[发明专利]webshell检测方法、装置、电子设备和存储介质

说明书

本说明书一个或多个实施例提供一种webshell检测方法、装置、电子设备和存储介质，所述方法包括：解析PHP源代码，得到token序列和字符串常量序列；对所述token序列进行符号化，得到符号化后的所述token序列；将所述符号化后的所述token序列向量化，得到token序列特征向量；将所述字符串常量序列向量化，得到字符串常量序列特征向量；使用webshell检测模型对所述token序列特征向量和所述字符串常量序列特征向量进行处理，得到webshell检测结果；具有更强的检测混淆样本检测能力，降低了白样本误报率，整体提高了webshell检测的准确率。

技术领域

本说明书一个或多个实施例涉及信息安全技术领域，尤其涉及一种webshell检测方法、装置、电子设备和存储介质。

背景技术

PHP语言中的webshell构造多样化、难以检测。目前现有的流量检测方法，对webshell检测准确率不高。

发明内容

有鉴于此，本说明书一个或多个实施例的目的在于提出一种webshell检测方法、装置、电子设备和存储介质，以解决webshell检测准确率不高的问题。

基于上述目的，本说明书一个或多个实施例提供了一种webshell检测方法，包括：

解析PHP源代码，得到token序列和字符串常量序列；

对所述token序列进行符号化，得到符号化后的所述token序列；

将所述符号化后的所述token序列向量化，得到token序列特征向量；将所述字符串常量序列向量化，得到字符串常量序列特征向量；

使用webshell检测模型对所述token序列特征向量和所述字符串常量序列特征向量进行处理，得到webshell检测结果。

在一些实施方式中，所述解析PHP源代码，得到token序列和字符串常量序列，包括：

对所述PHP源代码进行词法分析和语法分析，生成抽象语法树；

遍历所述抽象语法树，提取控制流；

对所述控制流进行控制流分析，得到操作序列；

对所述操作序列进行解析，得到所述token序列和所述字符串常量序列。

在一些实施方式中，所述token序列包括：

变量名、函数名、数值常量和字符串常量。

在一些实施方式中，所述对所述token序列进行符号化，包括：

将所有所述变量名映射为第一标识并添加第一独立索引；

将所有所述函数名映射为第二标识并添加第二独立索引；

将所有所述数值常量映射为第三标识；

将所有所述字符串常量用stringLiteral取代。

在一些实施方式中，所述将所述符号化后的所述token序列向量化，得到token序列特征向量，包括：

使用fasttext方法通过字粒度的n-grams表示所述符号化后的所述token序列。

在一些实施方式中，所述webshell检测模型包括：

深度金字塔卷积神经网络层，循环神经网络层和全连接层；

所述使用webshell检测模型对所述token序列特征向量和所述字符串常量序列特征向量进行处理，得到webshell检测结果，包括：