本發(fā)明涉及網(wǎng)絡(luò)安全技術(shù)領(lǐng)域，尤其涉及黑色產(chǎn)業(yè)內(nèi)容的檢測(cè)分析方法及裝置。

背景技術(shù)：

網(wǎng)絡(luò)技術(shù)的發(fā)展為人們生活帶來(lái)了很多便捷，日常生活中可以通過(guò)連接因特網(wǎng)瀏覽網(wǎng)頁(yè)查找教育、醫(yī)療方面的各種信息，也可以通過(guò)政府網(wǎng)站辦理相關(guān)事務(wù)等。與此同時(shí)，常有企圖不良的組織或個(gè)人通過(guò)利用網(wǎng)站漏洞攻擊網(wǎng)站，并利用服務(wù)器/客戶端上的資源進(jìn)行交易或占用服務(wù)器/客戶端的資源，因此形成攻擊、制作黑色產(chǎn)業(yè)內(nèi)容、傳播、交易的一個(gè)完整的產(chǎn)業(yè)鏈條，即黑色產(chǎn)業(yè)鏈。在黑色產(chǎn)業(yè)鏈中攻擊者在目標(biāo)設(shè)備上執(zhí)行惡意操作，通過(guò)這些惡意操作產(chǎn)生各種數(shù)據(jù)，從而獲取利益，為網(wǎng)絡(luò)安全造成了隱患。

現(xiàn)有技術(shù)中，為了防止黑色產(chǎn)業(yè)內(nèi)容通常會(huì)使用特征檢測(cè)、統(tǒng)計(jì)檢測(cè)等安全防御機(jī)制對(duì)服務(wù)器是否被攻擊進(jìn)行檢測(cè)，當(dāng)檢測(cè)后可能提示用戶攔截了木馬通信鏈接或者擋住了結(jié)構(gòu)化查詢語(yǔ)言(structuredquerylanguag,sql)注入攻擊又或者是擋住了webshell攻擊，然而對(duì)于服務(wù)器被攻擊后存在哪些黑色產(chǎn)業(yè)內(nèi)容，黑色產(chǎn)業(yè)內(nèi)容的類別通常并沒(méi)有進(jìn)行檢測(cè)與分析。

技術(shù)實(shí)現(xiàn)要素：

本發(fā)明的主要目的在于提供一種黑色產(chǎn)業(yè)內(nèi)容的檢測(cè)分析方法及裝置，旨在實(shí)現(xiàn)識(shí)別黑色產(chǎn)業(yè)內(nèi)容、分析黑色產(chǎn)業(yè)內(nèi)容的類別的目的。

為實(shí)現(xiàn)上述目的，本發(fā)明提供的一種黑色產(chǎn)業(yè)內(nèi)容的檢測(cè)分析方法包括以下步驟：

獲取待檢測(cè)服務(wù)器與客戶端交互的數(shù)據(jù)包，所述數(shù)據(jù)包包含所述客戶端向服務(wù)器發(fā)送的請(qǐng)求數(shù)據(jù)或所述服務(wù)器向所述客戶端發(fā)送的回復(fù)數(shù)據(jù)；

對(duì)所述請(qǐng)求數(shù)據(jù)或所述回復(fù)數(shù)據(jù)進(jìn)行黑色產(chǎn)業(yè)內(nèi)容檢測(cè)；

當(dāng)檢測(cè)到所述請(qǐng)求數(shù)據(jù)或所述回復(fù)數(shù)據(jù)存在黑色產(chǎn)業(yè)內(nèi)容時(shí)，根據(jù)檢測(cè) 到的黑色產(chǎn)業(yè)內(nèi)容和預(yù)置的第一規(guī)則庫(kù)分析所述黑色產(chǎn)業(yè)內(nèi)容的類別，所述第一規(guī)則庫(kù)包含所述黑色產(chǎn)業(yè)內(nèi)容與所述類別的對(duì)應(yīng)關(guān)系。

優(yōu)選地，所述對(duì)所述請(qǐng)求數(shù)據(jù)或所述回復(fù)數(shù)據(jù)進(jìn)行黑色產(chǎn)業(yè)內(nèi)容檢測(cè)包括：

將所述請(qǐng)求數(shù)據(jù)或所述回復(fù)數(shù)據(jù)通過(guò)預(yù)置的正則表達(dá)式進(jìn)行檢測(cè)，所述預(yù)置的正則表達(dá)式用于將所述請(qǐng)求數(shù)據(jù)或所述回復(fù)數(shù)據(jù)與預(yù)置的第二規(guī)則庫(kù)中的數(shù)據(jù)進(jìn)行匹配；

當(dāng)所述數(shù)據(jù)包包含所述請(qǐng)求數(shù)據(jù)且匹配到所述第二規(guī)則庫(kù)中的數(shù)據(jù)時(shí)，確認(rèn)所述請(qǐng)求數(shù)據(jù)存在所述黑色產(chǎn)業(yè)內(nèi)容；當(dāng)所述數(shù)據(jù)包包含所述回復(fù)數(shù)據(jù)且匹配到所述第二規(guī)則庫(kù)中的信息時(shí)，確認(rèn)所述回復(fù)數(shù)據(jù)存在所述黑色產(chǎn)業(yè)內(nèi)容。

優(yōu)選地，所述對(duì)所述請(qǐng)求數(shù)據(jù)或所述回復(fù)數(shù)據(jù)進(jìn)行黑色產(chǎn)業(yè)內(nèi)容檢測(cè)還包括：

檢測(cè)所述請(qǐng)求數(shù)據(jù)或所述回復(fù)數(shù)據(jù)是否存在預(yù)置應(yīng)用的特征信息；

當(dāng)所述數(shù)據(jù)包包含所述請(qǐng)求數(shù)據(jù)且存在所述特征信息時(shí)，確認(rèn)所述請(qǐng)求數(shù)據(jù)存在所述黑色產(chǎn)業(yè)內(nèi)容；當(dāng)所述數(shù)據(jù)包包含所述回復(fù)數(shù)據(jù)且存在所述特征信息時(shí)，確認(rèn)所述回復(fù)數(shù)據(jù)存在所述黑色產(chǎn)業(yè)內(nèi)容。

優(yōu)選地，所述對(duì)所述請(qǐng)求數(shù)據(jù)或所述回復(fù)數(shù)據(jù)進(jìn)行黑色產(chǎn)業(yè)內(nèi)容檢測(cè)之前還包括：

將獲取到的所述數(shù)據(jù)包進(jìn)行入侵檢測(cè)，判斷所述服務(wù)器是否受到入侵攻擊；

當(dāng)所述服務(wù)器受到所述入侵攻擊時(shí)，執(zhí)行所述檢測(cè)所述請(qǐng)求數(shù)據(jù)或所述回復(fù)數(shù)據(jù)是否存在黑色產(chǎn)業(yè)內(nèi)容的步驟。

優(yōu)選地，所述黑色產(chǎn)業(yè)內(nèi)容的檢測(cè)分析方法還包括：

當(dāng)檢測(cè)到所述服務(wù)器受到所述入侵攻擊或所述請(qǐng)求數(shù)據(jù)存在所述黑色產(chǎn)業(yè)內(nèi)容或所述回復(fù)數(shù)據(jù)存在所述黑色產(chǎn)業(yè)內(nèi)容時(shí)，向所述客戶端發(fā)送對(duì)應(yīng)的告警信息。

此外，為實(shí)現(xiàn)上述目的，本發(fā)明還提供一種黑色產(chǎn)業(yè)內(nèi)容的檢測(cè)分析裝置，所述黑色產(chǎn)業(yè)內(nèi)容的檢測(cè)分析裝置包括：

