基于流量的WebShell行为分析与检测方法  

作　　者：赵运弢[1] 徐春雨 薄波 刘书林[1] 

机构地区：[1]沈阳理工大学信息科学与工程学院,辽宁110159

出　　处：《网络安全技术与应用》2018年第4期8-9,共2页Network Security Technology & Application

摘　　要：WebShell是一种基于Web服务的后门程序。攻击者通过WebShell获得Web服务的管理权限,从而达到对Web应用的渗透和控制。由于WebShell和普通Web页面特征几乎一致,所以可逃避传统防火墙和杀毒软件的检测。而且随着各种用于反检测特征混淆隐藏技术应用到WebShell上,使得传统基于特征码匹配的检测方式很难及时检测出新的变种。本文将讨论在网络流量上实现WebShell的分析与检测,通过对流量的"可视化"还原,借鉴行业里一些成熟的工具和方法,主要讨论在WebShell被上传到服务器上以及WebShell被访问这两个过程中网络流量中的payload特征来实现WebShell检测。

关 键 词：WEBSHELL WEB服务 payload特征 

分 类 号：TP393.09[自动化与计算机技术—计算机应用技术]