搜索

[16163] 2020-12-03_机器学习检测WebShell脚本实践

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-12-03_机器学习检测WebShell脚本实践 机 器 学 习 检 测 W e b S h e l l 脚 本 实 践 原 创   月 亮 与 六 便 士   F r e e B u f   2 0 2 0 - 1 2 - 0 3 W e b S h e l l 脚 本 检 测 机 器 学 习 实 践 脚 本 检 测 机 器 学 习 实 践 w e b s h e l l 作 为 黑 客 惯 用 的 入 侵 工 具 ， 是 以 p h p 、 a s p 、 j s p 、 p e r l 、 c g i 、 p y 等 网 页 文 件 形 式 存 在 的 一 种 命 令 执 行 环 境 。 黑 客 在 入 侵 一 个 网 站 服 务 器 后 ， 通 常 会 将 w e b s h e l l 后 门 文 件 与 网 站 服 务 器 W E B 目 录 下 正 常 网 页 文 件 混 在 一 起 ， 通 过 W e b 访 问 w e b s h e l l 后 门 进 行 文 件 上 传 下 载 、 访 问 数 据 库 、 系 统 命 令 调 用 等 各 种 高 危 操 作 ， 达 到 非 法 控 制 网 站 服 务 器 的 目 的 ， 具 备 威 胁 程 度 高 ， 隐 蔽 性 极 强 等 特 点 。 由 于 其 显 著 危 害 性 ， w e b s h e l l 的 检 测 一 直 是 安 全 领 域 一 个 长 盛 不 衰 的 话 题 ， 宏 观 上 可 分 为 运 行 前 静 态 检 测 和 运 行 后 动 态 检 测 两 种 。 简 单 来 说 ， 黑 客 入 侵 w e b 服 务 器 ， 不 管 是 上 传 w e b s h e l l 还 是 在 原 文 件 中 添 加 后 门 ， 对 文 件 静 态 属 性 进 行 分 析 的 方 法 属 于 静 态 检 测 ； w e b s h e l l 执 行 时 ， b r o w s e r / s e r v e r 数 据 通 过 H T T P 交 互 ， 我 们 对 交 互 行 为 和 信 息 进 行 分 析 ， 这 类 方 法 统 称 为 动 态 检 测 。 静 态 检 测 方 法 预 测 数 据 采 集 成 本 较 低 且 便 与 部 署 ， 缺 点 是 容 易 被 各 种 混 淆 及 加 密 方 法 绕 过 ； 采 用 动 态 检 测 理 论 上 可 以 避 免 被 绕 过 ， 但 测 试 数 据 采 集 成 本 较 高 ， 需 要 去 搭 建 一 个 安 全 的 沙 箱 环 境 收 集 流 量 特 征 ， 缺 点 是 在 生 产 中 也 只 有 当 w e b s h e l l 活 跃 状 态 时 才 能 发 挥 效 果 。 1   静 态 检 测 思 路 静 态 检 测 思 路 1 . 1   文 件 名 检 测 文 件 名 检 测 最 初 人 们 通 过 构 建 一 个 w e b s h e l l 文 件 名 字 典 去 匹 配 网 页 文 件 名 ， 查 看 是 否 存 在 w e b s h e l l 文 件 。 我 一 开 始 是 不 敢 相 信 的 ， 但 这 是 真 的 ， 黑 客 随 便 拿 一 个 w e b s h e l l 文 件 来 用 ， 甚 至 都 不 需 要 修 改 文 件 名 就 能 达 到 入 侵 的 目 的 ， 可 见 最 初 工 业 界 对 网 络 安 全 的 不 重 视 。 附 上 w e b s h e l l 文 件 名 ， 大 家 感 受 下 ： 渗 透 小 组 专 用 A S P 小 马 v p s 提 权 马 a s p 一 句 话 改 良 的 小 马 国 外 免 杀 大 马 b a c k d o o r . p h p 1 . 2   特 征 码 匹 配 法 特 征 码 匹 配 法 特 征 码 匹 配 法 目 前 普 遍 采 用 的 一 种 静 态 检 测 方 法 ， 通 过 对 w e b s h e l l 文 件 进 行 总 结 ， 提 取 出 常 见 的 特 征 码 、 特 征 值 、 威 胁 函 数 形 成 正 则 ， 对 整 个 网 页 文 件 进 行 扫 描 。 