一种基于ＡｃｔｉｖｅＸ组件模拟的网页木马检测方法技术

本发明专利技术公开了一种基于ＡｃｔｉｖｅＸ组件模拟的网页木马检测方法，其步骤包括：１）构造一个ＡｃｔｉｖｅＸ组件Ｍ，其对象实例ｍ用于模拟目标网页中缺失的组件Ｎ；２）编写一个动态链接库钩挂ＷＩＮＤＯＷＳ系统中负责组件Ｍ创建的ＡＰＩ，记录组件Ｍ的对象实例ｍ的入口地址与组件Ｎ的组件名之间的对应关系；３）调用浏览器访问目标网页，当目标网页请求创建缺失的组件Ｎ时，由对象实例ｍ将目标网页访问的组件名、组件中的函数以及参数信息记录到日志文件；４）解析日志文件，判定目标网页是否为网页木马。本发明专利技术的方法能够模拟可能存在漏洞的插件，可以触发网页木马更多的攻击行为；能够得到网页木马在ＡｃｔｉｖｅＸ组件调用这一层的攻击行为。

【技术实现步骤摘要】

本专利技术属于计算机安全
，涉及一种网页木马的检测方法，尤其是一种利用特殊构造的ActiveX组件模拟网页浏览过程中试图访问的ActiveX组件，由此检测出网 页是否存在木马的方法。
技术介绍
网页木马是特殊构造的网页，当用户的浏览器解析执行这些网页时，操作系统、浏 览器及第三方组件中存在的漏洞将被利用，用户的计算机被植入木马、间谍软件、网络游戏 盗号器等恶意可执行程序。近年来，以网页木马为主的针对客户端的攻击逐渐增多，并在所有攻击案例中占 据了很大的比重。因此，如何有效检测和防范网页木马已经成为学术界和工业界共同关注 和研究的重要问题。网页木马具有更新频繁、变化快的特点，因此传统杀毒软件基于特征码 匹配的检测方法对网页木马难以凑效。网页木马与正常网页的区别在于，网页木马执行期 间会产生危害用户系统的恶意行为。因此，网页木马检测的关键在于确认网页被浏览时是 否会对用户的系统造成损害。网页木马的检测方法根据网页是否被执行可以划分为两类静态检测与动态检 测。静态检测方法往往使用某种方式对目标网页进行语法分析，由此得到浏览器执行目标 网页时可能发生的行为。动态检测方法的基本思想是让本文档来自技高网...

【技术保护点】
一种基于ＡｃｔｉｖｅＸ组件模拟的网页木马检测方法，其步骤包括：　　１）构造一个ＡｃｔｉｖｅＸ组件Ｍ，其对象实例ｍ用于模拟目标网页中缺失的组件Ｎ；　　２）编写一个动态链接库钩挂ＷＩＮＤＯＷＳ系统中负责ＡｃｔｉｖｅＸ组件Ｍ创建的ＡＰＩ，记录组件Ｍ的对象实例ｍ的入口地址与组件Ｎ的组件名之间的对应关系；　　３）调用浏览器访问目标网页，当目标网页请求创建缺失的组件Ｎ时，由对象实例ｍ将目标网页访问的组件名、组件中的函数以及参数信息记录到日志文件；　　４）解析日志文件，判定目标网页是否为网页木马。

【技术特征摘要】

【专利技术属性】
技术研发人员：钟金辉，韩心慧，郭晋鹏，诸葛建伟，宋程昱，龚晓锐，
申请(专利权)人：北京大学，
类型：发明
国别省市：11[中国|北京]