一种WebShell文件检测方法、装置及电子设备制造方法及图纸

本发明专利技术实施例提供了一种WebShell文件检测方法、装置及电子设备，方法包括：获取网站服务器当前时刻的网页Web进程标识信息；根据Web进程标识信息，获取与Web进程对应的Web应用程序的Web根目录中的待检测Web文件；将待检测Web文件与预设字符串进行匹配，得到第一匹配结果；当第一匹配结果为匹配成功时，确定待检测Web文件为WebShell文件。本发明专利技术实施例中，无需人工指定待检测Web目录，而是通过当前时刻的实时网页Web进程标识信息动态确定待检测Web目录，并进行WebShell文件检测，因此，实现了WebShell文件的自动检测。

【技术实现步骤摘要】
一种WebShell文件检测方法、装置及电子设备
本专利技术涉及信息安全
，特别是涉及一种WebShell文件检测方法、装置及电子设备。
技术介绍
WebShell文件是以网页文件形式存在的一种恶意网页后门文件。黑客在入侵一个网站服务器后，将网页后门文件与网站服务器Web目录下正常的网页文件混在一起，以达到对网站服务器进行数据删除或者修改等恶意操作。目前，进行WebShell文件检测的方法为：在网站服务器中人工根据经验预先将可能存在WebShell文件的Web目录作为待检测Web目录，然后通过正则匹配的方法，将上述待检测Web目录中的各个网页文件中的内容与预先根据经验设定的字符串进行匹配，得到匹配结果，当匹配结果为匹配成功时，确定该网页文件为WebShell文件，当匹配结果为匹配失败时，确定该网页文件不是WebShell文件。由此可见，现有技术中，对WebShell文件的检测方法，主要依靠人工确定待检测Web目录，无法实现自动检测。
技术实现思路
本专利技术实施例的目的在于提供一种WebShell文件检测方法、装置及电子设备，以实现WebShell文件的自动检测。具体技术方案如下：第一方面，本专利技术实施例提供了一种WebShell文件检测方法，包括：获取网站服务器当前时刻的网页Web进程标识信息；根据所述Web进程标识信息，获取与所述Web进程对应的Web应用程序的Web根目录中的待检测Web文件；将所述待检测Web文件与预设字符串进行匹配，得到第一匹配结果，所述预设字符串为表征WebShell文件特征的字符串；当所述第一匹配结果为匹配成功时，确定所述待检测Web文件为WebShell文件。进一步的，所述根据所述Web进程标识信息，获取与所述Web进程对应的Web应用程序的Web根目录中的待检测Web文件的步骤，包括：根据所述Web进程标识信息确定所述Web进程对应的Web应用程序的类型；根据所述Web应用程序的类型，从与所述类型对应的配置文件存储路径信息数据库中获取所述Web应用程序的配置文件的存储路径信息；根据所述Web应用程序的配置文件的存储路径信息，获取所述Web应用程序的配置文件；从所述Web应用程序的配置文件中获取所述Web应用程序的Web根目录存储路径信息；根据所述Web根目录存储路径信息，获取所述Web应用程序的Web根目录中的待检测Web文件。进一步的，所述将所述待检测Web文件与预设字符串进行匹配，得到第一匹配结果的步骤，包括：将所述待检测Web文件与预设字符串进行正则匹配，得到第一匹配结果，所述第一匹配结果包括正则匹配结果或者所述字符串匹配结果。进一步的，所述当所述第一匹配结果为匹配成功时，确定所述待检测Web文件为WebShell文件的步骤，包括：当所述正则匹配结果或者所述字符串匹配结果为匹配成功时，确定所述待检测Web文件为WebShell文件。进一步的，在所述根据所述Web进程标识信息，获取与所述Web进程对应的Web应用程序的Web根目录中的待检测Web文件的步骤之后，所述方法还包括：监控所述Web根目录中的各个Web子目录中是否存在Web文件创建操作；若存在，将新创建的Web文件与所述预设字符串进行匹配，得到第二匹配结果；当所述第二匹配结果为匹配成功时，确定所述新创建的Web文件为WebShell文件。