WebShell

摘要： 以AWD攻防中Webshell检测为背景,在超空间利用模糊C均值聚类分析发现了攻击向量全局稀疏、局部紧密的特点,提出了2种深度学习模型。由于GitHub收集的攻击行为多为随机获取,没有很好的针对性,所以对训练数据的长度进行了限制,并保留了有限的相关样本数量。由于一次攻击与相邻的2~4次操作紧密相关,而且攻击向量垂直方向关联特征明显,水平方向相对稳定,考虑到特征向量在传递过程中规模会减小,增加了卷积层的补零选项。针对深度学习训练曲线中的锯齿振荡现象,证明了Adam优化算法的快速计算公式,并修正了学习参数,不断消除了训练的Loss曲线中的锯齿,使得训练曲线按照指数规律平滑下降,迅速得到需要的训练结果。将目前已有的类似工作与提出的2种深度学习模型进行对比。实验结果表明,提出的的深度学习模型能够很好地检测出AWD中的Webshell攻击。

摘要： 随着计算机应用技术的不断提升,网站应用程序的处理功能逐渐强大起来,随之而来的是暴露在网络上的各种企业或者个人敏感信息资源可能面临着各种网络的攻击。该文主要研究基于Webshell的恶意代码的注入后门的反弹以及如何预防检测的相关问题,计划利用所搭建的环境进行相关Webshell的上传及利用工具获取其权限。此次实验项目是基于上传为Webshell类型的一句话木马。常用的Web管理工具有中国菜刀(China chopper)、蚁剑(AntSword)、冰蝎(Behinder);后门反弹工具用到了NC(Netcat)、流量分析工具wireshark;后门查杀工具有D盾后门查杀、河马Webshell查杀、火绒等。

摘要： 【目的】Webshell是一种通过注入、XSS、上传等漏洞渗透手段植入木马产生的可执行脚本,因其构造语言种类不同、利用方法多变、隐秘性强,研究其检测方式能够准确发现渗透入侵网站的恶意攻击行为,在预警、研判、打击非法入侵计算机信息系统等黑客类案件中具有积极意义。【方法】本文提出了一种基于Webshell恶意代码进行行为数据研究并提取特征的创新方法,针对HTTP流量实现基于特征的Webshell检测及网络安全威胁情报建模实验与应用。【结果】通过实际部署应用与实验结果表明,基于提取的特征值识别Webshell的准确度较高,能够有效地发现恶意攻击行为。【结论】基于特征工程的检测方法虽有维护量大的缺点,但对已知特定攻击行为检测精度和效率较高,在预防、打击黑客犯罪的实际应用中是非常有价值的。

摘要： WebShell是一种常见的Web脚本入侵工具。随着流量加密和代码混淆等技术的逐渐发展,使用传统的文本内容特征和网络流特征进行匹配的检测手段越来越难以防范生产环境下复杂的WebShell恶意攻击事件,特别是对于对抗性样本、变种样本或0Day漏洞样本的检测效果不够理想。搭建网络采集环境,在高速网络环境中利用数据平面开发套件(DPDK,data plane development kit)技术捕获网络数据包,标注了一套由1万余条不同平台、不同语言、不同工具、不同加密混淆方式的WebShell恶意流量与3万余条正常流量组成的数据集;通过异步流量分析系统框架和轻量型日志采集组件快速地解析原始流量,并融合专家知识深度分析几种流行的WebShell管理工具通信过程中的HTTP数据包,从而构建面向加密混淆型WebShell流量的有效特征集;基于该有效特征集使用支持向量机(SVM,support vector machine)算法实现对加密混淆型WebShell恶意流量的离线训练和在线检测。同时,利用遗传算法改进参数搜索方式,克服了由人工经验设置参数方位以及网格搜索陷入局部最优解的缺点,模型训练效率也得到提升。实验结果显示,在自建的WebShell攻击流量数据集上,保证了检测高效性的同时,检测模型的精确率为97.21%,召回率为98.01%,且在对抗性WebShell攻击的对比实验中表现良好。结果表明,所提方法能够显著降低WebShell攻击风险,可以对现有的安全监控体系进行有效补充,并在真实网络环境中部署和应用。

