[发明专利]一种卷积神经网络和XGBoost相结合的PHP-Webshell检测方法

摘要

本发明提供了一种卷积神经网络和XGBoost相结合的PHP‑Webshell检测方法，对于能够解析成操作码的PHP文件，采用PHP编译工具将PHP文件解析成统一的操作码文件；用以解决PHP语法灵活和变异复杂的问题，随后通过词汇表映射的方法，将解析成的操作码文件转换成机器学习可以识别的索引号序列样本，进而通过卷积神经网络模型对索引号序列样本进行分类检测，并输出检测结果；对于无法解析成操作码的PHP文件，采用N‑Gram词袋模型的方法提取PHP文件中保留有上下文语义关系的关键词组，形成关键词组序列；并将提取的关键词组序列表示成统一的基于N‑Gram词袋模型维度的关键词组词频样本；通过XGBoost模型对关键词组词频样本进行训练检测，判断样本中是否含有恶意代码，并输出检测结果。

主权项

1.一种卷积神经网络和XGBoost相结合的PHP‑Webshell检测方法，其特征在于，包括以下步骤：步骤S1、输入待测PHP文件样本；步骤S2、PHP文件操作码解析判定，通过PHP编译工具将待测PHP文件解析为操作码文件；如果PHP文件操作码解析成功，则依次执行步骤S3和S4；如果PHP文件操作码解析失败，则依次执行步骤S5、S6和S7；步骤S3、词汇表映射，词汇表映射可以将解析成功的操作码文件统一映射为特征向量，同时将特征向量转换成对应的索引号序列，实现样本的标准化表示；建立词汇表模型的过程具体包括以下步骤：步骤A1、获取词汇表训练集：采集n个解析成功的PHP网页文件样本：D_i,i＝1,2,3....n其中包括：含有WebShell恶意代码的黑样本、仅包含正常的网页代码的白样本；对每个样本标定为黑或白：y_i,i＝1,2,3....n；将标定黑样本和白样本作为训练集{D_i,y_i},i＝1,2,3....n；步骤A2、文本分词：对每个文件样本进行文本分词：D_i＝{W_i1,W_i2,W_i3,…W_im}，第i个样本由m个关键词组成；步骤A3、统计词频：遍历所有的样本，提取每个关键词在训练集样本中出现的频率，将所有词按词频大小降序排列；步骤A4、收录关键词，建立词汇表：根据A3步骤统计的词频，过滤最小或最大词频后，收录剩余的关键词，建立词汇表；L＝{ID_j，W_j},j＝1,2,…N；词汇表由收录的关键词Wj和关键词对应的索引IDj组成，词汇表的规模N为可设置的参数；步骤S4、卷积神经网络模型的Webshell检测检测；将重新表示PHP文件的索引号序列样本输入到卷积神经网络中训练，得到用于检测WebShell的神经网络模型；通过模型中神经网络的逐层卷积计算，检测判别待测索引号序列样本中是否存在WebShell恶意代码，并输出检测结果；步骤S5、N‑Gram词袋模型，N‑Gram词袋模型可以通过N‑Gram分词将待测PHP文件中连续N个词组合成一个关键词组；并能将所有PHP文件中所有的关键词组收录到词袋中，且收录过程中记录每个关键词组在各PHP文件中出现的频率；生成N‑Gram词袋模型；具体包括以下步骤：步骤B1、获取N‑Gram词袋模型训练集：采集n个PHP网页文件样本：Q_i,i＝1,2,3....n其中包括：含有WebShell恶意代码的黑样本、仅包含正常的网页代码的白样本；对每个样本标定为黑或白：y_i,i＝1,2,3....n；将样本及其标定作为训练集{Q_i,y_i},i＝1,2,3....n；步骤B2、N‑Gram分词：对训练集中样本文件进行N‑Gram分词，一个样本文件Q由M个词W组成，Q＝{W₁,W₂,W₃,…W_M}；对Q进行N‑Gram分词，N的取值为大于等于1的正整数；Q′＝{′W₁+W₂+,…+W_N′,′W₂+W₃+,…+W_N+1′,……′W_M‑N+1+W_M‑N+2+…+W_M′}N‑Gram分词将文件中连续N个词组合成一个关键词组，且关键词组中可以保留样本文件中的上下文信息，有利于后续的智能语义分析；步骤B3、生成N‑Gram词袋模型，遍历训练集中所有PHP文件，将文件中所有N‑Gram关键词组收录到词袋中，建立N‑Gram词袋模型；收录过程中记录每个关键词组在各文件中出现的频率；在确定N‑Gram词袋模型时，根据关键词组的词频过滤一部分关键词组，控制词袋模型规模，进而提高运算效率；步骤S6、提取样本的词袋特征表示，利用步骤S5生成的N‑Gram词袋模型，重新表示待测样本，将样本中的N‑Gram关键词组与N‑Gram词袋模型中的关键词组对应，根据N‑Gram词袋模型中关键词组的顺序重新表示样本，样本特征维度为N‑Gram词袋模型维度，每个样本特征维度中的数值为N‑Gram关键词组词频数，形成基于N‑Gram词袋模型维度的关键词组词频样本；步骤S7、XGBoost模型的Webshell检测，将步骤S6中获得的基于N‑Gram词袋模型维度的关键词组词频样本输入到XGBoost模型中，根据XGBoost模型中分类树的分支节点，对样本中各特征维度进行计算判别，依据XGBoost模型中目标函数最优的判定指标，智能检测该样本是否含有WebShell恶意代码，并输出检测结果。