基于深度學(xué)習(xí)的Webshell檢測*

車生兵，張光琳

(中南林業(yè)科技大學(xué)計算機與信息工程學(xué)院,湖南 長沙 410004)

1 引言

AWD(Attack with Defence)是一種將解題與攻防2種模式相結(jié)合的CTF(Capture The Flag)賽制。該模式具有攻防兼?zhèn)涞奶攸c，參賽隊利用其它隊伍漏洞獲取分數(shù)的同時還需要修補自己的環(huán)境漏洞。該賽制下隊伍得分多者獲勝，投入大量時間在攻擊部分成了最優(yōu)選，防御部分僅使用一些傳統(tǒng)檢測工具草草了事,并且傳統(tǒng)檢測工具對經(jīng)過混淆變形后的Webshell檢測效率并不理想。隨著深度學(xué)習(xí)技術(shù)的發(fā)展，其在越來越多的領(lǐng)域得到應(yīng)用。本文將深度學(xué)習(xí)與Webshell檢測相結(jié)合，基于AWD比賽環(huán)境的背景研究檢測結(jié)果最優(yōu)時的檢測模型和特征提取方法。

2 研究現(xiàn)狀

當前Webshell檢測工作多從流量檢測、文件檢測和日志檢測3方面入手?；诹髁繖z測的方法，可能會錯誤攔截主辦方用于檢測隊伍環(huán)境的數(shù)據(jù)包，導(dǎo)致隊伍被誤以為處于宕機狀態(tài)，從而扣除分數(shù)。基于日志的檢測方法存在響應(yīng)時間過長的問題。因此，本文選用基于文件的方法進行Webshell的檢測研究。

近年來基于機器學(xué)習(xí)的檢測方法流行起來。Sun等[1]提出了基于矩陣分解的分類檢測模型;朱魏魏等[2]提出了NN-SVM(Nearest Neighbor Support Vector Machine)檢測模型;胡建康等[3]提出了結(jié)合Boosting算法的決策樹分類檢測方法;易楠等[4]提出了基于語義的檢測方法。上述基于機器學(xué)習(xí)的檢測方法確實提高了Webshell的檢測效率，但是其研究工作多在代碼文本層面開展，對混淆后的Webshell檢測結(jié)果并不理想。于是基于Opcode操作碼的文件檢測研究成為了研究人員新的關(guān)注方向。胥小波等[5]通過PHP(Hypertext Preprocessor)編譯工具提取PHP樣本源碼的Opcode操作碼，并使用詞頻與逆向文件頻率TF-IDF(Term Frequency-Inverse Document Frequency)對Opcode操作碼進行處理獲取向量特征，最后結(jié)合多層感知機MLP(MultiLayer Perceptron)進行檢測研究，檢測結(jié)果較為理想。同時期Guo等[6]也驗證了PHP操作碼和TF-IDF特征提取模型的可行性。傅建明等[7]提出了使用操作碼和詞匯表的特征提取方法。張涵等[8,9]提出了利用word2vec與Opcode相結(jié)合提取特征的方法，分別使用多層感知機和卷積神經(jīng)網(wǎng)絡(luò)檢測，效果更好。Lü等[10]對Webshell檢測卷積網(wǎng)絡(luò)中各超參數(shù)進行了對比實驗。周龍等[11]通過TF-IDF提取詞頻矩陣，使用LSTM(Long Short-Term Memory)進行檢測，驗證了循環(huán)神經(jīng)網(wǎng)絡(luò)RNN(Recurrent Neural Network)檢測的可行性。

為了探究AWD背景下的Webshell檢測問題，在已有研究成果的基礎(chǔ)上，本文主要做了如下工作：

(1)根據(jù)實際參賽經(jīng)驗，對隨機獲取的Webshell樣本進行了長度處理，使其在本文特定背景下更具有針對性。

(2)由于實驗環(huán)境因素的差異性，不同研究人員的方法及其實驗結(jié)果并不能直接用來進行對比。本文針對具體應(yīng)用背景，使用特定數(shù)據(jù)集，將現(xiàn)有模型在同環(huán)境下進行對照實驗，尋找檢測結(jié)果最好、效率最高的Webshell檢測模型和特征提取方法，并對模型進行了優(yōu)化。

