基于预过滤的恶意JavaScript脚本检测与分析方法

发布时间：2019-08-02 10:22

【摘要】：恶意网页利用网页木马来攻击网络用户使之成为僵尸网络中的节点,是目前互联网上较为流行的一种攻击手段。攻击者通常将Java Script编写的恶意脚本嵌入到网页中,当用户浏览该页面时,脚本执行并试图对浏览器或浏览器插件进行攻击。提出一种适用于大规模网页检测的基于预过滤的恶意Java Script脚本检测与分析方法——JSFEA,该方法使用静态检测快速扫描页面并判定网页是否为可疑页面,如果判定可疑则进行动态检测。实验表明,JSFEA对恶意网页的误报率很低,并减少了85%以上的页面进行动态检测,大大提高了大规模恶意网页检测效率。
【图文】：

9P()函数。该函数的作用是将Shellcode赋值给浏览器地址空间中的一个变量，并在Shellcode的前面加上大量的Nop指令(滑板指令)，组成一个注入代码段，然后向系统申请大量内存，并且反复用注入代码段来填充，从而使得进程的地址空间被大量的注入代码所占据。最后通过传递一个过长的参数(0x0c0c0c0c)给ActiveX对象的LinkSBIcons()方法导致缓冲区溢出，程序在堆上执行，最终执行Shellcode。2基于预过滤的恶意网页检测方法根据网页木马攻击机理并结合大量恶意脚本攻击案例，JSFEA提出并实现了基于预过滤的恶意网页检测方法。图1展示了JSFEA的系统架构。图1系统架构JSFEA首先利用谷歌趋势获取热门搜索词条，通过搜索引擎得到种子UＲL，之所以采用趋势词条作为搜索的基础是因为大多数恶意站点为了提高网页在搜索引擎中的排名普遍使用搜索引擎优化技术(SEO)，以此来提高网页访问率［9］，将热门搜索词条放入到网页内容中是攻击者常用的手段之一。其次，JSFEA将搜索引擎返回的UＲL提交给爬虫进行页面抓龋爬虫采取宽度优先遍历策略，为防止一些恶意网页通过检测客户端发送的请求报文头规避页面抓取，爬虫模拟浏览器对请求报文头中User-Agent，Ｒefferer等属性都进行了相应设置。然后，JSFEA将获取的页面提交给预过滤检测模块，预过滤模块扫描网页并提取网页特征，判定网页是否为可疑网页，若可疑则将其提交给动态检测过程进行详细分析。最后，JSFEA对被判定为可疑网页的页面进行动态检测并将结果写入数据库。因此，JSFEA将静态检测与动态检测相结合，以实现对恶意网页的快速、高效检测与分析。2．1基于静态检测的网页预过滤JSFEA中的爬虫模块每天可以采集数以万计的网页，而这些网页中的绝大多数都是不含有恶意代码的正常网页，如果对

基于预过滤的恶意JavaScript脚本检测与分析方法

需要一个句子表达;第二个1表示本句的序数;A表示AIS的信道;16:＞Q30PAE`WGH＜BDuH996ud0t:0是AIS信息的数据部分。通过Java语言根据数字编码表［10］解析AIS数据，确定船舶的MMSI、经纬度以及时间等相关信息，并根据分布式数据库的数据库结构特点存储AIS数据［11］。3实例实验利用4台服务器，，配置均为内存4GB，WindowsServer操作系统，Cassandra版本是Apache-Cassandra-1．1．4。根据船舶自动识别系统的技术要求，基于Java语言编程，AIS解析［12］程序如图3所示，解析并记录当前解析的文件和解析进度。图3AIS数据解析为与关系数据库的查询速度对比，本文利用MySQL数据库作对比实验，将每一天的AIS数据用一张表来存储，则一个月的AIS数据分别存储在31张表中。实验过程中从这些表中分别查询某一条船舶的AIS数据500条、1000条、1500条、2000条所用时间分别是4．2s、13．5s、20．2s、31．1s。从分布式数据中分别查询同一条船舶的相同数量的AIS数据所用时间与关系数据库对比如图4所示，横坐标表述数据条数。4结语本文利用键值对技术和分布式数据库建立AIS数据存储系统，用于存储从基站接收的AIS数据，通过动态扩展AIS数据存储系统，实现整个存储系统容量的动态扩充;通过四叉树数据结构将AIS数据按照区域存储，实现区域数据的存储和快速查询。本文建立的海量AIS存储系统可以将AIS数据全部存储在数据库中，具有快速查询单船AIS数据和区域AIS数据的功能，解决了海量AIS存储和快速从海量AIS数据中查询所需数据的问题。图4查询数据比较参考文献:［1］交通部通信导航标准化技术委员会，中华人民共和国国家质量监督检验检疫局．船舶自动识别系统(AIS)技术要求［S］．北京:中国标准出版社，2006:3－4．［2］潘家财，稍哲平
【作者单位】：南京理工大学计算机科学与工程学院;
【分类号】：TP393.08

【相似文献】