基于概率神經(jīng)網(wǎng)絡(luò)的Drive-byDownload惡意腳本檢測(cè)技術(shù)研究.pdf

1、近些年來(lái)，互聯(lián)網(wǎng)威脅逐漸從電子郵件轉(zhuǎn)移到即時(shí)通軟件和惡意網(wǎng)頁(yè)。包含有害腳本代碼的網(wǎng)頁(yè)成為不法分子散播攻擊程序的主要手段。網(wǎng)頁(yè)有害腳本主要基于Javascript語(yǔ)言，針對(duì)瀏覽器及其插件的漏洞進(jìn)行攻擊，獲取系統(tǒng)控制權(quán)限。Javascript與瀏覽器緊密結(jié)合，容易變形混淆，所以代碼檢測(cè)難度大。瀏覽器及其插件漏洞層出不窮，并且漏洞攻擊技術(shù)日益成熟，使得有害腳本影響范圍廣。有害腳本特別是Drive-by-Download攻擊與其他方式相比，更加

2、隱蔽且成功率更高，越來(lái)越受到入侵者的青睞。目前，有害腳本代碼檢測(cè)技術(shù)主要提取腳本靜態(tài)特征和動(dòng)態(tài)執(zhí)行特征。靜態(tài)特征是腳本的統(tǒng)計(jì)特征和語(yǔ)義特征，靜態(tài)分析技術(shù)通過(guò)對(duì)比正常腳本和有害腳本靜態(tài)特征的差異實(shí)現(xiàn)腳本檢測(cè)。靜態(tài)分析技術(shù)能夠?qū)崿F(xiàn)對(duì)未知樣本檢測(cè)，并且檢測(cè)速度快，但是它對(duì)混淆腳本檢測(cè)能力有限。動(dòng)態(tài)特征是指在模擬環(huán)境中，腳本代碼動(dòng)態(tài)執(zhí)行過(guò)程中的可疑對(duì)象和可疑操作。動(dòng)態(tài)分析技術(shù)可以實(shí)現(xiàn)對(duì)混淆腳本的檢測(cè)，但是資源占用量大，檢測(cè)速度慢，環(huán)境配置要求高

3、。
　　 本文提出了一種新的檢測(cè)模型，首先提取腳本的混淆特征判斷腳本是否混淆化，對(duì)腳本解混淆，然后提取腳本的靜態(tài)統(tǒng)計(jì)特征，根據(jù)語(yǔ)義對(duì)腳本序列化，生成危險(xiǎn)序列樹(shù)，提取腳本的危險(xiǎn)序列特征。用混淆特征、統(tǒng)計(jì)特征和危險(xiǎn)序列特征三類(lèi)特征描述腳本。本文利用概率神經(jīng)網(wǎng)絡(luò)算法生成分類(lèi)器，它具有訓(xùn)練簡(jiǎn)單、魯棒性好、自組織能力強(qiáng)等優(yōu)點(diǎn)，特別適合應(yīng)用于模式分類(lèi)。本文的檢測(cè)方法克服了靜態(tài)分析技術(shù)不能檢測(cè)混淆腳本的缺點(diǎn)，并且資源占用少、檢測(cè)速度快。最后，