2020第五空间智能安全大赛实战解析：基于深度学习的WebShell检测方案

1次阅读

共计 1885 个字符，预计需要花费 5 分钟才能阅读完成。

WebShell 作为攻击者持久化控制的重要手段，其技术呈现两个显著趋势：一方面，混淆加密技术（如 Base64 多层嵌套、异或加密）大幅提升了静态检测难度；另一方面，动态调用模式逐渐转向合法 API 模仿（如通过 curl_exec 伪装正常业务请求）。传统检测方法面临三重困境：

正则匹配失效 ：基于关键词规则库的检测对eval($_POST[cmd]) 等基础变体有效，但无法识别通过 call_user_func_array 等间接调用的新型 WebShell
静态分析滞后：语法树分析受限于 PHP 动态特性（如变量函数名$func()），且无法捕获运行时行为特征
动态沙箱瓶颈：行为监控方案存在性能损耗高（约 300ms/ 请求）与环境依赖性强的缺陷

针对序列检测任务，主流深度学习架构对比实验显示：

CNN：在局部模式捕捉上表现优异（如识别 preg_replace 的/e修饰符漏洞），但对长距离依赖（如跨文件函数调用链）处理能力有限
RNN：LSTM 单元虽能建模时序关系，但训练速度较慢（较 CNN 慢 2.3 倍）且存在梯度消失风险
Transformer：自注意力机制在理论上适合代码分析，但需要超大规模预训练（>100 万样本）才能发挥优势

最终选择CNN-LSTM 混合架构，其优势体现在：

卷积层（3 层 kernel_size= 5 的一维卷积）提取操作码局部特征
BiLSTM 层（128 个隐藏单元）捕获跨函数调用序列的上下文关系
双通道设计同步处理代码语义与行为轨迹

采用两级特征表示方案：

操作码序列化：通过 PHP-VLD 扩展将脚本转换为 OPCODE 序列，例如：
```
FETCH_R $_GET 0
ASSIGN $a 0
DO_FCALL "system" 1
```
使用 Word2Vec（vector_size=64）嵌入生成向量表示
API 调用图嵌入：基于函数调用关系构建有向图，通过 Node2Vec 算法生成节点嵌入，重点监控敏感 API（如shell_exec、proc_open）的调用密度

# TensorFlow 2.x 实现核心片段
inputs = Input(shape=(None, 64))

# 代码特征通道
x = Conv1D(32, 5, activation='relu', padding='same')(inputs)
x = MaxPooling1D(3)(x)
x = Bidirectional(LSTM(128))(x)

# 行为特征通道
y = Dense(64, activation='relu')(api_embed_input)

# 融合层
concat = Concatenate()([x, y])
outputs = Dense(1, activation='sigmoid')(concat)

model = Model(inputs=[inputs, api_embed_input], outputs=outputs)

在第五空间大赛提供的 1073 个样本（含 561 个 WebShell 变种）上测试：