特 征 码 匹 配 的 方 式 优 点 也 是 十 分 突 出 ， 能 对 w e b s h e l l 后 门 精 细 化 分 类 具 备 高 可 解 释 行 且 逻 辑 结 构 简 单 ， 便 于 在 苏 宁 安 全 平 台 的 工 程 化 部 署 。 同 时 缺 点 也 很 明 显 ， 对 安 全 专 家 的 知 识 广 度 和 深 度 高 度 依 赖 ， 且 只 能 识 别 已 知 的 w e b s h e l l 模 式 ， 同 样 对 混 淆 加 密 w e b s h e l l 效 果 有 限 。 对 安 全 人 员 来 说 ， 维 护 起 来 极 其 繁 琐 ， 拆 西 墙 补 西 墙 ， 陷 入 不 断 打 补 丁 的 死 循 环 ， 针 对 大 文 件 对 性 能 消 耗 较 高 。 厂 家 更 多 情 况 下 是 采 用 正 则 先 做 一 遍 筛 选 ， 命 中 严 格 正 则 的 直 接 定 性 ， 命 中 宽 泛 正 则 的 进 一 步 采 取 其 他 分 析 方 式 。 1 . 3   语 义 分 析 语 义 分 析 语 法 分 析 可 以 看 作 是 特 征 匹 配 的 抽 象 升 级 版 。 其 根 据 脚 本 语 言 的 编 译 实 现 方 式 ， 对 代 码 进 行 清 洗 ， 抽 取 函 数 、 变 量 、 系 统 关 键 字 等 字 符 串 单 元 ， 来 实 现 危 险 函 数 的 捕 获 。 通 常 将 源 代 码 拆 分 后 结 构 化 为 中 间 状 态 表 示 ， 再 在 抽 象 后 状 态 的 基 础 上 进 一 步 分 析 。 相 比 特 征 正 则 匹 配 ， 可 以 做 到 更 精 细 化 的 关 联 分 析 ， 在 检 出 率 和 误 报 率 上 提 升 一 大 步 。 该 方 法 要 做 到 非 常 好 的 检 出 效 果 相 对 困 难 ， 实 现 复 杂 ， 对 开 发 人 员 要 求 较 高 且 十 分 耗 时 ， 性 价 比 并 不 是 很 高 。 P e c k e r   S c a n n e r 检 测 工 具 就 是 基 于 语 法 的 p h p 文 件 w e b s h e l l 检 测 方 法 。 该 方 法 对 检 测 文 件 代 码 进 行 清 洗 后 ， 分 析 其 变 量 、 函 数 、 字 符 串 来 实 现 关 键 危 险 函 数 的 捕 获 ， 这 样 可 以 很 好 地 解 决 漏 报 ， 但 同 时 也 存 在 大 量 误 报 。 1 . 4   统 计 特 征 检 测 统 计 特 征 检 测 针 对 某 些 变 形 混 淆 的 w e b s h e l l ， 代 码 在 编 码 风 格 上 会 明 显 有 别 于 正 常 脚 本 ， 同 时 会 表 现 出 特 殊 的 统 计 特 征 。 N e o P I 就 是 一 个 典 型 的 代 表 ， 它 通 过 多 种 统 计 方 法 来 检 测 文 本 / 脚 本 文 件 中 的 混 淆 和 加 密 内 容 ， 辅 助 检 测 隐 藏 的 w e b s h e l l 。 进 一 步 剖 析 ， N e o P I 通 过 计 算 下 属 5 中 特 征 来 标 注 可 疑 文 件 ： 1 .   字 符 级 重 合 指 数 ( L a n g u a g e I C ) :   字 符 重 合 指 数 越 低 ， 说 明 代 码 越 混 乱 ， 有 可 能 被 加 密 或 混 淆 过 2 .   字 符 级 信 息 墒 （ E n t r o p y ） ： 度 量 代 码 中 所 使 用 字 符 的 不 确 定 性 ， 可 用 g i n i 系 数 来 代 替 使 计 算 更 高 效 ， 二 者 具 备 相 似 性 质 （ 跟 上 面 的 字 符 重 合 指 数 也 具 有 相 似 的 效 果 ） 3 .   最 长 单 词 长 度 ( L o n g e s t W o r d ) ： 最 长 的 字 符 串 一 般 是 b a s e 6 4 编 码 ， 存 在 被 编 码 或 被 混 淆 的 可 能 4 .   恶 意 代 码 签 名 特 征 ( S i g n a t u r e N a s t y ) ： 统 计 代 码 中 包 含 的 恶 意 代 码 片 段 个 数 5 .   压 缩 特 征 ( C o m p r e s s i o n ) ： 计 算 代 码 文 件 压 缩 比 上 述 5 种 类 型 的 特 征 重 点 在 于 识 别 混 淆 代 码 ， 但 正 常 代 码 被 b a s e 6 4 编 码 后 也 会 被 识 别 为 高 风 险 w e b s h e l l 文 件 ， 产 生 一 系 列 误 报 ， 同 时 对 未 经 过 编 码 和 混 淆 的 w e b s h e l l 代 码 不 敏 感 。 