基于链接分析的网页木马追踪技术制造技术

本发明专利技术属于计算机安全领域，提出一种基于链接分析的网页木马追踪技术，利用网页中的链接，追查出网页木马传播的病毒、木马程序所在位置。本发明专利技术的基本原理是利用正常的网页中引用的链接，如果是当前网页要直接调用、显示的链接内容必定不会是可执行文件，而只有含网页木马的网页要通过下载、激活可执行的病毒、木马程序来传播病毒，这些程序必然是可执行文件，利用这一特征可以分析出病毒、木马程序所在位置和所引用激发的网页。本发明专利技术可以用于对网页木马进行追踪、定位，从而解决网络中有害程序的准确定位，为安全部门清除有害程序，追查病毒、木马传播人员提供线索，为上网用户提供安全的网络环境。

【技术实现步骤摘要】

本专利技术专利属于计算机安全领域，提出一种基于链接分析的网页木马追踪技术，利用网页中的链接，追查出网页木马传播的病毒、木马程序所在位置，从而解决网络中有害程序的准确定位，为安全部门清除有害程序，追查病毒、木马传播人员提供线索，为上网用户提供安全的网络环境。
技术介绍
计算机病毒、木马、间谍软件和恶意代码是近几年来计算机网络最主要的安全威胁。在计算机病毒、木马、间谍软件和恶意代码的传播途径中除垃圾邮件外，还有一条重要的途径就是利用构造特殊的网页将病毒、木马传播到访问该网页的用户计算机中。这种网页主要利用操作系统、浏览器、插件等的各种漏洞将可执行代码传播到用户计算机上进行执行，或利用系统中的解析器、控件的执行权限将网页中的恶意代码运行。由于这些特殊网页的配置和编码较为复杂，并且为了能够躲避杀毒软件查杀，大多由人工配置并且采用第三方软件进行加密变形处理，因而成为黑客用来传播木马程序最为有效的方法。网页木马即利用网页代码来传播的木马，本质在于网页，而非木马本身。这些特殊网页通常是将木马程序的执行代码编码成为网页的组成部分，并配合特殊网页代码来激活木马程序执行，因此在黑客群体和杀毒软件公司、网络安全防御单位将其称为网页木马。2004年6月末，杀毒软件公司从病毒的发作数量、危害程度综合考虑，总结并发布了2004年十大病毒及病毒发展趋势报告。报告结果显示间谍软件、QQ木马和网络游戏木马等网页木马成为热点。虽然木马类病毒在传播数量上还不及网络蠕虫，但其越来越明显的盗窃特性，会给受害用户造成更大更直接的损失。2005年8月3日中国专业反病毒厂商之一日月光华软件公司官方网站(中国杀毒网http://www.viruschina.com/)遭到黑客袭击，网站被篡改，并携带病毒，经过反病毒厂商测试该网站共有三个病毒Exploit.HTML.mht.bb、Backdoor.PcShare.5.r和trojan.PSW.LMIR.U，网民浏览后电脑可能被植入木马，而被黑客控制。这些病毒和木马程序的传播靠的就是网页木马。在对网页木马的检测中杀毒软件公司积累了大量的经验和特征码，然而系统漏洞、浏览器漏洞和第三方插件的漏洞层出不穷，而且入侵者也在不断地对网页木马进行更新升级，并且采用加密和插入干扰字符的方法来躲避检测。用户要躲避网页木马的攻击，必须不断的安装补丁程序或者升级系统。但是每年每月甚至每一天都会有新的漏洞出现，就在2005年7月，国际报道美国微软称黑客正在疯狂地试图利用Windows中的两处严重安全缺陷。其中的一个缺陷影响″色彩管理模块″--处理颜色的一个Windows组件；另一个缺陷与微软″Java虚拟机″的JView Profiler部分有关。微软称，该缺陷可以被用于控制用户的个人电脑。在对漏洞信息的获取上用户和黑客是不对等的，黑客会最先知道和利用漏洞，而用户不可能得到及时升级，这些用户的计算机将长期受到黑客的控制。因此切断网络木马的传播途径是防范木马最有效的方法，网页木马检测最主要的是要能检测出隐藏在网页代码中的漏洞利用代码。随着新的漏洞的出现就会有新的网页木马产生，所以检测、查杀网页木马将是个长期、艰巨的任务。传统的杀毒技术对病毒、木马和恶意网页的检测主要靠特征码匹配检测的方法，这种方法对特征固定不变传播的病毒程序十分有效，但对经过加密、插入干扰处理的网页脚本则没有效果，对于新出的漏洞利用网页脚本和新出的病毒、木马程序的检测就更是无能为力。本专利技术针对网页木马的构造原理和本质特征来进行检测，能有效地检测网页木马。
技术实现思路
