[发明专利]一种WebShell文件检测方法、装置及电子设备

权利要求书

1.一种WebShell文件检测方法，其特征在于，包括：

获取网站服务器当前时刻的网页Web进程标识信息；

根据所述Web进程标识信息，获取与所述Web进程对应的Web应用程序的Web根目录中的待检测Web文件；

将所述待检测Web文件与预设字符串进行匹配，得到第一匹配结果，所述预设字符串为表征WebShell文件特征的字符串；

当所述第一匹配结果为匹配成功时，确定所述待检测Web文件为WebShell文件。

2.根据权利要求1所述的方法，其特征在于，所述根据所述Web进程标识信息，获取与所述Web进程对应的Web应用程序的Web根目录中的待检测Web文件的步骤，包括：

根据所述Web进程标识信息确定所述Web进程对应的Web应用程序的类型；

根据所述Web应用程序的类型，从与所述类型对应的配置文件存储路径信息数据库中获取所述Web应用程序的配置文件的存储路径信息；

根据所述Web应用程序的配置文件的存储路径信息，获取所述Web应用程序的配置文件；

从所述Web应用程序的配置文件中获取所述Web应用程序的Web根目录存储路径信息；

根据所述Web根目录存储路径信息，获取所述Web应用程序的Web根目录中的待检测Web文件。

3.根据权利要求1所述的方法，其特征在于，所述将所述待检测Web文件与预设字符串进行匹配，得到第一匹配结果的步骤，包括：

将所述待检测Web文件与预设字符串进行正则匹配或者字符串匹配，得到第一匹配结果，所述第一匹配结果包括正则匹配结果或者所述字符串匹配结果。

4.根据权利要求3所述的方法，其特征在于，所述当所述第一匹配结果为匹配成功时，确定所述待检测Web文件为WebShell文件的步骤，包括：

当所述正则匹配结果或者所述字符串匹配结果为匹配成功时，确定所述待检测Web文件为WebShell文件。

5.根据权利要求1所述的方法，其特征在于，在所述根据所述Web进程标识信息，获取与所述Web进程对应的Web应用程序的Web根目录中的待检测Web文件的步骤之后，所述方法还包括：

监控所述Web根目录中的各个Web子目录中是否存在Web文件创建操作；

若存在，将新创建的Web文件与所述预设字符串进行匹配，得到第二匹配结果；

当所述第二匹配结果为匹配成功时，确定所述新创建的Web文件为WebShell文件。

6.根据权利要求1所述的方法，其特征在于，在所述根据所述Web进程标识信息，获取与所述Web进程对应的Web应用程序的Web根目录中的待检测Web文件的步骤之后，所述方法还包括：

监控所述Web根目录中的各个Web子目录中是否存在子目录创建操作；

若存在，判断新创建的子目录中是否存在Web文件；

若新创建的子目录中存在Web文件，将所述新创建的子目录中存在的Web文件与所述预设字符串进行匹配，得到第三匹配结果；

当所述第三匹配结果为匹配成功时，确定所述新创建的子目录中存在的Web文件为WebShell文件。

7.一种WebShell文件检测装置，其特征在于，包括：

进程标识信息获取模块，用于获取网站服务器当前时刻的网页Web进程标识信息；

Web文件获取模块，用于根据所述Web进程标识信息，获取与所述Web进程对应的Web应用程序的Web根目录中的待检测Web文件；

第一匹配结果获取模块，用于将所述待检测Web文件与预设字符串进行匹配，得到第一匹配结果，所述预设字符串为表征WebShell文件特征的字符串；

第一WebShell文件确定模块，用于当所述第一匹配结果为匹配成功时，确定所述待检测Web文件为WebShell文件。