CN105046154A - 一种webshell检测方法及装置 - Google Patents

Abstract

本发明提供了一种webshell检测方法及装置，其中，所述方法包括：根据webshell样本库确定待检测的两个以上的目标异常信息、确定每一个目标异常信息对应的第一权重值、以及确定标准值；获取web服务器网站目录下的全部脚本文件；检测每一个脚本文件中所包括的目标异常信息；根据每一个脚本文件包括的每一个目标异常信息和每一个目标异常信息对应的第一权重值计算每一个脚本文件对应的第三权重值；判断每一个脚本文件的第三权重值是否大于或等于标准值，如果是，则确定大于或等于标准值的第三权重值对应的脚本文件包括webshell。通过本发明的技术方案，可检测出web服务器中的webshell。

Description

一种webshell检测方法及装置

技术领域

本发明涉及信息安全技术领域，特别涉及一种webshell检测方法及装置。

背景技术

Webshell是一种在web服务器中以网页脚本文件形式存在的木马文件，入侵者可通过浏览器直接访问webshell以得到命令执行环境，进而通过该webshell在被入侵的web服务器中上传或下载文件、修改文件内容、查看数据库、执行任意程序命令等。

Webshell在web入侵中充当着脚本攻击工具的作用，入侵者可以通过webshell达到控制网站或web服务器的目的；由于webshell与被控制的web服务器或远程主机交换的数据都是通过HTTP协议默认端口传递的，因此，webshell会被认为是正常的网站访问，不会被防火墙拦截，同时，由于webshell与web服务器网站目录下正常的网页脚本文件混在—起，具有极强的隐蔽性，不易被发现。

发明内容

有鉴于此，本发明提供了一种webshell检测方法及装置，可检测出web服务器中的webshell。

第一方面，本发明提供了一种webshell检测方法，包括：

S0：根据webshell样本库确定待检测的两个以上的目标异常信息、确定每一个目标异常信息对应的第一权重值、以及确定标准值，还包括：

S1：获取web服务器网站目录下的全部脚本文件；

S2：检测每一个脚本文件中所包括的目标异常信息；

S3：根据每一个所述脚本文件包括的每一个目标异常信息和所述每一个目标异常信息对应的第一权重值计算每一个所述脚本文件对应的第三权重值；

S4：判断每一个所述脚本文件的第三权重值是否大于或等于所述标准值，如果是，则确定大于或等于所述标准值的第三权重值对应的脚本文件包括webshell。

进一步的，所述步骤S4之后还包括：

设置隔离区；

当确定大于或等于所述标准值的第三权重值对应的脚本文件包括webshell时，将所述webshell转移至所述隔离区。

进一步的，在将所述webshell转移至隔离区之后，还包括：

检测所述webshell对应的网站是否报错，如果是，则根据报错信息从所述隔离区恢复对应的webshell。

进一步的，所述确定待检测的两个以上的目标异常信息包括：将以下异常信息中的至少两种确定为待检测的两个以上的目标异常信息：

文件提供上传或下载功能、通过文件获取信息***信息、文件具有修改其它文件的功能、通过文件执行shell、cmd等命令控制信息***、通过文件对信息***进行查询或修改、文件大于100k或文件小于10k。

进一步的，

所述确定每一个目标异常信息对应的第一权重值，包括：统计每一个目标异常信息在所述webshell样本库中出现的次数和所述webshell样本库中出现所述两个以上的目标异常信息的总次数，针对每一个目标异常信息，将当前的目标异常信息在所述webshell样本库中出现的次数与所述webshell样本库中出现所述两个以上的目标异常信息的总次数的商作为当前的目标异常信息对应的第一权重值；

所述确定标准值，包括：根据所述webshell样本库中的每一个webshell包括的全部目标异常信息，将当前webshell包括的每一个目标异常信息对应的第一权重值的和作为当前webshell对应的第二权重值；对比每一个所述webshell样本库中的webshell对应的第二权重值，确定其中最小的一个第二权重值包括标准值。