(3)考慮到攻擊代碼有著全局稀疏、局部緊密的特點，本文使用了雙卷積結(jié)構(gòu)，并將卷積核模板的高度分別設(shè)計為3,4和5，而且攻擊向量垂直方向關(guān)聯(lián)特征明顯，水平方向相對穩(wěn)定，考慮到特征向量在傳遞過程中規(guī)模會減小，增加了補零選項。

(4)經(jīng)過大量實驗發(fā)現(xiàn)，深度學(xué)習(xí)訓(xùn)練算法Adam對AWD攻擊向量的訓(xùn)練不太適應(yīng)，本文對其進行了改進。

(5)探索了雙卷積和GRU(Gate Recurrent Unit)相結(jié)合的檢測模型。實驗結(jié)果顯示，基于詞匯表的雙卷積GRU模型最終檢測精確率為98.7%，基于word2vec的雙卷積GRU模型最終檢測準確率為98.8%，并且訓(xùn)練曲線收斂得更快更平滑。驗證了該模型在檢測中的有效性和可行性。

3 相關(guān)工作

3.1 Webshell樣本獲取及精簡

本文的數(shù)據(jù)集通過GitHub上的開源收集項目獲取，合計收集惡意樣本代碼文件1 805個，白樣本為用于PHP應(yīng)用開發(fā)的常用開源框架，合計4 137個。編寫批量Opcode處理腳本程序?qū)⑺蠵HP文件轉(zhuǎn)換為Opcode。在比賽中“小馬”由于其體積小、更容易修改的特點，成為比賽隊伍常用的攻擊手段。因此，本文僅保留Opcode個數(shù)在0～1 000的樣本，這對檢測“大馬”影響較小，且不影響對“小馬”和“一句話木馬”的檢測。

3.2 Opcode可行性分析

圖1a為混淆后的Webshell文本代碼。變形后的代碼中已經(jīng)看不到可理解的函數(shù)名，只有重復(fù)的無意義的函數(shù)名，這表示屬性描述中多數(shù)特征已無法再作為檢測的標準，如敏感eval、exec函數(shù)調(diào)用、系統(tǒng)函數(shù)調(diào)用數(shù)量和各種操作等?；谏鲜鲈?，混淆變形后的代碼會對輸入特征值產(chǎn)生較大影響，導(dǎo)致算法識別率下降。

Figure 1 Obfuscated code and Opcode after conversion圖1 混淆后的文本代碼和轉(zhuǎn)換后的Opcode操作碼

將圖1a中的文本代碼轉(zhuǎn)換為Opcode操作碼后的內(nèi)容如圖1b所示，可以發(fā)現(xiàn)混淆變形Webshell文本代碼的Opcode操作碼仍可以正常獲取，并且操作碼可以看作包含時序的特征值，編譯后獲取的操作碼序列也沒有其他因素的干擾，如注釋等。該種特征提取方式能克服惡意文件加密混淆偽裝后不能被正確識別的缺點，不含噪聲，提高了數(shù)據(jù)質(zhì)量，有利于后續(xù)的檢測工作。

3.3 Opcode特征提取方案

3.3.1 利用N-gram和TF-IDF提取Opcode特征

N-gram和TF-IDF方法在本文實驗對照組中。

N-gram方法將相鄰的Opcode劃分為一個詞組單元，并使用詞頻向量表示單個樣本。針對Opcode序列性強、上下文聯(lián)系密切的特點，將4個以內(nèi)的相鄰Opcode劃分到一個詞組中，以此來生成詞頻向量。該方式會產(chǎn)生數(shù)量巨大的操作碼詞組，因此需要進行精簡。本文去掉頻率低于 10% 的詞組，去掉頻率等于 100%的詞組，將剩下的操作碼詞組作為詞頻矩陣。

詞頻與逆向文件頻率TF-IDF是自然語言處理領(lǐng)域的另外一種常用的特征提取方法。該方法認為詞在當前文檔的重要性同時被其在當前文檔中出現(xiàn)的頻率和其在語料庫中出現(xiàn)的頻率所影響。