獲取模塊，用于獲取待檢測(cè)服務(wù)器與客戶端交互的數(shù)據(jù)包，所述數(shù)據(jù)包包含所述客戶端向服務(wù)器發(fā)送的請(qǐng)求數(shù)據(jù)或所述服務(wù)器向所述客戶端發(fā)送的回復(fù)數(shù)據(jù)；

黑色產(chǎn)業(yè)內(nèi)容檢測(cè)模塊，用于對(duì)所述請(qǐng)求數(shù)據(jù)或所述回復(fù)數(shù)據(jù)進(jìn)行黑色產(chǎn)業(yè)內(nèi)容檢測(cè)；

黑色產(chǎn)業(yè)內(nèi)容分析模塊，用于當(dāng)檢測(cè)到所述請(qǐng)求數(shù)據(jù)或所述回復(fù)數(shù)據(jù)存在黑色產(chǎn)業(yè)內(nèi)容時(shí)，根據(jù)檢測(cè)到的黑色產(chǎn)業(yè)內(nèi)容和預(yù)置的第一規(guī)則庫(kù)分析所述黑色產(chǎn)業(yè)內(nèi)容的類別，所述第一規(guī)則庫(kù)包含所述黑色產(chǎn)業(yè)內(nèi)容與所述類別的對(duì)應(yīng)關(guān)系。

優(yōu)選地，所述黑色產(chǎn)業(yè)內(nèi)容檢測(cè)模塊包括：

第一檢測(cè)單元，用于將所述請(qǐng)求數(shù)據(jù)或所述回復(fù)數(shù)據(jù)通過(guò)預(yù)置的正則表達(dá)式進(jìn)行檢測(cè)，所述預(yù)置的正則表達(dá)式用于將所述請(qǐng)求數(shù)據(jù)或所述回復(fù)數(shù)據(jù)與預(yù)置的第二規(guī)則庫(kù)中的數(shù)據(jù)進(jìn)行匹配；

第一確認(rèn)單元，用于當(dāng)所述數(shù)據(jù)包包含所述請(qǐng)求數(shù)據(jù)且匹配到所述第二規(guī)則庫(kù)中的數(shù)據(jù)時(shí)，確認(rèn)所述請(qǐng)求數(shù)據(jù)存在所述黑色產(chǎn)業(yè)內(nèi)容；當(dāng)所述數(shù)據(jù)包包含所述回復(fù)數(shù)據(jù)且匹配到所述第二規(guī)則庫(kù)中的信息時(shí)，確認(rèn)所述回復(fù)數(shù)據(jù)存在所述黑色產(chǎn)業(yè)內(nèi)容。

優(yōu)選地，所述黑色產(chǎn)業(yè)內(nèi)容檢測(cè)模塊還包括：

第二檢測(cè)單元，用于檢測(cè)所述請(qǐng)求數(shù)據(jù)或所述回復(fù)數(shù)據(jù)是否存在預(yù)置應(yīng)用的特征信息；

第二確認(rèn)單元，用于當(dāng)所述數(shù)據(jù)包包含所述請(qǐng)求數(shù)據(jù)且存在所述特征信息時(shí)，確認(rèn)所述請(qǐng)求數(shù)據(jù)存在所述黑色產(chǎn)業(yè)內(nèi)容；當(dāng)所述數(shù)據(jù)包包含所述回復(fù)數(shù)據(jù)且存在所述特征信息時(shí)，確認(rèn)所述回復(fù)數(shù)據(jù)存在所述黑色產(chǎn)業(yè)內(nèi)容。

優(yōu)選地，所述黑色產(chǎn)業(yè)內(nèi)容的檢測(cè)分析裝置還包括：

入侵檢測(cè)模塊，用于將獲取到的所述數(shù)據(jù)包進(jìn)行入侵檢測(cè)，判斷所述服務(wù)器是否受到入侵攻擊；

所述黑色產(chǎn)業(yè)內(nèi)容檢測(cè)模塊還用于當(dāng)所述服務(wù)器受到所述入侵攻擊時(shí)，檢測(cè)所述請(qǐng)求數(shù)據(jù)或所述回復(fù)數(shù)據(jù)是否存在黑色產(chǎn)業(yè)內(nèi)容。

優(yōu)選地，所述黑色產(chǎn)業(yè)內(nèi)容的檢測(cè)分析裝置還包括：

告警模塊，用于當(dāng)檢測(cè)到所述服務(wù)器受到所述入侵攻擊或所述請(qǐng)求數(shù)據(jù) 存在所述黑色產(chǎn)業(yè)內(nèi)容或所述回復(fù)數(shù)據(jù)存在所述黑色產(chǎn)業(yè)內(nèi)容時(shí)，向所述客戶端發(fā)送對(duì)應(yīng)的告警信息。

本發(fā)明實(shí)施例通過(guò)獲取待檢測(cè)服務(wù)器與客戶端交互的數(shù)據(jù)包，所述數(shù)據(jù)包包含所述客戶端向服務(wù)器發(fā)送的請(qǐng)求數(shù)據(jù)或所述服務(wù)器向所述客戶端發(fā)送的回復(fù)數(shù)據(jù)；對(duì)所述請(qǐng)求數(shù)據(jù)或所述回復(fù)數(shù)據(jù)進(jìn)行黑色產(chǎn)業(yè)內(nèi)容檢測(cè)；當(dāng)檢測(cè)到所述請(qǐng)求數(shù)據(jù)或所述回復(fù)數(shù)據(jù)存在黑色產(chǎn)業(yè)內(nèi)容時(shí)，根據(jù)檢測(cè)到的黑色產(chǎn)業(yè)內(nèi)容和預(yù)置的第一規(guī)則庫(kù)分析所述黑色產(chǎn)業(yè)內(nèi)容的類別，所述第一規(guī)則庫(kù)包含所述黑色產(chǎn)業(yè)內(nèi)容與所述類別的對(duì)應(yīng)關(guān)系。由于檢測(cè)到的黑色產(chǎn)業(yè)內(nèi)容即為存在的黑色產(chǎn)業(yè)內(nèi)容，因此實(shí)現(xiàn)了識(shí)別黑色產(chǎn)業(yè)內(nèi)容的目的，且通過(guò)利用第一規(guī)則庫(kù)確定檢測(cè)到的黑色產(chǎn)業(yè)內(nèi)容的類別，有效實(shí)現(xiàn)分析黑色產(chǎn)業(yè)內(nèi)容的類別的目的，對(duì)服務(wù)器是否存在黑色產(chǎn)業(yè)內(nèi)容以及存在的內(nèi)容和類別進(jìn)行全方位檢測(cè)。

附圖說(shuō)明

圖1為本發(fā)明黑色產(chǎn)業(yè)內(nèi)容的檢測(cè)分析方法第一實(shí)施例的流程示意圖；

圖2為本發(fā)明黑色產(chǎn)業(yè)內(nèi)容的檢測(cè)分析方法第二實(shí)施例的流程示意圖；

圖3為本發(fā)明黑色產(chǎn)業(yè)內(nèi)容的檢測(cè)分析方法第三實(shí)施例的流程示意圖；

圖4為本發(fā)明黑色產(chǎn)業(yè)內(nèi)容的檢測(cè)分析方法第四實(shí)施例的流程示意圖；

圖5為本發(fā)明黑色產(chǎn)業(yè)內(nèi)容的檢測(cè)分析裝置第一實(shí)施例的功能模塊結(jié)構(gòu)示意圖；

圖6為本發(fā)明黑色產(chǎn)業(yè)內(nèi)容的檢測(cè)分析裝置第二實(shí)施例的功能模塊結(jié)構(gòu)示意圖；

圖7為本發(fā)明黑色產(chǎn)業(yè)內(nèi)容的檢測(cè)分析裝置第三實(shí)施例的功能模塊結(jié)構(gòu)示意圖；

圖8為本發(fā)明黑色產(chǎn)業(yè)內(nèi)容的檢測(cè)分析裝置第四實(shí)施例的功能模塊結(jié)構(gòu)示意圖。

本發(fā)明目的的實(shí)現(xiàn)、功能特點(diǎn)及優(yōu)點(diǎn)將結(jié)合實(shí)施例，參照附圖做進(jìn)一步說(shuō)明。

