胥小波，聂小明

（1.中国电子科技网络信息安全有限公司，四川 成都 610041；2.中国电子科技集团公司第三十研究所，四川 成都 610041）

0 引 言

随着互联网技术的不断发展，B/S构架的Web应用程序已被广泛应用于电子商务、网络论坛、政府行政等网络平台，发挥了重要的经济、文化、政治作用，其安全性已直接关系到财产安全、社会稳定等。但是，由于技术水平、安全意识等限制，现有的Web应用平台存在各种类型的系统漏洞或应用程序漏洞，给攻击者非法进入Web主机提供了机会。为达到长期控制Web主机的目的，攻击者通常会在进入主机后将恶意脚本上传至Web服务器，并将其隐藏在正常脚本文件夹中。通过这些恶意脚本，攻击者能够创建后门，从而达到长期控制Web主机的目的。这类通过Web应用控制Web主机的恶意脚本，通常被称为WebShell。国家互联网应急中心（CNCERT）发布的《2016年中国互联网网络安全报告》[1]指出，2016年CNCERT共监测到境内82 072个网站被植入WebShell，其中商业机构网站占62.3%，网络组织类占4.8%，政府类网站占2.9%。

WebShell通常具备很强的隐藏性，及时检测发现其踪迹难度较大。目前，传统杀毒软件主要采用特征码匹配的方法检测WebShell。这种方法通过分析已知WebShell代码样本提取其文本特征作为恶意特征码，并形成恶意特征码库。这种方法对已知类型的WebShell检测准确率能达到90%以上，但对于未知、变种等类型的WebShell，准确率甚至不到60%。通过高隐蔽性的WebShell，攻击者能够长期控制Web主机，并利用其进行信息窃取、商业勒索、组建僵尸网络等违法活动，而其危害程度很大程度上取决于Web主机被控制的时长。……