第３４卷 第２Ｏ期 计算机工程 ２００８年１Ｏ月 ＶｏＬ３４ Ｎｏ．２Ｄ Ｃｏｍｐｕｔｅｒ Ｅｎｇｉｎｅｅｒｉｎｇ Ｏｃｔｏｂｅｒ ２００８ ・安全技术・ 文章编号：１０ｏ０＿＿＿３４２８（２ｏｏ８）２ｏ＿－０１６ｌ—０３ 文献标识码；Ａ 中圈分类号：ＴＰ３０９ 网络钓鱼Ｗｅｂ页面检测算法 郭敏哲，袁津生，王雅超 （北京林业大学信息学院，北京１０００８３） 摘要：网络钓鱼（Ｐｈｉｓｈｉｎｇ）攻击在电子商务和电子金融中普遍存在。该文分析Ｐｈｉｓｈｉｎｇ页面敏感特征，提出一种防御Ｐｈｉｓｈｉｎｇ攻击的Ｗｅｂ 页面检测算法。该算法通过分析Ｗｅｂ页面的文档对象模型来提取Ｐｈｉｓｈｉｎｇ敏感特征，使用ＢＰ神经网络检测页面异常程度，利用线性分类 器判断该页面是否为Ｐｈｉｓｈｉｎｇ页面。该算法成功过滤了Ｐｈｉｓｈｉｎｇ页面，有效地阻止了Ｐｈｉｓｈｉｎｇ攻击。 关健诃：网络钓鱼；Ｗｅｂ页面检测算法；ＢＰ神经网络 Ｐｈｉｓｈｉｎｇ Ｗｅｂ Ｐａｇｅ Ｄｅｔｅｃｔｉｏｎ Ａｌｇｏｒｉｔｈｍ ＧＵｏ Ｍｉｎ－ｚｈｅ，ＹＵＡＮ Ｊｉｎ・ｓｈｅｎｇ，ＷＡＮＧ Ｙａ－ｃｈａｏ （Ｓｃｈｏｏｌ ｏｆ Ｉｎｆｏｒｍａｔｉｏｎ，Ｂｅｉｊｉｎｇ Ｆｏｒｅｓｔｒｙ Ｕｎｉｖｅｒｓｉｔｙ，Ｂｅｉｊｉｎｇ １０００８３） ［Ａｂｓｔｒａｃｔ］Ｗｉｔｈ ｔｈｅ ｒａｐｉｄ ｄｅｖｅｌｏｐｍｅｎｔ ｏｆ ｏｎｌｉｎｅ ｂｕｓｉｎｅｓｓ ａｎｄ ｏｎｌｉｎｅ ｂａｎｋｉｎｇ，Ｐｈｉｓｈｉｎｇ ａｔｔａｃｋｓ ａｒｅ ｂｅｃｏｍｉｎｇ ｉｎｃｒｅａｓｉｎｇｌｙ ｒａｍｐａｎｔ．Ｔｈｉｓ ｐａｐｅｒ ｐｒｏｐｏｓｅｓ ａｎ ａｌｇｏｒｉｔｈｍ ｔＯ ｄｅｔｅｃｔ Ｐｈｉｓｈｉｎｇ Ｗｅｂ ｐａｇｅ Ｔｈｅ ａｌｇｏｒｉｔｈｍ ｅｘｔｒａｃｔｓ ａｎｏｍａｌｙ ｆｅａｔｕｒｅｓ ｆｒｏｍ Ｗｅｂ ｐａｇｅ ｂａｓｅｄ ｏｎ ＤＯＭ ｍｏｄｅｌ，ｔｈｅｎ ｕｓｅｓ Ｂａｃｋ Ｐｒｏｐａｇａｔｉｏｎ（ＢＰ）ｎｅｕｒａｌ ｎｅｔｗｏｒｋｓ ｔｏ ｄｅｔｅｃｔ ｔｈｅ ａｂｎｏｒｍａｌ ｌｅｖｅｌｓ ｏｆ ｈｔｅ ｐａｇｅ，ａｎｄ ａｐｐｌｉｅｓ ｌｉｎｅａｒ ｍｏｄｅｌ ｆｏｒ ｐａｇｅ ｃｌａｓｓｉｆｉｃａｔｉｏｎ．Ｔｈｅ ｉｍｐｌｅｍｅｎｔａｔｉｏｎ ｏｆ ｔｈｅ ａｌｇｏｒｉｔｈｍ ｓｕｃｃｅｓｓｆｕｌｌｙ ｄｅｔｅｃｔｓ ｍｏｓｔ Ｐｈｉｓｈｉｎｇ ｐａｇｅｓ，ｐｒｏｔｅｃｔｉｎｇ ｕｓｅｒｓ ｒｆｏｍ Ｐｈｉｓｈｉｎｇ ａｔｔａｃｋｓ ｅｆｆｅｃｔｉｖｅｌｙ． ［Ｋｅｙ ｗｏｒｄｓ］Ｐｈｉｓｈｉｎｇ；Ｗｅｂ ｐａｇｅ ｄｅｔｅｃｔｉｏｎ ａｌｇｏｒｉｔｈｍ；Ｂａｃｋ Ｐｒｏｐａｇａｔｉｏｎ（ＢＰ）ｎｅｕｒａｌ ｎｅｔｗｏｒｋ １概述 入的场所。 网络钓鱼（Ｐｈｉｓｈｉｎｇ）攻击是一种在线身份伪造的欺诈方 （３）Ｗｅｂ页面存在某种攻击机制，并获取用户敏感信息， 式，使用社交工程和技术托词等攻击手段窃取客户的个人身 比如：修改表单提交给目的地，使用恶意软件监视用户输入。 份数据和金融账号等敏感信息。Ｐｈｉｓｈｉｎｇ攻击给用户和机构 因此，Ｐｈｉｓｈｉｎｇ页面存在异常，但直观上难以发现，但 带来经济损失，使其不再信任电子商务和电子金融服务。