具體實(shí)施方式

應(yīng)當(dāng)理解，此處所描述的具體實(shí)施例僅僅用以解釋本發(fā)明，并不用于限定本發(fā)明。

本發(fā)明黑色產(chǎn)業(yè)內(nèi)容的檢測(cè)分析方法。參照?qǐng)D1，在第一實(shí)施例中，該黑色產(chǎn)業(yè)內(nèi)容的檢測(cè)分析方法包括：

步驟s10，獲取待檢測(cè)服務(wù)器與客戶端交互的數(shù)據(jù)包，所述數(shù)據(jù)包包含所述客戶端向服務(wù)器發(fā)送的請(qǐng)求數(shù)據(jù)或所述服務(wù)器向所述客戶端發(fā)送的回復(fù)數(shù)據(jù)；

步驟s20，對(duì)所述請(qǐng)求數(shù)據(jù)或所述回復(fù)數(shù)據(jù)進(jìn)行黑色產(chǎn)業(yè)內(nèi)容檢測(cè)；

步驟s30，當(dāng)檢測(cè)到所述請(qǐng)求數(shù)據(jù)或所述回復(fù)數(shù)據(jù)存在黑色產(chǎn)業(yè)內(nèi)容時(shí)，根據(jù)檢測(cè)到的黑色產(chǎn)業(yè)內(nèi)容和預(yù)置的第一規(guī)則庫(kù)分析所述黑色產(chǎn)業(yè)內(nèi)容的類別，所述第一規(guī)則庫(kù)包含所述黑色產(chǎn)業(yè)內(nèi)容與所述類別的對(duì)應(yīng)關(guān)系。

本發(fā)明提供的黑色產(chǎn)業(yè)內(nèi)容的檢測(cè)分析方法主要應(yīng)用于服務(wù)器中，對(duì)服務(wù)器的黑色產(chǎn)業(yè)內(nèi)容進(jìn)行檢測(cè)以及對(duì)黑色產(chǎn)業(yè)內(nèi)容的類別進(jìn)行分析。

本實(shí)施例中，上述服務(wù)器與客戶端是待檢測(cè)服務(wù)器端與對(duì)應(yīng)的客戶端。所述數(shù)據(jù)包的內(nèi)容是客戶端向服務(wù)器發(fā)送的請(qǐng)求數(shù)據(jù)，或者是服務(wù)器向客戶端發(fā)送的回復(fù)數(shù)據(jù)。上述黑色產(chǎn)業(yè)內(nèi)容是指攻擊者在目標(biāo)設(shè)備上執(zhí)行惡意操作的內(nèi)容，如在目標(biāo)設(shè)備上投放的虛假藥物廣告、游戲推廣、博彩內(nèi)容或挖取比特幣，當(dāng)客戶端打開(kāi)網(wǎng)頁(yè)后會(huì)看到這些黑色產(chǎn)業(yè)內(nèi)容，甚至有的黑色產(chǎn)業(yè)內(nèi)容指向的鏈接頁(yè)面帶有木馬會(huì)令使用者電腦中毒，由此引發(fā)一系列網(wǎng)絡(luò)安全問(wèn)題。當(dāng)攻擊者攻擊服務(wù)器時(shí)可能向服務(wù)器上傳黑色產(chǎn)業(yè)內(nèi)容；當(dāng)服務(wù)器本身已經(jīng)存在黑色產(chǎn)業(yè)內(nèi)容時(shí)，可能回復(fù)給客戶端的數(shù)據(jù)中包含黑色產(chǎn)業(yè)內(nèi)容。因此這里通過(guò)檢測(cè)客戶端向服務(wù)器發(fā)送的請(qǐng)求數(shù)據(jù)或者是服務(wù)器向客戶端發(fā)送的回復(fù)數(shù)據(jù)來(lái)判斷是否存在黑色產(chǎn)業(yè)內(nèi)容，或者是服務(wù)器被攻擊后已經(jīng)存在黑色產(chǎn)業(yè)內(nèi)容并向客戶端發(fā)送黑色產(chǎn)業(yè)內(nèi)容。

當(dāng)進(jìn)行檢測(cè)時(shí)，獲取到的服務(wù)器與客戶端交互的數(shù)據(jù)包首先會(huì)經(jīng)過(guò)rfc定義的協(xié)議標(biāo)準(zhǔn)進(jìn)行解析，然后再進(jìn)行黑色產(chǎn)業(yè)內(nèi)容檢測(cè)。rfc(requestforcomments)是一系列以編號(hào)排定的文件，rfc文件內(nèi)詳細(xì)說(shuō)明了因特網(wǎng)通訊協(xié)議。當(dāng)檢測(cè)到服務(wù)器與客戶端交互的數(shù)據(jù)包中包含黑色產(chǎn)業(yè)內(nèi)容時(shí)，即客戶 端向服務(wù)器發(fā)送的數(shù)據(jù)或者是服務(wù)器向客戶端發(fā)送的數(shù)據(jù)是包含黑色產(chǎn)業(yè)內(nèi)容的，則此時(shí)對(duì)黑色產(chǎn)業(yè)內(nèi)容的類別進(jìn)行分析。例如，當(dāng)檢測(cè)到百家樂(lè)時(shí)，根據(jù)預(yù)置的規(guī)則庫(kù)判斷所述黑色產(chǎn)業(yè)內(nèi)容為博彩類別，上述預(yù)置的第一規(guī)則庫(kù)中包含黑色產(chǎn)業(yè)內(nèi)容與類別的對(duì)應(yīng)關(guān)系。當(dāng)檢測(cè)分析后可以將結(jié)果保存在系統(tǒng)日志中，并對(duì)客戶端提示服務(wù)器存在的黑色產(chǎn)業(yè)內(nèi)容以及黑色產(chǎn)業(yè)內(nèi)容的類別。

本發(fā)明實(shí)施例通過(guò)獲取待檢測(cè)服務(wù)器與客戶端交互的數(shù)據(jù)包，所述數(shù)據(jù)包包含所述客戶端向服務(wù)器發(fā)送的請(qǐng)求數(shù)據(jù)或所述服務(wù)器向所述客戶端發(fā)送的回復(fù)數(shù)據(jù)；對(duì)所述請(qǐng)求數(shù)據(jù)或所述回復(fù)數(shù)據(jù)進(jìn)行黑色產(chǎn)業(yè)內(nèi)容檢測(cè)；當(dāng)檢測(cè)到所述請(qǐng)求數(shù)據(jù)或所述回復(fù)數(shù)據(jù)存在黑色產(chǎn)業(yè)內(nèi)容時(shí)，根據(jù)檢測(cè)到的黑色產(chǎn)業(yè)內(nèi)容和預(yù)置的第一規(guī)則庫(kù)分析所述黑色產(chǎn)業(yè)內(nèi)容的類別，所述第一規(guī)則庫(kù)包含所述黑色產(chǎn)業(yè)內(nèi)容與所述類別的對(duì)應(yīng)關(guān)系。由于檢測(cè)到的黑色產(chǎn)業(yè)內(nèi)容即為存在的黑色產(chǎn)業(yè)內(nèi)容，因此實(shí)現(xiàn)了識(shí)別黑色產(chǎn)業(yè)內(nèi)容的目的，且通過(guò)利用第一規(guī)則庫(kù)確定檢測(cè)到的黑色產(chǎn)業(yè)內(nèi)容的類別，有效實(shí)現(xiàn)分析黑色產(chǎn)業(yè)內(nèi)容的類別的目的，對(duì)服務(wù)器是否存在黑色產(chǎn)業(yè)內(nèi)容以及存在的內(nèi)容和類別進(jìn)行全方位檢測(cè)。

