CN113347177A

CN113347177A - 钓鱼网站检测方法、检测系统、电子设备及可读存储介质

Info

Publication number: CN113347177A
Application number: CN202110605962.XA
Authority: CN
Inventors: 李思; 张文文; 邢向远
Original assignee: Industrial and Commercial Bank of China Ltd ICBC
Current assignee: Industrial and Commercial Bank of China Ltd ICBC
Priority date: 2021-05-31
Filing date: 2021-05-31
Publication date: 2021-09-03

Abstract

本公开提供了一种钓鱼网站检测方法，可用于金融领域或计算机技术领域。该检测方法包括将与目标网站相关联的目标统一资源定位符进行过滤，输出过滤结果；在过滤结果表明目标网站为可疑网站的情况下，获取与目标统一资源定位符相关联的文本数据特征；将文本数据特征输入定位符文本检测模型，输出第一检测结果；在第一检测结果表明目标网站仍然为可疑网站的情况下，获取与目标网站内网页信息相关联的页面数据特征；将页面数据特征输入页面检测模型，输出第二检测结果。本公开还提供了一种钓鱼网站检测系统、电子设备、可读存储介质及计算机程序产品。

Description

钓鱼网站检测方法、检测系统、电子设备及可读存储介质

技术领域

本公开涉及金融领域和计算机技术领域，更具体地，涉及一种钓鱼网站检测方法、检测系统、电子设备、可读存储介质及计算机程序产品。

背景技术

钓鱼网站是指欺骗用户的虚假网站，其页面与真实网站界面基本一致，欺骗消费者或者窃取访问者提交的账号和密码信息。目前，钓鱼网站是互联网中最常碰到的一种诈骗方式，通常伪装成银行及电子商务、窃取用户提交的银行账号、密码等私密信息的网站。

在实现本公开构思的过程中，发明人发现相关技术中至少存在如下问题，目前的检测方法较为单一，检测速度较慢。

发明内容

有鉴于此，本公开提供了一种钓鱼网站检测方法、检测系统、电子设备、可读存储介质及计算机程序产品。

本公开的一个方面提供了一种钓鱼网站检测方法，包括：

将与目标网站相关联的目标统一资源定位符进行过滤，输出过滤结果；

在所述过滤结果表明所述目标网站为可疑网站的情况下，获取与所述目标统一资源定位符相关联的文本数据特征；

将所述文本数据特征输入定位符文本检测模型，输出第一检测结果，其中，所述定位符文本检测模型是利用第一训练样本数据集训练得到的，所述第一训练样本数据集中的训练样本包括与正常网站及钓鱼网站的统一资源定位符相关联的特征信息；

在所述第一检测结果表明所述目标网站仍然为可疑网站的情况下，获取与所述目标网站内网页信息相关联的页面数据特征；

将所述页面数据特征输入页面检测模型，输出第二检测结果，其中，所述页面检测模型是利用第二训练样本数据集训练得到的，所述第二训练样本数据集中的训练样本包括与正常网站及钓鱼网站内网页信息相关联的特征信息。

根据本公开的实施例，所述页面数据特征包括所述目标网站的页面内的链接特征、表单特征、字符串特征和图片信息特征。

根据本公开的实施例，所述获取与所述目标网站内网页信息相关联的页面数据特征包括：

通过模拟浏览器进对所述网页信息进行重新渲染，生成与所述网页信息相关联的所述源码数据；

解析所述源码数据，得到所述页面数据特征。

根据本公开的实施例，该钓鱼网站检测方法还包括：

获取钓鱼网站检测请求，其中，所述钓鱼网站检测请求中包括所述目标网站的属性信息；

响应于所述钓鱼网站检测请求，根据所述属性信息获取所述目标统一资源定位符。

根据本公开的实施例，该钓鱼网站检测方法还包括：

在所述过滤结果表明所述目标网站为正常网站或钓鱼网站的情况下，将所述过滤结果作为所述最终检测结果并输出。

根据本公开的实施例，该钓鱼网站检测方法还包括：

在所述第一检测结果表明所述目标网站为正常网站或钓鱼网站的情况下，将所述第一检测结果作为所述最终检测结果并输出。

根据本公开的实施例，所述利用所述第一训练样本数据集训练得到所述定位符文本检测模型的操作包括：

将所述第一训练样本数据集划分为训练集和测试集；

将所述训练集输入待训练的定位符文本检测模型进行模型训练，输出检测结果，并得到初始定位符文本检测模型；

根据所述检测结果和所述训练集，得到检测误差分布估计；

根据所述测试集，对所述初始定位符文本检测模型进行测试，得到预测结果；

根据所述预测结果和所述测试集，得到测试误差分布估计；

根据所述检测误差分布估计和所述测试误差分布估计，得到误差向量相似度；

在所述误差向量相似度不满足迭代停止条件的情况下，继续对所述初始定位符文本检测模型进行迭代训练和测试，直到所述误差向量相似度符合迭代停止条件，得到所述定位符文本检测模型。