3.3.2 利用詞匯表提取Webshell特征

詞匯表方法在本文的實驗對照組中。詞匯表方法生成的向量保留了句子的詞序特征，該特征能更好地學(xué)習(xí)到Opcode操作碼的序列信息，因此本文決定同時采用詞匯表方法提取Opcode操作碼的特征向量并進行檢測實驗。

首先，提取所有Opcode樣本的詞袋，詞袋中詞的數(shù)量N為166;然后,利用詞袋將每一個Opcode表示成一個向量，向量長度為所選取的最大文檔長度。由于樣本中Opcode最長為1 000，此處最大文檔長度也為1 000。

3.3.3 利用word2vec詞向量提取Webshell特征

word2vec在本文的實驗對照組中。使用Gensim開源工具包訓(xùn)練word2vec詞向量的功能。本文中word2vec方法中模型的訓(xùn)練設(shè)置如下：詞向量維度為100，窗口大小設(shè)置為10，最小詞頻為10，迭代訓(xùn)練次數(shù)為 100 次，采用CBOW(Continuous Bag of Words)模型進行訓(xùn)練。通過TSNE(T-distributed Stochastic Neighbor Embedding)算法將生成的詞向量降至2維，并進行可視化，結(jié)果如圖2所示。從圖2中可以看到，Opcode表現(xiàn)出分布的特點，即通過詞向量可以明顯區(qū)分功能不同的Opcode，這也表明了使用Opcode進行檢測的可行性。

Figure 2 Dimension reduction visualization of word vector by TSNE圖2 TSNE詞向量降維可視化

3.4 深度學(xué)習(xí)實驗?zāi)Ｐ驮O(shè)計

3.4.1 多層感知機模型設(shè)計

多層感知機網(wǎng)絡(luò)結(jié)構(gòu)如圖3所示，2個隱藏層分別包含5個節(jié)點和2個節(jié)點，選擇隨機梯度下降算法對各節(jié)點權(quán)值進行調(diào)整，輸出層選擇Sigmoid作為激活函數(shù)，其它層選擇ReLU函數(shù)。

Figure 3 Structure of multilayer perceptron 圖3 多層感知機結(jié)構(gòu)

3.4.2 卷積神經(jīng)網(wǎng)絡(luò)模型設(shè)計

文本分類中常用的經(jīng)典一維卷積處理模型TextCNN如圖4所示[12],Webshell檢測也屬于文本二分類問題，所以本文采用該模型進行Webshell檢測。

Figure 4 Structure of TextCNN圖4 TextCNN結(jié)構(gòu)圖

在超空間利用模糊C均值聚類分析發(fā)現(xiàn)了攻擊向量全局稀疏、局部緊密的特點,本文在使用經(jīng)典模型作為實驗對照的同時，考慮到文本的稀疏性，還對經(jīng)典模型進行了改進，添加了雙卷積層，如圖5所示。由于一次攻擊與相鄰的2～4次操作緊密相關(guān)，卷積核模板的高度分別設(shè)計為3,4和5，而且攻擊向量垂直方向關(guān)聯(lián)特征明顯，水平方向相對穩(wěn)定，考慮到特征向量在傳遞過程中規(guī)模會減小，增加了補零選項。

Figure 5 Double convolution model圖5 雙卷積模型

調(diào)參工作選用本文改進后的Adam算法[13]。經(jīng)過大量實驗發(fā)現(xiàn)，深度學(xué)習(xí)訓(xùn)練算法Adam對AWD攻擊向量的訓(xùn)練不太適應(yīng),本文把學(xué)習(xí)率learning_rate修改為0.000 2，矩估計的指數(shù)衰減率參數(shù)beta1修改為0.5，程序中的變量epsilon_t修改為epsilon，不但消除了訓(xùn)練的Loss曲線中的鋸齒，還使得訓(xùn)練曲線按照指數(shù)規(guī)律下降，迅速得到了需要的訓(xùn)練結(jié)果，且在測試數(shù)據(jù)集上的分類成功率很高，優(yōu)于同類算法的分類結(jié)果。Adam算法隨機變量修正值快速計算公式證明在附錄中給出。

