一种WebShell检测方法、装置、设备及介质与流程

本申请涉及webshell检测技术领域，特别涉及一种webshell检测方法、装置、设备及介质。

背景技术：

目前黑客在入侵了一个网站后，通常会将asp或php后门文件与网站服务器web目录下正常的网页文件混在一起，然后就可以使用浏览器来访问asp或者php后门，得到一个命令执行环境，以达到控制网站服务器的目的。webshell植入后，黑客就拥有进入网站的钥匙，进入网站就像自己的家一样，可以查看、拿走、破坏网站里的任何东西。根据数据分析，出现反共、暗链、黑页事件的99％的网站存在后门，而webshell由于隐蔽性强，很难被发现。

在现有技术中，一般通过在服务器部署终端工具进行查杀，但实施难度大，且检测主要依赖于规则，误报和漏报率很高，无法实时发现与拦截。

技术实现要素：

有鉴于此，本申请的目的在于提供一种webshell检测方法、装置、设备及介质，能够保证webshell检测的实时性，并且，避免了流量数据只包括预设的关键字就被识别为webshell的问题，从而降低了webshell检测的误报率。其具体方案如下：

第一方面，本申请公开了一种webshell检测方法，包括：

实时获取待检测的流量数据；

将所述待检测的流量数据输入至预先获取的训练后模型；其中，所述训练后模型为利用预设的训练样本对长短期记忆神经网络模型进行训练后得到的，所述训练样本包括第一训练样本和第二训练样本，所述第一训练样本包括webshell文件以及对应的标签信息，所述第二训练样本包括非webshell文件以及对应的标签信息，并且，在训练过程中，对所述训练样本的上下文关系进行特征提取，然后利用所述上下文关系得到所述训练后模型；

获取所述训练后模型输出的与所述待检测的流量数据对应的检测结果。

可选的，所述实时获取待检测的流量数据，包括：

实时获取用户终端发起的访问流量；

将所述访问流量中符合第一预设条件的流量数据确定为所述待检测的流量数据。

可选的，将所述访问流量中符合第一预设条件的流量数据确定为所述待检测的流量数据，包括：

判断所述访问流量的数据类型；

若所述数据类型为上传的文件，则将所述上传的文件确定为所述待检测的流量数据；

若所述数据类型为访问url，则利用所述访问url的后缀以及http头部的referer状态判断所述访问url是否符合第二预设条件，若所述访问url符合所述第二预设条件，则将所述访问url的返回内容确定为所述待检测的流量数据，否则，将所述访问url的返回内容发送至对应的访问终端。

可选的，所述获取所述训练后模型输出的与所述待检测的流量数据对应的检测结果之后，还包括：

若所述检测结果为所述待检测的流量数据为webshell文件，并且，所述待检测的流量数据为所述访问url的返回内容，则将对应的访问url进行屏蔽，并生成对应的事件告警通知管理人员；

若所述检测结果为所述待检测的流量数据为非webshell文件，并且，所述待检测的流量数据为所述访问url的返回内容，则将该访问url的返回内容发送至对应的访问终端。

可选的，所述获取所述训练后模型输出的与所述待检测的流量数据对应的检测结果之后，还包括：

若所述检测结果为所述待检测的流量数据为webshell文件，并且，所述待检测的流量数据为所述上传的文件，则拦截该上传的文件；

若所述检测结果为所述待检测的流量数据为非webshell文件，并且，所述待检测的流量数据为所述上传的文件，则允许该上传的文件上传。

可选的，所述获取所述训练后模型输出的与所述待检测的流量数据对应的检测结果之后，还包括：

若所述检测结果为所述待检测的流量数据为webshell文件，则将该webshell文件对应的访问ip在预设时间内进行屏蔽。

第二方面，本申请公开了一种webshell检测装置，包括：

流量数据获取模块，用于实时获取待检测的流量数据；

流量数据检测模块，用于将所述待检测的流量数据输入至预先获取的训练后模型；其中，所述训练后模型为利用预设的训练样本对长短期记忆神经网络模型进行训练后得到的，所述训练样本包括第一训练样本和第二训练样本，所述第一训练样本包括webshell文件以及对应的标签信息，所述第二训练样本包括非webshell文件以及对应的标签信息，并且，在训练过程中，对所述训练样本的上下文关系进行特征提取，然后利用所述上下文关系得到所述训练后模型；

