者从存储装置48加载到随机访问存储器（RAM）43中的程序而执行各种适当的动作和处理。在RAM 43中，还存储有电子设备操作所需的各种程序和数据。处理装置41、ROM42以及RAM 43通过总线44彼此相连。输入/输出（I/O）接口45也连接至总线44。

通常，以下装置可以连接至I/O接口45：包括例如触摸屏、触摸板、键盘、鼠标、摄像头、麦克风、加速度计、陀螺仪等的输入装置46；包括例如液晶显示器（LCD，Liquid CrystalDisplay）、扬声器、振动器等的输出装置47；包括例如磁带、硬盘等的存储装置48；以及通信装置49。通信装置49可以允许电子设备与其他设备进行无线或有线通信以交换数据。虽然图4示出了具有各种装置的电子设备，但是应理解的是，并不要求实施或具备所有示出的装置。可以替代地实施或具备更多或更少的装置。图4中示出的每个方框可以代表一个装置，也可以根据需要代表多个装置。

在本申请的实施例中，各个模块或系统可以是由计算机软件指令形成的处理器，处理器可以是一种集成电路芯片，具有信号的处理能力。处理器可以是通用处理器、数字信号处理器（Digital Signal Processor，简称DSP）、专用集成电路（Application SpecificIntegrated Circuit，简称ASIC）、现场可编程门阵列（FieldProgrammable Gate Array，简称FPGA）或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。

与现有技术相比，本申请实施例提供的一种电子设备的有益效果与上述任一项技术方案的有益效果相同，在此不再赘述。

最后应说明的是：以上各实施例仅用以说明本申请的技术方案，而非对其限制；尽管参照前述各实施例对本申请进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本申请各实施例技术方案的范围。

Claims (8)

1.一种基于数据流分析的Webshell静态检测方法，其特征在于，包括，

将源程序文件转换为中间代码序列；

对所述中间代码序列进行数据流动关系分析，并根据所述数据流动关系，对所述源程序文件构建有向图；

根据分类规则从所述有向图中提取图特征，获得图特征集合；

根据所述图特征集合判断所述源程序文件是否为Webshell；

所述对所述中间代码序列进行数据流流动关系分析，并根据所述数据流动关系，对所述源程序文件构建有向图，包括，

数据流动关系中的点集提取和边集提取，所述点集提取包括将所述中间代码序列中的所有变量、函数名、被加入节点的函数名所对应的每个形参作为所述点集的元素，所述形参的属性包含该形参为第几个参数；所述边集提取，包括分析每条中间代码序列，当该中间代码序列的操作数之间存在值传递，则按传递方向建立有向边，所述有向边为所述边集的元素；

根据提取点集和边集，对所述源程序文件构建有向图；

所述分类规则通过获取用于表征Webshell的有向图子序列集合获得，所述子序列集合包括用户可控节点数据流动到敏感函数参数，用户可控节点数据流动到动态函数调用参数，复杂动态构造过程数据流动到敏感函数参数或动态函数调用参数。

2.如权利要求1所述的一种基于数据流分析的Webshell静态检测方法，其特征在于，通过软件工具将源程序文件转换为中间代码序列，每一条所述中间代码序列包括操作符、返回值和操作数，其中：

所述操作符表示所述中间代码序列待执行的操作；

所述返回值表示存储操作结果的变量；

所述操作数表示执行操作符的对象。

3.如权利要求1所述的一种基于数据流分析的Webshell静态检测方法，其特征在于，根据分类规则从所述有向图中提取分类图特征，获得图特征集合，包括，

根据所述分类规则在有向图进行搜索，遍历所述有向图中的路径，获得所述图特征集合。

4.如权利要求1所述的一种基于数据流分析的Webshell静态检测方法，其特征在于，所述根据所述图特征集合判断所述源程序文件是否为Webshell包括：

将每个图特征集合中的所有图特征进行加权求和，得到总权值；

当所述总权值高于阈值，则判断所述数据流对应源程序文件为Webshell；否则，所述数据流对应源程序文件为正常源程序文件。

5.如权利要求4所述的一种基于数据流分析的Webshell静态检测方法，其特征在于，所述阈值通过对正常源程序文件和Webshell统计分析获得。

6.如权利要求1至5任意一项所述的一种基于数据流分析的Webshell静态检测方法，其特征在于，所述源程序文件为PHP文件。

7.一种基于数据流分析的Webshell静态检测装置，其特征在于，包括，

转换模块，用于将源程序文件转换为中间代码序列；

构建模块，用于对所述中间代码序列进行数据流动关系分析，并根据所述数据流动关系，对所述源程序文件构建有向图；

提取模块，用于根据分类规则从所述有向图中提取图特征，获得图特征集合；

判断模块，用于根据所述图特征集合判断所述源程序文件是否为Webshell；

所述对所述中间代码序列进行数据流流动关系分析，并根据所述数据流动关系，对所述源程序文件构建有向图，包括，

数据流动关系中的点集提取和边集提取，所述点集提取包括将所述中间代码序列中的所有变量、函数名、被加入节点的函数名所对应的每个形参作为所述点集的元素，所述形参的属性包含该形参为第几个参数；所述边集提取，包括分析每条中间代码序列，当该中间代码序列的操作数之间存在值传递，则按传递方向建立有向边，所述有向边为所述边集的元素；

根据提取点集和边集，对所述源程序文件构建有向图；

所述分类规则通过获取用于表征Webshell的有向图子序列集合获得，所述子序列集合包括用户可控节点数据流动到敏感函数参数，用户可控节点数据流动到动态函数调用参数，复杂动态构造过程数据流动到敏感函数参数或动态函数调用参数。

8.一种电子设备，其特征在于，包括，

多个存储器，分别用于存储计算机程序，

多个处理器，分别执行计算机程序，用于实现权利要求1~6任意一项权利要求中的方法。