在 实 际 应 用 中 可 以 考 虑 对 恶 意 代 码 片 段 的 正 则 进 行 完 善 ， 利 用 g i n i 系 数 来 代 替 信 息 墒 等 方 式 对 其 进 行 改 进 。 另 一 方 面 ， 我 们 也 可 以 围 绕 上 述 特 征 提 取 思 想 来 挖 掘 出 更 多 有 效 特 征 ， 与 机 器 学 习 结 合 ， 以 取 得 更 佳 效 果 。 2   机 器 学 习 方 法 实 践 机 器 学 习 方 法 实 践 r u l e = r ' ( a r r a y _ m a p [ s n ] { 0 , 2 0 } ( . { 1 , 5 } ( e v a l | a s s e r t | a s s x 6 5 r t ) . { 1 , 2 0 } $ _ ( G E T | P O S T | R E Q U E S T ) . { 0 , 1 5 } ) ' r u l e = ' ( c a l l _ u s e r _ f u n c [ s n ] { 0 , 2 5 } ( . { 0 , 2 5 } $ _ ( G E T | P O S T | R E Q U E S T ) . { 0 , 1 5 } ) ' r u l e = ' ( $ _ ( G E T | P O S T | R E Q U E S T ) [ . { 0 , 1 5 } ] s { 0 , 1 0 } ( s { 0 , 1 0 } $ _ ( G E T | P O S T | R E Q U E S T ) . { 0 , 1 5 } ) ' r u l e = ' ( ( $ ( _ ( G E T | P O S T | R E Q U E S T | S E S S I O N | S E R V E R ) ( [ [ ' " ] { 0 , 1 } ) w { 1 , 1 2 } ( [ ' " ] { 0 , 1 } ] ) | w { 1 , 1 0 } ) ) [ s n ] { 0 , 2 0 } ( [ s n ] { 0 , 2 0 } ( @ { 0 , 1 } $ ( _ ( G E T | P O S T | R E Q U E S T | S E S S I O N | S E R V E R ) ( [ [ ' " ] { 0 , 1 } ) w { 1 , 1 2 } ( [ ' " r u l e = ' s { 0 , 1 0 } = s { 0 , 1 0 } [ { @ ] { 0 , 2 } ( $ _ ( G E T | P O S T | R E Q U E S T ) | f i l e _ g e t _ c o n t e n t s | s t r _ r e p l a c e | [ " ' ] a [ " ' ] . [ " ' ] s [ " ' ] . | [ " ' ] e [ " ' ] . [ " ' ] v [ " ' ] . | [ " ' ] a s s [ " ' ] . ) . { 0 , 1 0 } ' r u l e = ' ( ( e v a l | a s s e r t ) [ s | n ] { 0 , 3 0 } ( [ s | n ] { 0 , 3 0 } ( { 0 , 1 } $ ( ( _ ( G E T | P O S T | R E Q U E S T | S E S S I O N | S E R V E R ) ( [ [ ' " ] { 0 , 1 } ) [ w ( ) ] { 0 , 1 5 } ( [ ' " ] { 0 , 1 } ] ) ) | w { 1 , 1 0 } ) ) s { 0 , 5 } ) ) ' r u l e = ' ( ( e v a l | a s s e r t ) [ s | n ] { 0 , 3 0 } ( ( g z u n c o m p r e s s | g z i n f l a t e ( ) { 0 , 1 } [ s | n ] { 0 , 3 0 } b a s e 6 4 _ d e c o d e . { 0 , 1 0 0 } ) ' r u l e = ' s { 0 , 1 0 } = s { 0 , 1 0 } ( [ { @ ] { 0 , 2 } { 