根据本公开的实施例，所述利用所述第二训练样本数据集训练得到所述页面检测模型的操作包括：

将所述第二训练样本数据集划分为训练集和测试集；

将所述第二训练集输入待训练的页面检测模型进行模型训练，输出检测结果，并得到初始页面检测模型；

根据所述检测结果和所述训练集，得到检测误差分布估计；

根据所述测试集，对所述初始页面检测模型进行测试，得到预测结果；

根据所述预测结果和所述测试集，得到测试误差分布估计；

在所述误差向量相似度不满足迭代停止条件的情况下，继续对所述初始页面检测模型进行迭代训练和测试，直到所述误差向量相似度符合迭代停止条件，得到所述页面检测模型。

本公开的另一个方面提供了一种钓鱼网站检测系统，包括：

过滤模块，用于将与目标网站相关联的目标统一资源定位符进行过滤，输出过滤结果；

第一获取模块，用于在所述过滤结果表明所述目标网站为可疑网站的情况下，获取与所述目标统一资源定位符相关联的文本数据特征；

第一检测模块，用于将所述文本数据特征输入定位符文本检测模型，输出第一检测结果，其中，所述定位符文本检测模型是利用第一训练样本数据集训练得到的，所述第一训练样本数据集中的训练样本包括与正常网站及钓鱼网站的统一资源定位符相关联的特征信息；

第二获取模块，用于在所述第一检测结果表明所述目标网站仍然为可疑网站的情况下，获取与所述目标网站内网页信息相关联的页面数据特征；

第二检测模块，用于将所述页面数据特征输入页面检测模型，输出第二检测结果，其中，所述页面检测模型是利用第二训练样本数据集训练得到的，所述第二训练样本数据集中的训练样本包括与正常网站及钓鱼网站内网页信息相关联的特征信息。

本公开的另一方面提供了电子设备，包括：一个或多个处理器；存储器，用于存储一个或多个指令，其中，当所述一个或多个指令被所述一个或多个处理器执行时，使得所述一个或多个处理器实现如上所述的方法。

本公开的另一方面提供了一种计算机可读存储介质，存储有计算机可执行指令，所述指令在被执行时用于实现如上所述的方法。

本公开的另一方面提供了一种计算机程序产品，所述计算机程序产品包括计算机可执行指令，所述指令在被执行时用于实现如上所述的方法。

根据本公开的实施例，通过对与目标网站相关联的目标统一资源定位符进行过滤，对过滤后为可疑状态的目标网站通过定位符文本检测模型进行文本检测，对检测后仍为可疑状态的目标网站通过页面检测模型进行页面检测，输出最终的检测结果。由于最终的检测结果是经过多次筛选、检测得到的，因此，检测结果更加准确。同时，经过过滤操作能够筛选出部分钓鱼网站和非钓鱼网站，通过定位符文本检测模型能够进一步检测出部分非钓鱼网站，减小了页面检测模型的工作量，缓解系统压力，提高检测效率。

附图说明

通过以下参照附图对本公开实施例的描述，本公开的上述以及其他目的、特征和优点将更为清楚，在附图中：

图1示意性示出了根据本公开实施例的可以应用钓鱼网站检测方法的示例性系统架构。

图2示意性示出了根据本公开实施例的钓鱼网站检测方法的流程图。

图3示意性示出了根据本公开另一实施例的钓鱼网站检测方法的流程图。

图4示意性示出了根据本公开另一实施例的定位符文本检测模型的训练方法示意图。

图5示意性示出了根据本公开的实施例的钓鱼网站检测系统的框图。

图6示意性示出了根据本公开实施例的适于实现上文描述的方法的计算机系统的框图。

具体实施方式

以下，将参照附图来描述本公开的实施例。但是应该理解，这些描述只是示例性的，而并非要限制本公开的范围。在下面的详细描述中，为便于解释，阐述了许多具体的细节以提供对本公开实施例的全面理解。然而，明显地，一个或多个实施例在没有这些具体细节的情况下也可以被实施。此外，在以下说明中，省略了对公知结构和技术的描述，以避免不必要地混淆本公开的概念。

在此使用的术语仅仅是为了描述具体实施例，而并非意在限制本公开。在此使用的术语“包括”、“包含”等表明了所述特征、步骤、操作和/或部件的存在，但是并不排除存在或添加一个或多个其他特征、步骤、操作或部件。

在此使用的所有术语(包括技术和科学术语)具有本领域技术人员通常所理解的含义，除非另外定义。应注意，这里使用的术语应解释为具有与本说明书的上下文相一致的含义，而不应以理想化或过于刻板的方式来解释。

在使用类似于“A、B和C等中至少一个”这样的表述的情况下，一般来说应该按照本领域技术人员通常理解该表述的含义来予以解释(例如，“具有A、B和C中至少一个的系统”应包括但不限于单独具有A、单独具有B、单独具有C、具有A和B、具有A和C、具有B和C、和/或具有A、B、C的系统等)。在使用类似于“A、B或C等中至少一个”这样的表述的情况下，一般来说应该按照本领域技术人员通常理解该表述的含义来予以解释(例如，“具有A、B或C中至少一个的系统”应包括但不限于单独具有A、单独具有B、单独具有C、具有A和B、具有A和C、具有B和C、和/或具有A、B、C的系统等)。

在相关技术中，一般仅通过黑白名单对已知的钓鱼网站进行过滤，而对于新增的钓鱼网站的监测效果较差。

本公开的实施例提供了一种钓鱼网站检测方法，包括：将与目标网站相关联的目标统一资源定位符进行过滤，输出过滤结果；在过滤结果表明目标网站为可疑网站的情况下，获取与目标统一资源定位符相关联的文本数据特征；将文本数据特征输入定位符文本检测模型，输出第一检测结果，其中，定位符文本检测模型是利用第一训练样本数据集训练得到的，第一训练样本数据集中的训练样本包括与正常网站及钓鱼网站的统一资源定位符相关联的特征信息；在第一检测结果表明目标网站仍然为可疑网站的情况下，获取与目标网站内网页信息相关联的页面数据特征；将页面数据特征输入页面检测模型，输出第二检测结果，其中，页面检测模型是利用第二训练样本数据集训练得到的，第二训练样本数据集中的训练样本包括与正常网站及钓鱼网站内网页信息相关联的特征信息。