摘要： 分析了WebShell产生原因及其危害性。采用ADFA-LD数据集,训练集和测试集数据的比例为7:3,然后运用Pytorch深度学习框架,设计和实现了一个BP神经网络模型和一个LSTM神经网络模型。BP神经网络层数4层,其中隐藏层2层,第1层隐藏层有100个神经元,第2层隐藏层有50个神经元,激活函数为logistic函数,迭代次数为10,初始学习率设置为0.001。LSTM神经网络层数3层,输入X的特征维度为124,其中隐藏层1层,100个神经元,迭代次数为100,每组数据20个,学习率为0.001。实验表明:两个模型检测精度最终均为95%,说明本文构建的两个神经网络模型在模型结构、参数设置上较合理,因此两个模型能以较高准确率检测Web站点中是否存在WebShell。

摘要： 随着互联网的快速发展,Web应用已成为人们日常生活和工作中必不可少的一部分,随之而来的是大量针对Web服务的攻击,在目标服务器上植入Webshell已成为攻击者最常用的手段。通过Webshell,攻击者可以在目标服务器上执行一些命令从而完成信息嗅探、数据窃取或篡改等非法操作,对Web服务器造成巨大危害。最开始研究人员通过从Webshell中提取特征码的方式来检测Webshell,后来为了逃避检测,混淆和加密技术在Webshell中被广泛采用,这极大地增加了Webshell检测的难度,为此许多研究人员开始采用机器学习技术来进行Webshell的检测。从多个角度阐述了Webshell检测技术发展现状、所遇到的问题及今后的研究方向。

摘要： WebShell是常见的Web脚本入侵攻击工具。攻击者将WebShell植入网站服务器后可对网站服务器进行控制,获取服务器操作权限。WebShell通常嵌套在正常网页脚本中,具有极强的隐蔽性,对网站自身及访问者带来极大危害。针对这些问题,文章提出一种基于DPDK的高速网络流量分析检测技术,在高速网络环境中对网络流量进行数据包捕获和解析,并通过特征码匹配的方式实现对WebShell的高效检测,同时对WebShell文件和攻击者进行溯源分析。

摘要： WebShell是常见的Web脚本入侵攻击工具.攻击者将WebShell植入网站服务器后可对网站服务器进行控制,获取服务器操作权限.WebShell通常嵌套在正常网页脚本中,具有极强的隐蔽性,对网站自身及访问者带来极大危害.针对这些问题,文章提出一种基于DPDK的高速网络流量分析检测技术,在高速网络环境中对网络流量进行数据包捕获和解析,并通过特征码匹配的方式实现对WebShell的高效检测,同时对WebShell文件和攻击者进行溯源分析.

摘要： 在当今现代化的世界中,人工智能逐渐被应用在各个领域之中,而深度学习就是人工智能的核心算法之一,近些年来也被广泛应用于网络安全领域,传统简单的通过人工定义规则集的检测方法逐渐被淘汰掉.而现在,如果将深度学习方法应用在检测Webshell中,不仅可以很好地提高准确率,而且和传统的机器学习方法相比,可以自动提取特征值,完成特征工程的过程更加智能化.因此基于深度学习来研究Webshell检测是近些年来一个得到持续关注的热点课题.该文主要针对使用PHP编写的Webshell进行检测,将深度学习方法和PHP文件操作码序列的特点进行结合,在构建的模型上训练测试数据集,最终可以获得相当高的准确率.

