KR102089946B1

KR102089946B1 - 슬라이딩 윈도우 기반 웹쉘 탐지 장치 및 방법

Info

Publication number: KR102089946B1
Application number: KR1020190086248A
Authority: KR
Inventors: 이대호; 이동근; 김현수
Original assignee: 주식회사 에프원시큐리티
Priority date: 2019-07-17
Filing date: 2019-07-17
Publication date: 2020-03-17

Abstract

슬라이딩 윈도우 기반 웹쉘을 탐지하는 장치로서, 스크립트 상에 복수의 탐지 윈도우를 설정하는 탐지 윈도우 설정부, 상기 복수의 탐지 윈도우의 각각에 포함되는 명령어 영역에 대한 각각의 이미지 파일을 생성하는 시각화부, 상기 각각의 이미지 파일로부터 상기 복수의 탐지 윈도우의 각각에 대한 악성 의심도를 산출하는 의심도 산출부, 및 상기 각각의 악성 의심도와 미리 설정된 기준값을 각각 비교한 결과에 기반하여 상기 스크립트가 웹쉘인지 여부를 판단하는 웹쉘 판단부를 포함하는 웹쉘 탐지 장치가 제공된다.

Description

슬라이딩 윈도우 기반 웹쉘 탐지 장치 및 방법{APPARATUS AND METHOD FOR DETECTING WEBSHELL BASED ON SLIDING WINDOW}

본 발명은 웹쉘을 탐지하는 장치 및 방법에 관한 것으로, 특히 슬라이딩 윈도우 기반 웹쉘을 탐지하는 장치 및 방법에 관한 것이다.

웹쉘(WebShell)은 업로드 취약점을 통해 시스템에 명령을 내릴 수 있는 코드로서, 동작 방법은 백도어(backdoor)와 유사하다.

웹쉘은 주로 서버 사이드 스크립트(Server Side Script) 언어(ASP, PHP, JSP)로 제작된다. 공격자는 웹쉘 스크립트를 작성한 후 타깃으로 삼은 웹 서버(web sever)에 업로드하여 악성행위를 수행한다.

웹쉘 공격을 막기 위해 다양한 기술들이 개발되고 있고, 웹쉘 역시 다양한 변종이 생겨나고 있다. 특히, 한줄 웹쉘(Single-line Webshell, One-line Webshell)의 변종은 탐지 패턴의 정규식을 회피하기 쉽기 때문에, 다중 웹쉘에 비해 탐지가 어려운 문제점이 있다.

이에 따라, 한줄 웹쉘을 효과적으로 탐지할 수 있는 기술이 요구된다.

본 발명이 이루고자 하는 기술적 과제는 한줄 웹쉘을 효과적으로 탐지할 수 있는 슬라이딩 윈도우(sliding window) 기반 웹쉘 탐지 장치 및 방법을 제공하는 것이다.

한 실시예에 따르면, 슬라이딩 윈도우 기반 웹쉘을 탐지하는 장치가 제공된다. 상기 웹쉘 탐지 장치는 스크립트 상에 복수의 탐지 윈도우를 설정하는 탐지 윈도우 설정부, 상기 복수의 탐지 윈도우의 각각에 포함되는 명령어 영역에 대한 각각의 이미지 파일을 생성하는 시각화부, 상기 각각의 이미지 파일로부터 상기 복수의 탐지 윈도우의 각각에 대한 악성 의심도를 산출하는 의심도 산출부, 및 상기 각각의 악성 의심도와 미리 설정된 기준값을 각각 비교한 결과에 기반하여 상기 스크립트가 웹쉘인지 여부를 판단하는 웹쉘 판단부를 포함한다.

상기 탐지 윈도우 설정부는, 선행 탐지 윈도우에 포함되는 명령어 영역의 일부 영역과 후행 탐지 윈도우에 포함되는 명령어 영역의 일부가 동일하도록 상기 복수의 탐지 윈도우를 설정할 수 있다.

상기 탐지 윈도우 설정부는, 상기 스크립트의 첫 번째 명령어를 포함하는 라인부터 미리 설정된 제1 라인까지 제1 탐지 윈도우를 설정하고, 상기 제1 탐지 윈도우에 포함되는 미리 설정된 제2 라인부터 미리 설정된 제3 라인까지 제2 탐지 윈도우를 설정하며, 상기 제2 탐지 윈도우에 포함되는 미리 설정된 제4 라인부터 마지막 명령어를 포함하는 라인까지 제3 탐지 윈도우를 설정할 수 있다.

