CN115987637A - 一种Webshell文件检测方法、装置、设备及存储介质 - Google Patents

Abstract

本申请提供了一种Webshell文件检测方法、装置、设备及存储介质，其中，该方法包括：获取当前对服务器的操作方式和操作方式对应操作请求所属的源文件；根据操作方式和预设的参数更新条件，更新判断参数N的值；其中，N为大于0的常数；在N大于预设值的情况下，确定源文件为Webshell文件。上述方案可以在无需检测文件具体内容的情况下，即可确定出上述源文件为Webshell文件，不仅避免了攻击者可能通过规则避开防护体系的检测，而且对于变异或者更新的Webshell文件，也仍然具有准确且全面的检测能力。

Description

一种Webshell文件检测方法、装置、设备及存储介质

背景技术

随着互联网技术的发展，互联网络上应用不断增加，网络安全事件也随之出现。攻击者可通过各种漏洞对网站进行攻击，最终在网站目录下上传Webshell(俗称后门)，进而对整个网站的服务器进行控制，从而实现恶意盗取数据，造成大规模破坏。因此，对Webshell的检测成为了保护网络安全中必不可少的一环。目前，传统检测Webshell的方式包括特征检测或者规则库匹配，这样的检测方式需要适应Webshell发展变换，处于被动地位，对于新出现的变异或免杀Webshell无能为力，而且各大安全公司或者厂商都有自己的Webshell的特征库或者规则库，不进行资源共享，这样就出现了覆盖面小的问题。

发明内容

有鉴于此，本申请提供一种Webshell文件检测方法、装置、设备及存储介质，以解决现有技术中，常用的Webshell检测覆盖面小，检测主动性不高的问题。

在本申请的一方面，提供一种Webshell文件检测方法，该方法包括：

获取当前对服务器的操作方式和操作方式对应操作请求所属的源文件；

根据操作方式和预设的参数更新条件，更新判断参数N的值；

其中，N为大于或等于0的常数；

在N大于预设值的情况下，确定源文件为Webshell文件。

在本申请的一种示例性实施例中，上述根据操作方式和预设的参数更新条件，更新判断参数N的值，可以包括：

在操作方式满足预设的参数更新条件的情况下，确定当前判断参数N的值与操作方式对应的权重值M的和，将和确定为判断参数N更新后的值；

在操作方式不满足预设的参数更新条件的情况下，保持判断参数N的值不变；

其中，预设的参数更新条件包括操作方式符合对应的可疑操作方式，且操作方式与预设时间段内所有的操作方式不同，M为大于0的常数。

进一步地，上述操作方式符合对应的可疑操作方式包括nobody用户启动bash进程，或者中间件用户启动cmd进程。

在本申请的一种示例性实施例中，上述操作方式符合对应的可疑操作方式包括网际协议地址(InternetProtocolAddress，IP地址)访问从未访问过的文件且返回状态为200，IP地址为超文本传输协议(HyperTransferProtocol，HTTP)请求的发送地址，HTTP请求中携带加密参数。

在本申请的另一种示例性实施例中，上述操作方式符合对应的可疑操作方式包括采用除应用程序编程接口(ApplicationProgrammingInterface，API)之外的其他方式连接数据库。

在本申请的另一种示例性实施例中，上述操作方式符合对应的可疑操作方式包括POST请求访问第一类型文件夹，且POST请求在访问所述第一类型文件夹的所有请求中的占比大于第一预设比例；