需要说明的是，本公开的实施例提供的钓鱼网站检测方法和检测系统可以应用于金融领域和计算机技术领域，也可用于除金融领域和计算机技术领域的任意领域，本公开实施例对钓鱼网站检测方法和检测系统的应用领域不做限定。

图1示意性示出了根据本公开实施例的可以应用钓鱼网站检测方法的示例性系统架构100。需要注意的是，图1所示仅为可以应用本公开实施例的系统架构的示例，以帮助本领域技术人员理解本公开的技术内容，但并不意味着本公开实施例不可以用于其他设备、系统、环境或场景。

如图1所示，根据该实施例的系统架构100可以包括终端设备101、102、103，网络104和服务器105。网络104用以在终端设备101、102、103和服务器105之间提供通信链路的介质。网络104可以包括各种连接类型，例如有线和/或无线通信链路等等。

用户可以使用终端设备101、102、103通过网络104与服务器105交互，以接收或发送消息等。终端设备101、102、103上可以安装有各种通讯客户端应用，例如购物类应用、网页浏览器应用、搜索类应用、即时通信工具、邮箱客户端和/或社交平台软件等(仅为示例)。

终端设备101、102、103可以是具有显示屏并且支持网页浏览的各种电子设备，包括但不限于智能手机、平板电脑、膝上型便携计算机和台式计算机等等。

服务器105可以是提供各种服务的服务器，例如对用户利用终端设备101、102、103所浏览的网站提供支持的后台管理服务器(仅为示例)。后台管理服务器可以对接收到的用户请求等数据进行分析等处理，并将处理结果(例如根据用户请求获取或生成的网页、信息、或数据等)反馈给终端设备。

需要说明的是，本公开实施例所提供的钓鱼网站检测方法一般可以由服务器105执行。相应地，本公开实施例所提供的钓鱼网站检测系统一般可以设置于服务器105中。本公开实施例所提供的钓鱼网站检测方法也可以由不同于服务器105且能够与终端设备101、102、103和/或服务器105通信的服务器或服务器集群执行。相应地，本公开实施例所提供的钓鱼网站检测系统也可以设置于不同于服务器105且能够与终端设备101、102、103和/或服务器105通信的服务器或服务器集群中。或者，本公开实施例所提供的钓鱼网站检测方法也可以由终端设备101、102、或103执行，或者也可以由不同于终端设备101、102、或103的其他终端设备执行。相应地，本公开实施例所提供的钓鱼网站检测系统也可以设置于终端设备101、102、或103中，或设置于不同于终端设备101、102、或103的其他终端设备中。

例如，与目标网站相关联的待处理信息可以原本存储在终端设备101、102、或103中的任意一个(例如，终端设备101，但不限于此)之中，或者存储在外部存储设备上并可以导入到终端设备101中。然后，终端设备101可以在本地执行本公开实施例所提供的钓鱼网站检测方法，或者将待处理信息发送到其他终端设备、服务器、或服务器集群，并由接收该待处理图像的其他终端设备、服务器、或服务器集群来执行本公开实施例所提供的钓鱼网站检测方法。

应该理解，图1中的终端设备、网络和服务器的数目仅仅是示意性的。根据实现需要，可以具有任意数目的终端设备、网络和服务器。

如图2所示，该方法包括操作S201～S205。

在操作S201，将与目标网站相关联的目标统一资源定位符进行过滤，输出过滤结果。

根据本公开的实施例，目标统一资源定位符可以包括因特网的万维网服务程序上用于指定信息位置的字符，进一步的，指定信息位置的方法例如可以通过统一资源定位系统(uniform resource locator；URL)实现。过滤操作例如可以通过过滤装置实现，过滤装置例如可以包括URL过滤模块和黑白名单过滤模块。黑白名单过滤模块例如可以包含黑名单和白名单，黑名单例如可以包括历史钓鱼网站名单，白名单例如可以包括非钓鱼网站名单。

例如，URL过滤模块能够排除掉预设时间段内同一域名下已经访问过的URL。首先将目标网站的完整URL输入至URL过滤模块，通过目标网站的完整URL获取该目标网站的域名信息。然后，由URL过滤模块根据预设时间段内的访问信息，确定是否过滤掉该目标网站。若该目标网站在预设时间内未访问，则进入黑白名单过滤模块。

根据本公开的实施例，预设时间例如可以包括24小时、48小时、72小时或其他任意时间，本公开的实施例对此不做限定。

通过设置URL过滤模块，能够将近期时间内同一域名下已经访问过的URL进行过滤排除，防止同一域名下的目标网站在一段时间内重复检测，减小系统运行压力。

在操作S202，在过滤结果表明目标网站为可疑网站的情况下，获取与目标统一资源定位符相关联的文本数据特征。

根据本公开的实施例，文本数据特征例如可以包括URL特征和与URL相对应的WHOIS(域名查询协议)信息的WHOIS特征。

在操作S203，将文本数据特征输入定位符文本检测模型，输出第一检测结果，其中，定位符文本检测模型是利用第一训练样本数据集训练得到的，第一训练样本数据集中的训练样本包括与正常网站及钓鱼网站的统一资源定位符相关联的特征信息。

在操作S204，在第一检测结果表明目标网站仍然为可疑网站的情况下，获取与目标网站内网页信息相关联的页面数据特征。

在操作S205，将页面数据特征输入页面检测模型，输出第二检测结果，其中，页面检测模型是利用第二训练样本数据集训练得到的，第二训练样本数据集中的训练样本包括与正常网站及钓鱼网站内网页信息相关联的特征信息。