進(jìn)一步地，參照?qǐng)D2，基于本發(fā)明黑色產(chǎn)業(yè)內(nèi)容的檢測(cè)分析方法第一實(shí)施例，在本發(fā)明黑色產(chǎn)業(yè)內(nèi)容的檢測(cè)分析第二實(shí)施例中，上述步驟s20包括：

步驟s211，將所述請(qǐng)求數(shù)據(jù)或所述回復(fù)數(shù)據(jù)通過(guò)預(yù)置的正則表達(dá)式進(jìn)行檢測(cè)，所述預(yù)置的正則表達(dá)式用于將所述請(qǐng)求數(shù)據(jù)或所述回復(fù)數(shù)據(jù)與預(yù)置的第二規(guī)則庫(kù)中的數(shù)據(jù)進(jìn)行匹配；

步驟s212，當(dāng)所述數(shù)據(jù)包包含所述請(qǐng)求數(shù)據(jù)且匹配到所述第二規(guī)則庫(kù)中的數(shù)據(jù)時(shí)，確認(rèn)所述請(qǐng)求數(shù)據(jù)存在所述黑色產(chǎn)業(yè)內(nèi)容；當(dāng)所述數(shù)據(jù)包包含所述回復(fù)數(shù)據(jù)且匹配到所述第二規(guī)則庫(kù)中的信息時(shí)，確認(rèn)所述回復(fù)數(shù)據(jù)存在所述黑色產(chǎn)業(yè)內(nèi)容。

本實(shí)施例中上述預(yù)置的正則表達(dá)式是用于將請(qǐng)求數(shù)據(jù)或回復(fù)數(shù)據(jù)與預(yù)置的第二規(guī)則庫(kù)中的數(shù)據(jù)進(jìn)行匹配，當(dāng)采用正則表達(dá)式進(jìn)行匹配時(shí)使用解析引擎在程序運(yùn)行時(shí)解析正則表達(dá)式的內(nèi)容。例如，當(dāng)采用表達(dá)式[pcre:”*(網(wǎng)絡(luò)博彩網(wǎng)|澳門(mén)賭博網(wǎng)|百家樂(lè))*”；]對(duì)數(shù)據(jù)包中請(qǐng)求數(shù)據(jù)或回復(fù)數(shù)據(jù)進(jìn)行檢測(cè)時(shí)，會(huì) 檢查請(qǐng)求數(shù)據(jù)或回復(fù)數(shù)據(jù)中是否包含網(wǎng)絡(luò)博彩網(wǎng)、澳門(mén)賭博網(wǎng)、百家樂(lè)等關(guān)鍵字。上述預(yù)置的正則表達(dá)式待匹配的內(nèi)容來(lái)自于預(yù)置的規(guī)則庫(kù)，上述預(yù)置的第二規(guī)則庫(kù)可以包含預(yù)置的關(guān)鍵詞，如包含百家樂(lè)、游戲平臺(tái)等，也可以包含預(yù)置的惡意鏈接，也可以包含黑色產(chǎn)業(yè)內(nèi)容的檢測(cè)正則表達(dá)式等，具體可以根據(jù)需要進(jìn)行設(shè)定。例如在政府網(wǎng)站的頁(yè)面，頁(yè)面匹配到：[pcre:”*(酒吧|模特|夜總會(huì))招聘*”；]，表示被插入色情類黑色產(chǎn)業(yè)內(nèi)容，頁(yè)面標(biāo)題匹配：pcre:”*<title>(大保健|延時(shí)藥|)</title>*”；]，表示被植入虛假藥物的黑色產(chǎn)業(yè)內(nèi)容。其中第一規(guī)則庫(kù)中的黑色產(chǎn)業(yè)內(nèi)容部分可以包含第二規(guī)則庫(kù)中的全部?jī)?nèi)容，也可以包含除了第二規(guī)則庫(kù)中的全部?jī)?nèi)容以外的其他黑色產(chǎn)業(yè)內(nèi)容。

通過(guò)正則表達(dá)式匹配到規(guī)則庫(kù)中的內(nèi)容時(shí)，若獲取的數(shù)據(jù)包包含的是客戶端向服務(wù)器發(fā)送的請(qǐng)求數(shù)據(jù)，則表示有攻擊者在向服務(wù)器提交黑色產(chǎn)業(yè)內(nèi)容，此時(shí)攔截并進(jìn)行分析，將攔截及分析的結(jié)果提示用戶。當(dāng)獲取的數(shù)據(jù)包包含的是服務(wù)器向客戶端發(fā)送的回復(fù)數(shù)據(jù)，如某教育網(wǎng)站匹配到“大發(fā)888游戲平臺(tái)”這樣的黑色產(chǎn)業(yè)內(nèi)容，且判斷到該信息指向的鏈接為非本站鏈接(可能是123.game.com)，那么可以確認(rèn)該服務(wù)器存在黑色產(chǎn)業(yè)內(nèi)容，進(jìn)而分析并提示用戶相關(guān)信息。

本實(shí)施例通過(guò)將所述數(shù)據(jù)包中的請(qǐng)求數(shù)據(jù)或回復(fù)數(shù)據(jù)通過(guò)預(yù)置的正則表達(dá)式進(jìn)行匹配來(lái)判斷是否存在黑色產(chǎn)業(yè)內(nèi)容，匹配到的黑色產(chǎn)業(yè)內(nèi)容是攻擊者向服務(wù)器提交的黑色產(chǎn)業(yè)內(nèi)容或者服務(wù)器返回給客戶端的黑色產(chǎn)業(yè)內(nèi)容，這些信息也就是存在的黑色產(chǎn)業(yè)內(nèi)容，因此達(dá)到了識(shí)別黑色產(chǎn)業(yè)內(nèi)容的目的。

進(jìn)一步地，參照?qǐng)D3，基于本發(fā)明黑色產(chǎn)業(yè)內(nèi)容的檢測(cè)分析方法第一實(shí)施例，在本發(fā)明黑色產(chǎn)業(yè)內(nèi)容的檢測(cè)分析第三實(shí)施例中，上述步驟s20還包括：

步驟s221，檢測(cè)所述請(qǐng)求數(shù)據(jù)或所述回復(fù)數(shù)據(jù)是否存在預(yù)置應(yīng)用的特征信息；

步驟s222，當(dāng)所述數(shù)據(jù)包包含所述請(qǐng)求數(shù)據(jù)且存在所述特征信息時(shí)，確認(rèn)所述請(qǐng)求數(shù)據(jù)存在所述黑色產(chǎn)業(yè)內(nèi)容；當(dāng)所述數(shù)據(jù)包包含所述回復(fù)數(shù)據(jù)且存在所述特征信息時(shí)，確認(rèn)所述回復(fù)數(shù)據(jù)存在所述黑色產(chǎn)業(yè)內(nèi)容。

本實(shí)施例中上述預(yù)置應(yīng)用是指預(yù)先定義的惡意應(yīng)用，例如挖掘比特幣的應(yīng)用等，可以根據(jù)需要選擇應(yīng)用。上述預(yù)置應(yīng)用的特征信息是指反映預(yù)置應(yīng) 用的行為的信息，每一種應(yīng)用在運(yùn)行時(shí)都會(huì)有一些特定的行為特征，比如連接指定的服務(wù)器或者是使用某些特定的通信協(xié)議。檢測(cè)請(qǐng)求數(shù)據(jù)或回復(fù)數(shù)據(jù)是否存在預(yù)置應(yīng)用的特征信息就是檢測(cè)數(shù)據(jù)包中是否存在使用一些特定的通信協(xié)議，是否連接特定的服務(wù)器上傳或下載信息等，可以根據(jù)需要選擇檢測(cè)哪些應(yīng)用的哪些特定信息。例如檢測(cè)到連接挖掘比特幣的服務(wù)器，表明可能存在挖掘比特幣的惡意行為。此時(shí)可以進(jìn)行進(jìn)一步的分析，并記錄在日志中同時(shí)向用戶告警。