其中，第一类型文件夹为预设时间内更新的文件夹，且第一类型文件夹中的脚本文件占比不超过第二预设比例，第一类型文件夹中除所述脚本文件之外的其他文件为统一后缀文件。

在本申请的另一种示例性实施例中，上述操作方式符合对应的可疑操作方式包括任一文件的访问方式满足以下至少之一：

任一文件被固定IP地址访问的频率超过第一预设值；

任一文件对应页面的总访问次数小于第二预设值；

任一文件对应的访问请求中，POST请求在GET请求中的占比不超过第三预设比例，且返回状态为200；

任一文件对应的页面为孤立页面。

在本申请的另一方面，提供一种Webshell文件检测装置，该装置包括：

获取模块，用于获取当前对服务器的操作方式和操作方式对应操作请求所属的源文件；

更新模块，用于根据操作方式和预设的参数更新条件，更新判断参数N的值；

其中，N为大于或等于0的常数；

确定模块，用于在N大于预设值的情况下，确定源文件为Webshell文件。

在本申请的另一方面，提供一种电子设备，包括：存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，当处理器执行程序时，实现如本申请任意实施例提供的Webshell文件检测方法。

在本申请的另一方面，提供一种非瞬时性计算机可读存储介质，其特征在于，所述非瞬时性计算机可读存储介质存储程序或指令，所述程序或指令使计算机执行如本申请任意实施例提供的Webshell文件检测方法的步骤。

本申请实施例提供了一种Webshell文件检测方法、装置、设备及存储介质，其中，该方法包括：获取当前对服务器的操作方式和操作方式对应操作请求所属的源文件；根据操作方式和预设的参数更新条件，更新判断参数N的值；其中，N为大于0的常数；在N大于预设值的情况下，确定源文件为Webshell文件。上述方案中，由于预设的参数更新条件包括对操作方式为可疑操作方式的判断，并且每种可疑操作方式对应有权重值M，那么基于当前对服务器的操作方式和预设的参数更新条件，即可确定出对判断参数N的更新值，若N值大于预设值，即认为通过源文件多次操作服务器的方式为可疑操作方式，这样在无需检测文件具体内容的情况下，即可确定出上述源文件为Webshell文件，不仅避免了攻击者可能通过规则避开防护体系的检测，而且对于变异或者更新的Webshell文件，也仍然具有准确且全面的检测能力。

附图说明

为了更清楚地说明本申请实施例的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其它的附图。

图1为本申请实施例提供的一种Webshell文件检测方法的流程图；

图2是本申请实施例提供的一种Webshell文件检测装置的结构示意图；

图3是本申请实施例提供的电子设备的结构示意图。

具体实施方式

下面结合附图对本申请实施例进行详细描述。

需说明的是，在不冲突的情况下，以下实施例及实施例中的特征可以相互组合；并且，基于本公开中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本公开保护的范围。

需要说明的是，下文描述在所附权利要求书的范围内的实施例的各种方面。应显而易见，本文中所描述的方面可体现于广泛多种形式中，且本文中所描述的任何特定结构及/或功能仅为说明性的。基于本公开，所属领域的技术人员应了解，本文中所描述的一个方面可与任何其它方面独立地实施，且可以各种方式组合这些方面中的两者或两者以上。举例来说，可使用本文中所阐述的任何数目个方面来实施设备及/或实践方法。另外，可使用除了本文中所阐述的方面中的一或多者之外的其它结构及/或功能性实施此设备及/或实践此方法。

另外，在本申请实施例中，“可选地”或者“示例性地”等词用于表示作例子、例证或说明。本申请实施例中被描述为“可选地”或者“示例性地”的任何实施例或设计方案不应被解释为比其它实施例或设计方案更优选或更具优势。确切而言，使用“可选地”或者“示例性地”等词旨在以具体方式呈现相关概念。

为了便于更加清楚地理解本申请实施例提供的方案，在此对本申请实施例中涉及到的相关概念做进一步地详细解释。

Webshell：以动态服务器页面(ActiveServerPages，asp)、超文本预处理器(Hypertext Preprocessor，PHP)、Java服务器页面(JavaServerPages，jsp)或者通用网关接口(Common GatewayInterface，cgi)等网页文件形式存在的一种代码执行环境，主要用于网站管理、服务器管理、权限管理等操作。现主要指攻击者的后门程序，用来控制网站服务器。