0 , 1 } $ _ ( G E T | P O S T | R E Q U E S T ) | f i l e _ g e t _ c o n t e n t s | [ " ' ] a [ " ' ] . [ " ' ] s [ " ' ] . | [ " ' ] e [ " ' ] . [ " ' ] v [ " ' ] . | [ " ' ] a s s [ " ' ] . ) . { 0 , 2 0 } ' r u l e = ' ( i n c l u d e | r e q u i r e ) ( _ o n c e ) { 0 , 1 } [ s * ] + [ " | ' ] + [ 0 - 9 A - Z a - z _ ] * : / / ' r u l e = ' ( [ ^ ' " ] ( i n c l u d e | r e q u i r e ) ( _ o n c e ) { 0 , 1 } s { 0 , 5 } ( s { 0 , 5 } | ( s { 0 , 5 } ) [ " ' ] ( [ . w , / + - _ ] { 1 , 6 0 } ) [ " ' ] s * ) { 0 , 1 } ) ' r u l e = ' ( ( i n c l u d e | r e q u i r e ) ( _ o n c e ) { 0 , 1 } ( s { 0 , 5 } | s { 0 , 5 } ( s { 0 , 5 } ) [ ' " ] { 0 , 1 } ( $ ( _ ( G E T | P O S T | R E Q U E S T | S E R V E R ) ( [ [ ' " ] { 0 , 1 } ) w { 0 , 8 } ( [ ' " ] { 0 , 1 } ] ) | [ w ] { 1 , 1 5 } ) ) [ ' " ] { 0 , 1 } ) ' r u l e = ' s { 0 , 1 0 } = s { 0 , 1 0 } ( [ { @ ] { 0 , 2 } $ _ ( G E T | P O S T | R E Q U E S T ) | [ ' " ] { 0 , 1 } p h p : / / i n p u t [ ' " ] { 0 , 1 } | f i l e _ g e t _ c o n t e n t s ) . { 0 , 2 0 } ' r u l e = ' g z d e f l a t e | g z c o m p r e s s | g z e n c o d e ' r u l e   =   ' ( p r e g _ r e p l a c e [ s n ] { 0 , 1 0 } ( [ s n ] { 0 , 1 0 } ( ( [ " ' ] . { 0 , 1 5 } [ / @ ' ] [ i s ] { 0 , 2 } e [ i s ] { 0 , 2 } [ " ' ] ) | $ [ a - z A - Z _ ] [ w " ' [ ] ] { 0 , 1 5 } ) s { 0 , 5 } , s { 0 , 5 } . { 0 , 4 0 } ( $ _ ( G E T | P O S T | R E Q U E S T | S E S S I O N | S E R V E R ) | s t r _ r o t 1 3 | u r l d e c o d e ) . { 0 , 3 0 } ) '
上 面 提 到 了 几 种 w e b s h e l l 静 态 检 测 的 方 法 ， 无 论 是 特 征 码 匹 配 、 语 义 检 测 还 是 特 征 统 计 方 法 ， 都 需 要 建 立 在 安 全 从 业 人 员 w e b s h e l l 原 理 深 入 的 理 解 基 础 之 上 进 行 提 炼 ， 这 是 个 非 常 耗 时 的 过 程 ， 同 时 维 护 起 来 也 是 异 常 繁 琐 。 苏 宁 在 传 统 检 测 方 法 的 基 础 之 上 ， 利 用 机 器 学 习 对 w e b s h e l l 脚 本 检 测 进 行 赋 能 （ 详 细 使 用 方 式 可 以 参 考 w e b s h e l l D c _ v 0 . 1 。 ） 。 我 们 把 w e b s h e l l 检 测 转 换 成 一 个 N L P 领 域 的 文 本 分 类 的 问 题 ， 通 过 投 喂 训 练 数 据 的 方 式 锻 炼 模 型 对 正 常 脚 本 及 w e b s h e l l 脚 本 代 码 组 合 的 记 忆 能 力 ， 以 达 到 识 别 的 效 果 。 