3.4.3 循環(huán)神經(jīng)網(wǎng)絡(luò)模型設(shè)計

LSTM是一種效果比較好的遞歸神經(jīng)網(wǎng)絡(luò)，能夠很好地解決長記憶時間序列問題[14,15]。GRU是LSTM網(wǎng)絡(luò)的一種變體結(jié)構(gòu)，比LSTM更加簡單，且訓(xùn)練效果也很好。通常來說，GRU和LSTM在很多任務(wù)上不分伯仲，GRU參數(shù)少更容易收斂，但當數(shù)據(jù)樣本很大時LSTM表現(xiàn)性能更好。本文設(shè)計2種模型結(jié)構(gòu)進行LSTM和GRU檢測性能對比。調(diào)參工作選用本文改進后的Adam算法，設(shè)置Dropout=0.5。在RNN中分別使用LSTM單元和GRU單元進行對比，如圖6所示。

Figure 6 RNN network model圖6 RNN網(wǎng)絡(luò)實驗?zāi)Ｐ?/p>

4 綜合實驗設(shè)計與對比

4.1 評價指標

為了準確對比各檢測方法的性能，本文使用4種指標度量各方法的性能：精確率(Precision)、準確率(Accuracy)、召回率(Recall)和F1(F1-sore)指標。

4.2 初步實驗結(jié)果

(1)多層感知機實驗。

分析4種特征提取方法在MLP中的實驗結(jié)果。4種對應(yīng)的檢測方法如下所示：

①特征提取使用詞袋和TF-IDF，基于MLP進行的分類檢測。

②特征提取使用詞匯表，基于MLP進行的分類檢測。

③特征提取使用N-gram，基于MLP進行的分類檢測。

④特征提取使用word2vec，基于MLP進行的分類檢測。

上述方法中的一些參數(shù)設(shè)置如下：

詞袋+TF-IDF：通過對比實驗可知，使用4-gram、最大特征數(shù)為100時檢測結(jié)果最好。

N-gram：通過對比實驗可知，使用4-gram、最大特征數(shù)為100時檢測結(jié)果最好。

詞匯表：通過對比實驗可知，最大文本長度為100時檢測結(jié)果最好。

word2vec：通過對比實驗可知，詞向量維度為100、最大文本長度為500時檢測結(jié)果最好。

實驗結(jié)果如表1所示。從表1中可以看出,多層感知機模型的檢測結(jié)果不理想，比不上其他深度學(xué)習(xí)模型的檢測結(jié)果(其他深度學(xué)習(xí)模型檢測結(jié)果見后文)。因此,本文不再考慮多層感知機模型。

Table 1 MLP check results

(2)卷積對照實驗。

分析不同特征提取方法在TextCNN模型和雙卷積模型中的實驗結(jié)果。對照檢測方法如下所示：

①特征提取使用N-gram，基于TextCNN模型進行的分類檢測。

②特征提取使用詞匯表，基于TextCNN模型進行的分類檢測。

③特征提取使用word2vec，基于TextCNN模型進行的分類檢測。

④特征提取使用N-gram，基于雙層卷積模型進行的分類檢測。

⑤特征提取使用詞匯表，基于雙層卷積模型進行的分類檢測。

⑥特征提取使用word2vec，基于雙層卷積模型進行的分類檢測。

上述方法中的一些參數(shù)設(shè)置如下：

N-gram：通過對比實驗可知，使用4-gram、最大特征數(shù)為20時檢測結(jié)果最好。

習(xí)近平在北京師范大學(xué)師生代表座談時指出辦好教育事業(yè)的任務(wù)艱巨性[13]，我國教育事業(yè)所面臨的問題與挑戰(zhàn)，構(gòu)成了教育體制機制改革階段的基本特征。在習(xí)近平主持召開的中央全面深化改革領(lǐng)導(dǎo)小組第三十五次會議上，《關(guān)于深化教育體制機制改革的意見》獲得審議通過，明確提出要“統(tǒng)籌推進育人方式、辦學(xué)模式、管理體制、保障機制改革”[14]，進一步明確了深化教育體制機制改革的目標、要求和任務(wù)。