根据本公开的实施例，例如可以定义文本数据特征的特征向量F_URL＝{F₁，F₂，…，F₁₅}，向量中的每一维都代表一个特征，其中，URL特征包括传统URL特征和URL文本新特征。具体特征包括：

1、传统URL特征

F₁：域名是否为纯IP(网际互连协议)地址

域名是一个网站的文字表示，一般的合法网站都不会使用纯IP当作域名，部分钓鱼网站为了节约成本，往往仅使用IP地址作为钓鱼网站的地址，意图在路径或者别的部分迷惑用户。

F₂：URL长度

通过对URL的分析可以发现，因为URL中常常含有乱码特殊符号和无意义的字母，有的钓鱼URL需要插入很多关键单词迷惑用户，导致钓鱼网站的URL文本长度往往长于合法网站。

F₃：顶级域名位置异常，如.com出现在域名或者路径上

顶级域名如“.com”“.edu”“.org”往往会迷惑用户使其误以为这是一个正常的URL，钓鱼网站制作者们常常会在其URL的域名中或路径中通过分隔符或其他手段插入顶级域名字符，并借此迷惑用户。

F₄：是否有特殊符号

特殊符号是钓鱼网站URL与合法网站区别的重要特征，特殊符号例如可以包括“@”和“～”，“@”在URL中表示“@”之后的URL才是真正要访问的URL地址，钓鱼者常常利用这一点，将真正的URL隐藏在“@”之后，“@”之前的文本则用来误导用户认为进入了一个合法网站。

F₅：是否含有可疑单词

钓鱼者的攻击目标大多数都是网络用户的特定门户的账户信息，其钓鱼页面也经常以“登录”“密码验证”或者“账户验证”等形式出现，可疑单词例如可以包括signin、login、account、admin、auth、bank、pay、confirm、host、secure、security、verification、verify等。

F₆：“.”的个数

钓鱼网址在域名部分往往通过较多的“.”插入合法网站的域名，并借此混淆用户。钓鱼网址的路径部分中的“.”的个数也多于合法网站。

F₇：域名级数

部分钓鱼网站的URL意图通过在域名中插入正规网站的域名达到混淆用户的目的。

2、URL文本新特征

传统URL的钓鱼特征有时候会被钓鱼网站制作者刻意回避，导致特征区分度不高，因此，需要新的具有代表性的文本特征来提高区分度，增强模型识别率。

F₈：分割符的个数

“-”符号在URL中起到了拼接单词的作用，钓鱼网站通常使用“-”拼接域名单词迷惑用户。而合法网站的网址往往简练而清晰，一般不会使用“-”符号。

F₉：最后一次出现“//”的位置

“//”在URL中的多次出现往往意味着存在着重定向情况，在URL中路径部分的“//”符号表明用户会被重定向到另一个网站，例如http：//www.1********.com//http：//www.p*****.com。如果URL使用了HTTP或者HTTPS协议，则最后一个“//”的位置应该是第6位或者第7位，如果最后一个“//”的位置超过了第7位，则这个URL可能是异常的。

F₁₀：是否存在域名异常

域名异常指的是钓鱼者利用视觉上的相似性，将正规网址域名和路径中的有些字母改动或者增删，如将“facebook”改为“facebo0k”，防范不足的用户往往会误以为这是facebook的域名而遭遇钓鱼。例如可以通过编辑距离来计算单词相似度，判定URL中的单词是否存在域名异常。

F₁₁：域名中最长单词的长度

钓鱼网站由于成本低廉制作粗糙的原因，URL中经常出现无意义的字母，而且其为了迷惑用户在域名和路径中要插入大量的伪装单词，导致了URL中的最长的单词长度长于正常的URL。

F₁₂：连续数字的最大长度

部分钓鱼网站的网址会包含较多的数字，而正常的URL一般最长的连续数字不会超过4位。

F₁₃：大写字母的个数

因为域名是不区分大小写的，大写字母是正常的URL中很少用到的字符。但在钓鱼URL中，由于其充斥着大量无意义的字母数字，所含大写字母的个数多于正常的URL。

3、WHOIS特征

仅使用URL的文本信息并不能充分表达钓鱼网站的URL和合法网站上特征的不同，而且一些钓鱼网站的制作者也在通过技术的演进在规避URL中可能会被发现的特征，所以添加了WHOIS信息作为补充，与URL的文本特征组成特征集，如下是选用的WHOIS特征。

F₁₄：域名注册距今时间

钓鱼网站的制作者为了经济利益会不断地制造钓鱼网站，域名注册时间较当前时间相对较短，而正常的网站域名注册距今时间相对较长。

F₁₅：域名过期距今时间

注册域名的收费是和域名运营时间成正比的，钓鱼网站的制作者为了最大限度节约成本和最小化避免因被封禁造成的经济损失，其域名的过期时间一般不会超过一年。

根据本公开的实施例，页面数据特征包括目标网站的页面内的链接特征、表单特征、字符串特征和图片信息特征。

根据本公开的实施例，链接特征、表单特征、字符串特征和图片信息特征可以描述目标网站的页面信息。定义页面数据特征的页面特征向量F_page＝{F₁，F₂，…，F₈}，具体包括：