本實(shí)施例通過(guò)預(yù)置應(yīng)用的特征信息標(biāo)識(shí)黑色產(chǎn)業(yè)內(nèi)容，將數(shù)據(jù)包中的請(qǐng)求數(shù)據(jù)或回復(fù)數(shù)據(jù)于通過(guò)預(yù)置應(yīng)用的特征信息進(jìn)行檢測(cè)，達(dá)到識(shí)別黑色產(chǎn)業(yè)內(nèi)容的目的?？梢岳斫獾氖?，這個(gè)檢測(cè)可以通過(guò)服務(wù)器與客戶端交互獲取的數(shù)據(jù)包進(jìn)行檢測(cè)，還可以在待檢測(cè)的服務(wù)器上對(duì)整個(gè)服務(wù)器已經(jīng)存在的信息進(jìn)行檢測(cè)。

進(jìn)一步地，參照?qǐng)D4，基于本發(fā)明黑色產(chǎn)業(yè)內(nèi)容的檢測(cè)分析方法上述實(shí)施例，在本發(fā)明黑色產(chǎn)業(yè)內(nèi)容的檢測(cè)分析第四實(shí)施例中，上述步驟s20之前包括：

步驟s40，將獲取到的所述數(shù)據(jù)包進(jìn)行入侵檢測(cè)，判斷所述服務(wù)器是否受到入侵攻擊；當(dāng)所述服務(wù)器受到所述入侵攻擊時(shí)，執(zhí)行步驟s20。

本實(shí)施例中入侵檢測(cè)是對(duì)攻擊者入侵服務(wù)器進(jìn)行檢測(cè)，可以使用的檢測(cè)方法有sql注入檢測(cè)，跨站腳本攻擊(crosssitescripting,xss)攻擊檢測(cè)等方法，可以根據(jù)需要選擇一種或幾種組合使用。當(dāng)檢測(cè)到所述服務(wù)器受到入侵攻擊時(shí)表明可能會(huì)有黑色產(chǎn)業(yè)內(nèi)容篡改服務(wù)器，此時(shí)進(jìn)行黑色產(chǎn)業(yè)內(nèi)容的檢測(cè)。

sql注入是攻擊者利用sql語(yǔ)句的漏洞將惡意代碼插入到sql中，并使惡意代碼得以執(zhí)行。例如，存在以下sql語(yǔ)句：selectcount(*)fromloginwhereusername＝’{0}’andpassword＝’{1}’,username,password，當(dāng)用戶民和密碼都為admin時(shí)，客戶端提交用戶名admin，密碼admin，可以正常登陸系統(tǒng)，然而當(dāng)客戶端輸入admin’--，密碼輸入123時(shí)，也可以正常登陸系統(tǒng)，或者客戶端輸入admin’--，密碼輸入345也能正常登陸系統(tǒng)，這是因?yàn)?，后臺(tái)獲取輸入框的信息以后，要執(zhí)行的sql語(yǔ)句為selectcount(*)fromloginwhereusername＝’admin’--password＝’123’，其中--被識(shí)別為注視符，后面的語(yǔ)句被省 略而登陸成功。在檢測(cè)sql注入時(shí)，可以通過(guò)對(duì)sql注入語(yǔ)句掃描檢測(cè)來(lái)判斷是否有sql注入，具體實(shí)現(xiàn)方式在現(xiàn)有技術(shù)中有很多，可以根據(jù)需要選擇使用。

進(jìn)行xss攻擊的攻擊者通常在網(wǎng)頁(yè)中嵌入客戶端腳本(例如javascript),當(dāng)用戶瀏覽此網(wǎng)頁(yè)時(shí)，腳本就會(huì)在用戶的瀏覽器上執(zhí)行，從而達(dá)到攻擊者的目的。例如獲取用戶的cookie、鏈接到惡意連接等。xss攻擊檢測(cè)方法可以通過(guò)分析web應(yīng)用程序代碼中的數(shù)據(jù)傳輸情況等方法來(lái)實(shí)現(xiàn)，具體的實(shí)現(xiàn)方式可以根據(jù)需要選擇。

本實(shí)施例通過(guò)對(duì)服務(wù)器與客戶端的交互信息進(jìn)行檢測(cè)判斷是否有攻擊者入侵服務(wù)器。使客戶端在服務(wù)器存在黑色產(chǎn)業(yè)內(nèi)容前就了解客戶端是否存在惡意攻擊。

進(jìn)一步地，基于本發(fā)明黑色產(chǎn)業(yè)內(nèi)容的檢測(cè)分析方法上述實(shí)施例，在本發(fā)明黑色產(chǎn)業(yè)內(nèi)容的檢測(cè)分析第五實(shí)施例中，上述黑色產(chǎn)業(yè)內(nèi)容的檢測(cè)分析方法還包括：

當(dāng)檢測(cè)到所述服務(wù)器受到所述入侵攻擊或所述請(qǐng)求數(shù)據(jù)存在所述黑色產(chǎn)業(yè)內(nèi)容或所述回復(fù)數(shù)據(jù)存在所述黑色產(chǎn)業(yè)內(nèi)容時(shí)，向所述客戶端發(fā)送對(duì)應(yīng)的告警信息。

本實(shí)施例中上述告警信息可以在入侵檢測(cè)發(fā)現(xiàn)有惡意攻擊時(shí)對(duì)客戶端進(jìn)行提醒，也可以在根據(jù)服務(wù)器與客戶端的交互過(guò)程中發(fā)現(xiàn)存在黑色產(chǎn)業(yè)內(nèi)容時(shí)發(fā)送告警信息進(jìn)行提醒。告警信息的內(nèi)容可以包括提示客戶端正在交互的內(nèi)容包含的黑色產(chǎn)業(yè)內(nèi)容或者是該交互的服務(wù)器本身已經(jīng)存在黑色產(chǎn)業(yè)內(nèi)容(存在黑色產(chǎn)業(yè)內(nèi)容的服務(wù)器可以稱為黑產(chǎn)主機(jī))，以及黑色產(chǎn)業(yè)內(nèi)容的類別。告警信息的提示方式可以根據(jù)需要選擇，可以在用戶端彈出窗口提示用戶存在的黑色產(chǎn)業(yè)內(nèi)容，例如提示服務(wù)器被惡意攻擊者入侵，并且被添加了虛假藥物信息。

本實(shí)施例通過(guò)發(fā)現(xiàn)惡意攻擊或者黑色產(chǎn)業(yè)內(nèi)容時(shí)對(duì)客戶端發(fā)送告警信息，使用戶知曉服務(wù)器被攻擊的情況以及具體的黑色產(chǎn)業(yè)內(nèi)容和類別。

本發(fā)明還提供一種黑色產(chǎn)業(yè)內(nèi)容的檢測(cè)分析裝置，參照?qǐng)D5，提供了本發(fā)明黑色產(chǎn)業(yè)內(nèi)容的檢測(cè)分析裝置第一實(shí)施例，該實(shí)施例中，黑色產(chǎn)業(yè)內(nèi)容的 檢測(cè)分析裝置包括：

獲取模塊10，用于獲取待檢測(cè)服務(wù)器與客戶端交互的數(shù)據(jù)包，所述數(shù)據(jù)包包含所述客戶端向服務(wù)器發(fā)送的請(qǐng)求數(shù)據(jù)或所述服務(wù)器向所述客戶端發(fā)送的回復(fù)數(shù)據(jù)；

