[发明专利]webshell文件的检测方法、系统、电子设备及计算机存储介质

权利要求书

1.一种webshell文件的检测方法，包括：

基于预先确定的webshell报文的弱特征，对待检测设备发送的数据报文进行网络拦截，获得待发送webshell报文；

根据所述待发送webshell报文，定位到请求发送所述待发送webshell报文的待检测webshell文件，并获得所述待检测webshell文件的文件路径；

根据所述待检测设备中针对webshell文件的文件打开操作，生成记录有被打开的webshell文件的文件清单，根据所述文件清单对所述待检测webshell文件进行验证；

若文件验证通过，则基于所述待检测webshell文件的文件路径，对所述待检测webshell文件的文件内容进行文件异常检测。

2.根据权利要求1所述的方法，其中，所述采集所述待检测设备中针对webshell文件的文件打开操作，获得记录有被打开的webshell文件的文件清单，根据所述文件清单对所述待检测webshell文件进行验证，包括：

采集所述待检测设备中针对webshell文件的文件打开操作，获得被打开的webshell文件的文件路径和文件标识；

将获得的所述webshell文件的文件路径和文件标识更新至所述文件清单中；

根据所述待检测webshell文件的文件路径，验证所述待检测webshell文件是否存在于所述文件清单中。

3.根据权利要求1所述的方法，其中，所述基于所述待检测webshell文件的文件路径，对所述待检测webshell文件的文件内容进行文件异常检测，包括：

将所述待检测webshell文件的文件路径推送至本地文件检测引擎，通过所述本地文件检测引擎按照预设的检测规则，根据所述文件路径对所述webshell文件进行文件异常检测。

4.根据权利要求3所述的方法，其中，所述方法还包括：

接收文件检测服务端下发的检测规则，并根据接收到的检测规则更新所述本地检测引擎中的所述预设的检测规则。

5.根据权利要求1所述的方法，其中，所述基于所述待检测webshell文件的文件路径，对所述待检测webshell文件的文件内容进行文件异常检测，包括：

根据所述待检测webshell文件的文件路径，将所述待检测webshell文件发送至文件检测服务端；

接收所述文件检测服务端对所述待检测webshell文件进行文件异常检测后得到的异常检测结果。

6.根据权利要求1所述的方法，其中，所述方法还包括：

若根据对所述待检测webshell文件的文件内容进行文件异常检测后得到的异常检测结果，确定所述待检测webshell文件为异常文件，则执行以下至少之一：

禁止所述异常文件对应的webshell报文通过网络发送；

将所述异常文件删除；

限制所述异常文件的访问权限。

7.一种webshell文件的检测系统，包括：

网络模块，用于基于预先确定的webshell报文的弱特征，对待检测设备发送的数据报文进行网络拦截，获得待发送webshell报文；根据所述待发送webshell报文，定位到请求发送所述待发送webshell报文的待检测webshell文件，并获得所述待检测webshell文件的文件路径，以及向文件采集模块推送所述待检测webshell文件的文件路径；

文件采集模块，用于根据所述待检测设备中针对webshell文件的文件打开操作，生成记录有被打开的webshell文件的文件清单，以及根据所述文件清单对所述待检测webshell文件进行验证，以基于所述待检测webshell文件的文件路径，对所述待检测webshell文件的文件内容进行文件异常检测。