在现有的场景下，网站攻击者通常利用某个漏洞在服务器上写入Webshell，用以恶意控制服务器，比如，上传其他的恶意工具或查看下载服务器上的数据，即增删改查操作。

针对上述场景中存在的问题，本申请实施例提供了一种Webshell文件检测方法的流程图，如图1所示，该方法能够基于当前对服务器的操作方式判断、检测相关文件是否为Webshell文件，而无需检测文件的具体内容，从而避免了传统检测方式中采用正则匹配的劣势。该方法可以由本申请实施例提供的Webshell文件检测装置来执行，该装置可采用软件和/或硬件的方式实现。在一个具体的实施例中，该装置可以集成在电子设备中，电子设备比如可以是服务器、个人计算机等。以下实施例将以该装置集成在电子设备中为例进行说明，如图1所示，该方法可以包括但不限于以下步骤：

S101、获取当前对服务器的操作方式和操作方式对应操作请求所属的源文件。

示例性地，本申请上述步骤中对服务器的操作方式可以包括如修改数据、下载数据、上传文件等等。可以理解的是，每次对服务器的操作都需要相应地请求指令执行，该请求指令可能由攻击者新建的Webshell文件发出，也可能是攻击者对某个正常原始文件进行修改，写入攻击脚本后，由该修改后的文件发出。因此，上述步骤中，操作方式对应操作请求所属的源文件可能为攻击者新建的Webshell文件，也可能为某个正常原始文件被修改后得到的文件。

S102、根据操作方式和预设的参数更新条件，更新判断参数N的值。

可选地，上述更新判断参数N的值可以采用如下方式实现：在操作方式满足预设的参数更新条件的情况下，确定当前判断参数N的值与操作方式对应的权重值M的和，进而将该和确定为判断参数N更新后的值。其中，N为大于或等于0的常数，M为大于0的常数。当然，若操作方式不满足预设的参数更新条件，那么判断参数N的值更新为原来的值，即N的值保持不变。

示例性地，上述预设的参数更新条件可以包括操作方式符合对应的可疑操作方式，且操作方式与预设时间段内所有的操作方式不同。也就是说，在本申请实施例中，每种可疑操作方式均有其对应的权重值M。

进一步地，在本申请实施例中，可以设置每种可疑操作方式对应的权重值相同，也可以不同。例如，假设可疑操作方式包括数据库连接可疑、日志记录可疑等等，那么可以根据实际情况，为不同的可疑操作方式分配相应的权重值M。如，数据库连接可疑、日志记录可疑对服务器影响的重要程度相同，那么可以设置数据库连接可疑、日志记录可疑对应的权重值M均为1。当然，该权重值也可以为小数，本申请实施例对此不做限定。

另外，上述预设的参数更新条件中，设置当前对服务器的操作方式与预设时间段内所有的操作方式不同，可以有效降低对判断参数N误更新的概率。例如，假设某次在服务器上写入数据为正常的访问操作，若接连几次都在服务器上正常写入数据，而其中某次操作被误判为可疑操作方式，那么后续的几次正常数据写入也会被判定为可疑操作方式。这样，判断参数N的值需要连接更新多次。但在本申请实施例中，设置“当前对服务器的操作方式与上次时间段内所有的操作方式不同”这一条件，针对上述相同的误判情况，最多仅对判断参数N的值更新一次，从而大大降低对判断参数N误更新的概率。

S103、在N大于预设值的情况下，确定源文件为Webshell文件。

在本申请实施例中，可以根据实际情况设置预设值大小，在N值大于预设值的情况下，说明已经累计有较多次对服务器的操作方式均被判定为可疑操作方式，且该多次可疑操作方式为不同类型的操作方式，那么可以将当前对服务器的操作方式对应操作请求所属的源文件判断为Webshell文件，即认为有攻击者通过Webshell文件对服务器进行恶意操作。