黑色產(chǎn)業(yè)內(nèi)容檢測(cè)模塊20，用于對(duì)所述請(qǐng)求數(shù)據(jù)或所述回復(fù)數(shù)據(jù)進(jìn)行黑色產(chǎn)業(yè)內(nèi)容檢測(cè)；

黑色產(chǎn)業(yè)內(nèi)容分析模塊30，用于當(dāng)檢測(cè)到所述請(qǐng)求數(shù)據(jù)或所述回復(fù)數(shù)據(jù)存在所述黑色產(chǎn)業(yè)內(nèi)容時(shí)，根據(jù)檢測(cè)到的所述黑色產(chǎn)業(yè)內(nèi)容和預(yù)置的第一規(guī)則庫(kù)分析所述黑色產(chǎn)業(yè)內(nèi)容的類別，所述第一規(guī)則庫(kù)包含所述黑色產(chǎn)業(yè)內(nèi)容與所述類別的對(duì)應(yīng)關(guān)系。

本發(fā)明提供的黑色產(chǎn)業(yè)內(nèi)容的檢測(cè)分析裝置主要應(yīng)用于服務(wù)器中，對(duì)服務(wù)器的黑色產(chǎn)業(yè)內(nèi)容進(jìn)行檢測(cè)以及對(duì)黑色產(chǎn)業(yè)內(nèi)容的類別進(jìn)行分析。

本實(shí)施例中，上述服務(wù)器與客戶端是待檢測(cè)服務(wù)器端與對(duì)應(yīng)的客戶端。所述數(shù)據(jù)包的內(nèi)容是客戶端向服務(wù)器發(fā)送的請(qǐng)求數(shù)據(jù)，或者是服務(wù)器向客戶端發(fā)送的回復(fù)數(shù)據(jù)。上述黑色產(chǎn)業(yè)內(nèi)容是指攻擊者在目標(biāo)設(shè)備上執(zhí)行惡意操作的內(nèi)容，如在目標(biāo)設(shè)備上投放的虛假藥物廣告、游戲推廣、博彩內(nèi)容或挖取比特幣，當(dāng)客戶端打開(kāi)網(wǎng)頁(yè)后會(huì)看到這些黑色產(chǎn)業(yè)內(nèi)容，甚至有的黑色產(chǎn)業(yè)內(nèi)容指向的鏈接頁(yè)面帶有木馬會(huì)令使用者電腦中毒，由此引發(fā)一系列網(wǎng)絡(luò)安全問(wèn)題。當(dāng)攻擊者攻擊服務(wù)器時(shí)可能向服務(wù)器上傳黑色產(chǎn)業(yè)內(nèi)容；當(dāng)服務(wù)器本身已經(jīng)存在黑色產(chǎn)業(yè)內(nèi)容時(shí)，可能回復(fù)給客戶端的數(shù)據(jù)中包含黑色產(chǎn)業(yè)內(nèi)容。因此這里通過(guò)檢測(cè)客戶端向服務(wù)器發(fā)送的請(qǐng)求數(shù)據(jù)或者是服務(wù)器向客戶端發(fā)送的回復(fù)數(shù)據(jù)來(lái)判斷是否存在黑色產(chǎn)業(yè)內(nèi)容，或者是服務(wù)器被攻擊后已經(jīng)存在黑色產(chǎn)業(yè)內(nèi)容并向客戶端發(fā)送黑色產(chǎn)業(yè)內(nèi)容。

當(dāng)黑色產(chǎn)業(yè)內(nèi)容檢測(cè)模塊20進(jìn)行檢測(cè)時(shí)，獲取到的服務(wù)器與客戶端交互的數(shù)據(jù)包首先會(huì)經(jīng)過(guò)rfc定義的協(xié)議標(biāo)準(zhǔn)進(jìn)行解析，然后再進(jìn)行黑色產(chǎn)業(yè)內(nèi)容檢測(cè)。rfc(requestforcomments)是一系列以編號(hào)排定的文件，rfc文件內(nèi)詳細(xì)說(shuō)明了因特網(wǎng)通訊協(xié)議。當(dāng)檢測(cè)到服務(wù)器與客戶端交互的數(shù)據(jù)包中包含黑色產(chǎn)業(yè)內(nèi)容時(shí)，即客戶端向服務(wù)器發(fā)送的數(shù)據(jù)或者是服務(wù)器向客戶端發(fā)送的數(shù)據(jù)是包含黑色產(chǎn)業(yè)內(nèi)容的，則此時(shí)對(duì)黑色產(chǎn)業(yè)內(nèi)容的類別進(jìn)行分析。例如，當(dāng)檢測(cè)到百家樂(lè)時(shí)，根據(jù)預(yù)置的規(guī)則庫(kù)判斷所述黑色產(chǎn)業(yè)內(nèi)容為博彩 類別，上述預(yù)置的第一規(guī)則庫(kù)中包含黑色產(chǎn)業(yè)內(nèi)容與類別的對(duì)應(yīng)關(guān)系。當(dāng)檢測(cè)分析后可以將結(jié)果保存在系統(tǒng)日志中，并對(duì)客戶端提示存在的黑色產(chǎn)業(yè)內(nèi)容以及黑色產(chǎn)業(yè)內(nèi)容的類別。

本發(fā)明實(shí)施例通過(guò)獲取待檢測(cè)服務(wù)器與客戶端交互的數(shù)據(jù)包，所述數(shù)據(jù)包包含所述客戶端向服務(wù)器發(fā)送的請(qǐng)求數(shù)據(jù)或所述服務(wù)器向所述客戶端發(fā)送的回復(fù)數(shù)據(jù)；對(duì)所述請(qǐng)求數(shù)據(jù)或所述回復(fù)數(shù)據(jù)進(jìn)行黑色產(chǎn)業(yè)內(nèi)容檢測(cè)；當(dāng)檢測(cè)到所述請(qǐng)求數(shù)據(jù)或所述回復(fù)數(shù)據(jù)存在黑色產(chǎn)業(yè)內(nèi)容時(shí)，根據(jù)檢測(cè)到的黑色產(chǎn)業(yè)內(nèi)容和預(yù)置的第一規(guī)則庫(kù)分析所述黑色產(chǎn)業(yè)內(nèi)容的類別，所述第一規(guī)則庫(kù)包含所述黑色產(chǎn)業(yè)內(nèi)容與所述類別的對(duì)應(yīng)關(guān)系。由于檢測(cè)到的黑色產(chǎn)業(yè)內(nèi)容即為存在的黑色產(chǎn)業(yè)內(nèi)容，因此實(shí)現(xiàn)了識(shí)別黑色產(chǎn)業(yè)內(nèi)容的目的，且通過(guò)利用第一規(guī)則庫(kù)確定檢測(cè)到的黑色產(chǎn)業(yè)內(nèi)容的類別，有效實(shí)現(xiàn)分析黑色產(chǎn)業(yè)內(nèi)容的類別的目的，對(duì)服務(wù)器是否存在黑色產(chǎn)業(yè)內(nèi)容以及存在的內(nèi)容和類別進(jìn)行全方位檢測(cè)。

進(jìn)一步地，參照?qǐng)D6，基于本發(fā)明黑色產(chǎn)業(yè)內(nèi)容的檢測(cè)分析裝置第一實(shí)施例，在本發(fā)明黑色產(chǎn)業(yè)內(nèi)容的檢測(cè)分析裝置第二實(shí)施例中，上述黑色產(chǎn)業(yè)內(nèi)容檢測(cè)模塊20還包括：

