WebShell是一种基于Web服务的后门程序。攻击者可以通过“菜刀”等WebShell工具对网站服务器发起攻击。基于网络的检测可以监控请求和响应流量,发现异常行为,检测Webshell的存在。一些机器学习和深度学习方法已经在该领域得到应用,但是目前的方法无法对未知的WebShell攻击行为进行检测,同时现有研究采用的模型检测速度无法应对大规模流量数据的检测需求,且现有方法只检测WebShell流量,并没有深入研究WebShell攻击是否成功。为解决上述问题,本文提出了基于HTTP请求流量和响应流量的Webshell攻击行为检测体系。具体来说:本文构建了基于HTTP流量检测WebShell攻击的体系框架。该框架基于HTTP请求流量与响应流量进行攻击识别,能够识别WebShell攻击流量并判断攻击是否成功,能够实现少量人工干预下的流量数据解析、数据处理、模型的训练和预测,可应用于实际流量检测场景。本文充分利用HTTP流量报文中请求字段信息,提出了字符级流量内容特征转换方法。本文提出了基于CNN和LSTM的模型架构,该架构能够摆脱对先验信息及专家知识的依赖性,并在各项检测指标上优于其他模型。本文提出了响应流量内容特征和结构特征的提取方法,并通过实验检验特征提取方法的合理性。本文采用了融合注意力机制的深度学习检测模型和XG-Boost模型判别WebShell攻击是否成功。实验结果显示,本文采用的模型相比于其他机器学习模型有更加显著的检测效果。