第二方面，本发明提供了一种webshell检测装置，包括：

确定单元，用于根据webshell样本库确定待检测的两个以上的目标异常信息、确定每一个目标异常信息对应的第一权重值、以及确定标准值；

获取单元，用于获取web服务器网站目录下的全部脚本文件；

第一检测单元，用于检测每一个脚本文件中所包括的目标异常信息；

计算单元，用于根据每一个所述脚本文件包括的每一个目标异常信息和所述每一个目标异常信息对应的第一权重值计算每一个所述脚本文件对应的第三权重值；

判断单元，判断每一个所述脚本文件的第三权重值是否大于或等于所述标准值，如果是，则确定大于或等于所述标准值的第三权重值对应的脚本文件包括webshell。

进一步的，还包括：

设置单元，用于设置隔离区；

处理单元，用于当确定大于或等于所述标准值的第三权重值对应的脚本文件包括webshell时，将所述webshell转移至所述隔离区。

进一步的，还包括：

第二检测单元，用于检测所述webshell对应的网站是否报错；

恢复单元，用于当所述检测单元的检测结果为是时，从所述第一设置单元设置的隔离区恢复对应的webshell。

进一步的，

所述确定单元，用于将以下异常信息中的至少两种确定为待检测的两个以上的目标异常信息：

文件提供上传或下载功能、通过文件获取信息***信息、文件具有修改其它文件的功能、通过文件执行shell、cmd等命令控制信息***、通过文件对信息***进行查询或修改、文件大于100k或文件小于10k。

进一步的，

所述确定单元，还用于统计每一个目标异常信息在所述webshell样本库中出现的次数和所述webshell样本库中出现所述两个以上的目标异常信息的总次数，针对每一个目标异常信息，将当前的目标异常信息在所述webshell样本库中出现的次数与所述webshell样本库中出现所述两个以上的目标异常信息的总次数的商作为当前的目标异常信息对应的第一权重值；

所述确定单元，还用于根据所述webshell样本库中的每一个webshell包括的全部目标异常信息，将当前webshell包括的每一个目标异常信息对应的第一权重值的和作为当前webshell对应的第二权重值；对比每一个所述样本webshell对应的第二权重值，确定其中最小的一个第二权重值包括标准值。

本发明提供的一种webshell检测方法及装置，通过获取web服务器网站目录下的全部脚本文件，根据通过webshell样本库预先确定的需要检测的异常信息获取每一个脚本文件的全部异常信息，并根据通过该webshell样本库预先确定的异常信息对应的第一权重值计算每一个脚本文件的第三权重值，如果有第三权重值大于通过该webshell样本库确定的标准值，则确定该第三权重值对应的脚本文件为webshell，从而检测出web服务器中的webshell，进而提高了检测效率。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明一实施例提供的一种webshell检测方法的流程图；

图2是本发明一实施例提供的另一种webshell检测方法的流程图；

图3是本发明一实施例提供的一种webshell检测装置的结构示意图；

图4是本发明一实施例提供的另一种webshell检测装置的结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例，基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。

如图1所示，本发明实施例提供了一种webshell检测方法，该方法可以包括以下步骤：

S0：根据webshell样本库确定待检测的两个以上的目标异常信息、确定每一个目标异常信息对应的第一权重值、以及确定标准值；

S1：获取web服务器网站目录下的全部脚本文件；

S2：检测每一个脚本文件中所包括的目标异常信息；

S3：根据每一个所述脚本文件包括的每一个目标异常信息和所述每一个目标异常信息对应的第一权重值计算每一个所述脚本文件对应的第三权重值；

S4：判断每一个所述脚本文件的第三权重值是否大于或等于所述标准值，如果是，则确定大于或等于所述标准值的第三权重值对应的脚本文件包括webshell。

本发明提供的一种webshell检测方法，通过获取web服务器网站目录下的全部脚本文件，根据通过webshell样本库预先确定的需要检测的异常信息获取每一个脚本文件的全部异常信息，并根据通过该webshell样本库预先确定的异常信息对应的第一权重值计算每一个脚本文件的第三权重值，如果有第三权重值大于通过该webshell样本库确定的标准值，则确定该第三权重值对应的脚本文件为webshell，从而检测出web服务器中的webshell，进而提高了检测效率。

为了防止被检测到的webshell继续对该web服务器造成破坏或窃取该web服务器内的信息，本发明一个优选实施例中，所述步骤S4之后还包括：设置隔离区，当确定大于或等于所述标准值的第三权重值对应的脚本文件包括webshell时，将所述webshell转移至所述隔离区。