可选地，在确定上述源文件为Webshell文件的情况下，还可以输出Webshell文件的目录路径，这样可以方便人工介入进行排查。

本申请实施例提供了一种Webshell文件检测方法，该方法包括：获取当前对服务器的操作方式和操作方式对应操作请求所属的源文件；根据操作方式和预设的参数更新条件，更新判断参数N的值；其中，N为大于0的常数；在N大于预设值的情况下，确定源文件为Webshell文件。上述方案中，由于预设的参数更新条件包括对操作方式为可疑操作方式的判断，并且每种可疑操作方式对应有权重值M，那么基于当前对服务器的操作方式和预设的参数更新条件，即可确定出对判断参数N的更新值，若N值大于预设值，即认为通过源文件多次操作服务器的方式为可疑操作方式，这样在无需检测文件具体内容的情况下，即可确定出上述源文件为Webshell文件，不仅避免了攻击者可能通过规则避开防护体系的检测，而且对于变异或者更新的Webshell文件，也仍然具有准确且全面的检测能力。

下面通过具体实施方式对上述操作方式为可疑操作方式进行详细描述。例如，在本申请实施例中，可以从进程、HTTP请求、数据库连接、文件、日志等几个方面进行判断，确定当前对服务器的操作方式为可疑操作方式。

示例性地，从进程的角度进行监控、判断时，若在Linux操作系统下，检测到nobody用户启动了bash进程，或者，在Windows操作系统下，检测到中间件用户启动cmd进程，则认为此时通过Webshell文件访问服务器。

从HTTP请求的角度检测时，若检测到IP地址访问从未访问过的文件且返回状态为200，则认为通过Webshell文件访问服务器，其中，该IP地址为HTTP请求的发送地址，且该HTTP请求中携带加密参数。

可以理解的是，通常一个正常的网站所有的数据库操作都通过统一的API接口进行访问，因此从数据库连接的角度检测时，若判断某个脚本文件采用除API之外的其他方式连接操作数据库，则认为极有可能是黑客通过Webshell文件尝试连接数据库，相应地，该文件被确定为Webshell文件。

从文件监控的角度来看，若存在POST请求访问第一类型文件夹，且该POST请求在访问第一类型文件夹的所有请求中的占比大于第一预设比例，则认为通过Webshell文件访问服务器。其中，该第一类型文件夹为预设时间内更新的文件夹，例如，近7天内创建的文件(如，新增Webshell文件)或修改的文件(如，在原有的正常文件中写入Webshell)，该第一类型文件夹中的脚本文件占比不超过第二预设比例，第一类型文件夹中除脚本文件之外的其他文件为统一后缀文件。即可以理解为只存在少量脚本文件，其他文件为图片或其他统一后缀文件。

从日志的角度进行监控，若对于服务器的操作方式满足如下至少之一，则认为可能通过Webshell文件访问服务器。

例如，任一文件被固定IP地址访问的频率超过第一预设值；

任一文件对应页面的总访问次数小于第二预设值；

任一文件对应的访问请求中，POST请求在GET请求中的占比不超过第三预设比例，且返回状态为200；

任一文件对应的页面为孤立页面，即和其他页面的交互少于预设的数值。

在本申请实施例中，N的初始值可以设为0。由于黑客通过Webshell文件恶意控制服务器时，会产生对应的网络行为，若通过上述几种不同的角度进行监控时，判断对服务器的访问操作方式可能为可疑操作方式，那么可以结合不同可疑操作方式对应的权重值M对N值进行更新，并在N值大于预设值时，确定出访问、控制服务器的源文件为Webshell文件，并输出该Webshell文件的目录路径，这样可以使运维人员及时发现，介入排查，阻止网络资产遭受更大的攻击和损失。

此外，尽管在附图中以特定顺序描述了本公开中方法的各个步骤，但是，这并非要求或者暗示必须按照该特定顺序来执行这些步骤，或是必须执行全部所示的步骤才能实现期望的结果。附加的或备选的，可以省略某些步骤，将多个步骤合并为一个步骤执行，以及/或者将一个步骤分解为多个步骤执行等。