상기 의심도 산출부는, 상기 각각의 이미지 파일을 입력 변수로 하여 상기 각각의 이미지 파일에 대한 악성 의심도를 출력하는 기계 학습을 이용하여, 상기 복수의 탐지 윈도우의 각각에 대한 악성 의심도를 산출할 수 있다.

상기 웹쉘 판단부는, 상기 각각의 악성 의심도 중 적어도 하나가 상기 미리 설정된 기준값을 초과하면 웹쉘로 판단할 수 있다.

한 실시예에 따르면, 슬라이딩 윈도우 기반 웹쉘을 탐지하는 방법이 제공된다. 상기 웹쉘 탐지 방법은 스크립트 상에 복수의 탐지 윈도우를 설정하는 단계, 상기 복수의 탐지 윈도우의 각각에 포함되는 명령어 영역에 대한 각각의 이미지 파일을 생성하는 단계, 상기 각각의 이미지 파일로부터 상기 복수의 탐지 윈도우의 각각에 대한 악성 의심도를 산출하는 단계, 및 상기 각각의 악성 의심도와 미리 설정된 기준값을 각각 비교한 결과에 기반하여 상기 스크립트가 웹쉘인지 여부를 판단하는 단계를 포함한다.

정상 스크립트 중간에 삽입되어있는 웹쉘을 탐지할 수 있다.

또한, 기존 웹쉘 탐지툴이 잡아내지 못했던 웹쉘 스크립트를 탐지할 수 있고, 웹쉘의 구성이 변경되더라도 탐지가 가능하다.

도 1은 한 실시예에 따른 웹쉘 탐지 장치의 블록도이다.
도 2는 한 실시예에 따른 웹쉘 탐지 방법의 흐름도이다.
도 3은 한 실시예에 따른 탐지 윈도우를 나타내는 도면이다.
도 4는 한 실시예에 따른 인공 신경망(Neural Network)의 구조를 나타내는 도면이다.
도 5는 한 실시예에 따른 웹쉘 탐지 장치의 블록도이다.

아래에서는 첨부한 도면을 참고로 하여 본 발명의 실시예에 대하여 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자가 용이하게 실시할 수 있도록 상세히 설명한다. 그러나 본 발명은 여러 가지 상이한 형태로 구현될 수 있으며 여기에서 설명하는 실시예에 한정되지 않는다. 그리고 도면에서 본 발명을 명확하게 설명하기 위해서 설명과 관계없는 부분은 생략하였으며, 명세서 전체를 통하여 유사한 부분에 대해서는 유사한 도면 부호를 붙였다.

명세서 전체에서, 어떤 부분이 어떤 구성요소를 "포함"한다고 할 때, 이는 특별히 반대되는 기재가 없는 한 다른 구성 요소를 제외하는 것이 아니라 다른 구성요소를 더 포함할 수 있는 것을 의미한다.

도 1은 한 실시예에 따른 웹쉘 탐지 장치의 블록도이다. 도 2는 한 실시예에 따른 웹쉘 탐지 방법의 흐름도이다. 도 3은 한 실시예에 따른 탐지 윈도우를 나타내는 도면이다.

도 1 내지 도 3을 참조하면, 한 실시예에 따른 웹쉘 탐지 장치는 탐지 윈도우 설정부(100), 시각화부(200), 의심도 산출부(300), 및 웹쉘 판단부(400)를 포함한다.

탐지 윈도우 설정부(100)는 스크립트 상에 복수의 탐지 윈도우를 설정한다.

