周 龙，王 晨，史 崯

1.武汉邮电科学研究院，武汉 430000

2.南京烽火软件科技股份有限公司，南京 210000

1 引言

Webshell是一种恶意代码，可用于网站管理，主要由PHP、asp、jsp等语言编写而成。一旦Webshell源文件被入侵者成功植入到服务器中，入侵者就可通过浏览器访问Webshell，获取相关操作权限，控制服务器，窃取重要数据。

Webshell可分为两类，一是小马，二是大马。小马，源文件代码量较少，通常是几行到几十行不等，其功能主要是文件上传、执行命令行程序等。大马，文件大小少则几KB，多则几百KB，甚至超过1 MB，功能复杂，包括执行命令行程序、上传文件、权限提升、端口扫描、数据库操作等。此外，大马要完成其功能还需要其他源文件的配合，协同作战，达到攻击目的。

2 相关工作

针对Webshell的检测方法，可分为3类：基于文件的检测、基于流量的检测以及基于日志的检测。

目前的研究集中于基于文件的检测，即直接分析源文件，提取文本特征，包括API函数名称、变量名称、信息熵、最长字符串、文件压缩比、重合指数、字符串长度差等。此外，还可针对具体脚本语言，根据其执行机制，提取编译结果的特征，比如字节码特征等。当前机器学习相关技术的应用也是学术界的研究热点，网络安全就是其中一个领域。正常web系统其源文件的编码命名规范有别于Webshell源文件。基于此想法，文献[1]提出将余弦相似度应用于Webshell检测，通过比较不同文件的余弦相似度，以及匹配特征关键词来判断Webshell，但是漏报率和误报率较高。文献[2]针对PHP源文件，进行语法分析，将生成的文件指纹用于Webshell检测，再进一步进行污点分析。……