詞匯表：通過對比實驗可知，最大文本長度為1 000時檢測結(jié)果最好。

word2vec：通過對比實驗可知，詞向量維度為100、最大文本長度為500時檢測結(jié)果最好。

實驗結(jié)果如表2所示，訓(xùn)練階段損失下降情況如圖7所示。從提取樣本特征方法來看，使用詞匯表和word2vec的方法在卷積網(wǎng)絡(luò)中都表現(xiàn)出不錯的檢測效果，N-gram特征提取方法的檢測結(jié)果不太理想。從Loss曲線收斂情況可以看出,使用詞匯表和word2vec檢測方法的曲線收斂較快，說明包含了全局時序特征的樣本輸入能讓卷積網(wǎng)絡(luò)獲得更好的學(xué)習(xí)能力。N-gram損失了全局時序特征，僅保留一定的局部時序特征，因此檢測結(jié)果不理想。從模型的角度來看，3種不同的特征提取方法在雙層卷積模型中的檢測效果都得到了提升。

(3)RNN對照實驗。

分析3種特征提取方法在LSTM和GRU中的實驗結(jié)果。對照檢測方法如下所示：

①特征提取使用N-gram，基于LSTM進行的分類檢測。

Table 2 Convolutional network check results

Figure 7 Loss curve of convolution group in the training phase圖7 卷積組訓(xùn)練階段Loss曲線

②特征提取使用詞匯表，基于LSTM進行的分類檢測。

④特征提取使用N-gram，基于GRU進行的分類檢測。

⑤特征提取使用詞匯表，基于GRU進行的分類檢測。

⑥特征提取使用word2vec，基于GRU進行的分類檢測。

上述方法中的一些參數(shù)設(shè)置如下：

N-gram：通過對比實驗可知，使用4-gram、最大特征數(shù)為20時檢測結(jié)果最好。

詞匯表：通過對比實驗可知，最大文本長度為1 000時檢測結(jié)果最好。

word2vec：通過對比實驗可知，最大文本長度為500、詞向量維度為100時在LSTM模型中檢測結(jié)果最好，詞向量維度為1 000時在GRU中檢測結(jié)果最好。

實驗結(jié)果如表3所示。訓(xùn)練階段損失下降情況如圖8所示。從提取樣本特征方法來看，使用包含了全局時序特征的詞匯表和word2vec的方法檢測結(jié)果較好，使用N-gram的檢測結(jié)果不太理想。由圖8可以看出，使用word2vec檢測方法的曲線收斂最快最好;使用詞匯表檢測方法的曲線前期波動較為明顯，雖然最后檢測結(jié)果不錯，但是學(xué)習(xí)效率不如使用word2vec的；相比使用詞匯表方法，使用N-gram的方法能更快地收斂，但實際識別效果很差，出現(xiàn)了過擬合的問題。從模型的角度來看，GRU和LSTM以詞匯表作為特征提取方法時，GRU收斂得更快更好,效率更高。從表3中也可以看出，針對小樣本時，GRU的檢測結(jié)果比LSTM的稍好一些。

Table 3 RNN check results

Figure 8 Loss curve of RNN in the training phase圖8 RNN組訓(xùn)練階段Loss曲線

4.3 雙卷積GRU模型實驗結(jié)果

從初步的實驗結(jié)果分析可知,雙卷積模型收斂快且平滑，但是以詞匯表作為特征提取方法時檢測結(jié)果不如GRU模型的；GRU綜合檢測結(jié)果比雙卷積模型要好，但是以詞匯表作為特征提取方法時Loss曲線收斂較慢，波動較大。因此，本文整合其優(yōu)點，提出雙卷積GRU模型，期望得到進一步優(yōu)化。雙卷積GRU模型結(jié)構(gòu)如圖9所示，設(shè)計對照組檢測方法驗證3種特征提取方法在雙卷積GRU中的檢測結(jié)果。采取的3組檢測方法分別是：