F₁：HTML(超文本标记语言)字符串长度

钓鱼网站的页面内容一般较为粗糙简陋，而正常的网站因其功能繁多，HTML长度上必然要与钓鱼网站页面的区别较大。

F₂：请求外部资源占请求资源比例

钓鱼网站的页面资源如样式表、图片、Favicon(网页图标)等资源一般来自于第三方，相对于正常网站，钓鱼网站的页面外部资源请求的比例一般大于正常网站。

F₃：a标签外链和空链数占总数比例

部分钓鱼网站会在a标签使用空链接，通过JavaScript脚本控制标签属性，或者将a标签直接链接到外部域名。

F₄：Form表单数目

Form表单是Web页面用来向服务器提交信息的重要手段，包含了文本框、密码框和提交按钮等多种元素，钓鱼网站盗取用户的信息的方式一般均是通过诱使用户输入个人信息，然后通过Form表单向服务器提交信息。

F₅：表单action属性是否为空或者指向外域

钓鱼页面的表单action信息往往分为两种情况：

(1)指向外部域名，将用户输入的信息直接通过在action属性中填入外部服务器地址，而不是常见的路径参数。将用户信息跨域提交到外部域名，达到盗窃目的。

(2)空值，另一种action的属性值常常被设置为空值或者“about：blank”，真正的提交动作由JavaScript脚本来控制。

F₆：div标签的个数

钓鱼网站的页面较为简单，其div标签的个数和HTML长度相对于正常的网站来说，数量较少。因此div的标签数也是一个具有区分度的特征。

F₇：是否包含关键字

钓鱼网站的页面一般是以诱惑用户输入信息为主，页面当中往往包含着“登录”、“验证”等关键字。而正常网站中的登录页面只存在一小部分。

F₈：图片数目

正常网站对于图片大小和图片切图要求比较严格，各个公司的网页风格往往是由很多复杂的字体样式和很多张大大小小的图片组成，而相当一部分钓鱼网站会使用粗糙的大面积图片来充当迷惑的背景，或者是用图片来遮盖本来的文字信息，相对于正常网页来说，钓鱼网站的图片一般偏少。

根据本公开的实施例，获取与目标网站内网页信息相关联的页面数据特征包括：

通过模拟浏览器进对网页信息进行重新渲染，生成与网页信息相关联的源码数据；解析源码数据，得到页面数据特征。

根据本公开的实施例，相对于一般的页面，例如可以通过网络爬虫的方式获取URL指向的页面HTML内容，将HTML内容进行解析，抽取需要的页面数据特征。具体的，例如可以通过Beautiful Soup解析器对HTML内容进行解析。

而对于页面特征隐藏的问题，如使用JavaScript动态页面内容、页面源码加密、页面自动跳转等，无法通过网络爬虫的方式进行获取。针对上述问题，例如可以通过模拟浏览器进对网页信息进行重新渲染，最终获取特征。

根据本公开的实施例，模拟浏览器例如可以包括Chrome Headless无界面浏览器。

根据本公开的实施例，该钓鱼网站检测方法还包括：

获取钓鱼网站检测请求，其中，钓鱼网站检测请求中包括目标网站的属性信息；响应于钓鱼网站检测请求，根据属性信息获取目标统一资源定位符。

根据本公开的实施例，目标网站可以是指在载体上访问的网站。目标网站的类型例如可以包括PC端网站或移动端网站。载体可以包括电子设备，电子设备可以包括终端设备，终端设备可以包括智能手机、平板电脑、便携计算机或台式计算机等。属性信息例如可以包括目标网站的网址信息或二维码等信息。钓鱼网站检测请求可以根据用户的触发操作生成，触发操作可以包括点击或滑动。

根据本公开的实施例，该钓鱼网站检测方法还包括：

在过滤结果表明目标网站为正常网站或钓鱼网站的情况下，将过滤结果作为最终检测结果并输出。

根据本公开的实施例，通过过滤操作能够将黑名单和白名单中的历史钓鱼网站和合法网站与目标网站进行匹配，并将属于黑名单和白名单中的目标网站排除，减小系统运行压力。

根据本公开的实施例，该钓鱼网站检测方法还包括：

在第一检测结果表明目标网站为正常网站的情况下，将第一检测结果作为最终检测结果并输出。

如图3所示，该方法包括操作S301～S303。其中，过滤操作例如可以由过滤模块执行，定位符文本检测模型例如可以指URL文本检测模型。

首先，获取目标网站的URL。

在操作S301，执行过滤操作，具体包括：判断该目标网站是否为钓鱼网站，若该目标网站命中白名单，则表明该目标网站为非钓鱼网站，输出最终结果；若该目标网站命中黑名单，则表明该目标网站为钓鱼网站，输出最终结果；若该目标网站未命中名单，则将URL输入至URL文本检测模型，执行操作S302。

在操作S302，判断该目标网站是否疑似钓鱼网站，若该目标网站不是钓鱼网站，则输出最终结果；若该目标网站疑似钓鱼网站，则将URL输入至页面检测模型，执行操作S303。

在操作S303，判断该目标网站是否为钓鱼网站，若该目标网站为钓鱼网站，则输出最终结果；若该目标网站不是钓鱼网站，则将非钓鱼网站作为最终结果输出。

根据本公开的实施例，URL文本检测模型的目的是识别出疑似钓鱼网站的URL交由页面检测模型检测，而不是直接对是否钓鱼进行分类判别，所以需要对URL文本检测模型进行微调，使其在拥有一定准确率的情况下尽可能保证真正的钓鱼样本不会被误分类为合法样本，尽可能保证钓鱼样本的召回率尽可能高，而对于合法样本被误分类为可疑样本，由于有后续页面模块的继续检测，并不会对整个系统检测造成太大影响。

