王林汝 姬艳

1 江苏省互联网行业管理服务中心；2 中国电信股份有限公司江苏分公司

0 引言

WebShell就是以网页文件形式（如asp、jsp、php等类型）存在的一种命令执行环境，通常将其认为属于一种网页后门。这使得入侵者可以通过它来非法获取服务器系统权限，进而控制“肉鸡”发起DDos攻击，对网站内容进行篡改、在网页上挂木马病毒，作为隐藏自身的代理类服务器，对服务器内部进行扫描，对网页植入暗链/黑链等等。

最近几年，针对网站的隐蔽性攻击（如被植入后门等）表现出逐年稳定增长态势，国家互联网应急响应中心发布的《2016年中国互联网网络安全报告》中指出，2016 年，CNCERT/CC监测发现约 4 万个 IP 地址对我国境内82072 个网站被植入后门，其中政府网站有 2361 个，占境内被植入后门网站的 2.9%，网站数量较 2015 年增长 9.3%。

由于WebShell是使用HTTP协议进行木马上传及恶意操作，与被控制的服务器之间的通信是远程通过80端口进行传递，因此常规的防火墙很难以拦截此类攻击。并且使用WebShell进行攻击通常不会在被入侵系统的日志当中留下入侵痕迹，只会在网站的web日志当中留下一些数据提交历史记录，因此通过对HTTP日志进行分析来发现WebShell行为，是近期网络安全研究的热点。

1 相关工作研究

目前WebShell检测的方式主要分为静态检测和动态检测两方面[3]。当黑客使用WebShell来入侵服务器时，不管其操作是对文件进行上传或修改，都必然会有一个包含WebShell代码的文件，因此从文件代码入手，这是静态特征检测的思路；而当WebShell运行后，所有数据是通过HTTP协议进行传输，因此可以从HTTP请求/响应中可以找到蛛丝马迹，这是动态特征检测。……