탐지 윈도우 설정부(100)는 한 실시예로서, 스크립트에서 명령어가 시작되는 방향에서 종료되는 방향으로 순차적으로 복수의 탐지 윈도우(310, 320, 330)를 설정할 수 있다. 탐지 윈도우 설정부(100)는 한 실시예로서, 선행 탐지 윈도우에 포함되는 명령어 영역의 일부 영역과 후행 탐지 윈도우에 포함되는 명령어 영역의 일부가 동일하도록 복수의 탐지 윈도우(310, 320, 330)를 설정할 수 있다. 예를 들어, 탐지 윈도우 설정부(100)는 제1 탐지 윈도우(310)에 포함되는 명령어 영역과 제2 탐지 윈도우(320)에 포함되는 명령어 영역이 중첩되고, 제2 탐지 윈도우(320)에 포함되는 명령어 영역과 제3 탐지 윈도우(330)에 포함되는 명령어 영역이 중첩되도록 설정할 수 있다. 이를 통해, 스크립트 상의 각 영역에 대한 이중 판단이 가능하므로, 웹쉘 탐지의 신뢰도를 향상시킬 수 있다. 또한, 정상 스크립트 중간에 삽입되어 있는 웹쉘을 탐지할 수 있고, 기존 웹쉘 탐지툴이 잡아내지 못했던 웹쉘 스크립트를 탐지할 수 있으며, 웹쉘의 구성이 변경되더라도 탐지가 가능하다.

탐지 윈도우 설정부(100)는 한 실시예로서, 스크립트의 첫 번째 명령어를 포함하는 라인(311)부터 미리 설정된 제1 라인(312)까지 제1 탐지 윈도우(310)를 설정하고, 제1 탐지 윈도우(310)에 포함되는 미리 설정된 제2 라인(322)부터 미리 설정된 제3 라인(323)까지 제2 탐지 윈도우(320)를 설정하며, 제2 탐지 윈도우(320)에 포함되는 미리 설정된 제4 라인(334)부터 마지막 명령어를 포함하는 라인(335)까지 제3 탐지 윈도우(330)를 설정할 수 있다. 제1 라인(312), 제2 라인(322), 제3 라인(323), 및 제4 라인(334)은 설정에 따라 다양한 값을 가질 수 있다.

탐지 윈도우 설정부(100)는 한 실시예로서, 스크립트 상의 명령어 글자수 별로 복수의 탐지 윈도우를 설정할 수 있다. 한 실시예로서, 탐지 윈도우 설정부(100)는 미리 설정된 글자수 마다 하나의 탐지 윈도우를 설정할 수 있다. 예를 들어, 탐지 윈도우 설정부(100)는 300 글자수 마다 하나의 탐지 윈도우를 설정할 수 있다.

시각화부(200)는 복수의 탐지 윈도우(310, 320, 330) 각각에 포함되는 명령어 영역에 대한 각각의 이미지 파일을 생성한다. 시각화부(200)는 한 실시예로서, 제1 탐지 윈도우(310), 제2 탐지 윈도우(320), 및 제3 탐지 윈도우(330) 각각에 포함되는 명령어 영역에 대한 JPEG, GIF, PNG 등의 이미지 파일을 생성할 수 있다.

도 4는 한 실시예에 따른 인공 신경망(Neural Network)의 구조를 나타내는 도면이다.

의심도 산출부(300)는 각각의 이미지 파일로부터 복수의 탐지 윈도우 각각에 대한 악성 의심도를 산출한다. 구체적으로, 도 4를 참조하면, 의심도 산출부(300)는 입력층(410), 은닉층(420), 출력층(430)을 포함하는 인공 신경망을 이용하여, 시각화부(200)를 통해 생성된 각각의 이미지 파일을 입력 변수(X1, X2, …, Xn)로 하여 각각의 이미지 파일에 대한 악성 의심도(Y1, …, Yn)를 출력하는 기계 학습을 수행할 수 있다. 의심도 산출부(300)는 기계 학습을 통해 복수의 탐지 윈도우(310, 320, 330) 각각에 대한 악성 의심도를 산출할 수 있다. 악성 의심도는 한 실시예로서 0%부터 100%로 표시될 수 있다. 기계 학습을 통해 악성 의심도를 산출함으로써, 웹쉘 탐지에 대한 신뢰도를 향상시킬 수 있다.

