基于决策树的Webshell检测方法研究_胡建康

本文于 2012 － 09 － 10 收到。 * 海云信息安全体系研究，编号 XDA06010701。
16
网络新媒体技术
2012 年
1 Webshell 机理和特征混淆
1. 1 机理
Webshell 是基于 Web 服务实现对
服务器操作的程序，用户可通过浏览
器远程访问该页面。网页脚本语言是
一种创建动态交互性站点的强有力的
图 2 检测模型框架结构
6期
胡建康 等： 基于决策树的 Webshell 检测方法研究
17
特征抽取引擎，先对已标记的训练网页样本提取特征数据，为应对其混淆技术，该抽取引擎须采用相应 反混淆方法。决策树分类器对特征数据学习并构建数据模型。对测试网页样本的检测，同样，光先通过特 征提取引擎提取特征数据，并输入到决策树分类器中，分类器根据已构建模型对此进行分类判定，最后将检 测结果输出。 2. 1 特征选取
Abstract： Webshell is a kind of backdoors based on web service. The attacker can obtain Web service management authority by Webshell，so as to achieve the goal of Web service penetration and control. There is little difference between malicious webshell pages and normal webpage，and it can easily escape from detection of traditional firewall and anti － virus software. As Webshell has applied various anti － finding techniques to hide its characteristics，it is not effective to use traditional way based on feature matching to detect variant Webshell. This paper discusses the characteristics and mechanism of Webshell，explores its important features，proposes and implements a detection model based on decision tree algorithm. This model is a kind of supervised machine learning system，it can detect variant Webshell by prior training webpage learning，to make up for the defects of traditional detection method based on feature matching. Combined with Boosting，which is a kind of collective learning method，the stability of this model is further enhanced，and the classification accuracy rate is improved as well. Keywords： Webshell，backdoor detecting，decision tree，Boosting
高级属性
1. 文件操作 2. ftp 操作 3. 数据库操作 4. ActiveX 控件调用
2. 2 决策树 C4. 5
决策树算法能够从无次序，无规则的实例集合中归纳出采用属性表示的树形结构分类规则［4］。该树形
结构的非叶子节点都是属性，而叶子节点则为判断该页面是否是 Webshell 的判定结果。
决策树学习构造过程中，每次都会选择信息增益率最高的属性作为当前子树根节点，然后再对样本不
断地递归分割。然而当样本数据中有污染缺失，或者分枝过细的话，虽然对学习页面样本检测完全正确，但
18
网络新媒体技术
2012 年
表 1 Webshell 检测模型的特征选取
层次属性 属性描述
文档属性
1. 单词数量 2. 不同单词数量 3. 行数 4. 平均每行单词数 空字符和空格数量 6. 最大单词长度
基本属性
1. 注释数量 2. 字符操作函数 3. eval，exec，shell_exec，system 函数调用 4. 系统函数调用数量 5. 脚本区块数 6. 函数参数的最大长度 7. 加解密函数调用
含指令如 include 整合。对此需将相关文件包含进来，然后整体检测。