进一步的，在所述根据所述Web进程标识信息，获取与所述Web进程对应的Web应用程序的Web根目录中的待检测Web文件的步骤之后，所述方法还包括：监控所述Web根目录中的各个Web子目录中是否存在子目录创建操作；若存在，判断新创建的子目录中是否存在Web文件；若新创建的子目录中存在Web文件，将所述新创建的子目录中存在的Web文件与所述预设字符串进行匹配，得到第三匹配结果；当所述第三匹配结果为匹配成功时，确定所述新创建的子目录中存在的Web文件为WebShell文件。第二方面，本专利技术实施例提供了一种WebShell文件检测装置，包括：进程标识信息获取模块，用于获取网站服务器当前时刻的网页Web进程标识信息；Web文件获取模块，用于根据所述Web进程标识信息，获取与所述Web进程对应的Web应用程序的Web根目录中的待检测Web文件；第一匹配结果获取模块，用于将所述待检测Web文件与预设字符串进行匹配，得到第一匹配结果，所述预设字符串为表征WebShell文件特征的字符串；第一WebShell文件确定模块，用于当所述第一匹配结果为匹配成功时，确定所述待检测Web文件为WebShell文件。进一步的，所述Web文件获取模块包括：类型确定子模块、第一存储路径信息获取子模块、配置文件获取子模块、第二存储路径信息获取子模块及Web文件获取子模块；所述类型确定子模块，用于根据所述Web进程标识信息确定所述Web进程对应的Web应用程序的类型；所述第一存储路径信息获取子模块，用于根据所述Web应用程序的类型，从与所述类型对应的配置文件存储路径信息数据库中获取所述Web应用程序的配置文件的存储路径信息；所述配置文件获取子模块，用于根据所述Web应用程序的配置文件的存储路径信息，获取所述Web应用程序的配置文件；所述第二存储路径信息获取子模块，用于从所述Web应用程序的配置文件中获取所述Web应用程序的Web根目录存储路径信息；所述Web文件获取子模块，用于根据所述Web根目录存储路径信息，获取所述Web应用程序的Web根目录中的待检测Web文件。进一步的，所述第一匹配结果获取模块，具体用于将所述待检测Web文件与预设字符串进行正则匹配或者字符串匹配，得到第一匹配结果，所述第一匹配结果包括正则匹配结果或者所述字符串匹配结果。进一步的，所述第一WebShell文件确定模块，具体用于当所述正则匹配结果或者所述字符串匹配结果为匹配成功时，确定所述待检测Web文件为WebShell文件。进一步的，所述装置还包括：Web文件创建操作监控模块，用于在所述根据所述Web进程标识信息，获取与所述Web进程对应的Web应用程序的Web根目录中的待检测Web文件之后，监控所述Web根目录中的各个Web子目录中是否存在Web文件创建操作；第二匹配结果获取模块，用于若所述Web根目录中的各个Web子目录中存在Web文件创建操作，将新创建的Web文件与所述预设字符串进行匹配，得到第二匹配结果；第二WebShell文件确定模块，用于当所述第二匹配结果为匹配成功时，确定所述新创建的Web文件为WebShell文件。进一步的，所述装置还包括：子目录创建操作监控模块，用于在所述根据所述Web进程标识信息，获取与所述Web进程对应的Web应用程序的Web根目录中的待检测Web文件之后，监控所述Web根目录中的各个Web子目录中是否存在子目录创建操作；判断模块，用于若所述Web根目录中的各个Web子目录中存在子目录创建操作，判断新创建的子目录中是否存在Web文件；第三匹配结果获取模块，用于若新创建的子目录中存在Web文件，将所述新创建的子目录中存在的Web文件与所述预设字符串进行匹配，得到第三匹配结果；第三WebShell文件确定模块，用于当所述第三匹配结果为匹配成功时，确定所述新创建的子目录中存在的Web文件为WebS本文档来自技高网...