根据本公开的实施例，sklearn(机器学习库)是机器学习最常用的第三方库之一，其predict_proba方法可以使分类模型输出带概率的预测分数，通过设定超参数阈值∝，若模型预测的正类分数或概率小于阈值∝，认为模型是可疑钓鱼样本，通过不断地调整阈值，在保证分类效果的前提下，尽可能提高召回率，保证尽量多的钓鱼样本被正确分类。

根据本公开的实施例，利用第一训练样本数据集训练得到定位符文本检测模型的操作包括：

将第一训练样本数据集划分为训练集和测试集；

将训练集输入待训练的定位符文本检测模型进行模型训练，输出检测结果，并得到初始定位符文本检测模型；

根据检测结果和训练集，得到检测误差分布估计；

根据测试集，对初始定位符文本检测模型进行测试，得到预测结果；

根据预测结果和测试集，得到测试误差分布估计；

根据检测误差分布估计和测试误差分布估计，得到误差向量相似度；

在误差向量相似度不满足迭代停止条件的情况下，继续对初始定位符文本检测模型进行迭代训练和测试，直到误差向量相似度符合迭代停止条件，得到定位符文本检测模型。

根据本公开的实施例，定位符文本检测模型例如可以包括逻辑回归、朴素贝叶斯、决策树、随机森林、Adaboost(增强学习)、高斯核函数SVM(支持向量机)和线性核函数SVM。

如图4所示，该方法包括操作S401～S403。

在操作S401，分别对训练集和测试集进行特征选择和预处理，得到训练特征向量和测试特征向量。

在操作S402，利用训练特征向量对分类器集合中的每个初始分类器分别进行训练，得到多个分类器模型。

根据本公开的实施例，初始分类器例如可以包括逻辑回归、朴素贝叶斯、决策树、随机森林、Adaboost、高斯核函数SVM和线性核函数SVM等。

在操作S403，利用测试特征向量对每个分类器模型进行评价，在多个分类器模型中筛选出最优分类器模型作为定位符文本检测模型。

根据本公开的实施例，利用第二训练样本数据集训练得到页面检测模型的操作包括：

将第二训练样本数据集划分为训练集和测试集；

将第二训练集输入待训练的页面检测模型进行模型训练，输出检测结果，并得到初始页面检测模型；

根据检测结果和训练集，得到检测误差分布估计；

根据测试集，对初始页面检测模型进行测试，得到预测结果；

根据预测结果和测试集，得到测试误差分布估计；

在误差向量相似度不满足迭代停止条件的情况下，继续对初始页面检测模型进行迭代训练和测试，直到误差向量相似度符合迭代停止条件，得到页面检测模型。

需要说明的是，本公开的实施例中页面检测模型的训练方法与定位符文本检测模型的训练方法原理相同，页面检测模型的训练方法部分的描述具体参考定位符文本检测模型的训练方法部分，在此不再赘述。

如图5所示，钓鱼网站检测系统500包括过滤模块501、第一获取模块502、第一检测模块503、第二获取模块504和第二检测模块505。

过滤模块501，用于将与目标网站相关联的目标统一资源定位符进行过滤，输出过滤结果。

第一获取模块502，用于在过滤结果表明目标网站为可疑网站的情况下，获取与目标统一资源定位符相关联的文本数据特征。

第一检测模块503，用于将文本数据特征输入定位符文本检测模型，输出第一检测结果，其中，定位符文本检测模型是利用第一训练样本数据集训练得到的，第一训练样本数据集中的训练样本包括与正常网站及钓鱼网站的统一资源定位符相关联的特征信息。

第二获取模块504，用于在第一检测结果表明目标网站仍然为可疑网站的情况下，获取与目标网站内网页信息相关联的页面数据特征。

第二检测模块505，用于将页面数据特征输入页面检测模型，输出第二检测结果，其中，页面检测模型是利用第二训练样本数据集训练得到的，第二训练样本数据集中的训练样本包括与正常网站及钓鱼网站内网页信息相关联的特征信息。

根据本公开的实施例，第二获取模块504包括渲染单元和解析单元。

渲染单元，用于通过模拟浏览器进对网页信息进行重新渲染，生成与网页信息相关联的源码数据。

解析单元，用于解析源码数据，得到页面数据特征。

根据本公开的实施例，该检测系统500还包括第三获取模块和响应模块。

第三获取模块，用于获取钓鱼网站检测请求，其中，钓鱼网站检测请求中包括目标网站的属性信息。

响应模块，用于响应于钓鱼网站检测请求，根据属性信息获取目标统一资源定位符。

根据本公开的实施例，该检测系统500还包括第一输出模块。

第一输出模块，用于在过滤结果表明目标网站为正常网站或钓鱼网站的情况下，将过滤结果作为最终检测结果并输出。

根据本公开的实施例，该检测系统500还包括第二输出模块。

第二输出模块，用于在第一检测结果表明目标网站为正常网站情况下，将第一检测结果作为最终检测结果并输出。

根据本公开的实施例，第一检测模块503包括第一划分单元、第一输出单元、第一分析单元、第一测试单元、第二分析单元、第三分析单元和第二测试单元。

第一划分单元，用于将第一训练样本数据集划分为训练集和测试集。

第一输出单元，用于将训练集输入待训练的定位符文本检测模型进行模型训练，输出检测结果，并得到初始定位符文本检测模型。

第一分析单元，用于根据检测结果和训练集，得到检测误差分布估计。

第一测试单元，用于根据测试集，对初始定位符文本检测模型进行测试，得到预测结果。

第二分析单元，根据预测结果和测试集，得到测试误差分布估计。

第三分析单元，根据检测误差分布估计和测试误差分布估计，得到误差向量相似度。

第二测试单元，用于在误差向量相似度不满足迭代停止条件的情况下，继续对初始定位符文本检测模型进行迭代训练和测试，直到误差向量相似度符合迭代停止条件，得到定位符文本检测模型。

