[发明专利]一种基于视觉与主机特征的钓鱼网站识别方法及电子装置

权利要求书

1.一种部署于镜像流量服务器的基于视觉与主机特征的钓鱼网站识别方法，其步骤包括：

1)将提取一网关中的一镜像流量进行基于域名的过滤，以判断所述镜像流量对应的网页是否为第一可疑网页，其中，所述镜像流量为HTTP流量或HTTPS流量；

2)获取判定为所述第一可疑网页的一张或多张网页快照，并将所述网页快照与目标网站的商标图片集进行子图匹配，以判断第一可疑网页是否为第二可疑网页，其中，获取所述商标图片集的方法，包括：

若所述镜像流量为HTTP流量，则基于所述HTTP流量的URL并进行主动访问，并使用目标网站的域名与商标图片作为关键词进行搜索，根据前n个返回的图片结果，得到所述商标图片集；

若所述HTTPS流量，则通过以下步骤获取所述商标图片集：

a)从所述HTTPS流量的SNI字段中获取所述HTTPS流量对应的域名信息；

b)直接访问所述域名信息对应域名得到相应网页，得到所述第一可疑网页的第一HTTPS流量网页快照；

c)使用搜索引擎搜索所述域名信息，并访问搜索结果中的若干搜索域名与所述搜索域名相同的网页，根据前n个返回的图片结果，得到第一可疑网页的第二HTTPS流量网页快照集；

d)将所述第一HTTPS流量网页快照与所述第二HTTPS流量网页快照集进行并集，并基于并集结果，得到所述商标图片集；

3)将提取的所述第二可疑网页的IP地址与所述目标网站的IP地址集合进行聚类，以判断所述第二可疑网页是否为钓鱼网站。

2.如权利要求1所述的方法，其特征在于，所述HTTP流量的进行基于域名的过滤步骤包括：

1)使域名白名单对HTTP流量中的host name字段进行子串匹配，获取所述HTTP流量对应的域名不在域名白名单的第一流量；

2)根据所述第一流量的HTML文本内容进行表单判断，获取所述HTML文本内容中包含关键字的第二流量，得到所述第二流量对应的第一可疑网页；

所述HTTPS流量的进行基于域名的过滤步骤包括：

1)使域名白名单对HTTPS流量中的SNI字段进行子串匹配，获取所述HTTPS流量对应的域名不在域名白名单的第三流量；

2)获取所述第三流量对应的第一可疑网页。

3.如权利要求1所述的方法，其特征在于，将所述目标网站域名和“logo”作为关键词进行搜索，将获取的前若干个返回的图片结果作为所述目标网站的所述商标图片集。

4.如权利要求1所述的方法，其特征在于，将所述第二可疑网页使用主机特征进行识别，将识别成功的所述第二可疑网页判断为钓鱼网站。

5.如权利要求1所述的方法，其特征在于，使用SIFT算法与FLANN算法进行所述子图匹配；使用one-class SVM算法对所述第二可疑网页的所述IP地址与所述目标网站的所述IP地址集合进行聚类。

6.一种存储介质，所述存储介质中存储有计算机程序，其中，所述计算机程序执行权利要求1-5中任一方法。

7.一种电子装置，包括存储器和处理器，所述存储器中存储有计算机程序，所述处理器被设置为运行所述计算机程序以执行权利要求1-5中任一方法。