웹쉘 판단부(400)는 각각의 악성 의심도와 미리 설정된 기준값을 각각 비교한 결과에 기반하여 해당 스크립트가 웹쉘인지 여부를 판단한다. 웹쉘 판단부(400)는 각각의 악성 의심도 중 적어도 하나가 미리 설정된 기준값을 초과하면 웹쉘로 판단할 수 있다. 웹쉘 판단부(400)는 한 실시예로서, 제1 탐지 윈도우(310), 제2 탐지 윈도우(320), 및 제3 탐지 윈도우(330)의 악성 의심도 중 어느 하나가 70%를 초과하면 웹쉘로 판단할 수 있다. 기준값은 설정에 따라 달라질 수 있는 값이다.

도 5는 한 실시예에 따른 웹쉘 탐지 장치의 블록도이다.

도 5를 참조하면, 한 실시예에 따른 웹쉘 탐지 장치는 컴퓨터 시스템, 예를 들어 컴퓨터 판독 가능 매체로 구현될 수 있다. 컴퓨터 시스템(500)은, 버스(520)를 통해 통신하는 프로세서(510), 메모리(530), 사용자 인터페이스 입력 장치(560), 사용자 인터페이스 출력 장치(570), 및 저장 장치(580) 중 적어도 하나를 포함할 수 있다. 컴퓨터 시스템(500)은 또한 네트워크에 결합된 네트워크 인터페이스(590)를 포함할 수 있다. 프로세서(510)는 중앙 처리 장치(central processing unit, CPU)이거나, 또는 메모리(530) 또는 저장 장치(580)에 저장된 명령을 실행하는 반도체 장치일 수 있다. 메모리(530) 및 저장 장치(580)는 다양한 형태의 휘발성 또는 비휘발성 저장 매체를 포함할 수 있다. 예를 들어, 메모리(530)는 RAM(random access memory)(531) 및 ROM(read only memory)(532)를 포함할 수 있다. 본 기재의 실시예는 컴퓨터에 구현된 방법으로서 구현되거나, 컴퓨터 실행 가능 명령이 저장된 비일시적 컴퓨터 판독 가능 매체로서 구현될 수 있다. 한 실시예에서, 프로세서에 의해 실행될 때, 컴퓨터 판독 가능 명령은 본 기재의 적어도 하나의 양상에 따른 방법을 수행할 수 있다.

이상에서 본 발명의 실시예에 대하여 상세하게 설명하였지만 본 발명의 권리범위는 이에 한정되는 것은 아니고 다음의 청구범위에서 정의하고 있는 본 발명의 기본 개념을 이용한 당업자의 여러 변형 및 개량 형태 또한 본 발명의 권리범위에 속하는 것이다.

