论文部分内容阅读
常规Webshell检测方法一般基于代码特征库和基于通信特征.代码混淆和虚假通信等反检测技术的出现,提升了Webshell隐蔽度,常规方法难于发现.为了检测此类隐蔽度较高的Webshell,采用了抽取程序代码多维Webshell特征,用余弦相似计算原理度量代码文件间的相似度,平均相似度极低的文件即为可疑Webshell文件.实验表明,正常代码文件间的平均相似度在10-1~10-2量级,而Webshell文件和正常代码文件的平均相似度在10-4量级,此方法可以有效地检测出Webshell.