(19)中华 人民共和国 国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202111642181.4 (22)申请日 2021.12.2 9 (71)申请人 上海浦东发展银行股份有限公司 地址 200000 上海市黄浦区中山 东一路12 号 (72)发明人 晋晨　游刚　何晴　 (74)专利代理 机构 北京汇信合知识产权代理有 限公司 1 1335 代理人 尚鹏程 (51)Int.Cl. G06F 21/56(2013.01) G06K 9/62(2022.01) (54)发明名称 一 种 动态 检 测 和静 态 检 测 相结 合的 Webshell检测方法和检测系统 (57)摘要 本发明公开了一种动态检测和静态检测相 结合的Websh ell检测方法和检测系统， 属于信息 安全技术领域， Webshell检测方法方法包括： 利 用静态检测模型， 对待测样本进行检测， 获得待 测样本为Websh ell或正常的概率； 判断所述概率 是否超过阈值； 若是， 所述待测样本为Webshell 样本或正 常样本； 若否， 利用动态检测模 型， 对待 测样本进行检测。 利用静态检测模型的高效性， 对Webshell进行检测， 同时利用动态 检测模型的 高检出率， 提高Webshell的效率和检出率， 使静 态检测和动态检测相结合 或融合， 检测方法兼具 动态检测 和静态检测的优点。 权利要求书2页 说明书6页 附图3页 CN 114297651 A 2022.04.08 CN 114297651 A 1.一种动态检测和静态检测相结合的Webshell检测方法， 其特征在于， 所述Webshell 检测方法包括： 根据静态特 征， 建立第一训练集； 基于机器学习分类算法， 对所述第一训练集进行训练， 获得静态检测模型； 根据动态特 征， 建立第二训练集； 基于梯度提升决策树， 对所述第二训练集进行训练， 获得动态检测模型； 利用静态检测模型， 对待测样本进行检测， 获得待测样本为 Webshell或正常的概 率； 判断所述 概率是否超过阈值； 若是， 所述待测样本为 Webshell样本或正常样本； 若否， 利用动态检测模型， 对待测样本进行检测。 2.根据权利要求1所述的检测方法， 其特 征在于， 还 包括模型迭代的方法： 将所检测的样本和检测结果保存到训练集中； 利用所述训练集对静态检测模型或动态检测模型进行迭代。 3.根据权利要求2所述的检测方法， 其特 征在于， 建立训练集的方法包括： 判断训练集中正常样本的数量是否 达到第二阈值； 若是， 判断所检测的样本是否为 Webshell样本； 若为Webshell样本， 将Webshel l样本保存到训练集中； 若不是Webshel l样本， 丢弃 该样本； 若否， 将所检测的样本保存到训练集中。 4.根据权利要求3所述的检测方法， 其特征在于， 利用训练集进行模型迭代的方法包 括： 将训练集中正常文件和Webshel l文件按1： 0.8 ‑2比例混合， 获得迭代训练集； 利用迭代训练集对静态模型进行迭代。 5.根据权利要求1所述的检测方法， 其特 征在于， 所述静态特 征包括以下 特征的组合： 文本的最长 字符长度、 文件的信息熵、 特殊字符的占比和文件的压缩比。 6.根据权利要求1所述的检测方法， 其特征在于， 所述机器学习分类算法包括朴素贝叶 斯算法或随机森林算法。 7.根据权利要求1所述的检测方法， 其特 征在于， 获得动态特 征的方法包括： 利用3‑gram词袋模型， 提取样本的网络流 量， 获得动态特 征； 基于TF‑IDF模型， 获得动态特 征的权重。 8.一种用于实现如权利要求1 ‑7任一项所述检测方法的检测系统， 其特征在于， 包括第 一检测模块和第二检测模块； 所述第一检测模块用于通过静态检测模型， 对待测样本进行检测， 获得待测样本为 Webshell的概率； 所述概率若超过阈值， 所述待测样本为 Webshell样本； 所述概率若小于阈值， 调用第二检测模块； 所述第二检测模块用于通过动态检测模块， 对待检测样本进行检测。 9.根据权利要求8所述的检测系统， 其特征在于， 还包括第一构建模块和第二构建模 块， 所述第一构建模块用于： 基于机器学习分类算法， 对所述第 一训练集进行训练， 获得静权　利　要　求　书 1/2 页 2 CN 114297651 A 2态检测模型； 第二构建模块用于： 基于梯度提升决策树， 对所述第 二训练集进行训练， 获得动态检测 模型。 10.根据权利要求8所述的检测系统， 其特 征在于， 还 包括模型迭代模块； 所述模型迭代模块用于将所检测的样本和检测结果保存到训练集中； 利用所述训练集， 对静态检测模型或动态检测模型进行迭代。权　利　要　求　书 2/2 页 3 CN 114297651 A 3