根据本公开的实施例，第二检测模块505包括第二划分单元、第二输出单元、第四分析单元、第三测试单元、第五分析单元、第六分析单元和第四测试单元。

第二划分单元，用于将第二训练样本数据集划分为训练集和测试集。

第二输出单元，用于将第二训练集输入待训练的页面检测模型进行模型训练，输出检测结果，并得到初始页面检测模型。

第四分析单元，用于根据检测结果和训练集，得到检测误差分布估计。

第三测试单元，用于根据测试集，对初始页面检测模型进行测试，得到预测结果。

第五分析单元，用于根据预测结果和测试集，得到测试误差分布估计。

第六分析单元，用于根据检测误差分布估计和测试误差分布估计，得到误差向量相似度。

第四测试单元，用于在误差向量相似度不满足迭代停止条件的情况下，继续对初始页面检测模型进行迭代训练和测试，直到误差向量相似度符合迭代停止条件，得到页面检测模型。

根据本公开的实施例的模块、子模块、单元、子单元中的任意多个、或其中任意多个的至少部分功能可以在一个模块中实现。根据本公开实施例的模块、子模块、单元、子单元中的任意一个或多个可以被拆分成多个模块来实现。根据本公开实施例的模块、子模块、单元、子单元中的任意一个或多个可以至少被部分地实现为硬件电路，例如现场可编程门阵列(FPGA)、可编程逻辑阵列(PLA)、片上系统、基板上的系统、封装上的系统、专用集成电路(ASIC)，或可以通过对电路进行集成或封装的任何其他的合理方式的硬件或固件来实现，或以软件、硬件以及固件三种实现方式中任意一种或以其中任意几种的适当组合来实现。或者，根据本公开实施例的模块、子模块、单元、子单元中的一个或多个可以至少被部分地实现为计算机程序模块，当该计算机程序模块被运行时，可以执行相应的功能。

例如，过滤模块501、第一获取模块502、第一检测模块503、第二获取模块504和第二检测模块505中的任意多个可以合并在一个模块/单元/子单元中实现，或者其中的任意一个模块/单元/子单元可以被拆分成多个模块/单元/子单元。或者，这些模块/单元/子单元中的一个或多个模块/单元/子单元的至少部分功能可以与其他模块/单元/子单元的至少部分功能相结合，并在一个模块/单元/子单元中实现。根据本公开的实施例，过滤模块501、第一获取模块502、第一检测模块503、第二获取模块504和第二检测模块505中的至少一个可以至少被部分地实现为硬件电路，例如现场可编程门阵列(FPGA)、可编程逻辑阵列(PLA)、片上系统、基板上的系统、封装上的系统、专用集成电路(ASIC)，或可以通过对电路进行集成或封装的任何其他的合理方式等硬件或固件来实现，或以软件、硬件以及固件三种实现方式中任意一种或以其中任意几种的适当组合来实现。或者，过滤模块501、第一获取模块502、第一检测模块503、第二获取模块504和第二检测模块505中的至少一个可以至少被部分地实现为计算机程序模块，当该计算机程序模块被运行时，可以执行相应的功能。

需要说明的是，本公开的实施例中钓鱼网站测试系统部分与本公开的实施例中钓鱼网站测试方法部分是相对应的，钓鱼网站测试系统部分的描述具体参考钓鱼网站测试方法部分，在此不再赘述。

图6示意性示出了根据本公开实施例的适于实现上文描述的方法的计算机系统的框图。图6示出的计算机系统仅仅是一个示例，不应对本公开实施例的功能和使用范围带来任何限制。

如图6所示，根据本公开实施例的计算机系统600包括处理器601，其可以根据存储在只读存储器(ROM)602中的程序或者从存储部分608加载到随机访问存储器(RAM)603中的程序而执行各种适当的动作和处理。处理器601例如可以包括通用微处理器(例如CPU)、指令集处理器和/或相关芯片组和/或专用微处理器(例如，专用集成电路(ASIC))，等等。处理器601还可以包括用于缓存用途的板载存储器。处理器601可以包括用于执行根据本公开实施例的方法流程的不同动作的单一处理单元或者是多个处理单元。

在RAM 603中，存储有系统600操作所需的各种程序和数据。处理器601、ROM 602以及RAM 603通过总线604彼此相连。处理器601通过执行ROM 602和/或RAM 603中的程序来执行根据本公开实施例的方法流程的各种操作。需要注意，所述程序也可以存储在除ROM 602和RAM 603以外的一个或多个存储器中。处理器601也可以通过执行存储在所述一个或多个存储器中的程序来执行根据本公开实施例的方法流程的各种操作。

根据本公开的实施例，系统600还可以包括输入/输出(I/O)接口605，输入/输出(I/O)接口605也连接至总线604。系统600还可以包括连接至I/O接口605的以下部件中的一项或多项：包括键盘、鼠标等的输入部分606；包括诸如阴极射线管(CRT)、液晶显示器(LCD)等以及扬声器等的输出部分608；包括硬盘等的存储部分608；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分609。通信部分609经由诸如因特网的网络执行通信处理。驱动器610也根据需要连接至I/O接口605。可拆卸介质611，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器610上，以便于从其上读出的计算机程序根据需要被安装入存储部分608。