摘要： 为解决WebShell样本在文本向量化处理中出现的"维度灾难"和检测效果差的问题,提出了基于近邻成分分析(Neighborhood Component Analysis,NCA)的WebShell特征处理算法.算法通过NCA自动化学习投影矩阵,在保留全局信息的同时完成高维特征空间的约减,为避免过于依赖总体训练样本,采用ReliefF特征选择方法从局部信息的角度进一步优化特征处理,提高WebShell模型检测性能.实验表明,基于近邻成分分析的WebShell特征处理方法能有效检测WebShell,并在准确率、召回率上优于大多数传统特征处理算法的WebShell检测模型.

摘要： 本公开涉及WebShell检测装置、WebShell检测方法及计算机可读存储介质。WebShell检测装置收集HTTP访问日志，对新增的访问日志进行过滤处理；根据保留下来所述HTTP访问日志中的URL字段以及Referer字段的信息，获取特殊标签节点，提取与所述特殊标签节点对应的HTTP访问日志中的客户端IP地址；对提取出的所述客户端IP地址在预定时间内的访问行为进行回溯分析，判定所述特殊标签节点对应的页面是否为WebShell页面，所述特殊标签节点包括孤立节点以及无子节点的节点。根据本公开，能够高精度地检测Webshell文件。

摘要： 本公开涉及WebShell检测装置、WebShell检测方法及计算机可读存储介质。WebShell检测装置包括处理电路，处理电路被配置为：收集Web服务器的访问日志，对新增的访问日志进行数据预处理；从预处理后的访问日志中提取预定字段信息，并对提取出的字段信息进行存储；将提取出的预定字段信息与预先确定的阈值进行比较，判定可疑访问日志；对可疑访问日志中的可疑URL进行重放过滤，将结果存储为已检URL信息；以及将已检URL信息发送到核查装置，接收核查装置反馈的核查结果，根据核查结果更新已检URL信息。根据本公开，能够以较少的检测工作量高精度地检测Webshell文件。

摘要： 本发明公开了一种动态检测和静态检测相结合的Webshell检测方法和检测系统，属于信息安全技术领域，Webshell检测方法方法包括：利用静态检测模型，对待测样本进行检测，获得待测样本为Webshell或正常的概率；判断所述概率是否超过阈值；若是，所述待测样本为Webshell样本或正常样本；若否，利用动态检测模型，对待测样本进行检测。利用静态检测模型的高效性，对Webshell进行检测，同时利用动态检测模型的高检出率，提高Webshell的效率和检出率，使静态检测和动态检测相结合或融合，检测方法兼具动态检测和静态检测的优点。

摘要： 本公开属于互联网技术领域，涉及一种WebShell免杀方法及装置、存储介质、电子设备。该方法包括：获取敏感关键字，并对敏感关键字进行变量名设置得到目标关键字；对目标关键字和敏感关键字进行加密处理得到加密关键字，并对加密关键字进行拼接处理得到WebShell文件；对WebShell文件进行查杀处理确定WebShell文件通过查杀处理。本公开实现了对敏感关键字的动态设置和使用，从变量名这一维度帮助WebShell文件绕过后续的查杀处理，对目标关键字和敏感关键字进行加密处理，帮助目标关键字和敏感关键字抹去关键字的特征，将查杀系统或查杀工具重点关注的敏感关键字隐藏，使得查杀系统或查杀工具无法根据关键字的特征来进行查杀处理，取得WebShell文件免查杀的效果，以实现进一步的深入渗透。

摘要： 本申请涉及一种WebShell检测方法、电子装置和计算机可读存储介质。其中，该方法包括：获取与待检测文件交互的流量数据，流量数据包括数据包序列；提取数据包序列中各数据包的有效载荷并转换为张量数据，得到张量数据序列；使用经训练的卷积神经网络提取张量数据序列中各张量数据的空间特征，得到用于表征各数据包的空间特征的第一输出特征图序列；使用经训练的长短期记忆网络的特征提取核提取第一输出特征图序列的时间特征，得到用于表征流量数据的时空特征的第二输出特征图；根据第二输出特征图，确定流量数据的第一检测结果，第一检测结果用于表征待检测文件是否为WebShell。通过本申请，提高了WebShell的检出率。