检测结果输出模块，用于获取所述训练后模型输出的与所述待检测的流量数据对应的检测结果。

可选的，所述webshell检测装置，还包括：

访问ip屏蔽模块，用于若所述检测结果为所述待检测的流量数据为webshell文件，则将该webshell文件对应的访问ip在预设时间内进行屏蔽。

第三方面，本申请公开了一种webshell检测设备，包括处理器和存储器；其中，

所述存储器，用于保存计算机程序；

所述处理器，用于执行所述计算机程序，以实现前述的webshell检测方法。

第四方面，本申请公开了一种计算机可读存储介质，用于保存计算机程序，其中，所述计算机程序被处理器执行时实现前述的webshell检测方法。

可见，本申请先实时获取待检测的流量数据，然后将所述待检测的流量数据输入至预先获取的训练后模型；其中，所述训练后模型为利用预设的训练样本对长短期记忆神经网络模型进行训练后得到的，所述训练样本包括第一训练样本和第二训练样本，所述第一训练样本包括webshell文件以及对应的标签信息，所述第二训练样本包括非webshell文件以及对应的标签信息，并且，在训练过程中，对所述训练样本的上下文关系进行特征提取，然后利用所述上下文关系得到所述训练后模型，最后获取所述训练后模型输出的与所述待检测的流量数据对应的检测结果。这样，通过利用webshell文件和非webshell文件的上下关系得到的训练后模型检测实时流量数据，能够保证webshell检测的实时性，并且，避免了流量数据只包括预设的关键字就被识别为webshell的问题，从而降低了webshell检测的误报率。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为本申请公开的一种webshell检测方法流程图；

图2为本申请公开的一种具体的模型训练过程图；

图3为本申请公开的一种具体的webshell检测方法流程图；

图4为本申请公开的一种具体的webshell检测方法流程图；

图5为本申请公开的一种webshell检测装置结构示意图；

图6为本申请公开的一种webshell检测设备结构图；

图7为本申请公开的一种服务器结构图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

参见图1所示，本申请实施例公开了一种webshell检测方法，包括：

步骤s11：实时获取待检测的流量数据。

在具体的实施方式中，本实施例可以在web服务器前端，实时获取用户终端发起的访问流量，可以理解的是，这样可以将客户端发起的所有访问流量纳入检测范围。然后将所述访问流量中符合第一预设条件的流量数据确定为所述待检测的流量数据。具体的，先判断所述访问流量的数据类型，若所述数据类型为上传的文件，比如，上传的文档、图片等，则将所述上传的文件确定为所述待检测的流量数据，也即，当客户端发起文件上传行为，本实施例可以将上传的文件确定为待检测的流量数据，然后对上传的文件进行缓存；若所述数据类型为访问url(即uniformresourcelocator，统一资源定位符)，则利用所述访问url的后缀以及http头部的referer状态判断所述访问url是否符合第二预设条件，若所述访问url符合所述第二预设条件，则将所述访问url的返回内容确定为所述待检测的流量数据，具体的，若访问url的文件后缀为asp、aspx、jsp、jspx、php、cgi、asa等，并且缺少referer字段的则将该访问url的返回内容确定为待检测的流量数据，然后进行缓存，并将该访问会话进行延迟处理。这样，针对上传的文件进行检测可以实时发现上传webshell的行为，针对符合第二预设条件的访问url进行检测，可以实时发现已存在的webshell的访问。

步骤s12：将所述待检测的流量数据输入至预先获取的训练后模型；其中，所述训练后模型为利用预设的训练样本对长短期记忆神经网络模型进行训练后得到的，所述训练样本包括第一训练样本和第二训练样本，所述第一训练样本包括webshell文件以及对应的标签信息，所述第二训练样本包括非webshell文件以及对应的标签信息，并且，在训练过程中，对所述训练样本的上下文关系进行特征提取，然后利用所述上下文关系得到所述训练后模型。