图2为本申请实施例提供的一种Webshell文件检测装置，如图2所示，该装置可以包括：获取模块201、更新模块202、确定模块203；

其中，获取模块，用于获取当前对服务器的操作方式和操作方式对应操作请求所属的源文件；

更新模块，用于根据操作方式和预设的参数更新条件，更新判断参数N的值；

其中，N为大于或等于0的常数；

确定模块，用于在N大于预设值的情况下，确定源文件为Webshell文件。

在一种示例中，上述更新模块，用于在操作方式满足预设的参数更新条件的情况下，确定当前判断参数N的值与操作方式对应的权重值M的和，将该和确定为判断参数N更新后的值；或者，在操作方式不满足预设的参数更新条件的情况下，保持判断参数N的值不变；

其中，预设的参数更新条件包括操作方式符合对应的可疑操作方式，且操作方式与预设时间段内所有的操作方式不同，M为大于0的常数。

在一种示例中，上述操作方式符合对应的可疑操作方式包括nobody用户启动bash进程，或者中间件用户启动cmd进程。

在一种示例中，上述操作方式符合对应的可疑操作方式包括IP地址访问从未访问过的文件且返回状态为200，该IP地址为HTTP请求的发送地址，且HTTP请求中携带加密参数。

在一种示例中，上述操作方式符合对应的可疑操作方式包括采用API之外的其他方式连接数据库。

在一种示例中，上述操作方式符合对应的可疑操作方式包括POST请求访问第一类型文件夹，且POST请求在访问第一类型文件夹的请求中的占比大于第一预设比例；

其中，第一类型文件夹为预设时间内更新的文件夹，且第一类型文件夹中的脚本文件占比不超过第二预设比例，第一类型文件夹中除脚本文件之外的其他文件为统一后缀文件。

在一种示例中，上述操作方式符合对应的可疑操作方式包括任一文件的访问方式满足以下至少之一：

任一文件被固定IP地址访问的频率超过第一预设值；

任一文件对应页面的总访问次数小于第二预设值；

任一文件对应的访问请求中，POST请求在GET请求中的占比不超过第三预设比例，且返回状态为200；

任一文件对应的页面为孤立页面。

上述Webshell文件检测装置可以执行图1所提供的Webshell文件检测方法，具备该方法中相应的器件和有益效果。

所属技术领域的技术人员能够理解，本申请的各个方面可以实现为系统、方法或程序产品。因此，本申请的各个方面可以具体实现为以下形式，即：完全的硬件实施方式、完全的软件实施方式(包括固件、微代码等)，或硬件和软件方面结合的实施方式，这里可以统称为“电路”、“模块”或“系统”。

图3为本申请实施例提供的一种电子设备的结构示意图，如图3所示，该电子设备包括控制器301、存储器302、输入装置303、输出装置304；电子设备中控制器301的数量可以是一个或多个，图3中以一个控制器301为例；电子设备中的控制器301、存储器302、输入装置303和输出装置304可以通过总线或其他方式连接，图3中以通过总线连接为例。

存储器302作为一种计算机可读存储介质，可用于存储软件程序、计算机可执行程序以及单元，如图1实施例中的Webshell文件检测方法对应的程序指令/模块(例如，Webshell文件检测装置中的获取模块201、更新模块202、确定模块203)。控制器301通过运行存储在存储器302中的软件程序、指令以及模块，从而执行电子设备的各种功能以及数据处理，即实现上述的Webshell文件检测方法。

存储器302可主要包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需的应用程序；存储数据区可存储根据计算机的使用所创建的数据等。此外，存储器302可以包括高速随机存取存储器，还可以包括非易失性存储器，例如至少一个磁盘存储器件、闪存器件、或其他非易失性固态存储器件。在一些实例中，存储器302可进一步包括相对于控制器301远程设置的存储器，这些远程存储器可以通过网络连接至终端/服务器。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