2 . 1   训 练 样 本 获 取 训 练 样 本 获 取 可 选 择 的 M L 方 法 有 很 多 ， 无 论 是 传 统 机 器 学 习 或 者 深 度 学 习 ， 稍 微 有 些 N L P 经 验 的 前 辈 都 能 做 出 一 个 很 好 的 解 决 方 案 ， 无 非 是 变 换 一 下 特 征 提 取 方 式 和 模 型 。 重 点 其 实 是 数 据 ， 掌 握 的 w e b s e h l l 样 本 越 丰 富 ， 训 练 出 来 的 模 型 效 果 就 越 好 。 要 培 养 一 个 某 领 域 的 专 业 人 才 ， 需 要 不 断 去 学 习 该 领 域 的 专 业 知 识 信 息 ， 反 复 锤 炼 ， 其 中 知 识 的 质 量 和 数 量 缺 一 不 可 ， 模 型 训 练 也 是 如 此 。 算 法 的 改 进 是 不 断 去 触 摸 当 下 数 据 集 所 能 达 到 的 上 限 ， 高 质 量 的 数 据 集 才 是 A I 项 目 性 能 的 基 石 。 苏 宁 除 了 主 机 入 侵 检 测 系 统 观 察 到 的 w e b s h e l l 样 本 外 ， 还 收 集 了 1 6 0 个 G i t h u b 项 目 的 w e b s h e l l 样 本 用 于 训 练 。 有 了 黑 样 本 ， 白 样 本 的 收 集 就 相 对 简 单 一 些 ， 但 也 不 代 表 白 羊 本 不 重 要 ， 白 样 本 的 分 布 和 广 泛 性 也 比 较 重 要 。 我 们 可 以 在 G i t h u b 、 码 云 、 G i t L a b 、 G i t e e 、 C o d i n g 等 开 源 直 接 搜 索 对 应 文 件 类 型 的 项 目 （ 由 于 j s p 是 建 立 在 j a v a 基 础 上 的 一 种 网 络 编 程 语 言 ， 因 此 在 正 常 j s p 样 本 不 充 分 的 情 况 下 可 考 虑 用 j a v a 文 件 来 代 替   ） ； 第 二 种 方 式 是 在 条 件 允 许 的 情 况 下 ， 将 自 身 业 务 环 境 中 对 应 文 件 类 型 的 文 件 拿 来 作 为 白 样 本 ， 毕 竟 在 自 家 数 据 环 境 中 被 教 育 出 来 的 模 型 ， 在 解 决 自 家 问 题 的 时 候 也 更 加 驾 轻 就 熟 ， 以 此 避 免 模 型 上 线 时 因 训 练 数 据 不 充 分 造 成 的 水 土 不 服 问 题 。 2 . 2   特 征 处 理 和 模 型 训 练 特 征 处 理 和 模 型 训 练 模 型 训 练 借 鉴 了 兜 哥 《 w e b 安 全 之 深 度 学 习 实 战 》 书 中 第 十 一 章 思 想 ， 采 用 C o u n t V e c t o r i z e r 和 T f i d f T r a n s f o r m e r 对 n - g r a m 后 的 样 本 进 行 特 征 向 量 处 理 ， 分 别 采 用 多 层 神 经 网 络 、 X G B o o s t 、 朴 素 贝 叶 斯 进 行 训 练 ， 其 中 M L P C l a s s i f i e r 模 型 表 现 较 好 。 主 要 特 征 处 理 和 训 练 代 码 如 下 ： 2 . 3   评 估 评 估 代 码 中 通 过 f e a t u r e s p r o c e s s 函 数 传 入 黑 白 样 本 文 件 地 址 和 m a x f e a t u r e s ， 同 时 完 成 C o u n t V e c t o r i z e r 和 T f i d f T r a n s f o r m e r 模 型 的 训 练 。 实 际 操 作 中 可 根 据 训 练 样 本 的 实 际 情 况 对 C o u n t V e c t o r i z e r 模 型 中 m a x f e a t u r e s 和 n g r a m r a n g e 参 数 进 行 微 调 已 达 到 最 佳 效 果 。 项 目 分 别 采 用 混 淆 矩 阵 和 R O C 曲 线 对 模 型 进 行 评 估 。 3   结 语 结 语 高 质 量 的 训 练 样 本 是 决 定 模 型 好 坏 的 先 决 条 件 。 