Figure 9 Double convolution GRU model圖9 雙卷積GRU模型

(1)特征提取使用N-gram，基于雙卷積GRU進行的分類檢測。

(2)特征提取使用詞匯表，基于雙卷積GRU進行的分類檢測。

(3)特征提取使用word2vec，基于雙卷積GRU進行的分類檢測。

上述方法中的一些參數(shù)設(shè)置如下：

N-gram：通過對比實驗可知，使用4-gram、最大特征數(shù)為20時檢測結(jié)果最好。

詞匯表：通過對比實驗可知，最大文本長度為1 000時檢測結(jié)果最好。

word2vec：通過對比實驗可知，詞向量維度為100、最大文本長度為500時檢測結(jié)果最好。

將雙卷積層GRU模型的檢測結(jié)果與卷積對照組和RNN對照組中表現(xiàn)最好的雙卷積模型和GRU模型的檢測進行對比。雙卷積層GRU模型訓(xùn)練階段損失下降情況如圖10所示，綜合損失下降對比情況如圖11所示，綜合檢測結(jié)果對比如表4所示。

Figure 10 Loss curve of double convolution GRU model圖10 雙層卷積GRU Loss曲線

Figure 11 Comprehensive comparison of Loss curve based on vocabulary and word2vec圖11 基于詞匯表和word2vec的Loss曲線綜合對比

Table 4 Comprehensive comparison

從檢測結(jié)果來看，基于詞匯表和word2vec的特征提取方法在3種模型中都有很好的表現(xiàn)。使用詞匯表特征提取方法的雙卷積GRU模型檢測結(jié)果最好，其精確率為0.987,是所有模型中最高的，F(xiàn)1值為0.983,也是所有模型中最高的。使用word2vec特征提取方法的雙卷積GRU模型檢測結(jié)果最好，其準確率為0.988,是所有模型中最高的，召回率為0.982,也是所有模型中最高的。從收斂曲線來看：當使用詞匯表特征提取方法時，雙卷積GRU模型的曲線收斂得最好(圖11a中②號曲線)，GRU模型曲線收斂最慢(圖11a中③號曲線)；當使用word2vec特征提取方法時，雙卷積GRU模型和雙卷積模型的曲線均收斂很好(圖11b中①和②號曲線)，GRU模型收斂最慢(圖11b中③號曲線)。

通過以上分析可知，雙卷積GRU模型成功結(jié)合了GRU模型和雙卷積模型的優(yōu)點，在訓(xùn)練效率和檢測結(jié)果上都達到了最優(yōu)，驗證了該模型的可行性。因此，在后續(xù)應(yīng)用工作中將采取詞匯表或word2vec的特征提取方法，同時結(jié)合雙卷積GRU模型進行檢測工作。

5 結(jié)束語

本文基于AWD攻防競賽背景進行了PHP Webshell的檢測研究。為了適應(yīng)比賽背景，對Opcode數(shù)據(jù)集的長度進行了處理，使用特定的數(shù)據(jù)集，將現(xiàn)有模型在同環(huán)境下進行了對照實驗，并對模型進行了優(yōu)化?；谠摫尘暗臄?shù)據(jù)集，優(yōu)化了Adam算法提高了訓(xùn)練效率。通過詞袋、TF-IDF、N-gram、詞匯表和word2vec等方法提取特征，與深度學(xué)習(xí)多層感知機網(wǎng)絡(luò)MLP、卷積神經(jīng)網(wǎng)絡(luò)CNN和循環(huán)神經(jīng)網(wǎng)絡(luò)RNN相結(jié)合，設(shè)置對照實驗。在特征提取方法上，實驗結(jié)果表明基于包含全局時序特征的詞匯表和word2vec在CNN和RNN神經(jīng)網(wǎng)絡(luò)中的檢測性能更好。雙卷積層模型檢測效果優(yōu)于單卷積層模型，GRU模型相比LSTM模型訓(xùn)練效率更高。雙層卷積GRU模型成功地結(jié)合了卷積神經(jīng)網(wǎng)絡(luò)和GRU網(wǎng)絡(luò)的優(yōu)點，成為本次研究中的最優(yōu)模型。實驗結(jié)果顯示，基于詞匯表的雙層卷積GRU模型最終檢測精確率達到98.7%，基于word2vec的雙層卷積GRU模型最終檢測準確率達到98.8%,驗證了該模型在檢測中的有效性和可行性。

附錄AAdam算法隨機變量修正值快速計算公式
的證明

證明

根據(jù)Adam算法給出的θt計算公式，有:

□