进一步的，为了防止对脚本文件进行检测时误将当前web服务器下的正常脚本文件当成webshell移动至隔离区，本发明一个优选实施例中，在将所述webshell转移至隔离区之后，还包括：检测所述webshell对应的网站是否报错，如果是，则根据报错信息从所述隔离区恢复对应的webshell。

在某些特定的环境下，web服务器下的正常脚本文件也可能具备和webshell文件相同的异常信息，比如，管理员进行***维护时，可能通过特定的脚本文件对其他脚本文件进行更改以及访问数据库并修改数据库信息等，而此时，对该特定的脚本文件进行检测时由于其包含了多个异常信息，可能导致其计算出来的第三权重值高于标准值，进而使其被移动至隔离区。

因此，一方面，可将隔离区文件设置为不可查看且不可执行，防止入侵者继续对web服务器造成破坏或窃取该web服务器内的信息，另一方面，可将隔离区文件设置为可恢复文件，比如，当检测到web服务器下一个名为date的正常脚本文件丢失导致对应的网站报错，可利用相关权限从隔离区恢复该文件名为date的脚本文件。

针对于根据webshell样本库确定待检测的两个以上的目标异常信息，具体地，可通过对webshell样本库进行行为分析以获取至少两个目标异常信息，目标异常信息包括但不限于：文件提供上传或下载功能、通过文件获取信息***信息、文件具有修改其它文件的功能、通过文件执行shell、cmd等命令控制信息***、通过文件对信息***进行查询或修改、文件大于100k或文件小于10k；需要说明的是，上述异常信息仅为对webshell样本库进行分析以获取的主要异常信息，还可以包括其他异常信息，比如文件内容异常、文件压缩比异常等。

进一步的，可通过统计每一个目标异常信息在所述webshell样本库中出现的次数和所述webshell样本库中出现所述两个以上的目标异常信息的总次数，针对每一个目标异常信息，将当前的目标异常信息在所述webshell样本库中出现的次数与所述webshell样本库中出现所述两个以上的目标异常信息的总次数的商作为当前的目标异常信息对应的第一权重值。

进一步的，可根据所述webshell样本库中的每一个webshell包括的全部目标异常信息，将当前webshell包括的每一个目标异常信息对应的第一权重值的和作为当前webshell对应的第二权重值；对比每一个所述webshell样本库中的webshell对应的第二权重值，确定其中最小的一个第二权重值包括标准值。

为使本发明的目的、技术方案和优点更加清楚，下面结合附图及具体实施例对本发明作进一步地详细描述。

如图2所示，本发明实施例提供了另一种webshell检测方法，该方法可以包括以下步骤：

步骤201，设置webshell样本库，通过对该webshell样本库中的webshell进行行为分析以确定待检测的目标异常信息。

目标异常信息即webshell通常会具备的而web服务器下的脚本文件不具备或者只有在特定情况下才能具备的信息，比如webshell提供访问数据库的功能，web服务器内的正常脚本文件一般不具备该功能，只有配合管理员进行数据库管理的脚本文件才具备该功能，因此，可将提供访问数据库功能作为一个目标异常信息；

举例来说，可设置一个webshell样本库包括7个webshell样本文件，分别为a、b、c、d、e、f、g，对该webshell样本库中的7个样本文件进行行为分析可以获取当前webshell样本库内的webshell包括的目标异常信息包括，A：文件提供上传或下载功能、B：通过文件获取信息***信息、C：文件具有修改其它文件的功能、D：通过文件执行shell、cmd等命令控制信息***、E：通过文件对信息***进行查询或修改、F：文件大于100k或文件小于10k；需要说明的是目标异常信息包括但不限于上述目标异常信息，比如，还可以包括文件压缩比异常、文件内容异常等。

步骤202，确定每一个待检测的目标异常信息对应的第一权重值。

统计该webshell样本库中每一个webshell对应的目标异常信息如下，

a包括：A、B、C、D、E、F；

b包括：B、C、D、E、F；

c包括：C、D、E；

d包括：A、B、C；

e包括：A、C、D；

f包括：A、B、C、D；

g包括：A、C、D。

通过上述数据，可得出上述6种目标异常信息在该webshell样本库中分别出现的次数为，A：5次、B：4次、C：7次、D：6次、E：3次、F：2次；以及该webshell样本库中出现目标异常信息的总次数为27次。

