[发明专利]基于机器学习与动静态分析的Webshell检测方法及系统

权利要求书

1.一种基于机器学习与动静态分析的Webshell检测方法，其特征在于，所述基于机器学习与动静态分析的Webshell检测方法包括：

获取样本文件；

对所述样本文件中的字符进行分析，得到所述样本文件的静态特征，其中，所述静态特征包括所述样本文件的文档特征、基本函数特征、文件行为特征，所述文档特征包括单词数量、不同单词数量、行数、平均每行单词数、空字符和空格数量、最大单词长度、注释数量，所述基本函数特征包括字符操作函数、敏感函数调用、系统函数调用数量、脚本区块数、函数参数最大长度、加解密函数调用，所述文件行为特征包括文件操作、ftp操作、数据库操作；

针对不同程序语言，分别建立编译环境或hook扩展，监控并结合外部输入变量的标记追踪、黑白名单机制来进行Webshell的实时动态检测，总结出所述样本文件的动态特征，其中，所述动态特征包括文件包含操作特征、敏感函数运行特征、敏感字符串特征；

依据所述静态特征、所述动态特征和机器学习算法得到分类模型，所述分类模型对待检测文件进行分析并得到检测结果。

2.如权利要求1所述的基于机器学习与动静态分析的Webshell检测方法，其特征在于，所述依据所述静态特征、所述动态特征和机器学习算法得到分类模型的步骤包括：

对所述静态特征和所述动态特征采用所述机器学习算法进行学习，得到所述分类模型。

3.如权利要求1所述的基于机器学习与动静态分析的Webshell检测方法，其特征在于，所述机器学习算法为结合了多种分类算法的集体学习方式。

4.如权利要求1所述的基于机器学习与动静态分析的Webshell检测方法，其特征在于，所述基于机器学习与动静态分析的Webshell检测方法还包括：

当所述待检测文件经检测后确认为Webshell时，依据所述待检测文件与所述样本文件重新进行机器学习以更新所述分类模型。

5.一种基于机器学习与动静态分析的Webshell检测系统，其特征在于，所述基于机器学习与动静态分析的Webshell检测系统包括：

样本获取模块，用于获取样本文件；

特征提取模块，用于提取所述样本文件的静态特征和动态特征；所述特征提取模块包括：静态分析模块，用于对所述样本文件中的字符进行分析，得到所述样本文件的静态特征，其中，所述静态特征包括所述样本文件的文档特征、基本函数特征、文件行为特征，所述文档特征包括单词数量、不同单词数量、行数、平均每行单词数、空字符和空格数量、最大单词长度、注释数量，所述基本函数特征包括字符操作函数、敏感函数调用、系统函数调用数量、脚本区块数、函数参数最大长度、加解密函数调用，所述文件行为特征包括文件操作、ftp操作、数据库操作；动态分析模块，用于针对不同程序语言，分别建立编译环境或hook扩展，监控并结合外部输入变量的标记追踪、黑白名单机制来进行Webshell的实时动态检测，总结出所述样本文件的动态特征，其中，所述动态特征包括文件包含操作特征、敏感函数运行特征、敏感字符串特征；

模型建立模块，用于依据所述静态特征、所述动态特征和机器学习算法得到分类模型，所述分类模型对待检测文件进行分析并得到检测结果。

6.如权利要求5所述的基于机器学习与动静态分析的Webshell检测系统，其特征在于，所述模型建立模块用于对所述静态特征和所述动态特征采用所述机器学习算法进行学习，得到所述分类模型。

7.如权利要求5所述的基于机器学习与动静态分析的Webshell检测系统，其特征在于，所述模型建立模块采用的所述机器学习算法为结合了多种分类算法的集体学习方式。

8.如权利要求5所述的基于机器学习与动静态分析的Webshell检测系统，其特征在于，所述基于机器学习与动静态分析的Webshell检测系统还包括：

模型更新模块，用于当所述待检测文件经检测后确认为Webshell时，依据所述待检测文件与所述样本文件重新进行机器学习以更新所述分类模型。