基于HTTP流量的WebShell检测研究

发布时间：2020-08-13 12:08

【摘要】：WebShell是一种基于Web服务的后门程序。攻击者可以通过“菜刀”等WebShell工具对网站服务器发起攻击。基于网络的检测可以监控请求和响应流量,发现异常行为,检测Webshell的存在。一些机器学习和深度学习方法已经在该领域得到应用,但是目前的方法无法对未知的WebShell攻击行为进行检测,同时现有研究采用的模型检测速度无法应对大规模流量数据的检测需求,且现有方法只检测WebShell流量,并没有深入研究WebShell攻击是否成功。为解决上述问题,本文提出了基于HTTP请求流量和响应流量的Webshell攻击行为检测体系。具体来说:本文构建了基于HTTP流量检测WebShell攻击的体系框架。该框架基于HTTP请求流量与响应流量进行攻击识别,能够识别WebShell攻击流量并判断攻击是否成功,能够实现少量人工干预下的流量数据解析、数据处理、模型的训练和预测,可应用于实际流量检测场景。本文充分利用HTTP流量报文中请求字段信息,提出了字符级流量内容特征转换方法。本文提出了基于CNN和LSTM的模型架构,该架构能够摆脱对先验信息及专家知识的依赖性,并在各项检测指标上优于其他模型。本文提出了响应流量内容特征和结构特征的提取方法,并通过实验检验特征提取方法的合理性。本文采用了融合注意力机制的深度学习检测模型和XG-Boost模型判别WebShell攻击是否成功。实验结果显示,本文采用的模型相比于其他机器学习模型有更加显著的检测效果。
【学位授予单位】：北京邮电大学
【学位级别】：硕士
【学位授予年份】：2019
【分类号】：TP393.08
【图文】：

报文头,起始行,版本,报文

务器响应客户端请求而返回的报文）。逡逑２＿邋１．１邋ＨＴＴＰ请求报文逡逑ＨＴＴＰ请求报文由起始行、请求头部以及请求体三个部分组成（图２－１）。逡逑起始行：包括请求方法，ＵＲＬ以及ＨＴＴＰ协议版本。请求方法表示客户端希逡逑望服务器对资源执行的动作，包括ＧＥＴ、ＨＥＡＤ、ＰＯＳＴ；邋ＵＲＬ命名了所请求的逡逑资源的访问路径；ＨＴＴＰ协议版本标明了报文所使用的ＨＴＴＰ版本号。此信息位逡逑于消息数据的第一行，如：“ＧＥＴ／ｉｎｄｅｘ．ｈｔｍｌＨＴＴＰ／１．１”；逡逑请求头部：主要包含请求来源，连接类型和一些Ｃｏｏｋｉｅ信息等，常见字段逡逑５逡逑

状态代码,起始行,版本,报文

＾２Ｂ２％２Ｃ２％２９％２６％２２％２２％２２％２２％２９？＾２２％２２％２２％２２％２９％３Ａｉ％ＢＤｉ％２Ｂ２％３ＡＥｎｄ－ｆＩｆ逡逑＾２２％２２％２６ｃｈｒ％％２８１０％２９％２６％２２％２２Ｎｅｘｔ％３ＡＥｎｄ＾Ｆｕｎｃｔｉｏｎ：Ｒｅｓｐｏｎｓｅ．Ｗｒｉｔｅｕ－逡逑图２－１邋ＨＴＴＰ报文头部逡逑请求体：请求体和请求头部通过一个空行隔开，当ＨＴＴＰ报文属于ＰＯＳＴ请逡逑求时，报文中会包含请求体，请求体将一个页面表单中的组件值通过逡逑ｐａｒａｍｌ＝ｖａｌｕｅｌ＆ｐａｒａｍ２＝ｖａｌｕｅ２的键值对形式编码成一个格式化串，它承载多个逡逑６逡逑

界面图,用户操作,界面,木马

Ｔｏｍｃａｔ平台，ＡＳＰ用于ＩＩＳ平台。根据脚本程序的大小和功能，ＷｅｂＳｈｅｌｌ可以分逡逑为大马、小马和一句话木马。这三种ＷｅｂＳｈｅｌｌ的特点如下：逡逑大马，是一个具有综合功能的通用型ＷｅｂＳｈｅｌｌ，如图２－３所示。它通常包含逡逑用户友好的界面显示，攻击者可以实现文件操作、系统命令执行和远程数据库篡逡逑改等木马操作。大马通常有只一个文件，且其代码一般被混淆以躲过静态检测。逡逑此外，一些大马也包含登录界面。逡逑逦；［邋ＡＫ－７４邋Ｓｅｃｕｒｉｔｙ邋Ｔｅａｍ邋Ｗｅｂ－ｓｈｅｉｉ邋］：逡逑１．逦ＯＳ邋－邋Ｄａｒｗｉｎ邋ＭａｃＢｏｅｋＡｉｒ邋１６．７．０邋Ｄａｒ－ｗｉｎ邋Ｋｅｒｎｅｌ邋Ｖｅｒｓｉｏｎ邋１６．７．０：邋Ｔｈｕ邋Ｊｕｎ邋１５邋１７：３６：２７邋ＰＤＴ邋２０１７；邋ｒｏｏｔ：ｘｎｕ－３７８９．？０．１６－２／ＲＥＬＥＡＳＥ＿Ｘ８６＿６４邋ｘ８６＿６４逡逑２．逦ＰＨＰ邋－邋５．６．３０逡逑３．逦Ｕｓｅｒ邋－邋ａｉｒｇｈｃ邋１１邋Ｕｓ？ｒ邋ＩＤ邋－邋５０１邋（］邋Ｇｒｏｕｐ邋ＩＤ邋－邋２０逡逑４．逦Ｓｅｒｖｅｒ邋Ｓｏｆｔｗａｒｅ邋－邋Ａｐａｃｈｅ／２．４．２５邋（Ｕ？ｉｘ）邋ＰＨＰ／５．６．３０逡逑５．逦Ｒｅｑｕｅｓｔ邋Ｍｅｔｈｏｄ邋－邋ＧＥＴ逡逑６．逦Ｓｅｒｖｅｒ邋ＩＰ邋－邋：：１逡逑７．逦Ｙｏｕｒ邋ＩＰ邋－邋：：１逡逑８．逦Ｘ邋Ｆｏｒｗａｒｄｅｄ邋Ｆｏｒ邋ＩＰ邋－逡逑Ｃｏｐｙｒｉｇｈｔ邋ＡＫ－７４邋Ｓｅｃｕｒｉｔｙ．邋Ｔ？ａ．ｍ邋２００５邋－邋２０１８逡逑令令令令令令令令令令令令令令：０．０００５９７０００１２２０７０３１逡逑图２－３大马用户操作界面逡逑小马

【相似文献】