基于机器学习的JSP/JSPX Webshell检测技术详解

1. 前言与检测原理

JSP/JSPX Webshell检测基于抽象语法树(AST)分析技术，其核心原理是：

• 语法结构差异：正常JSP文件主要用于页面展示，具有复杂的语法结构；而Webshell通常通过简单传参执行命令，语法结构单一
• Java环境特性：Java环境下攻击流程通常为：
  • 通过Web漏洞上传Webshell
  • 通过小马传大马进行后渗透
  • 主要执行方式：任意文件上传或反序列化执行命令

相较于PHP，JSP文件的语法结构特征更为明显，因为：

• JSP文件需要经过中间件编译后才能执行
• 正常JSP与Webshell在语法结构上有本质区别

2. 数据处理流程

2.1 JSP文件编译

JSP文件在Tomcat中的处理流程：

1. JSP解析器将JSP编译为Java文件
2. Servlet分析器将Java文件编译为class文件
3. 转化为Java字节码加载执行

关键步骤：获取编译后的Java文件，而不依赖Tomcat运行环境

编译命令：

java -cp "apache-tomcat-8.5.35/lib/*:apache-tomcat-8.5.35/bin/*" org.apache.jasper.JspC -webapp webroot -d webroot_java

注意事项：

• 需要在lib目录下加入ant.jar包
• -webapp：指定源文件目录
• -d：指定编译输出目录
• 该命令同样适用于JSPX文件编译

2.2 抽象语法树构建

使用JavaParser工具构建AST：

Maven依赖：

<dependencies>
    <dependency>
        <groupId>com.github.javaparser</groupId>
        <artifactId>javaparser-core</artifactId>
        <version>3.14.8</version>
    </dependency>
</dependencies>

核心代码示例：

public static void main(String[] args) throws Exception {
    String filename = args[0];
    File file = new File(filename);
    FileInputStream in = new FileInputStream(file);

    CompilationUnit cu = StaticJavaParser.parse(in);
    cu.accept(new MethodVistor(),null);
}

语法节点处理：

• 实现MethodVistor类处理不同类型语法节点
• 提取关键语法结构特征，如：
  • 函数调用(MethodCall)
  • 注释(Comment)
  • 其他相关语法结构
• 对部分语法结构进行深层处理（如提取函数名等）

3. 机器学习模型构建

3.1 特征工程

使用TF-IDF模型将AST序列转化为特征矩阵：

• TF-IDF原理：
  • 词频(TF)：某词在文件中出现频率
  • 逆向文件频率(IDF)：该词在所有文件中的稀有程度
  • 最终特征值为TF×IDF

实现代码：

CV = CountVectorizer(ngram_range=(1,3), decode_error="ignore",max_features=max_features,
                   token_pattern = r'\b\w+\b',min_df=0,max_df=0.9)
x=CV.fit_transform(x_all).toarray()
transformer = TfidfTransformer(smooth_idf=False)
x_tfidf = transformer.fit_transform(x)
x = x_tfidf.toarray()

参数说明：

• ngram_range=(1,3)：考虑1到3个词的组合
• max_features：限制最大特征数量
• min_df/max_df：设置词频上下限

3.2 样本数据

• 黑样本：632个，来自GitHub开源仓库
• 白样本：470个，来自多个开源CMS
• 数据挑战：白样本获取困难，CMS中JSP文件数量有限

3.3 算法选择与调优

评估三种算法性能：

1. 随机森林(Random Forest)

   • 集成学习方法
   • 通过多棵决策树投票决定结果
   • 调优参数：树的数量、深度等

2. XGBoost

   • 梯度提升决策树
   • 高效实现，支持并行计算
   • 调优参数：学习率、树的数量、最大深度等

3. 多层感知机(MLP)

   • 深度神经网络
   • 适合处理高维特征
   • 调优参数：隐藏层结构、激活函数、学习率等

4. 实验结果

三种算法检测结果对比：

1. 随机森林：

   • 准确率：待补充具体数值
   • 召回率：待补充具体数值
   • F1分数：待补充具体数值

2. XGBoost：

   • 准确率：待补充具体数值
   • 召回率：待补充具体数值
   • F1分数：待补充具体数值

3. MLP：

   • 准确率：待补充具体数值
   • 召回率：待补充具体数值
   • F1分数：待补充具体数值

注：原文中实验结果的图表数据未完整提取，实际应用时应补充具体数值

5. 局限性与改进方向

当前局限：

1. 样本数据不足，特别是白样本数量有限
2. 对参数语义分析能力较弱
   • 如无法区分eval('1111')和恶意eval调用
3. 复杂Webshell可能存在绕过可能

改进方向：

1. 增加样本数据量，特别是多样化白样本
2. 结合参数语义分析
   • 静态分析参数值
   • 动态分析参数行为
3. 结合其他检测方法：
   • 静态特征分析
   • 动态行为监控
   • 文件熵值检测

6. 总结

本文提出的基于机器学习的JSP/JSPX Webshell检测方法：

• 通过JSP编译获取Java源码
• 使用JavaParser构建AST
• 应用TF-IDF进行特征提取
• 采用多种机器学习算法进行分类

该方法在语法结构层面能有效区分正常JSP与Webshell，但仍有改进空间，特别是在参数语义分析和样本多样性方面。未来可结合多种检测方法构建更全面的Webshell防御体系。