WEB安全

深度学习PHP webshell查杀引擎demo

NNN4cyNNN4cy WEB安全 2018-05-29
3522 0

传统webshell查杀思路

  • 规则系统
  • 旁路执行
  • 沙箱

基于机器学习/深度学习的webshell查杀引擎，通过专家知识提取特征训练分类器，其结果受样本、特征、结构等多种因素影响。

特征维度：

  1. 文本语义(n-gram/TF-IDF/word2vec/CNN/RNN)
  2. 统计特征(信息熵/重合指数/最长词/可压缩比)
  3. 历史数据特征(计算单个文件的落盘时间/文件创建进程/文件类型/代码风格/权限和同目录下其他文件的"距离")
  4. OP指令层特征(指令/调用链/参数文本特征)
  5. 动态特征(文件读写/网络连接，可依靠沙箱或旁路执行能力解决编码混淆类case)

我尝试在兜哥《Web安全之机器学习入门》提出的opcode模型基础上，加入文本语义与参数语义特征，构建深度学习模型。模型首先识别php文件，然后提取特征进行计算。

用Github爬取的1w非同源样本测试效果，精确99.1%召回98.6%。结果显示深度学习的静态分析模型召回率优于规则系统，精确率优于沙箱。

demo

提供WEB测试页面和批量打标接口

PHP
1
2
3
4
➜  ~ <span class="hljs-keyword">echo</span> <span class="hljs-string">"&lt;?php eval(\$_GET[1]);?&gt;"</span> &gt; <span class="hljs-keyword">shell</span>.php        
➜  ~ curl http://webshell.cdxy.<span class="hljs-keyword">me</span>/api -F <span class="hljs-keyword">file</span>=@shell.php
{<span class="hljs-string">"status"</span>: <span class="hljs-string">"ok"</span>, <span class="hljs-string">"result"</span>: [[<span class="hljs-string">"danger"</span>, <span class="hljs-string">"MALICIOUS"</span>, <span class="hljs-string">"webshell detected. Go on, bro!"</span>]]}
 

在此抛砖引玉，如成功绕过可在评论区留言或邮件我，绕过姿势的案例分析和对改进方向的思考会再次分享。

赞(1)
赏

本文由来源 cdxy.me's blog，由 NNN4cy 整理编辑！

NNN4cy

NNN4cy

 文章：85

相关文章

热评文章

发表评论

用户登录