在 实 践 中 ， 我 们 采 用 了 苏 宁 安 全 产 品 历 史 以 来 积 累 的 上 万 个 黑 样 本 ， 同 时 添 加 了 数 百 个 G i t h u b 项 目 黑 样 本 ， 来 保 证 训 练 数 据 的 多 样 性 。 模 型 在 攻 防 d e f   f e a t u r e s _ p r o c e s s ( n e g a t i v e d i r ,   p o s t i v e d i r ,   m a x f e a t u r e s ) :         w e b s h e l l _ t e x t s   =   r e a d _ d i r ( n e g a t i v e d i r )         n o r m a l _ t e x t s   =   r e a d _ d i r ( p o s t i v e d i r )         w e b s h e l l _ n u m b e r   =   l e n ( w e b s h e l l _ t e x t s )         n o r m a l _ n u m b e r   =   l e n ( n o r m a l _ t e x t s )         t e x t s   =   w e b s h e l l _ t e x t s   +   n o r m a l _ t e x t s         w e b s h e l l _ l a b l e s   =   [ 1 ]   *   w e b s h e l l _ n u m b e r         n o r m a l _ l a b l e s   =   [ 0 ]   *   n o r m a l _ n u m b e r         l a b l e s   =   w e b s h e l l _ l a b l e s   +   n o r m a l _ l a b l e s         l o g g e r . i n f o ( " 白 样 本 总 量 ： % i "   %   n o r m a l _ n u m b e r )         l o g g e r . i n f o ( " 黑 样 本 总 量 ： % i "   %   w e b s h e l l _ n u m b e r )         c o u n t v e c t o r i z e r   =   C o u n t V e c t o r i z e r ( n g r a m _ r a n g e = ( 2 ,   2 ) ,   d e c o d e _ e r r o r = " i g n o r e " ,         m i n _ d f = 1 ,   a n a l y z e r = " w o r d " ,         t o k e n _ p a t t e r n = r ' [ ^ w s ] + | b w + b ' ,         m a x _ f e a t u r e s = m a x f e a t u r e s )         t f i d f t r a n s f o r m e r   =   T f i d f T r a n s f o r m e r ( s m o o t h _ i d f = F a l s e )         c v _ x   =   c o u n t v e c t o r i z e r . f i t _ t r a n s f o r m ( t e x t s ) . t o a r r a y ( )         t f _ x   =   t f i d f t r a n s f o r m e r . f i t _ t r a n s f o r m ( c v _ x ) . t o a r r a y ( )         j o b l i b . d u m p ( c o u n t v e c t o r i z e r ,   " m o d e l / c o u n t v e c t o r i z e r _ "   +   o p t i o n s . v e r s i o n   +   " . p k l " )         j o b l i b . d u m p ( t f i d f t r a n s f o r m e r ,   " m o d e l / t f i d f t r a n s f o r m e r _ "   +   o p t i o n s . v e r s i o n   +   " . p k l " )         r e t u r n   t f _ x ,   l a b l e s ,   c o u n t v e c t o r i z e r ,   t f i d f t r a n s f o r m e r d e f   e v a l u a t i o n ( y _ t e s t ,   y _ p r e d ) :         l o g g e r . i n f o ( " 准 确 率 : % s "   %   m e t r i c s . a c c u r a c y _ s c o r e ( y _ t e s t ,   y _ p r e d ) )         l o g g e r . i n f o ( c o n f u s i o n _ m a t r i x ( y _ t e s t ,   y _ p r e d ) )         l o g g e r . i n f o ( c l a s s i f i c a t i o n _ r e p o r t ( y _ t e s t ,   y _ p r e d ) ) d e f   t r a i n ( t r a i n s e t ,   l a b l e s ,   m o d e ,   s e e d ) :         x _ t r a i n ,   x _ t e s t ,   y _ t r a i n ,   y _ t e s t   =   t r a i n _ t e s t _ s p l i t ( t r a i n s e t ,   l a b l e s ,   t e s t _ s i z e = 0 . 3 ,   r a n d o m _ s t a t e = s e e d )         c l f   =   m o d e l _ c o l l e c t i o n ( m o d e )         c l f n a m e   =   " m o d e l / "   +   m o d e   +   " _ "   +   o p t i o n s . v e r s i o n   +   " . p k l "         c l f . f i t ( x _ t r a i n ,   y _ t r a i n )         l o g g e r . i n f o ( " 训 练 集 评 估 ： " )         e v a l u a t i o n ( y _ t r a i n ,   c l f . p r e d i c t ( x _ t r a i n ) )         l o g g e r . i n f o ( " 测 试 集 评 估 ： " )         e v a l u a t i o n ( y _ t e s t ,   c l f . p r e d i c t ( x _ t e s t ) )         j o b l i b . d u m p ( c l f ,   c l f n a m e ,   c o m p r e s s = 3 )
同 事 的 模 拟 测 试 中 ， 取 得 了 多 数 在 线 及 离 线 开 源 w e b s h e l l 检 测 器 更 好 效 果 。 模 型 上 线 后 也 取 得 了 比 传 统 静 态 检 测 手 段 更 高 的 检 出 率 和 更 低 的 误 报 率 ， 提 升 了 苏 宁 主 机 入 侵 检 测 系 统 对 w e b s h e l l 的 静 态 检 测 能 力 。 然 而 无 论 什 么 方 式 都 会 有 被 绕 过 的 风 险 ， A I 模 型 更 是 如 此 。 工 具 在 进 步 ， 对 抗 在 升 级 ， A I 安 全 模 型 的 绕 过 和 防 绕 过 技 能 ， 以 后 也 会 成 为 A I 安 全 从 业 者 的 必 备 素 养 。 精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理