【技术保护点】
1.一种WebShell文件检测方法，其特征在于，包括：获取网站服务器当前时刻的网页Web进程标识信息；根据所述Web进程标识信息，获取与所述Web进程对应的Web应用程序的Web根目录中的待检测Web文件；将所述待检测Web文件与预设字符串进行匹配，得到第一匹配结果，所述预设字符串为表征WebShell文件特征的字符串；当所述第一匹配结果为匹配成功时，确定所述待检测Web文件为WebShell文件。

【技术特征摘要】
1.一种WebShell文件检测方法，其特征在于，包括：获取网站服务器当前时刻的网页Web进程标识信息；根据所述Web进程标识信息，获取与所述Web进程对应的Web应用程序的Web根目录中的待检测Web文件；将所述待检测Web文件与预设字符串进行匹配，得到第一匹配结果，所述预设字符串为表征WebShell文件特征的字符串；当所述第一匹配结果为匹配成功时，确定所述待检测Web文件为WebShell文件。2.根据权利要求1所述的方法，其特征在于，所述根据所述Web进程标识信息，获取与所述Web进程对应的Web应用程序的Web根目录中的待检测Web文件的步骤，包括：根据所述Web进程标识信息确定所述Web进程对应的Web应用程序的类型；根据所述Web应用程序的类型，从与所述类型对应的配置文件存储路径信息数据库中获取所述Web应用程序的配置文件的存储路径信息；根据所述Web应用程序的配置文件的存储路径信息，获取所述Web应用程序的配置文件；从所述Web应用程序的配置文件中获取所述Web应用程序的Web根目录存储路径信息；根据所述Web根目录存储路径信息，获取所述Web应用程序的Web根目录中的待检测Web文件。3.根据权利要求1所述的方法，其特征在于，所述将所述待检测Web文件与预设字符串进行匹配，得到第一匹配结果的步骤，包括：将所述待检测Web文件与预设字符串进行正则匹配或者字符串匹配，得到第一匹配结果，所述第一匹配结果包括正则匹配结果或者所述字符串匹配结果。4.根据权利要求3所述的方法，其特征在于，所述当所述第一匹配结果为匹配成功时，确定所述待检测Web文件为WebShell文件的步骤，包括：当所述正则匹配结果或者所述字符串匹配结果为匹配成功时，确定所述待检测Web文件为WebShell文件。5.根据权利要求1所述的方法，其特征在于，在所述根据所述Web进程标识信息，获取与所述Web进程对应的Web应用程序的Web根目录中的待检测Web文件的步骤之后，所述方法还包括：监控所述Web根目录中的各个Web子目录中是否存在Web文件创建操作；若存在，将新创建的Web文件与所述预设字符串进行匹配，得到第二匹配结果；当所述第二匹配结果为匹配成功时，确定所述新创建的Web文件为WebShell文件。6.根据权利要求1所述的方法，其特征在于，在所述根据所述Web进程标识信息，获取与所述Web进程对应的Web应用程序的Web根目录中的待检测Web文件的步骤之后，所述方法还包括：监控所述Web根目录中的各个Web子目录中是否存在子目录创建操作；若存在，判断新创建的子目录中是否存在Web文件；若新创建的子目录中存在Web文件，将所述新创建的子目录中存在的Web文件与所述预设字符串进行匹配，得到第三匹配结果；当所述第三匹配结果为匹配成功时，确定所述新创建的子目录中存在的Web文件为WebShell文件。7.一种WebShell文件检测装置，其特征在于，包括：进程标识信息获取模块，用于获取网站服务器当前时刻的网页Web进程标识信息；Web文件获取模块，用于根据所述Web进程标识信息，获取与所述Web进程对应的Web应用程序的Web根目录中的待检测Web文件；第一匹配结果获取模块，用于将所述待检测Web文件与预设字符串进行匹配，得到第一匹配结果，所述预设字符串为表征W...

【专利技术属性】
技术研发人员：翁迟迟，
申请(专利权)人：北京奇艺世纪科技有限公司，
类型：发明
国别省市：北京,11