步骤s13：获取所述训练后模型输出的与所述待检测的流量数据对应的检测结果。

在具体的实施方式中，将所述待检测的流量数据输入至预先获取的训练后模型，然后便可以获取对应的检测结果，并且，训练后模型为基于深度学习技术，根据各程序源码的上下文关系以及正常文档的上下文关系的异同，也即根据webshell文件以及非webshell文件的上下文关系的异同，进行训练得到的，从而避免了只触发了一个关键字就识别为webshell的问题，并且在训练过程中采用了jieba分词技术对训练样本进行处理提取特征，并通过长短期记忆卷积神经网络算法进行训练。其中，第一训练样本为利用apt(即advancedpersistentthreat，高级可持续威胁攻击)设备捕获的webshell数据以及github上相关项目的开源代码和流行的开源代码，如phpcms、phpmyadmin、wordpress等，第二训练样本为捕获的非webshellurl。参见图2所示，图2为本申请公开的一种具体的模型训练过程图。利用循环神经网络的lstm(即longshort-termmemory，长短期记忆网络)结合上下文逻辑进行训练。使用嵌入层embedding降维，使500维的one-hot词向量，降到64维的空间进行运算。使用卷积层conv1d对输入信号上进行邻域滤波，使用池化层maxpooling1d对数据进行最大值池化。递归层使用循环卷积网络中，长短时记忆神经网络进行训练。为防止过拟合，dropout参数设置为0.1，全连接层激活函数采用softmax。

可见，本申请实施例先实时获取待检测的流量数据，然后将所述待检测的流量数据输入至预先获取的训练后模型；其中，所述训练后模型为利用预设的训练样本对长短期记忆神经网络模型进行训练后得到的，所述训练样本包括第一训练样本和第二训练样本，所述第一训练样本包括webshell文件以及对应的标签信息，所述第二训练样本包括非webshell文件以及对应的标签信息，并且，在训练过程中，对所述训练样本的上下文关系进行特征提取，然后利用所述上下文关系得到所述训练后模型，最后获取所述训练后模型输出的与所述待检测的流量数据对应的检测结果。这样，通过利用webshell文件和非webshell文件的上下关系得到的训练后模型检测实时流量数据，能够保证webshell检测的实时性，并且，避免了流量数据只包括预设的关键字就被识别为webshell的问题，从而降低了webshell检测的误报率。

参见图3所示，图3为本申请公开的一种具体的webshell检测方法，包括：

步骤s21：实时获取待检测的流量数据。

步骤s22：将所述待检测的流量数据输入至预先获取的训练后模型；其中，所述训练后模型为利用预设的训练样本对长短期记忆神经网络模型进行训练后得到的，所述训练样本包括第一训练样本和第二训练样本，所述第一训练样本包括webshell文件以及对应的标签信息，所述第二训练样本包括非webshell文件以及对应的标签信息，并且，在训练过程中，对所述训练样本的上下文关系进行特征提取，然后利用所述上下文关系得到所述训练后模型。

步骤s23：获取所述训练后模型输出的与所述待检测的流量数据对应的检测结果。

步骤s24：针对所述检测结果进行对应的处理。

在具体的实施方式中，若所述检测结果为所述待检测的流量数据为webshell文件，并且，所述待检测的流量数据为所述访问url的返回内容，则生成url访问控制规则，将对应的访问url进行屏蔽，从而防止了攻击者下一次访问成功，并生成对应的事件告警通知管理人员；若所述检测结果为所述待检测的流量数据为非webshell文件，并且，所述待检测的流量数据为所述访问url的返回内容，则将该访问url的返回内容发送至对应的访问终端。若所述检测结果为所述待检测的流量数据为webshell文件，并且，所述待检测的流量数据为所述上传的文件，则拦截该上传的文件；若所述检测结果为所述待检测的流量数据为非webshell文件，并且，所述待检测的流量数据为所述上传的文件，则允许该上传的文件上传。

另外，若所述检测结果为所述待检测的流量数据为webshell文件，则将该webshell文件对应的访问ip在预设时间内进行屏蔽。也即，无论是针对上传webshell文件的ip，还是通过访问url确定的已存在的webshell对应的ip均进行临时屏蔽，具体的时间可以根据需要预先设定，比如，临时屏蔽时间为1小时。

