[发明专利]基于行为特征的web后门检测方法和装置

权利要求书

1.一种基于行为特征的web后门检测方法，其特征在于，包括：

S1、针对脚本文件分别执行步骤S1_1或步骤S1_2，其中

步骤S1_1、获取web目录下脚本文件的文件属性信息，根据所述文件属性信息中的文件创建时间、文件属主或文件权限，确定脚本文件的属性异常度，将属性异常度满足预设要求的脚本文件识别为后门文件；

步骤S1_2、从web日志中统计各脚本文件的访问频度、访问来源数或分时段访问量，根据统计结果确定脚本文件的访问异常度，将访问异常度满足预设要求的脚本文件识别为后门文件；

S2、将步骤S1中识别为后门文件的脚本文件作为检测结果输出。

2.根据权利要求1所述的方法，其特征在于，所述步骤S1_1中，

根据所述文件属主确定脚本文件的属性异常度为：判断是否脚本文件的文件属主为异常用户且文件类型属于预设类型，如果是，则为该脚本文件赋予属主异常权值；

根据所述文件创建时间确定脚本文件的属性异常度为：计算脚本文件的创建时间相比较同目录其他文件的时间离散度，确定时间离散度大于预设离散度阈值的脚本文件，如果确定的脚本文件数低于预设文件数，则为确定的脚本文件赋予时间离散权值；

根据所述文件权限确定脚本文件的属性异常度为：判断脚本文件权限是否不是默认文件权限且文件属主为预设用户，如果是，则为该脚本文件赋予权限异常权值。

3.根据权利要求2所述的方法，其特征在于，所述脚本文件的属性异常度是该脚本文件的属主异常权值、时间离散权值或权限异常权值中一种或者任意组合的加权值。

4.根据权利要求1所述的方法，其特征在于，所述属性异常度满足预设要求包括：

所述属性异常度排在前N1个，N1为预设正整数；

或者，所述属性异常度大于预设异常度阈值。

5.根据权利要求1所述的方法，其特征在于，所述步骤S1_2中，

根据所述访问频度的统计结果确定脚本文件的访问异常度为：判断脚本文件的访问频度是否低于预设访问数阈值，如果是，则为该脚本文件赋予访问频度异常权值；

根据所述访问来源数的统计结果确定脚本文件的访问异常度为：判断脚本文件的访问来源数是否低于预设访问来源阈值，如果是，则为该脚本文件赋予访问源异常权值；

根据所述分时段访问量的统计结果确定脚本文件的访问异常度为：判断脚本文件的分时段访问量超出预设分时段阈值的次数是否大于规定次数，如果是，则为该脚本文件赋予分时段访问异常权值。

6.根据权利要求5所述的方法，其特征在于，所述脚本文件的访问异常度是该脚本文件的访问频度异常权值、访问源异常权值或分时段访问异常权值中的一种或任意组合的加权值。

7.根据权利要求1所述的方法，其特征在于，所述访问异常度满足预设要求包括：

所述访问异常度排在前N2个，N2为预设正整数；

或者，所述访问异常度大于预设访问阈值。

8.根据权利要求1所述的方法，其特征在于，所述步骤S1还包括针对脚本文件执行步骤S1_3：

利用操作系统对web服务器的进程进行监控，判断web服务器的进程中是否有预设的操作或命令，如果有，将发出该操作或命令的脚本文件识别为后门文件。

9.根据权利要求8所述的方法，其特征在于，所述步骤S1_3包括：为发出预设的操作或命令的脚本文件赋予进程异常权值；

所述步骤S2包括：

针对所述步骤S1识别到的后门文件中的同一脚本文件，将该脚本文件的属性异常度或访问异常度中的一种或组合与进程异常权值进行加权，得到该脚本文件的异常度；

将异常度满足预设要求的脚本文件作为检测结果输出。

10.根据权利要求9所述的方法，其特征在于，所述异常度满足预设要求包括：

所述异常度排在前N个，N为预设正整数；

或者，所述异常度大于预设异常度阈值。