一种反弹式木马的检测方法和系统

摘要

本发明公开了一种反弹式木马的检测方法，包括：实时监控当前系统的网络包；实时获取当前系统网络连接和进程的关联表；对所述的网络包进行分析和匹配，分析和匹配的网络包类型包括DNS请求、FTP连接、IP连接，并从分析结果中获得可疑连接列表；对所述的进程进行分析，获得可疑进程列表；对可疑连接列表和可疑进程列表进行关联分析，并进行处置。本发明还公开了一种反弹式木马的检测系统。本发明首先通过关联系统进程状态和网络特征匹配来发现已知的和未知的控制类木马，并能够在第一时间切断控制端的连接和清除恶意代码，达到保护主机安全的目的。

主权项

一种反弹式木马的检测方法，其特征在于，包括：步骤a、实时监控当前系统的网络包；步骤b、实时获取当前系统网络连接和进程的关联表；步骤c、对所述的网络包进行分析和匹配，分析和匹配的网络包类型包括DNS请求、FTP连接、IP连接，并从分析结果中获得可疑连接列表；步骤d、对所述的进程进行分析，获得可疑进程列表；步骤e、对可疑连接列表和可疑进程列表进行关联分析，并进行处置。