参见图4所示，图4为本申请实施例公开的一种具体的webshell检测方法流程图，可见，本实施例可以实时监控访问流量，针对上传的文件进行检测可以实时发现上传webshell的行为，针对符合第二预设条件的访问url进行检测，可以实时发现已存在的webshell的访问，并在检测出webshell文件时，相应的进行访问url和访问ip的屏蔽处理，由此实现了webshell的实时检测和隔离防护。并且，本实施例实施方便，防护实时性高，可在1秒内检测出webshell文件，并及时进行屏蔽。

参见图5所示，本申请实施例公开了一种webshell检测装置，包括：

流量数据获取模块11，用于实时获取待检测的流量数据；

流量数据检测模块12，用于将所述待检测的流量数据输入至预先获取的训练后模型；其中，所述训练后模型为利用预设的训练样本对长短期记忆神经网络模型进行训练后得到的，所述训练样本包括第一训练样本和第二训练样本，所述第一训练样本包括webshell文件以及对应的标签信息，所述第二训练样本包括非webshell文件以及对应的标签信息，并且，在训练过程中，对所述训练样本的上下文关系进行特征提取，然后利用所述上下文关系得到所述训练后模型；

检测结果获取模块13，用于获取所述训练后模型输出的与所述待检测的流量数据对应的检测结果。

可见，本申请实施例先实时获取待检测的流量数据，然后将所述待检测的流量数据输入至预先获取的训练后模型；其中，所述训练后模型为利用预设的训练样本对长短期记忆神经网络模型进行训练后得到的，所述训练样本包括第一训练样本和第二训练样本，所述第一训练样本包括webshell文件以及对应的标签信息，所述第二训练样本包括非webshell文件以及对应的标签信息，并且，在训练过程中，对所述训练样本的上下文关系进行特征提取，然后利用所述上下文关系得到所述训练后模型，最后获取所述训练后模型输出的与所述待检测的流量数据对应的检测结果。这样，通过利用webshell文件和非webshell文件的上下关系得到的训练后模型检测实时流量数据，能够保证webshell检测的实时性，并且，避免了流量数据只包括预设的关键字就被识别为webshell的问题，从而降低了webshell检测的误报率。

其中，所述流量数据获取模块11具体可以包括：

访问流量获取模块，用于实时获取用户终端发起的访问流量；

待检测流量确定模块，用于将所述访问流量中符合第一预设条件的流量数据确定为所述待检测的流量数据。

并且，所述待检测流量确定模块，具体用于判断所述访问流量的数据类型；若所述数据类型为上传的文件，则将所述上传的文件确定为所述待检测的流量数据；若所述数据类型为访问url，则利用所述url的后缀以及http头部的referer状态判断所述访问url是否符合第二预设条件，若所述访问url符合所述第二预设条件，则将所述访问url的返回内容确定为所述待检测的流量数据，否则，将所述访问url的返回内容发送至对应的访问终端。

所述webshell检测装置还包括url屏蔽模块，用于若所述检测结果为所述待检测的流量数据为webshell文件，并且，所述待检测的流量数据为所述访问url的返回内容，则将对应的访问url进行屏蔽，并生成对应的事件告警通知管理人员。

所述webshell检测装置还包括url放行模块，用于若所述检测结果为所述待检测的流量数据为非webshell文件，并且，所述待检测的流量数据为所述访问url的返回内容，则将该访问url的返回内容发送至对应的访问终端。

所述webshell检测装置还包括上传文件拦截模块，用于若所述检测结果为所述待检测的流量数据为webshell文件，并且，所述待检测的流量数据为所述上传的文件，则拦截该上传的文件；

所述webshell检测装置还包括上传文件放行模块，用于若所述检测结果为所述待检测的流量数据为非webshell文件，并且，所述待检测的流量数据为所述上传的文件，则允许该上传的文件上传。

所述webshell检测装置还包括访问ip屏蔽模块，若所述检测结果为所述待检测的流量数据为webshell文件，则将该webshell文件对应的访问ip在预设时间内进行屏蔽。

参见图6所示，本申请公开了一种webshell检测设备，包括处理器21和存储器22；其中，所述存储器22，用于保存计算机程序；所述处理器21，用于执行所述计算机程序，以实现以下步骤：

