[发明专利]基于机器学习与动静态分析的Webshell检测方法及系统

说明书

本发明实施例提出基于机器学习与动静态分析的Webshell检测方法及系统，涉及Webshell检测技术领域。该方法通过获取样本文件，提取所述样本文件的静态特征和动态特征，依据所述静态特征、动态特征和机器学习算法得到分类模型，所述分类模型对待检测文件进行分析并得到检测结果。本发明采用动静态相结合的分析手段，提取特征更全面，采用多种分类算法结合的机器学习算法对大量Webshell样本和正常网页样本进行学习形成分类模型，分类模型稳定性更高，分类更加准确；采用该分类模型可有效检测出Webshell及其变种，预测新型Webshell，能较好地应对文本混淆手段，弥补传统采用特征码匹配检测方式的不足。

技术领域

本发明涉及Webshell检测技术领域，具体而言，涉及一种基于机器学习与动静态分析的Webshell检测方法及系统。

背景技术

随着互联网应用的蓬勃发展与互联网数据的极速增长，服务器安全问题日益严峻，而Webshell这类基于Web应用的后门程序对用户信息、甚至整个应用系统的危害极大，因此及时检测发现服务器的漏洞和后门，保证服务器的安全至关重要。

由于Webshell大多由脚本语言编写，易修改变形，其特征并非只限于特征码，还包括文件操作函数、恶意执行函数、文件注释大小、单行字符串长度、混淆程度等，当Webshell进行简单变种或将其特征码故意混淆时，传统方法即会漏报此类Webshell，即很容易通过混淆的方式绕过防火墙和杀毒软件的检测，故目前基于特征匹配的Webshell检测方法很难快速检测和识别Webshell的变种。

因此，如何克服传统基于特征码匹配的Webshell检测方式的单一性和滞后性，应对Webshell的文本混淆手段，实现快速检测Webshell及其变种，一直以来都是本领域技术人员关注的重点。

发明内容

本发明的目的在于提供一种基于机器学习与动静态分析的Webshell检测方法，以克服传统基于特征码匹配的Webshell检测方式的单一性和滞后性，提高Webshell检测的准确性，快速检测Webshell及其变种。

本发明的目的还在于提供一种基于机器学习与动静态分析的Webshell检测系统，以克服传统基于特征码匹配的Webshell检测方式的单一性和滞后性，提高Webshell检测的准确性，快速检测Webshell及其变种。

为了实现上述目的，本发明实施例采用的技术方案如下：

第一方面，本发明实施例提出一种基于机器学习与动静态分析的Webshell检测方法，所述基于机器学习与动静态分析的Webshell检测方法包括：获取样本文件；提取所述样本文件的静态特征和动态特征；依据所述静态特征、所述动态特征和机器学习算法得到分类模型，所述分类模型对待检测文件进行分析并得到检测结果。

进一步地，所述提取所述样本文件的静态特征和动态特征的步骤包括：对所述样本文件进行静态分析得到所述静态特征，其中，所述静态特征包括所述样本文件的文档特征、基本函数特征、文件行为特征；对所述样本文件进行动态分析得到所述动态特征，其中，所述动态特征包括文件包含操作特征、敏感函数运行特征、敏感字符串特征。

进一步地，所述依据所述静态特征、所述动态特征和机器学习算法得到分类模型的步骤包括：对所述静态特征和所述动态特征采用所述机器学习算法进行学习，得到所述分类模型。

进一步地，所述机器学习算法为结合了多种分类算法的集体学习方式。

进一步地，所述基于机器学习与动静态分析的Webshell检测方法还包括：当所述待检测文件经检测后确认为Webshell时，依据所述待检测文件与所述样本文件重新进行机器学习以更新所述分类模型。