面向 drive-by-download 攻击的检测方法

• 作者: 王伟 韩臻 马洪亮
• 来源期刊: 华中科技大学学报（自然科学版）
• 学科: 工学
• 关键词: 异常检测 混淆 Web 安全 动态分析 JavaScript 恶意代码 drive-by-download 攻击
• 年，卷（期）: 2016,（3）
• 页码范围: 6-11
• 页数: 6页
• 分类号: TP393
• 语种: 中文
• DOI: 10.13245/j.hust.160302

摘要

针对隐藏在混淆 JavaScript 代码中的 drive-by-download 攻击很难被检测的问题，深入分析了混淆JavaScript 代码以及 drive-by-download 攻击的静态和动态行为特征，设计并实现了只需正常行为数据进行训练、静态分析与动态分析相结合的异常检测原型系统．首先，静态分析以代码混淆度为特征，利用主成分分析（PCA）、最近邻（K-NN）和 one-class 支持向量机（SVM）三种算法检测出混淆 JavaScript 代码．其次，动态分析从 JavaScript 代码中获取的变量初值和变量终值，以变量初值和变量终值中提取的9个特征作为检测混淆代码中具有 drive-by-download 攻击的动态行为特征．从实际环境中收集了 JavaScript 正常与混淆恶意代码共7．0463×104条．实验结果表明：选用 PCA 算法时，在误报率为0．1％的情况下，系统对混淆 drive-by-down-load 攻击能达到99．0％的检测率．

作者信息

序号	姓名	单位	发文数	被引次数	H指数	G指数
1	王伟	北京交通大学计算机与信息技术学院	94	572	12.0	20.0
2	韩臻	北京交通大学计算机与信息技术学院	108	966	17.0	26.0