(19)中华 人民共和国 国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202111431280.8 (22)申请日 2021.11.29 (71)申请人 中国工商银行股份有限公司 地址 100140 北京市西城区复兴门内大街 55号 (72)发明人 钱维正　旷亚和　叶红　苏建明　 (74)专利代理 机构 北京三友知识产权代理有限 公司 11127 代理人 崔博　杨勇 (51)Int.Cl. G06F 21/56(2013.01) H04L 9/40(2022.01) (54)发明名称 一种无文 件木马查杀方法及装置 (57)摘要 本申请提供一种无文件木马查杀方法及装 置， 涉及信息安全领域， 也可用于金融领域， 包 括： 运行Java  Agent引擎并获取Web服务器应用 程序中被调用程序的堆栈调用日志及类字节码 信息； 根据预设的检测规则、 所述堆栈调用日志 及类字节码信息确定所述被调用程序的风险等 级； 根据预设的查杀策略及所述风险等级确定所 述被调用程序中含有无文件木马的类文件， 并查 杀所述类文件中的无文件木马。 本申请能够实现 无文件木马的自动化检测及查杀， 保护Web应用 的安全运行。 权利要求书2页 说明书12页 附图4页 CN 114065204 A 2022.02.18 CN 114065204 A 1.一种无文件木马查杀 方法， 其特 征在于， 包括： 获取Web服 务器应用程序中被调用程序的堆栈调用日志及类字节码信息； 根据预设的检测规则、 所述堆栈调用日志及类字节码信 息确定所述被调用程序的风险 等级； 根据预设的查杀策略及所述风险等级确定所述被调用程序中含有无文件木马的类文 件， 并查杀 所述类文件中的无文件木马。 2.根据权利要求1所述的无文件木马查杀方法， 其特征在于， 所述根据 预设的查杀策略 及所述风险等级确定所述被调用程序中含有 无文件木马的类文件， 并查杀所述类文件中的 无文件木马， 包括： 根据所述查杀策略及所述风险等级确定所述被调用程序中需要被查杀无文件木马的 类； 根据所述类的名称在服 务器内存中定位对应的类文件； 采用Java字节码增 强技术覆盖所述类文件， 以阻断所述类文件中无文件木马的执行， 完成查杀。 3.根据权利要求2所述的无文件木马查杀方法， 其特征在于， 获取Web服务器应用程序 中被调用程序的堆栈调用日志， 包括： 将Java Agent引擎 挂接到所述Web服务器应用程序上运行； 利用所述Java  Agent引擎 中的接口从所述服务器内存中查找所述Web服务器应用程序 中的所述被调用程序及其被调用时的堆栈列表； 根据所述 堆栈列表生成所述被调用程序的所述 堆栈调用日志。 4.根据权利要求3所述的无文件木马 查杀方法， 其特征在于， 所述利用所述Java  Agent 引擎中的接口从所述服务器内存中查找所述Web服务器应用程序中的被调用程序及其被调 用时的堆栈列表， 包括： 利用所述Java  Agent引擎 中的接口从所述服务器内存中查找所述Web服务器应用程序 中的被调用程序作为系统关键函数； 对所述系统关键函数进行插 桩操作； 运行所述系统关键函数， 同时根据插桩操作的结果记录所述系统关键函数被调用时的 堆栈列表。 5.根据权利要求3所述的无文件木马查杀方法， 其特征在于， 所述类字节码信息包括： 类字节码及所述类字节码的特征信息； 获取Web服务器应用程序中被调用程序的类字节码 信息， 包括： 将所述Java  Agent引擎 挂接到所述Web服务器应用程序上运行； 利用所述Java  Agent引擎中的接口从所述服务器内存中读取所述类字节码及所述类 字节码的特 征信息。 6.根据权利要求1所述的无文件木马查杀方法， 其特征在于， 所述根据预设的检测规 则、 所述堆栈调用日志及类字节码信息确定所述被调用程序的风险等级， 包括： 根据所述堆栈调用日志、 类字节码及所述特征信 息确定所述被调用程序命中所述检测 规则的数量； 根据所述数量与所述 风险等级的映射关系确定所述 风险等级。权　利　要　求　书 1/2 页 2 CN 114065204 A 27.一种无文件木马查杀装置， 其特 征在于， 包括： 日志类字节码确定单元， 用于获取Web服务器应用程序中被调用程序的堆栈调用日志 及类字节码信息； 风险等级确定单元， 用于根据预设的检测规则、 所述堆栈调用日志及类字节码信息确 定所述被调用程序的风险等级； 查杀单元， 用于根据 预设的查杀策略及所述风险等级确定所述被调用程序中含有无文 件木马的类文件， 并查杀 所述类文件中的无文件木马。 8.根据权利要求7 所述的无文件木马查杀装置， 其特 征在于， 所述 查杀单元， 包括： 类确定模块， 用于根据 预设的查杀策略及所述风险等级确定所述被调用程序中需要被 查杀无文件木马的类； 类文件定位模块， 用于根据所述类的名称在所述 服务器内存中定位对应的类文件； 查杀模块， 用于采用Java字节码增 强技术覆盖所述类文件， 以阻断所述类文件中无文 件木马的执 行， 完成查杀。 9.一种电子设备， 包括存储器、 处理器及存储在存储器上并可在处理器上运行的计算 机程序， 其特征在于， 所述处理器执行所述程序时实现权利要求1至6任一项所述的无文件 木马查杀 方法的步骤。 10.一种计算机可读存储介质， 其上存储有计算机程序， 其特征在于， 该计算机程序被 处理器执行时实现权利要求1至 6任一项所述的无文件木马查杀 方法的步骤。权　利　要　求　书 2/2 页 3 CN 114065204 A 3