由上述数据通过概率学分析可知，基于该样本库，每个webshell中出现上述不同的目标异常信息的概率为每一个目标异常在样本库中出现的次数除以该webshell样本库中出现目标异常信息的总次数，可得出计算结果分别为，A：0.19、B：0.15、C：0.26、D：0.22、E：0.11、F：0.07；由于某一项目标异常信息对应的概率越高，说明入侵者使用该目标异常信息对web服务器造成破坏或窃取该web服务器下的信息的可能也就越高，因此，在对该项目标异常信息检测时，可对该项信息赋予相对较高的权重，比如，可按每一项目标异常信息出现的概率对应设置为该项异常信息对应的权重，即作为该项目标异常信息对应的第一权重值。

步骤203，计算该webshell样本库中每一个webshell对应的第二权重值，并将最小的一个第二权重值确定为标准值。

本实施例中，由该webshell样本库可知，入侵者通常会使用一个具备多个目标异常信息的webshell破坏web服务器或者窃取该web服务器内的信息，在本实施例中，由于根据webshell样本库确定了全部可能出现的目标异常信息，并根据每一项目标异常信息在webshell中出现的概率分别赋予了对应的第一权重值，同样基于概率学分析，可将当前webshell样本库中的webshell对应的目标异常信息对应的第一权重值相加得出的值，即第二权重值，作为判断具备对应的目标异常信息的文件是webshell的概率；由上述计算方法可得，该webshell样本库中的每一个webshell分别对应的第二权重值为，a：1、b：0.81、c：0.59、d：0.6、e：0.67、f：0.82、g：0.67；

由上述数据可知，c对应的webshell对应的第二权重值最小，因此，可将c对应的第二权重值0.59设置为判断一个脚本文件包括webshell的最低权重值，即标准值。

需要说明的是，本实施例仅为本发明的优选方案，通过设置webshell样本库确定待检测的异常信息、以及计算第一权重值和标准值的过程中，对于选择样本webshell数量和样本种类不同的情况下，计算出的第一权重值和标准值可能会有较小的差别，可选择尽量多的样本种类和样本数量以及确定更多的目标异常信息可得出更加合理的第一权重值和标准值。

步骤204，获取web服务器网站目录下的全部脚本文件。

可通过遍历该web服务器下的网站目录以获取全部的脚本文件。

步骤205，检测每一个脚本文件中所包括的目标异常信息。

步骤206，计算每一个所述脚本文件对应的第三权重值。

可通过步骤203中计算webshell样本库中webshell的第二权重值的计算方法计算每一个脚本文件对应的第三权重值，比如，对于该web服务器网站目录下的脚本文件m和脚本文件n，脚本文件m包括待检测的目标异常信息A、B、C、D，脚本文件n包括待检测的目标异常信息A、B、C、D、E，本实施例中这些异常信息分别对应的第一权重值为：A：0.19、B：0.15、C：0.26、D：0.22、E：0.11、F：0.07，由此可得出脚本文件m对应的第三权重值A+B+C+D的值为0.82，脚本文件n对应的第三权重值A+B+C+D+E的值为0.93。

步骤207，判断每一个脚本文件对应的第三权重值是否大于或等于标准值。

步骤208，将大于或等于标准值的第三权重值对应的脚本文件转移至隔离区。

隔离区内的文件被设置为不允许被打开或执行，防止被转移至隔离区内的webshell继续破坏该web服务器，达到保护web服务器的目的。

步骤207至步骤208中，如上述步骤206计算出的脚本文件m和脚本文件n对应的第三权重值分别为0.82和0.93，大于步骤203中确定的标准值0.59，因此，将脚本文件m和脚本文件n确定为webshell，进而将脚本文件m和脚本文件能移动至隔离区，被转移至隔离区的脚本文件m和脚本文件n不允许被打开或执行。

步骤209，检测被转移至隔离区的webshell对应的网站是否报错，当结果为是时执行步骤210。

本实施例中，不能排除将正常文件误测为webshell的可能，因此，可通过设置检测模块检测被转移至隔离区的脚本文件对应的网站是否报错，即检测是否出现误测将该web服务器网站目录下的正常脚本文件转移至隔离区的情况。

步骤210，根据报错信息，通过相关权限从隔离区恢复对应的脚本文件。

根据报错信息回复相应的脚本文件，比如，将脚本文件m和脚本文件转移至隔离区后，脚本文件m对应的网站报错，报错信息为缺少文件名为date的脚本文件，当管理员确定脚本文件m对应的文件名为date时，可利用相关管理员权限从该隔离区恢复该脚本文件m，以使脚本文件对应的网站能够正常工作。