为了查找出网页木马，净化网络环境，保护网络用户，本专利技术提出一种基于链接分析的网页木马追踪技术，利用网页中的链接，追查出网页木马传播的病毒、木马程序所在位置，从而解决网络中有害程序的准确定位，为安全部门清除有害程序，追查病毒、木马传播人员提供线索，为上网用户提供安全的网络环境。本专利技术的基本原理是利用正常的网页中引用的链接，如果是当前网页要直接调用、显示的链接内容必定不会是可执行文件，而只有含网页木马的网页要通过下载、激活可执行的病毒、木马程序来传播病毒，这些程序必然是可执行文件，利用这一特征可以分析出病毒、木马程序所在位置和所引用激发的网页。1.本专利技术提出的基于链接分析的网页木马追踪技术，包括以下几个步骤(1)检测网页中的所有链接，查看该链接的引用方式；(2)是直接引用标签链接，则获取该链接所指文件，判断文件格式，如果是可执行文件则该文件为病毒、木马程序，该网页为含有网页木马的网页，分析结束；(3)是间接引用标签链接，则判断是否链接分析到设定的范围(链接的深度和广度)，如果达到设定范围，分析结束；如果没有达到分析设定范围，则继续获取新链接所指向的网页重复步骤(1)(2)。2.直接引用标签链接指在当前页下载到本地引用的链接；间接引用标签链接指需要用户点击或执行某些操作后才会使浏览器去访问的链接，是不会直接在当前页下载到本地引用的链接。3.直接引用标签链接所采用的标签主要有img、background、iffame、frame、meta、object、script、link、innerHTML、background-image、@import、body onLoad、location、window.open、param等。间接引用标签链接所采用的标签主要有href、from、pluginspage等标签。对链接的分析步骤如下(1)读取要处理的网页标签。(2)从网页首部开始处理，对网页中所含标签链接进行分析，直至处理到网页结束。通过对标签库(包括直接引用标签和间接引用标签)，通过依次匹配获取标签所指链接。(3)将获取的链接加入下载队列，将链接文件下载，从而便于进一步分析。对文件格式的判断步骤如下(1)读取链接文件。(2)依次按照可执行文件的文件格式结构，将文件读入内存，查看文件是否满足可执行文件的结构要求。(3)如果文件头、文件导入表等等符合可执行文件结构要求，则判断为某种可执行文件，该文件也就是要查杀的病毒、木马程序，该网页为含有网页木马的网页。本专利技术提出的基于链接分析的网页木马追踪技术，具有以下优点(1)本专利技术提出的基于链接分析的网页木马追踪技术，可以检测出杀毒软件不能检测出的病毒、木马程序。(2)本专利技术提出的基于链接分析的网页木马追踪技术，不依赖于网页或病毒、木马的特征码，无需不断升级来对抗新出的网页漏洞和病毒。(3)本专利技术提出的基于链接分析的网页木马追踪技术，具有简单、易行的特点，非常适合用于网络安全机构对网络服务器上的网页木马进行检测。附图说明图1是基于链接分析的网页木马追踪技术的总体流程图。图2是网页链接分析流程图。图3是文件格式分析判断流程图。具体实施例方式本专利技术提出的基于链接分析的网页木马追踪技术，其总体流程如图1所示。(1)检测网页中的所有链接，查看该链接的引用方式。具体实施例方式本专利技术提出的基于链接分析的网页木马追踪技术，其总体流程如图1所示。(1)检测网页中的所有链接，查看该链按的引用方式。HTML网页是文本格式书写的文件，其要显示图像，引用外部资源则采用标签的方式来进行引用，例如<img src＝”http//www.test.com/test.jpg”&本文档来自技高网...

【技术保护点】
一种链接分析的网页木马追踪技术，其特征在于有如下步骤：（１）检测网页中的所有链接，查看该链接的引用方式；（２）是直接引用标签链接，则获取该链接所指文件，判断文件格式，如果是可执行文件则该文件为病毒、木马程序，该网页为含有网页 木马的网页，分析结束；（３）是间接引用标签链接，则判断是否链接分析到设定的范围（链接的深度和广度），如果达到设定范围，分析结束；如果没有达到分析设定范围，则继续获取新链接所指向的网页重复步骤（１）（２）。

【技术特征摘要】

【专利技术属性】
技术研发人员：陶然，李志勇，王越，张昊，杜华，
申请(专利权)人：北京理工大学，
类型：发明
国别省市：11[中国|北京]