Claims

슬라이딩 윈도우 기반 웹쉘을 탐지하는 장치로서,
스크립트 상에 명령어가 시작되는 방향에서 종료되는 방향으로 순차적으로 복수의 탐지 윈도우를 설정하고, 각 탐지 윈도우에 포함되는 명령어 영역의 일부 영역이 서로 중첩되도록 설정하는 탐지 윈도우 설정부,
상기 각 탐지 윈도우에 포함되는 명령어 영역에 대한 각각의 이미지 파일을 생성하는 시각화부,
기계 학습을 이용하여 상기 각각의 이미지 파일로부터 상기 복수의 탐지 윈도우의 각각에 대한 악성 의심도를 산출하는 의심도 산출부, 및
상기 각각의 악성 의심도와 미리 설정된 기준값을 각각 비교한 결과에 기반하여 상기 스크립트가 웹쉘인지 여부를 판단하는 웹쉘 판단부
를 포함하고,
상기 탐지 윈도우 설정부는,
제1 탐지 윈도우에 포함되는 명령어 영역과 상기 제1 탐지 윈도우 보다 후행하는 제2 탐지 윈도우에 포함되는 명령어 영역이 중첩되고, 상기 제2 탐지 윈도우에 포함되는 명령어 영역과 상기 제2 탐지 윈도우 보다 후행하는 제3 탐지 윈도우에 포함되는 명령어 영역이 중첩되도록 상기 복수의 탐지 윈도우를 설정하고,
상기 제1 탐지 윈도우는,
상기 스크립트의 첫 번째 명령어를 포함하는 라인부터 미리 설정된 제1 라인까지의 명령어들을 포함하며,
상기 제2 탐지 윈도우는,
상기 제1 탐지 윈도우에 포함되는 미리 설정된 제2 라인부터 미리 설정된 제3 라인까지의 명령어들을 포함하며,
상기 제3 탐지 윈도우는,
상기 제2 탐지 윈도우에 포함되는 미리 설정된 제4 라인부터 마지막 명령어를 포함하는 라인까지의 명령어들을 포함하며,
상기 제1 라인은 상기 첫 번째 명령어를 포함하는 라인 보다 후행하고, 상기 제3 라인은 상기 제2 라인 보다 후행하며, 상기 마지막 명령어를 포함하는 라인은 상기 제4 라인 보다 후행하며,
상기 시각화부는,
상기 제1 탐지 윈도우, 제2 탐지 윈도우, 및 제3 탐지 윈도우 각각에 포함되는 명령어 영역에 대한 각각의 이미지 파일을 생성하며,
상기 이미지 파일은 JPEG, GIF, 및 PNG 파일 중 적어도 하나를 포함하는 웹쉘 탐지 장치.
삭제
삭제
제1항에서,
상기 의심도 산출부는,
상기 각각의 이미지 파일을 입력 변수로 하여 상기 각각의 이미지 파일에 대한 악성 의심도를 출력하는 기계 학습을 이용하여, 상기 복수의 탐지 윈도우의 각각에 대한 악성 의심도를 산출하는, 웹쉘 탐지 장치.
제1항에서,
상기 웹쉘 판단부는,
상기 각각의 악성 의심도 중 적어도 하나가 상기 미리 설정된 기준값을 초과하면 웹쉘로 판단하는, 웹쉘 탐지 장치.
슬라이딩 윈도우 기반 웹쉘을 탐지하는 방법으로서,
스크립트 상에 명령어가 시작되는 방향에서 종료되는 방향으로 순차적으로 복수의 탐지 윈도우를 설정하고, 각 탐지 윈도우에 포함되는 명령어 영역의 일부 영역이 서로 중첩되도록 설정하는 단계,
상기 각 탐지 윈도우에 포함되는 명령어 영역에 대한 각각의 이미지 파일을 생성하는 단계,
기계 학습을 이용하여 상기 각각의 이미지 파일로부터 상기 복수의 탐지 윈도우의 각각에 대한 악성 의심도를 산출하는 단계, 및
상기 각각의 악성 의심도와 미리 설정된 기준값을 각각 비교한 결과에 기반하여 상기 스크립트가 웹쉘인지 여부를 판단하는 단계
를 포함하고,
상기 각 탐지 윈도우에 포함되는 명령어 영역의 일부 영역이 서로 중첩되도록 설정하는 단계는, 제1 탐지 윈도우에 포함되는 명령어 영역과 상기 제1 탐지 윈도우 보다 후행하는 제2 탐지 윈도우에 포함되는 명령어 영역이 중첩되고, 상기 제2 탐지 윈도우에 포함되는 명령어 영역과 상기 제2 탐지 윈도우 보다 후행하는 제3 탐지 윈도우에 포함되는 명령어 영역이 중첩되도록 상기 복수의 탐지 윈도우를 설정하고,
상기 제1 탐지 윈도우는,
상기 스크립트의 첫 번째 명령어를 포함하는 라인부터 미리 설정된 제1 라인까지의 명령어들을 포함하며,
상기 제2 탐지 윈도우는,
상기 제1 탐지 윈도우에 포함되는 미리 설정된 제2 라인부터 미리 설정된 제3 라인까지의 명령어들을 포함하며,
상기 제3 탐지 윈도우는,
상기 제2 탐지 윈도우에 포함되는 미리 설정된 제4 라인부터 마지막 명령어를 포함하는 라인까지의 명령어들을 포함하며,
상기 제1 라인은 상기 첫 번째 명령어를 포함하는 라인 보다 후행하고, 상기 제3 라인은 상기 제2 라인 보다 후행하며, 상기 마지막 명령어를 포함하는 라인은 상기 제4 라인 보다 후행하며,
상기 각각의 이미지 파일을 생성하는 단계는, 상기 제1 탐지 윈도우, 제2 탐지 윈도우, 및 제3 탐지 윈도우 각각에 포함되는 명령어 영역에 대한 각각의 이미지 파일을 생성하며,
상기 이미지 파일은 JPEG, GIF, 및 PNG 파일 중 적어도 하나를 포함하는 웹쉘 탐지 방법.