如图3所示，本发明实施例提供了一种webshell检测装置，可以包括：

确定单元301，用于根据webshell样本库确定待检测的两个以上的目标异常信息、确定每一个目标异常信息对应的第一权重值、以及确定标准值；

获取单元302，用于获取web服务器网站目录下的全部脚本文件；

第一检测单元303，用于检测每一个脚本文件中所包括的目标异常信息；

计算单元304，用于根据每一个所述脚本文件包括的每一个目标异常信息和所述每一个目标异常信息对应的第一权重值计算每一个所述脚本文件对应的第三权重值；

判断单元305，判断每一个所述脚本文件的第三权重值是否大于或等于所述标准值，如果是，则确定大于或等于所述标准值的第三权重值对应的脚本文件包括webshell。

如图4所示，本发明实施例提供了另一种webshell检测装置，

在一种可能实现的方式中，还包括：

设置单元401，用于设置隔离区；

处理单元402，用于当确定大于或等于所述标准值的第三权重值对应的脚本文件包括webshell时，将所述webshell转移至所述隔离区。

在一种可能实现的方式中，还包括：

第二检测单元403，用于检测所述webshell对应的网站是否报错。

恢复单元404，用于当所述检测单元的检测结果为是时，从所述第一设置单元设置的隔离区恢复对应的webshell。

在一中可能实现的方式中，

所述确定单元301，用于将以下异常信息中的至少两种确定为待检测的两个以上的目标异常信息：

文件提供上传或下载功能、通过文件获取信息***信息、文件具有修改其它文件的功能、通过文件执行shell、cmd等命令控制信息***、通过文件对信息***进行查询或修改、文件大于100k或文件小于10k。

在一中可能实现的方式中，

所述确定单元301，还用于统计每一个目标异常信息在所述webshell样本库中出现的次数和所述webshell样本库中出现所述两个以上的目标异常信息的总次数，针对每一个目标异常信息，将当前的目标异常信息在所述webshell样本库中出现的次数与所述webshell样本库中出现所述两个以上的目标异常信息的总次数的商作为当前的目标异常信息对应的第一权重值；

所述确定单元301，还用于统计所述webshell样本库中的每一个webshell包括的全部目标异常信息，将当前webshell包括的全部目标异常信息对应的第一权重值的和作为当前webshell对应的第二权重值；

对比每一个所述样本webshell对应的第二权重值，确定其中最小的一个第二权重值包括标准值。

上述装置内的各单元之间的信息交互、执行过程等内容，由于与本发明方法实施例基于同一构思，具体内容可参见本发明方法实施例中的叙述，此处不再赘述。

本发明实施例至少具有如下有益效果：

1、通过获取web服务器网站目录下的全部脚本文件，根据通过webshell样本库预先确定的需要检测的异常信息获取每一个脚本文件的全部异常信息，并根据通过该webshell样本库预先确定的异常信息对应的第一权重值计算每一个脚本文件的第三权重值，如果有第三权重值大于通过该webshell样本库确定的标准值，则确定该第三权重值对应的脚本文件为webshell，从而检测出web服务器中的webshell，进而提高了检测效率。

2、设置隔离区，将webshell移动至隔离区以使该webshell不可被查看或执行，从而保证该webshell不会继续对web服务器造成破坏，同时，使被误测为webshell的脚本文件可从该隔离区恢复。

需要说明的是，在本文中，诸如第一和第二之类的关系术语仅仅用来将一个实体或者信息与另一个实体或信息区分开来，而不一定要求或者暗示这些实体或信息之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个······”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同因素。

最后需要说明的是：以上所述仅为本发明的较佳实施例，仅用于说明本发明的技术方案，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内所做的任何修改、等同替换、改进等，均包含在本发明的保护范围内。

Claims (10)

1.一种webshell检测方法，其特征在于，包括：根据webshell样本库确定待检测的两个以上的目标异常信息、确定每一个目标异常信息对应的第一权重值、以及确定标准值，还包括：