输入装置303可用于接收输入的数字或字符信息，以及产生与电子设备的用户设置以及功能控制有关的键信号输入。输出装置303可包括显示屏等显示装置。

根据本申请的这种实施方式的电子设备。电子设备仅仅是一个示例，不应对本申请实施例的功能和使用范围带来任何限制。

电子设备以通用计算设备的形式表现。电子设备的组件可以包括但不限于：上述至少一个处理器、上述至少一个储存器、连接不同系统组件(包括储存器和处理器)的总线。

其中，所述储存器存储有程序代码，所述程序代码可以被所述处理器执行，使得所述处理器执行本说明书上述“示例性方法”部分中描述的根据本申请各种示例性实施方式的步骤。

储存器可以包括易失性储存器形式的可读介质，例如随机存取储存器(RAM)和/或高速缓存储存器，还可以进一步包括只读储存器(ROM)。

储存器还可以包括具有一组(至少一个)程序模块的程序/实用工具，这样的程序模块包括但不限于：操作系统、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。

总线可以为表示几类总线结构中的一种或多种，包括储存器总线或者储存器控制器、外围总线、图形加速端口、处理器或者使用多种总线结构中的任意总线结构的局域总线。

电子设备也可以与一个或多个外部设备(例如键盘、指向设备、蓝牙设备等)通信，还可与一个或者多个使得用户能与该电子设备交互的设备通信，和/或与使得该电子设备能与一个或多个其它计算设备进行通信的任何设备(例如路由器、调制解调器等等)通信。这种通信可以通过输入/输出(I/O)接口进行。并且，电子设备还可以通过网络适配器与一个或者多个网络(例如局域网(LAN)，广域网(WAN)和/或公共网络，例如因特网)通信。网络适配器通过总线与电子设备的其它模块通信。应当明白，尽管图中未示出，可以结合电子设备使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理器、外部磁盘驱动阵列、RAID系统、磁带驱动器以及数据备份存储系统等。

通过以上的实施方式的描述，本领域的技术人员易于理解，这里描述的示例实施方式可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。因此，根据本公开实施方式的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中或网络上，包括若干指令以使得一台计算设备(可以是个人计算机、服务器、终端装置、或者网络设备等)执行根据本公开实施方式的方法。

在本公开的示例性实施例中，还提供了一种计算机可读存储介质，其上存储有能够实现本说明书上述方法的程序产品。在一些可能的实施方式中，本申请的各个方面还可以实现为一种程序产品的形式，其包括程序代码，当所述程序产品在终端设备上运行时，所述程序代码用于使所述终端设备执行本说明书上述“示例性方法”部分中描述的根据本申请各种示例性实施方式的步骤。

所述程序产品可以采用一个或多个可读介质的任意组合。可读介质可以是可读信号介质或者可读存储介质。可读存储介质例如可以为但不限于电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。

计算机可读信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了可读程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。可读信号介质还可以是可读存储介质以外的任何可读介质，该可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。

可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于无线、有线、光缆、RF等等，或者上述的任意合适的组合。

可以以一种或多种程序设计语言的任意组合来编写用于执行本申请操作的程序代码，所述程序设计语言包括面向对象的程序设计语言—诸如Java、C++等，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、作为一个独立的软件包执行、部分在用户计算设备上部分在远程计算设备上执行、或者完全在远程计算设备或服务器上执行。在涉及远程计算设备的情形中，远程计算设备可以通过任意种类的网络，包括局域网(LAN)或广域网(WAN)，连接到用户计算设备，或者，可以连接到外部计算设备(例如利用因特网服务提供商来通过因特网连接)。

此外，上述附图仅是根据本申请示例性实施例的方法所包括的处理的示意性说明，而不是限制目的。易于理解，上述附图所示的处理并不表明或限制这些处理的时间顺序。另外，也易于理解，这些处理可以是例如在多个模块中同步或异步执行的。