根据本公开的实施例，根据本公开实施例的方法流程可以被实现为计算机软件程序。例如，本公开的实施例包括一种计算机程序产品，其包括承载在计算机可读存储介质上的计算机程序，该计算机程序包含用于执行流程图所示的方法的程序代码。在这样的实施例中，该计算机程序可以通过通信部分609从网络上被下载和安装，和/或从可拆卸介质611被安装。在该计算机程序被处理器601执行时，执行本公开实施例的系统中限定的上述功能。根据本公开的实施例，上文描述的系统、设备、装置、模块、单元等可以通过计算机程序模块来实现。

本公开还提供了一种计算机可读存储介质，该计算机可读存储介质可以是上述实施例中描述的设备/装置/系统中所包含的；也可以是单独存在，而未装配入该设备/装置/系统中。上述计算机可读存储介质承载有一个或者多个程序，当上述一个或者多个程序被执行时，实现根据本公开实施例的方法。

根据本公开的实施例，计算机可读存储介质可以是非易失性的计算机可读存储介质。例如可以包括但不限于：便携式计算机磁盘、硬盘、随机防问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本公开中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。

例如，根据本公开的实施例，计算机可读存储介质可以包括上文描述的ROM 602和/或RAM 603和/或ROM 602和RAM 603以外的一个或多个存储器。

本公开的实施例还包括一种计算机程序产品，其包括计算机程序，该计算机程序包含用于执行本公开实施例所提供的方法的程序代码，当计算机程序产品在电子设备上运行时，该程序代码用于使电子设备实现本公开实施例所提供的钓鱼网站测试方法。

在该计算机程序被处理器601执行时，执行本公开实施例的系统/装置中限定的上述功能。根据本公开的实施例，上文描述的系统、装置、模块、单元等可以通过计算机程序模块来实现。

在一种实施例中，该计算机程序可以依托于光存储器件、磁存储器件等有形存储介质。在另一种实施例中，该计算机程序也可以在网络介质上以信号的形式进行传输、分发，并通过通信部分609被下载和安装，和/或从可拆卸介质611被安装。该计算机程序包含的程序代码可以用任何适当的网络介质传输，包括但不限于：无线、有线等等，或者上述的任意合适的组合。

根据本公开的实施例，可以以一种或多种程序设计语言的任意组合来编写用于执行本公开实施例提供的计算机程序的程序代码，具体地，可以利用高级过程和/或面向对象的编程语言、和/或汇编/机器语言来实施这些计算程序。程序设计语言包括但不限于诸如Java，C++，python，“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。在涉及远程计算设备的情形中，远程计算设备可以通过任意种类的网络，包括局域网(LAN)或广域网(WAN)，连接到用户计算设备，或者，可以连接到外部计算设备(例如利用因特网服务提供商来通过因特网连接)。

附图中的流程图和框图，图示了按照本公开各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，上述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图或流程图中的每个方框、以及框图或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。本领域技术人员可以理解，本公开的各个实施例和/或权利要求中记载的特征可以进行多种组合和/或结合，即使这样的组合或结合没有明确记载于本公开中。特别地，在不脱离本公开精神和教导的情况下，本公开的各个实施例和/或权利要求中记载的特征可以进行多种组合和/或结合。所有这些组合和/或结合均落入本公开的范围。

以上对本公开的实施例进行了描述。但是，这些实施例仅仅是为了说明的目的，而并非为了限制本公开的范围。尽管在以上分别描述了各实施例，但是这并不意味着各个实施例中的措施不能有利地结合使用。本公开的范围由所附权利要求及其等同物限定。不脱离本公开的范围，本领域技术人员可以做出多种替代和修改，这些替代和修改都应落在本公开的范围之内。

Claims

1.一种钓鱼网站检测方法，包括：

2.根据权利要求1所述的方法，其中，所述页面数据特征包括所述目标网站的页面内的链接特征、表单特征、字符串特征和图片信息特征。

3.根据权利要求1所述的方法，其中，所述获取与所述目标网站内网页信息相关联的页面数据特征包括：

解析所述源码数据，得到所述页面数据特征。

4.根据权利要求1所述的方法，还包括：

5.根据权利要求1所述的方法，还包括：

6.根据权利要求1所述的方法，还包括：

在所述第一检测结果表明所述目标网站为正常网站情况下，将所述第一检测结果作为所述最终检测结果并输出。

7.根据权利要求1所述的方法，其中，所述利用所述第一训练样本数据集训练得到所述定位符文本检测模型的操作包括：

将所述第一训练样本数据集划分为训练集和测试集；

根据所述检测结果和所述训练集，得到检测误差分布估计；

根据所述预测结果和所述测试集，得到测试误差分布估计；

8.根据权利要求1所述的方法，其中，所述利用所述第二训练样本数据集训练得到所述页面检测模型的操作包括：

将所述第二训练样本数据集划分为训练集和测试集；

根据所述检测结果和所述训练集，得到检测误差分布估计；

根据所述预测结果和所述测试集，得到测试误差分布估计；

9.一种钓鱼网站检测系统，包括：

10.一种电子设备，包括：

一个或多个处理器；

存储器，用于存储一个或多个指令，

其中，当所述一个或多个指令被所述一个或多个处理器执行时，使得所述一个或多个处理器实现权利要求1至8中任一项所述的方法。

11.一种计算机可读存储介质，其上存储有可执行指令，该指令被处理器执行时使处理器实现权利要求1至8中任一项所述的方法。

12.一种计算机程序产品，所述计算机程序产品包括计算机可执行指令，所述指令在被执行时用于实现权利要求1至8中任一项所述的方法。