第一檢測(cè)單元211，用于將所述請(qǐng)求數(shù)據(jù)或所述回復(fù)數(shù)據(jù)通過(guò)預(yù)置的正則表達(dá)式進(jìn)行檢測(cè)，所述預(yù)置的正則表達(dá)式用于將所述數(shù)據(jù)包中的數(shù)據(jù)與預(yù)置的第二規(guī)則庫(kù)中的數(shù)據(jù)進(jìn)行匹配；

第一確認(rèn)單元212，用于當(dāng)所述數(shù)據(jù)包包含所述請(qǐng)求數(shù)據(jù)且匹配到所述第二規(guī)則庫(kù)中的數(shù)據(jù)時(shí)，確認(rèn)所述請(qǐng)求數(shù)據(jù)存在所述黑色產(chǎn)業(yè)內(nèi)容；當(dāng)所述數(shù)據(jù)包包含所述回復(fù)數(shù)據(jù)且匹配到所述第二規(guī)則庫(kù)中的信息時(shí)，確認(rèn)所述回復(fù)數(shù)據(jù)存在所述黑色產(chǎn)業(yè)內(nèi)容。

本實(shí)施例中上述預(yù)置的正則表達(dá)式是用于將請(qǐng)求數(shù)據(jù)或回復(fù)數(shù)據(jù)與預(yù)置的第二規(guī)則庫(kù)中的數(shù)據(jù)進(jìn)行匹配，當(dāng)采用正則表達(dá)式進(jìn)行匹配時(shí)使用解析引擎在程序運(yùn)行時(shí)解析正則表達(dá)式的內(nèi)容。例如，當(dāng)采用表達(dá)式[pcre:”*(網(wǎng)絡(luò)博彩網(wǎng)|澳門(mén)賭博網(wǎng)|百家樂(lè))*”；]對(duì)數(shù)據(jù)包中請(qǐng)求數(shù)據(jù)或回復(fù)數(shù)據(jù)進(jìn)行檢測(cè)時(shí)，會(huì)檢查請(qǐng)求數(shù)據(jù)或回復(fù)數(shù)據(jù)中是否包含網(wǎng)絡(luò)博彩網(wǎng)、澳門(mén)賭博網(wǎng)、百家樂(lè)等關(guān)鍵字。上述預(yù)置的正則表達(dá)式待匹配的內(nèi)容來(lái)自于預(yù)置的規(guī)則庫(kù)，上述預(yù)置 的第二規(guī)則庫(kù)可以包含預(yù)置的關(guān)鍵詞，如包含百家樂(lè)、游戲平臺(tái)等，也可以包含預(yù)置的惡意鏈接，也可以包含黑色產(chǎn)業(yè)內(nèi)容的檢測(cè)正則表達(dá)式等，具體可以根據(jù)需要進(jìn)行設(shè)定。例如在政府網(wǎng)站的頁(yè)面，頁(yè)面匹配到：[pcre:”*(酒吧|模特|夜總會(huì))招聘*”；]，表示被插入色情類黑色產(chǎn)業(yè)內(nèi)容，頁(yè)面標(biāo)題匹配：pcre:”*<title>(大保健|延時(shí)藥|)</title>*”；]，表示被植入虛假藥物的黑色產(chǎn)業(yè)內(nèi)容。其中第一規(guī)則庫(kù)中的黑色產(chǎn)業(yè)內(nèi)容部分可以包含第二規(guī)則庫(kù)中的全部?jī)?nèi)容，也可以包含除了第二規(guī)則庫(kù)中的全部?jī)?nèi)容以外的其他黑色產(chǎn)業(yè)內(nèi)容。

第一檢測(cè)單元211通過(guò)正則表達(dá)式匹配到規(guī)則庫(kù)中的內(nèi)容時(shí)，若獲取的數(shù)據(jù)包包含的是客戶端向服務(wù)器發(fā)送的請(qǐng)求數(shù)據(jù)，則表示有攻擊者在向服務(wù)器提交黑色產(chǎn)業(yè)內(nèi)容，此時(shí)攔截并進(jìn)行分析，將攔截及分析的結(jié)果提示用戶。當(dāng)獲取的數(shù)據(jù)包包含的是服務(wù)器向客戶端發(fā)送的回復(fù)數(shù)據(jù)，如某教育網(wǎng)站匹配到“大發(fā)888游戲平臺(tái)”這樣的黑色產(chǎn)業(yè)內(nèi)容，且判斷到該信息指向的鏈接為非本站鏈接(可能是123.game.com)，那么可以確認(rèn)該服務(wù)器存在黑色產(chǎn)業(yè)內(nèi)容，進(jìn)而分析并提示用戶相關(guān)信息。

本實(shí)施例通過(guò)將所述數(shù)據(jù)包中的請(qǐng)求數(shù)據(jù)或回復(fù)數(shù)據(jù)通過(guò)預(yù)置的正則表達(dá)式進(jìn)行匹配來(lái)判斷是否存在黑色產(chǎn)業(yè)內(nèi)容，匹配到的黑色產(chǎn)業(yè)內(nèi)容是攻擊者向服務(wù)器提交的黑色產(chǎn)業(yè)內(nèi)容或者服務(wù)器返回給客戶端的黑色產(chǎn)業(yè)內(nèi)容，這些信息也就是服務(wù)器存在的黑色產(chǎn)業(yè)內(nèi)容，因此達(dá)到了識(shí)別黑色產(chǎn)業(yè)內(nèi)容的目的。

進(jìn)一步地，參照?qǐng)D7，基于本發(fā)明黑色產(chǎn)業(yè)內(nèi)容的檢測(cè)分析裝置第一實(shí)施例，在本發(fā)明黑色產(chǎn)業(yè)內(nèi)容的檢測(cè)分析裝置第三實(shí)施例中，上述黑色產(chǎn)業(yè)內(nèi)容檢測(cè)模塊20還包括：

第二檢測(cè)單元221，用于檢測(cè)所述請(qǐng)求數(shù)據(jù)或所述回復(fù)數(shù)據(jù)是否存在預(yù)置應(yīng)用的特征信息；

第二確認(rèn)單元222，用于當(dāng)所述數(shù)據(jù)包包含所述請(qǐng)求數(shù)據(jù)且存在所述特征信息時(shí)，確認(rèn)所述請(qǐng)求數(shù)據(jù)存在所述黑色產(chǎn)業(yè)內(nèi)容；當(dāng)所述數(shù)據(jù)包包含所述回復(fù)數(shù)據(jù)且存在所述特征信息時(shí)，確認(rèn)所述回復(fù)數(shù)據(jù)存在所述黑色產(chǎn)業(yè)內(nèi)容。

本實(shí)施例中上述預(yù)置應(yīng)用是指預(yù)先定義的惡意應(yīng)用，例如挖掘比特幣的應(yīng)用等，可以根據(jù)需要選擇應(yīng)用。上述預(yù)置應(yīng)用的特征信息是指反映預(yù)置應(yīng) 用的行為的信息，每一種應(yīng)用在運(yùn)行時(shí)都會(huì)有一些特定的行為特征，比如連接指定的服務(wù)器或者是使用某些特定的通信協(xié)議。第二檢測(cè)單元221檢測(cè)請(qǐng)求數(shù)據(jù)或回復(fù)數(shù)據(jù)是否存在預(yù)置應(yīng)用的特征信息就是檢測(cè)數(shù)據(jù)包中是否存在使用一些特定的通信協(xié)議，是否連接特定的服務(wù)器上傳或下載信息等，可以根據(jù)需要選擇檢測(cè)哪些應(yīng)用的哪些特定信息。例如檢測(cè)到連接挖掘比特幣的服務(wù)器，表明可能存在挖掘比特幣的惡意行為。此時(shí)可以進(jìn)行進(jìn)一步的分析，并記錄在日志中同時(shí)向用戶告警。