实时获取待检测的流量数据；将所述待检测的流量数据输入至预先获取的训练后模型；其中，所述训练后模型为利用预设的训练样本对长短期记忆神经网络模型进行训练后得到的，所述训练样本包括第一训练样本和第二训练样本，所述第一训练样本包括webshell文件以及对应的标签信息，所述第二训练样本包括非webshell文件以及对应的标签信息，并且，在训练过程中，对所述训练样本的上下文关系进行特征提取，然后利用所述上下文关系得到所述训练后模型；获取所述训练后模型输出的与所述待检测的流量数据对应的检测结果。

可见，本申请实施例先实时获取待检测的流量数据，然后将所述待检测的流量数据输入至预先获取的训练后模型；其中，所述训练后模型为利用预设的训练样本对长短期记忆神经网络模型进行训练后得到的，所述训练样本包括第一训练样本和第二训练样本，所述第一训练样本包括webshell文件以及对应的标签信息，所述第二训练样本包括非webshell文件以及对应的标签信息，并且，在训练过程中，对所述训练样本的上下文关系进行特征提取，然后利用所述上下文关系得到所述训练后模型，最后获取所述训练后模型输出的与所述待检测的流量数据对应的检测结果。这样，通过利用webshell文件和非webshell文件的上下关系得到的训练后模型检测实时流量数据，能够保证webshell检测的实时性，并且，避免了流量数据只包括预设的关键字就被识别为webshell的问题，从而降低了webshell检测的误报率。

本实施例中，所述处理器21执行所述存储器22中保存的计算机子程序时，可以具体实现以下步骤：实时获取用户终端发起的访问流量；将所述访问流量中符合第一预设条件的流量数据确定为所述待检测的流量数据。

本实施例中，所述处理器21执行所述存储器22中保存的计算机子程序时，可以具体实现以下步骤：判断所述访问流量的数据类型；若所述数据类型为上传的文件，则将所述上传的文件确定为所述待检测的流量数据；若所述数据类型为访问url，则利用所述url的后缀以及http头部的referer状态判断所述访问url是否符合第二预设条件，若所述访问url符合所述第二预设条件，则将所述访问url的返回内容确定为所述待检测的流量数据，否则，将所述访问url的返回内容发送至对应的访问终端。

本实施例中，所述处理器21执行所述存储器22中保存的计算机子程序时，可以具体实现以下步骤：若所述检测结果为所述待检测的流量数据为webshell文件，并且，所述待检测的流量数据为所述访问url的返回内容，则将对应的访问url进行屏蔽，并生成对应的事件告警通知管理人员；若所述检测结果为所述待检测的流量数据为非webshell文件，并且，所述待检测的流量数据为所述访问url的返回内容，则将该访问url的返回内容发送至对应的访问终端。

本实施例中，所述处理器21执行所述存储器22中保存的计算机子程序时，可以具体实现以下步骤：若所述检测结果为所述待检测的流量数据为webshell文件，并且，所述待检测的流量数据为所述上传的文件，则拦截该上传的文件；若所述检测结果为所述待检测的流量数据为非webshell文件，并且，所述待检测的流量数据为所述上传的文件，则允许该上传的文件上传。

本实施例中，所述处理器21执行所述存储器22中保存的计算机子程序时，可以具体实现以下步骤：若所述检测结果为所述待检测的流量数据为webshell文件，则将该webshell文件对应的访问ip在预设时间内进行屏蔽。

并且，所述存储器22作为资源存储的载体，可以是只读存储器、随机存储器、磁盘或者光盘等，存储方式可以是短暂存储或者永久存储。

参见图7所示，本申请实施例公开了一种服务器20，包括前述实施例中公开的包括处理器21和存储器22的webshell检测设备。关于上述处理器21具体可以执行的步骤可以参考前述实施例中公开的相应内容，在此不再进行赘述。

进一步的，本实施例中的服务器20，还可以具体包括电源23、通信接口24、输入输出接口25和通信总线26；其中，所述电源23用于为所述终端20上的各硬件设备提供工作电压；所述通信接口24能够为所述终端20创建与外界设备之间的数据传输通道，其所遵循的通信协议是能够适用于本申请技术方案的任意通信协议，在此不对其进行具体限定；所述输入输出接口25，用于获取外界输入数据或向外界输出数据，其具体的接口类型可以根据具体应用需要进行选取，在此不进行具体限定。

