Web攻击检测方法、装置、电子设备及存储介质与流程

本公开涉及网络安全，具体涉及web应用安全防护，尤其涉及web攻击检测方法、装置、电子设备及存储介质。

背景技术：

1、现有web攻击检测技术通常采用基于正则表达式的规则匹配或基于单一特征库的指纹查表方式进行攻击识别。然而正则表达式方案依赖大量人工编写的规则集合，规则数量往往超过两千条，在高流量场景下计算开销巨大，且规则间缺乏协同与优先级排序，容易产生冲突与误报。指纹查表方案仅关注输入内容的表面特征序列，不分析特征的值和上下文语义，导致对结构化查询语言注入等攻击的检测率极低，且对远程命令执行、服务器端模板注入、配置注入等其他高危攻击类型覆盖严重不足。此外，现有方案普遍采用单层检测架构，无法同时兼顾检测精度、攻击覆盖度与处理性能，面对攻击者通过多层编码嵌套或抽象语法树级别的语法混淆（如方括号动态属性访问、新建函数构造）等高级绕过手段时防御效果有限。上述技术局限导致现有web应用防火墙在检测率、误报率与性能之间形成难以突破的"不可能三角"，无法满足复杂网络环境下对多类型web攻击实时精准检测的安全需求。

技术实现思路

1、本公开提供了一种web攻击检测方法、装置、电子设备及存储介质。

2、根据本公开的一方面，提供了一种web攻击检测方法，所述方法包括：

3、获取http请求参数并进行多轮解码归一化处理，得到预处理结果；

4、对所述预处理结果分别进行语法解析和模式匹配，得到解析结果和匹配结果，所述语法解析包括针对多种攻击类型分别进行结构化语义分析，所述结构化语义分析包括基于状态机的语义分析、基于抽象语法树的语义分析、基于语法特征标记的语义分析以及基于规则替换模拟的语义分析中的至少一项，所述模式匹配包括针对多种攻击类型分别构建自动机，基于所述自动机对所述预处理结果进行多类型模式匹配；

5、将所述解析结果与所述匹配结果按攻击类型差异化权重融合，得到检测结果。

6、根据本公开的另一方面，提供了一种web攻击检测装置，所述装置包括：

7、归一化模块，用于获取http请求参数并进行多轮解码归一化处理，得到预处理结果；

8、处理模块，用于对所述预处理结果分别进行语法解析和模式匹配，得到解析结果和匹配结果，所述语法解析包括针对多种攻击类型分别进行结构化语义分析，所述结构化语义分析包括基于状态机的语义分析、基于抽象语法树的语义分析、基于语法特征标记的语义分析以及基于规则替换模拟的语义分析中的至少一项，所述模式匹配包括针对多种攻击类型分别构建自动机，基于所述自动机对所述预处理结果进行多类型模式匹配；

9、融合模块，用于将所述解析结果与所述匹配结果按攻击类型差异化权重融合，得到检测结果。

10、根据本公开的第三方面，提供了一种电子设备，包括：

11、至少一个处理器；以及

12、与所述至少一个处理器通信连接的存储器；其中，

13、所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行上述技术方案中任一项所述的方法。

14、根据本公开的第四方面，提供了一种存储有计算机指令的非瞬时计算机可读存储介质，其中，所述计算机指令用于使所述计算机执行上述技术方案中任一项所述的方法。

15、根据本公开的第五方面，提供了一种计算机程序产品，包括计算机程序，所述计算机程序在被处理器执行时实现上述技术方案中任一项所述的方法。

16、本公开提供了一种web攻击检测方法、装置、设备以及存储介质，本申请通过获取http请求参数并进行多轮解码归一化处理，有效消除多层编码嵌套混淆对后续检测的干扰，为攻击检测提供标准化的数据基础。接着，对预处理结果分别进行语法解析和模式匹配，其中语法解析层针对多种攻击类型分别进行结构化语义分析（包括基于状态机的语义分析、基于抽象语法树的语义分析、基于语法特征标记的语义分析以及基于规则替换模拟的语义分析中的至少一项），实现基于语义理解的高精度深度检测；模式匹配层则针对多种攻击类型分别构建自动机进行多类型模式匹配，实现基于特征规则的广覆盖快速检测。最终，通过按攻击类型差异化权重融合双层检测结果，使高精度语义解析与广覆盖模式匹配形成互补协同，在单一架构内同时兼顾检测精度、覆盖度与性能。综上，本申请通过双层并行检测架构实现精度与覆盖的兼得，通过差异化权重融合实现协同判决，有效突破传统单层检测架构在检测率与准确率之间不可兼得的局限，显著提升web攻击检测的全面性与可靠性。

17、应当理解，本部分所描述的内容并非旨在标识本公开的实施例的关键或重要特征，也不用于限制本公开的范围。本公开的其它特征将通过以下的说明书而变得容易理解。

1.一种web攻击检测方法，其中，所述方法包括：

2.根据权利要求1所述的方法，其中，所述对所述预处理结果进行语法解析，得到解析结果，包括：

3.根据权利要求2所述的方法，其中，所述对所述预处理结果进行结构化扫描，跟踪引号嵌套深度及查询语言关键词的上下文关联，根据所述引号嵌套深度与所述上下文关联识别结构化异常模式，得到结构化解析结果，包括：

4.根据权利要求2所述的方法，其中，所述对所述预处理结果进行多层脚本攻击向量检测，识别标记层、向量层及代码层的危险操作模式，得到脚本攻击解析结果，包括：

5.根据权利要求1所述的方法，其中，所述对所述预处理结果进行模式匹配，得到匹配结果，包括：

6.根据权利要求5所述的方法，其中，所述按预设优先级顺序输出命中的攻击类型及匹配位置，得到所述匹配结果，包括：

7.根据权利要求1所述的方法，其中，所述将所述解析结果与所述匹配结果按攻击类型差异化权重融合，得到检测结果，包括：

8.根据权利要求7所述的方法，其中，所述基于所述匹配权重与所述位置权重计算融合得分，包括：

9.根据权利要求1所述的方法，其中，所述获取http请求参数并进行多轮解码归一化处理，得到预处理结果，包括：

10.根据权利要求1至9任意一项所述的方法，其中，所述方法还包括：

11.一种web攻击检测装置，其中，所述装置包括：

12.一种电子设备，包括：

13.一种存储有计算机指令的非瞬时计算机可读存储介质，其中，所述计算机指令用于使所述计算机执行根据权利要求1-10中任一项所述的方法。

14.一种计算机程序产品，包括计算机程序，所述计算机程序在被处理器执行时实现根据权利要求1-10中任一项所述的方法。