本實(shí)施例通過(guò)預(yù)置應(yīng)用的特征信息標(biāo)識(shí)黑色產(chǎn)業(yè)內(nèi)容，將數(shù)據(jù)包中的請(qǐng)求數(shù)據(jù)或回復(fù)數(shù)據(jù)于通過(guò)預(yù)置應(yīng)用的特征信息進(jìn)行檢測(cè)，達(dá)到識(shí)別黑色產(chǎn)業(yè)內(nèi)容的目的?？梢岳斫獾氖?，這個(gè)檢測(cè)可以通過(guò)服務(wù)器與客戶端交互獲取的數(shù)據(jù)包進(jìn)行檢測(cè)，還可以在待檢測(cè)的服務(wù)器上對(duì)整個(gè)服務(wù)器已經(jīng)存在的信息進(jìn)行檢測(cè)。

進(jìn)一步地，參照?qǐng)D8，基于本發(fā)明黑色產(chǎn)業(yè)內(nèi)容的檢測(cè)分析裝置上述實(shí)施例，在本發(fā)明黑色產(chǎn)業(yè)內(nèi)容的檢測(cè)分析裝置第四實(shí)施例中，上述黑色產(chǎn)業(yè)內(nèi)容的檢測(cè)分析裝置還包括：

入侵檢測(cè)模塊40，用于將獲取到的所述數(shù)據(jù)包進(jìn)行入侵檢測(cè)，判斷所述服務(wù)器是否受到入侵攻擊。

所述黑色產(chǎn)業(yè)內(nèi)容檢測(cè)模塊20還用于當(dāng)所述服務(wù)器受到所述入侵攻擊時(shí)，檢測(cè)所述請(qǐng)求數(shù)據(jù)或所述回復(fù)數(shù)據(jù)是否存在黑色產(chǎn)業(yè)內(nèi)容。

本實(shí)施例中入侵檢測(cè)是對(duì)攻擊者入侵服務(wù)器進(jìn)行檢測(cè)，可以使用的檢測(cè)方法有sql注入檢測(cè)，跨站腳本攻擊(crosssitescripting,xss)攻擊檢測(cè)等方法，可以根據(jù)需要選擇一種或幾種組合使用。當(dāng)檢測(cè)到所述服務(wù)器受到入侵攻擊時(shí)表明可能會(huì)有黑色產(chǎn)業(yè)內(nèi)容篡改服務(wù)器，此時(shí)調(diào)用黑色產(chǎn)業(yè)內(nèi)容檢測(cè)模塊20進(jìn)行黑色產(chǎn)業(yè)內(nèi)容的檢測(cè)。

sql注入是攻擊者利用sql語(yǔ)句的漏洞將惡意代碼插入到sql中，并使惡意代碼得以執(zhí)行。例如，存在以下sql語(yǔ)句：selectcount(*)fromloginwhereusername＝’{0}’andpassword＝’{1}’,username,password，當(dāng)用戶民和密碼都為admin時(shí)，客戶端提交用戶名admin，密碼admin，可以正常登陸系統(tǒng)，然而當(dāng)客戶端輸入admin’--，密碼輸入123時(shí)，也可以正常登陸系統(tǒng)，或者客戶端 輸入admin’--，密碼輸入345也能正常登陸系統(tǒng)，這是因?yàn)?，后臺(tái)獲取輸入框的信息以后，要執(zhí)行的sql語(yǔ)句為selectcount(*)fromloginwhereusername＝’admin’--password＝’123’，其中--被識(shí)別為注視符，后面的語(yǔ)句被省略而登陸成功。在檢測(cè)sql注入時(shí)，可以通過(guò)對(duì)sql注入語(yǔ)句掃描檢測(cè)來(lái)判斷是否有sql注入，具體實(shí)現(xiàn)方式在現(xiàn)有技術(shù)中有很多，可以根據(jù)需要選擇使用。

進(jìn)行xss攻擊的攻擊者通常在網(wǎng)頁(yè)中嵌入客戶端腳本(例如javascript),當(dāng)用戶瀏覽此網(wǎng)頁(yè)時(shí)，腳本就會(huì)在用戶的瀏覽器上執(zhí)行，從而達(dá)到攻擊者的目的。例如獲取用戶的cookie、鏈接到惡意連接等。xss攻擊檢測(cè)方法可以通過(guò)分析web應(yīng)用程序代碼中的數(shù)據(jù)傳輸情況等方法來(lái)實(shí)現(xiàn)，具體的實(shí)現(xiàn)方式可以根據(jù)需要選擇。

本實(shí)施例通過(guò)對(duì)服務(wù)器與客戶端的交互信息進(jìn)行檢測(cè)判斷是否有攻擊者入侵服務(wù)器。使客戶端在服務(wù)器存在黑色產(chǎn)業(yè)內(nèi)容前就了解客戶端是否存在惡意攻擊。

進(jìn)一步地，基于本發(fā)明黑色產(chǎn)業(yè)內(nèi)容的檢測(cè)分析裝置上述實(shí)施例，在本發(fā)明黑色產(chǎn)業(yè)內(nèi)容的檢測(cè)分析裝置第五實(shí)施例中，上述黑色產(chǎn)業(yè)內(nèi)容的檢測(cè)分析裝置還包括：

告警模塊，用于當(dāng)檢測(cè)到所述服務(wù)器受到所述入侵攻擊或所述請(qǐng)求數(shù)據(jù)存在所述黑色產(chǎn)業(yè)內(nèi)容或所述回復(fù)數(shù)據(jù)存在所述黑色產(chǎn)業(yè)內(nèi)容時(shí)，向所述客戶端發(fā)送對(duì)應(yīng)的告警信息。

本實(shí)施例中上述告警信息可以在入侵檢測(cè)模塊40或黑色產(chǎn)業(yè)內(nèi)容檢測(cè)模塊20檢測(cè)到黑色產(chǎn)業(yè)內(nèi)容后進(jìn)行提醒。具體地，上述告警信息可以在入侵檢測(cè)發(fā)現(xiàn)有惡意攻擊時(shí)對(duì)客戶端進(jìn)行提醒，也可以在根據(jù)服務(wù)器與客戶端的交互過(guò)程中發(fā)現(xiàn)存在黑色產(chǎn)業(yè)內(nèi)容時(shí)發(fā)送告警信息進(jìn)行提醒。告警信息的內(nèi)容可以包括提示客戶端正在交互的內(nèi)容包含的黑色產(chǎn)業(yè)內(nèi)容或者是該交互的服務(wù)器本身已經(jīng)存在黑色產(chǎn)業(yè)內(nèi)容(存在黑色產(chǎn)業(yè)內(nèi)容的服務(wù)器可以稱為黑產(chǎn)主機(jī))，以及黑色產(chǎn)業(yè)內(nèi)容的類別。告警信息的提示方式可以根據(jù)需要選擇，可以在用戶端彈出窗口提示用戶存在的黑色產(chǎn)業(yè)內(nèi)容，例如提示服務(wù)器被惡意攻擊者入侵，并且被添加了虛假藥物信息。

本實(shí)施例通過(guò)發(fā)現(xiàn)惡意攻擊或者黑色產(chǎn)業(yè)內(nèi)容時(shí)對(duì)客戶端發(fā)送告警信 息，使用戶知曉服務(wù)器被攻擊的情況以及具體的黑色產(chǎn)業(yè)內(nèi)容和類別。

以上僅為本發(fā)明的優(yōu)選實(shí)施例，并非因此限制本發(fā)明的專利范圍，凡是利用本發(fā)明說(shuō)明書(shū)及附圖內(nèi)容所作的等效結(jié)構(gòu)或等效流程變換，或直接或間接運(yùn)用在其他相關(guān)的技術(shù)領(lǐng)域，均同理包括在本發(fā)明的專利保護(hù)范圍內(nèi)。