基于Bi-GRU的Webshell检测①

李帅刚,王全民

(北京工业大学 信息学部,北京 100124)

随着我国互联网的突飞猛进,Web 应用在不同场景和业务中变得越来越重要,这也给不法分子提供了数不胜数的Web 漏洞靶场.作为一种常用的攻击工具,Webshell是以asp、php、jsp 等常见的网页文件形式存在的一种代码执行环境,也被叫做网页后门.攻击者通过层出不穷的Web 漏洞进入到后台管理系统后,通常会将php 或者jsp 后门文件与网站服务器Web 目录下正常的网页文件混在一起,然后就可以使用浏览器来访问Webshell,从而进行文件上传下载或者进一步的权限提升.根据国家互联网应急响应中心《2019年上半年我国互联网网络安全态势报告》,CNCERT 检测发现境内外约1.4 万个IP 地址对我国境内约2.6 万个网站植入后门,同比增长约1.2 倍,其中,约有1.3 万个(占全部 IP 地址总数的91.2%)境外IP 地址对境内约2.3 万个网站植入后门.同时,发生在我国云平台上的网络安全事件或威胁情况相比2018年进一步加剧,被植入后门链接数量占境内全部被植入后门链接数量的6 成以上[1].当前检测Webshell的方法如静态规则匹配、日志文件分析以及机器学习分类等,在抵抗灵活多变的逃逸技术时[2],未能有效保护服务器的安全.针对现状,急需一种能够有效检测Webshell的方法.

与正常网页文本的区别在于,Webshell 存在大量系统调用和文件操作函数如eval、system、cmd_shell、readdir 等,攻击者可通过上述特征函数远程操作服务器.因此,可以从文本分类的角度出发识别Webshell.随着深度学习的不断发展,多种算法模型在文本分……