摘要： 本申请公开了一种内存WebShell检测方法、装置及电子设备，该方法包括：获取目标应用对的所有类，并在所有类中筛选出存在内存WebShell风险的M个第一类；确定每个第一类在内存中的字节码分别对应的代码；通过K个第一预设规则对M个代码文件进行内存WebShell风险检测，得到存在内存WebShell风险的N个代码文件；对N个代码文件对应的类进行标注，将标注后的类作为第一内存WebShell检测结果。基于上述方法，对从内存中的字节码对应的代码文件进行风险检测，适用于非文本类的内存WebShell，也能适应加密处理和混淆处理后的文本类的内存WebShell，能够提高内存WebShell检测准确率。

摘要： 本发明公布了一种基于RASP技术提取webshell软件基因的方法，通过部署标记探针和部署检测探针提取webshell软件基因，可用于webshell检测；包括：对现有的webshell提取webshell具有共性的软件基因；确定待检测系统代码的参数输入点，提取输入参数，提取其软件基因并进行完善，作为待检测系统代码的静态基因；部署RASP：确定待检测系统代码的参数输入点，通过插入标记探针标记参数输入；确定待检测系统的函数插入点，部署检测探针；获取被插入检测探针的待检测代码的上下文，同时根据检测探针检测结果，形成待检测代码的行为基因；软件基因可与webshell基因库、病毒木马基因库进行比对，判断是否是webshell。本发明能够提高检测webshell的准确率和效率，可广泛应用。

摘要： 本发明公布了一种基于RASP技术提取webshell软件基因的方法，通过部署标记探针和部署检测探针提取webshell软件基因，可用于webshell检测；包括：对现有的webshell提取webshell具有共性的软件基因；确定待检测系统代码的参数输入点，提取输入参数，提取其软件基因并进行完善，作为待检测系统代码的静态基因；部署RASP：确定待检测系统代码的参数输入点，通过插入标记探针标记参数输入；确定待检测系统的函数插入点，部署检测探针；获取被插入检测探针的待检测代码的上下文，同时根据检测探针检测结果，形成待检测代码的行为基因；软件基因可与webshell基因库、病毒木马基因库进行比对，判断是否是webshell。本发明能够提高检测webshell的准确率和效率，可广泛应用。

摘要： 本公开涉及一种webshell攻击识别方法、装置、电子设备及计算机可读介质。该方法包括：获取目标网页上的网页数据；基于静态特征库和代码特征库对网页数据进行扫描；在扫描结果中存在匹配结果时，获取所述目标网页的行为数据；基于行为特征库对所述行为数据进行扫描；在所述扫描结果中存在命中结果时，确定所述目标网页上存在webshell攻击。本申请涉及的webshell攻击识别方法、装置、电子设备及计算机可读介质，能够对webshell攻击进行快速、有效、准确的识别，在保证识别准确度的前提下，提高了识别效率，压缩了识别时间，提升了用户体验。

摘要： 本发明公开了一种webshell恶意家族聚类分析方法，它涉及信息安全技术领域；它包括以下步骤：步骤1：获取Webshell运行时的函数调用信息、参数值和返回值信息；步骤2：函数调用信息进行清洗、拼接和排序；步骤3：对步骤2中的函数调用序列信息进行向量化；步骤4：计算参数值和返回值的信息熵，并按函数调用先后顺序进行排序；步骤5：根据步骤2和步骤4得到的func_seq、argv_seq和return_seq，搭建RNN模型分别对三类序列进行预测，学习代码家族特征；步骤6：将原始的序列数据和预测的序列数据经过minhash处理后，映射为像素点，形成像素图；步骤7：将步骤6得到原始像素图与预测像素图叠加，绘制最终的像素图；步骤8：使用DBSCAN聚类算法对步骤7得到的像素图进行聚类。