[发明专利]webshell文件的检测方法、系统、电子设备及计算机存储介质

说明书

本申请实施例提供了一种webshell文件检测方法、系统、电子设备及计算机存储介质，webshell文件的检测方法，包括：基于预先确定的webshell报文的弱特征，对待检测设备发送的数据报文进行网络拦截，获得待发送webshell报文；根据待发送webshell报文，定位到请求发送待发送webshell报文的待检测webshell文件，并获得待检测webshell文件的文件路径；根据待检测设备中针对webshell文件的文件打开操作，生成记录有被打开的webshell文件的文件清单，根据文件清单对待检测webshell文件进行验证；若文件验证通过，则基于待检测webshell文件的文件路径，对待检测webshell文件的文件内容进行文件异常检测。

技术领域

本申请实施例涉及计算机技术领域，尤其涉及一种webshell文件的检测方法、装置、电子设备及计算机存储介质。

背景技术

Webshell是以asp、php、jsp或者cgi等网页文件形式存在的一种代码执行环境，主要用于网站管理、服务器管理、权限管理等操作。随着网络的不断发展，webshell入侵成为网络入侵的主要方式。可以通过向设备中注入webshell文件，并通过webshell文件获得使用设备的用户的相关信息。

一般针对webshell的检测技术主要包括针对webshell文件内容进行检测和对webshell的报文中是否包括敏感字段或者敏感函数进行检测。然而，由于网页文件的数据量太大且注入的webshell多种多样，导致针对webshell文件内容进行检测时需要遍历所有的webshell文件，实现成本较高；而随着webshell的不断发展，使用密文的webshell占比越来越高，而现有的针对webshell报文内容进行检测的方案，无法有效检测出加密后的敏感字段或者敏感函数。

发明内容

有鉴于此，本申请实施例提供一种webshell文件的检测方案，以至少部分解决上述问题。

本申请实施例的第一方面，提供了一种webshell文件的检测方法，包括：基于预先确定的webshell报文的弱特征，对待检测设备发送的数据报文进行网络拦截，获得待发送webshell报文；根据所述待发送webshell报文，定位到请求发送所述待发送webshell报文的待检测webshell文件，并获得所述待检测webshell文件的文件路径；根据所述待检测设备中针对webshell文件的文件打开操作，生成记录有被打开的webshell文件的文件清单，根据所述文件清单对所述待检测webshell文件进行验证；若文件验证通过，则基于所述待检测webshell文件的文件路径，对所述待检测webshell文件的文件内容进行文件异常检测。

本申请实施例的第二方面，提供了一种webshell文件的检测系统，包括：网络模块，用于基于预先确定的webshell报文的弱特征，对待检测设备发送的数据报文进行网络拦截，获得待发送webshell报文；根据所述待发送webshell报文，定位到请求发送所述待发送webshell报文的待检测webshell文件，并获得所述待检测webshell文件的文件路径，以及向文件采集模块推送所述待检测webshell文件的文件路径；文件采集模块，用于根据所述待检测设备中针对webshell文件的文件打开操作，生成记录有被打开的webshell文件的文件清单，以及根据所述文件清单对所述待检测webshell文件进行验证，以基于所述待检测webshell文件的文件路径，对所述待检测webshell文件的文件内容进行文件异常检测。

本申请实施例的第三方面，提供了一种电子设备，包括：处理器、存储器、通信接口和通信总线，所述处理器、所述存储器和所述通信接口通过所述通信总线完成相互间的通信；所述存储器用于存放至少一可执行指令，所述可执行指令使所述处理器执行如第一方面所述方法对应的操作。

本申请实施例的第四方面，提供了一种计算机存储介质，其上存储有计算机程序，该程序被处理器执行时实现如第一方面所述的方法。