S1：获取web服务器网站目录下的全部脚本文件；

S2：检测每一个脚本文件中所包括的目标异常信息；

S3：根据每一个所述脚本文件包括的每一个目标异常信息和所述每一个目标异常信息对应的第一权重值计算每一个所述脚本文件对应的第三权重值；

S4：判断每一个所述脚本文件的第三权重值是否大于或等于所述标准值，如果是，则确定大于或等于所述标准值的第三权重值对应的脚本文件包括webshell。

2.根据权利要求1所述的方法，其特征在于，所述步骤S4之后还包括：

设置隔离区；

当确定大于或等于所述标准值的第三权重值对应的脚本文件包括webshell时，将所述webshell转移至所述隔离区。

3.根据权利要求2所述的方法，其特征在于，在将所述webshell转移至隔离区之后，还包括：

检测所述webshell对应的网站是否报错，如果是，则根据报错信息从所述隔离区恢复对应的webshell。

4.根据权利要1-3中任一所述的方法，其特征在于，所述确定待检测的两个以上的目标异常信息包括：将以下异常信息中的至少两种确定为待检测的两个以上的目标异常信息：

文件提供上传或下载功能、通过文件获取信息***信息、文件具有修改其它文件的功能、通过文件执行shell、cmd等命令控制信息***、通过文件对信息***进行查询或修改、文件大于100k或文件小于10k。

5.根据权利要求4所述的方法，其特征在于，

所述确定每一个目标异常信息对应的第一权重值，包括：统计每一个目标异常信息在所述webshell样本库中出现的次数和所述webshell样本库中出现所述两个以上的目标异常信息的总次数，针对每一个目标异常信息，将当前的目标异常信息在所述webshell样本库中出现的次数与所述webshell样本库中出现所述两个以上的目标异常信息的总次数的商作为当前的目标异常信息对应的第一权重值；

所述确定标准值，包括：根据所述webshell样本库中的每一个webshell包括的全部目标异常信息，将当前webshell包括的每一个目标异常信息对应的第一权重值的和作为当前webshell对应的第二权重值；对比每一个所述webshell样本库中的webshell对应的第二权重值，确定其中最小的一个第二权重值包括标准值。

6.一种webshell检测装置，其特征在于，包括：

确定单元，用于根据webshell样本库确定待检测的两个以上的目标异常信息、确定每一个目标异常信息对应的第一权重值、以及确定标准值；

获取单元，用于获取web服务器网站目录下的全部脚本文件；

第一检测单元，用于检测每一个脚本文件中所包括的目标异常信息；

计算单元，用于根据每一个所述脚本文件包括的每一个目标异常信息和所述每一个目标异常信息对应的第一权重值计算每一个所述脚本文件对应的第三权重值；

判断单元，判断每一个所述脚本文件的第三权重值是否大于或等于所述标准值，如果是，则确定大于或等于所述标准值的第三权重值对应的脚本文件包括webshell。

7.根据权利要求5所述的装置，其特征在于，还包括：

设置单元，用于设置隔离区；

处理单元，用于当确定大于或等于所述标准值的第三权重值对应的脚本文件包括webshell时，将所述webshell转移至所述隔离区。

8.根据权利要求7所述的装置，其特征在于，还包括：

第二检测单元，用于检测所述webshell对应的网站是否报错；

恢复单元，用于当所述检测单元的检测结果为是时，从所述第一设置单元设置的隔离区恢复对应的webshell。

9.根据权利要求6-8中任一所述的装置，其特征在于，

所述确定单元，用于将以下异常信息中的至少两种确定为待检测的两个以上的目标异常信息：

文件提供上传或下载功能、通过文件获取信息***信息、文件具有修改其它文件的功能、通过文件执行shell、cmd等命令控制信息***、通过文件对信息***进行查询或修改、文件大于100k或文件小于10k。

10.根据权利要求9所述的装置，其特征在于，

所述确定单元，还用于统计每一个目标异常信息在所述webshell样本库中出现的次数和所述webshell样本库中出现所述两个以上的目标异常信息的总次数，针对每一个目标异常信息，将当前的目标异常信息在所述webshell样本库中出现的次数与所述webshell样本库中出现所述两个以上的目标异常信息的总次数的商作为当前的目标异常信息对应的第一权重值；

所述确定单元，还用于根据所述webshell样本库中的每一个webshell包括的全部目标异常信息，将当前webshell包括的每一个目标异常信息对应的第一权重值的和作为当前webshell对应的第二权重值；对比每一个所述样本webshell对应的第二权重值，确定其中最小的一个第二权重值包括标准值。