应当注意，尽管在上文详细描述中提及了用于动作执行的设备的若干模块或者单元，但是这种划分并非强制性的。实际上，根据本公开的实施方式，上文描述的两个或更多模块或者单元的特征和功能可以在一个模块或者单元中具体化。反之，上文描述的一个模块或者单元的特征和功能可以进一步划分为由多个模块或者单元来具体化。

以上所述，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应以权利要求的保护范围为准。

Claims (10)

1.一种Webshell文件检测方法，其特征在于，所述方法包括：

获取当前对服务器的操作方式和所述操作方式对应操作请求所属的源文件；

根据所述操作方式和预设的参数更新条件，更新判断参数N的值；

其中，N为大于或等于0的常数；

在所述N大于预设值的情况下，确定所述源文件为Webshell文件。

2.根据权利要求1所述的方法，其特征在于，所述根据所述操作方式和预设的参数更新条件，更新判断参数N的值，包括：

在所述操作方式满足预设的参数更新条件的情况下，确定当前判断参数N的值与所述操作方式对应的权重值M的和，将所述和确定为判断参数N更新后的值；

在所述操作方式不满足预设的参数更新条件的情况下，保持所述判断参数N的值不变；

其中，所述预设的参数更新条件包括所述操作方式符合对应的可疑操作方式，且所述操作方式与预设时间段内所有的操作方式不同，M为大于0的常数。

3.根据权利要求1或2所述的方法，其特征在于，所述操作方式符合对应的可疑操作方式包括nobody用户启动bash进程，或者中间件用户启动cmd进程。

4.根据权利要求1或2所述的方法，其特征在于，所述操作方式符合对应的可疑操作方式包括网际协议IP地址访问从未访问过的文件且返回状态为200，所述IP地址为超文本传输协议HTTP请求的发送地址，所述HTTP请求中携带加密参数。

5.根据权利要求1或2所述的方法，其特征在于，所述操作方式符合对应的可疑操作方式包括采用除应用程序编程接口API之外的其他方式连接数据库。

6.根据权利要求1或2所述的方法，其特征在于，所述操作方式符合对应的可疑操作方式包括POST请求访问第一类型文件夹，且所述POST请求在访问所述第一类型文件夹的所有请求中的占比大于第一预设比例；

其中，所述第一类型文件夹为预设时间内更新的文件夹，且所述第一类型文件夹中的脚本文件占比不超过第二预设比例，所述第一类型文件夹中除所述脚本文件之外的其他文件为统一后缀文件。

7.根据权利要求1或2所述的方法，其特征在于，所述操作方式符合对应的可疑操作方式包括任一文件的访问方式满足以下至少之一：

所述任一文件被固定IP地址访问的频率超过第一预设值；

所述任一文件对应页面的总访问次数小于第二预设值；

所述任一文件对应的访问请求中，POST请求在GET请求中的占比不超过第三预设比例，且返回状态为200；

所述任一文件对应的页面为孤立页面。

8.一种Webshell文件检测装置，其特征在于，包括：

获取模块，用于获取当前对服务器的操作方式和所述操作方式对应操作请求所属的源文件；

更新模块，用于根据所述操作方式和预设的参数更新条件，更新判断参数N的值；

其中，N为大于或等于0的常数；

确定模块，用于在所述N大于预设值的情况下，确定所述源文件为Webshell文件。

9.一种电子设备，其特征在于，包括处理器和存储器；

所述处理器通过调用所述存储器存储的程序或指令，用于执行如权利要求1至7任一项所述Webshell文件检测方法的步骤。

10.一种非瞬时性计算机可读存储介质，其特征在于，所述非瞬时性计算机可读存储介质存储程序或指令，所述程序或指令使计算机执行如权利要求1至7任一项所述Webshell文件检测方法的步骤。

Images