（ 5） 多重编码技术。对特征数据进行多重编码，可以轻易地改变数据特征，达到混淆的目的。因而，对
有多重编码的文件不断进行解码还原，然后再进行检测。
2 基于决策树的检测
基于决策树的检测模型是一种监督的机器学习系统，通过对已标记网页数据进行学习，建立一个树形 结构的决策树，然后据此来检测 Webshell，其框架如图 1 所示。
对于该 Webshell 检测模型，选择良好的特征属性集合可以获得更好检测性能。属性选取应该能够很好 地表现出页面的特征，同时应该包含不同层次的页面属性［3］。若我们把页面所有领域特征全部作为机器学 习的输入，那么该模型会因参数纬度太大而变得异常复杂且过于匹配，导致很难检测出特征混淆的 Webshell，其通用性将大大降低。若特征属性过少，那么将导致模型过于简单而降低准确性，所以应该选择一个 粒度适中的属性集合。本文主要从文档属性，基本属性，和高级属性三个层次来抽取特征。文档属性主要 是页面的文档特征，比如文档长度，单词数量等，基本属性主要是页面的语法和函数调用特征，比如注释的 数量，函数等； 高级属性则是页面的行为特征，如文件操作等。本文选取的特征集合如表 1 所示。
减少，那么所减少的值就是该属性 A 的信息增益度（ information gain） ，其定义如下：
∑ Gain（ S，A）
= Entropy（ S）
－
v∈V（ A）
| |
Sv S
| |
Entropy（
Sv）
（ 2）
式（ 2） 中 V（ A） 表示属性 A 的值域，Sv 表示 S 中属性 A 值等于 v 的样本集合。而按照该属性 A 进行分割
企图： 通过 Webshell 篡改网页，植入网页木马，在客户访问时即可执行恶意代码； 植入僵尸木马作为僵尸网络控
制跳板或者控制点； ③植入攻击木马作为攻击肉鸡或者攻击站点； 直接窃取服务器敏感信息等。
1. 2 特征Leabharlann 淆目前主流杀软都是基于特征扫描方式检测，这种扫描方式过于依赖特征库。为避免 Webshell 被检测出 来，各种反检测技术手段被用于隐藏其特征［1］。针对其混淆方法，采取相应对策，可以有效提取其特征数
Research of Webshell Detection Based on Decision Tree
HU Jiankang，XU Zhen，MA Duohe，Yang Jing
（ State Key Laboratory of Information Security，Institute of Information Engineering， Chinese Academy of Sciences，Beijing，100093，China）
熵（ entory） 刻画了样例集的纯度。给定例集 S，假定有 m 个类别，根据不同的类别可划分为 m 个子集
｛ S1 ，S2 ，S3. . . Sm｝ ，那么此样本的熵为：
m
∑ Entory( S) =
－ pilog2 pi
（ 1）
i =1
式（ 1） 中 pi 是子集 Si 在 S 中所占的比率，即：
据。Webshell 有主要下面几种混淆特征的方法。
（ 1） 插入注释等无用信息。比如在 PHP 代码中加入形如“/ * …* /”，“/ / …”注释不会影响代码的正常 执行，但会影响杀软检测［2］，所以，在提取和注释无关特征时，先将注释内容去除。
（ 2） 字符串连接替换技术。Webshell 调用系统控件时，为避免被检测到调用相关控件，会将控件名字拆
随着因特网技术飞速发展和日益普及，服务器安全问题日益严峻，甚至严重威胁到网络服务的正常运 行。因此及时检测发现服务器的漏洞和后门，保证服务器安全是至关重要。Webshell 常被入侵者用作对网 站服务器操作的后门工具，Webshell 大多由网页脚本语言编写，和其他正常的网页运行环境相同，服务端口 相同，因此很容易穿透防火墙和逃避杀毒软件的检测，相对于二进制编码的程序，Webshell 是纯文本文件，变 形简单，脚本使用灵活，很容易将特征码进行混淆或者隐藏，这使得基于特征匹配的检测方法很难快速准确 检测。本文将对 Webshell 的原理和特性，以及混淆方法进行探讨，然后提出并实现基于决策树学习的检测 模型，可以快速检测出 Webshell。
分，然后连接起来，或在字符串里插入空格等特殊字符，然后再替换掉等。因此，需预先对调用控件，函数和
字符处理函数进行检测。
（ 3） 使用加解密技术。对于特征数据可预先加密，在调行时动态解密。由于调用解密函数时，其参数内
容就是加密数据，所以参数长度一般都很长。因此需对加解密函数进行检测以及参数特征。
（ 4） 化整为散技术。为避免特征过于集中而被杀软检测到，把一个完整的网页拆分成多个网页，再用包
样本的信息增益率是由其信息增益度 Gain（ S，A） 和分裂信息度 SI（ S，A） 来决定：
GainRatio（ S，A）
=
Gain（ S，A） SI（ S，A）