进一步的，本申请实施例还公开了一种计算机可读存储介质，用于保存计算机程序，其中，所述计算机程序被处理器执行时实现以下步骤：

实时获取待检测的流量数据；将所述待检测的流量数据输入至预先获取的训练后模型；其中，所述训练后模型为利用预设的训练样本对长短期记忆神经网络模型进行训练后得到的，所述训练样本包括第一训练样本和第二训练样本，所述第一训练样本包括webshell文件以及对应的标签信息，所述第二训练样本包括非webshell文件以及对应的标签信息，并且，在训练过程中，对所述训练样本的上下文关系进行特征提取，然后利用所述上下文关系得到所述训练后模型；获取所述训练后模型输出的与所述待检测的流量数据对应的检测结果。

可见，本申请实施例先实时获取待检测的流量数据，然后将所述待检测的流量数据输入至预先获取的训练后模型；其中，所述训练后模型为利用预设的训练样本对长短期记忆神经网络模型进行训练后得到的，所述训练样本包括第一训练样本和第二训练样本，所述第一训练样本包括webshell文件以及对应的标签信息，所述第二训练样本包括非webshell文件以及对应的标签信息，并且，在训练过程中，对所述训练样本的上下文关系进行特征提取，然后利用所述上下文关系得到所述训练后模型，最后获取所述训练后模型输出的与所述待检测的流量数据对应的检测结果。这样，通过利用webshell文件和非webshell文件的上下关系得到的训练后模型检测实时流量数据，能够保证webshell检测的实时性，并且，避免了流量数据只包括预设的关键字就被识别为webshell的问题，从而降低了webshell检测的误报率。

本实施例中，所述计算机可读存储介质中保存的计算机子程序被处理器执行时，可以具体实现以下步骤：实时获取用户终端发起的访问流量；将所述访问流量中符合第一预设条件的流量数据确定为所述待检测的流量数据。

本实施例中，所述计算机可读存储介质中保存的计算机子程序被处理器执行时，可以具体实现以下步骤：判断所述访问流量的数据类型；若所述数据类型为上传的文件，则将所述上传的文件确定为所述待检测的流量数据；若所述数据类型为访问url，则利用所述url的后缀以及http头部的referer状态判断所述访问url是否符合第二预设条件，若所述访问url符合所述第二预设条件，则将所述访问url的返回内容确定为所述待检测的流量数据，否则，将所述访问url的返回内容发送至对应的访问终端。

本实施例中，所述计算机可读存储介质中保存的计算机子程序被处理器执行时，可以具体实现以下步骤：若所述检测结果为所述待检测的流量数据为webshell文件，并且，所述待检测的流量数据为所述访问url的返回内容，则将对应的访问url进行屏蔽，并生成对应的事件告警通知管理人员；若所述检测结果为所述待检测的流量数据为非webshell文件，并且，所述待检测的流量数据为所述访问url的返回内容，则将该访问url的返回内容发送至对应的访问终端。

本实施例中，所述计算机可读存储介质中保存的计算机子程序被处理器执行时，可以具体实现以下步骤：若所述检测结果为所述待检测的流量数据为webshell文件，并且，所述待检测的流量数据为所述上传的文件，则拦截该上传的文件；若所述检测结果为所述待检测的流量数据为非webshell文件，并且，所述待检测的流量数据为所述上传的文件，则允许该上传的文件上传。

本实施例中，所述计算机可读存储介质中保存的计算机子程序被处理器执行时，可以具体实现以下步骤：若所述检测结果为所述待检测的流量数据为webshell文件，则将该webshell文件对应的访问ip在预设时间内进行屏蔽。

本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其它实施例的不同之处，各个实施例之间相同或相似部分互相参见即可。对于实施例公开的装置而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。

结合本文中所公开的实施例描述的方法或算法的步骤可以直接用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器(ram)、内存、只读存储器(rom)、电可编程rom、电可擦除可编程rom、寄存器、硬盘、可移动磁盘、cd-rom、或技术领域内所公知的任意其它形式的存储介质中。

以上对本申请所提供的一种webshell检测方法、装置、设备及介质进行了详细介绍，本文中应用了具体个例对本申请的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本申请的方法及其核心思想；同时，对于本领域的一般技术人员，依据本申请的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本申请的限制。