目 可以从Ｗｅｂ页面的文档对象模型（ＤＯＭ模型）和ＨＴＴＰ协议信 前，对Ｐｈｉｓｈｉｎｇ防御技术的研究大体上归为４类：Ｐｈｉｓｈｉｎｇ 息的角度进行分析。Ｐｈｉｓｈｉｎｇ页面主要异常如下： 攻击成功的研究，如何教育用户的研究，更安全的用户界面 （１）Ｗｅｂ页面ＵＲＬ地址异常 的研究和Ｐｈｉｓｈｉｎｇ攻击自动检测技术的研究 Ｊ。 一个Ｗｅｂ页面的ＵＲＬ地址是唯一的。对于正常页面， Ｐｈｉｓｈｉｎｇ页面防御技术是Ｐｈｉｓｈｉｎｇ防御方案的一个重要 ＵＲＬ地址通常包含与页面所声称的所有者相关的字符串；而 组成部分。当前提出的防御技术大多采用黑名单或利用从以 对于Ｐｈｉｓｈｉｎｇ页面，其ＵＲＬ地址可能直接就是ＩＰ地址，或 往攻击案例中归纳的特征进行Ｗｅｂ页面过滤和检测。这些技 者使用不易分辨的与合法域名类似的字符串作为域名。 术能够成功地检测已知攻击，但攻击者对以前攻击特征稍加 （２）链接对象异常 改动就可较容易地绕过这些防御机制…。本文提出一种基于 针对页面ＤＯＭ模型中的＜ａ＞对象。对于正常页面，大部 异常检测思想的Ｐｈｉｓｈｉｎｇ页面检测算法，通过分析Ｗｅｂ页面 分＜ａ＞对象应该指向页面文件所在的域内，并且这个域与页面 中与Ｐｈｉｓｈｉｎｇ攻击实现机制密切相关的数据，概括合法站点 所声称的所有者所在的域一致。而对于Ｐｈｉｓｈｉｎｇ页面，存在 正常页面中这些数据的特征和状态。从这些数据和特征角度 较多数量＜ａ＞对象的指向异常，比如空指向，或者指向不一致 来分析，Ｐｈｉｓｈｉｎｇ页面和正常页面就会产生偏差，出现异常。 的域。 本文算法于具体的Ｐｈｉｓｈｉｎｇ攻击行为，能够有效地检测 （３）表单异常 以往攻击的变体甚至新的攻击。 针对页面ＤＯＭ模型中的＜ｆ０ｒｍ＞等可提交数据的对象。 ２ Ｐｈｉｓｈｉｎｇ页面分析 对于正常页面，大部分＜ｆｏｒｍ＞元素的ａｃｔｉｏｎ属性应该指向页 Ｐｈｉｓｈｉｎｇ页面是本文算法所要防御的对象，由Ｐｈｉｓｈｉｎｇ 面文件所在的域内，并且这个域与页面所声称的所有者所在 攻击者构造，并伪装成合法站点，骗取用户信任使其泄露敏 的域一致。对于Ｐｈｉｓｈｉｎｇ页面，存在较多数量＜ｆｏｒｍ＞对象的 感信息的Ｗｅｂ页面。 ａｃｔｉｏｎ属性的指向异常，比如空指向，或者指向不一致的域。 通过对Ｐｈｉｓｈｉｎｇ攻击案例的研究，可以发现Ｐｈｉｓｈｉｎｇ页 （４）资源引用异常 面通常存在３点共性： 针对页面ＤＯＭ模型中的＜ｉｍｇ＞等可引用资源的对象。正 （１）Ｗｅｂ页面包括地址栏信息、页面布局风格和商标图案 作者ｔｌｌｉ￣：郭敏哲（１９８２－－），男，硕士研究生，主研方向：网络安全； 等，这些与合法站点的页面极其相似。 袁津生，教授；王雅超，硕士 （２）Ｗｅｂ页面内容要求用户提交敏感信息并提供信息输 收稿日期：２００７—１２—２１ Ｅ－ｍａｉｌ：ｇｍｚ８８１＠ｇｍａｉｌ．ｃｏｒｎ —ｌ６Ｉ一 常页面所引用的资源绝大部分来自页面文件所在的域内，并 且这个域与页面所声称的所有者所在的域一致。而Ｐｈｉｓｈｉｎｇ 页面则存在相当一部分资源的来源异常，比如与页面文件不 在同一个域内等。 （５）域名信息异常 域名信息指页面所在域的注册信息。对于正常页面，域 名注册信息通常较容易查询并且域名注册时间通常在较久之 前。而对于Ｐｈｉｓｈｉｎｇ页面，其域名通常是近期注册的或者查 询不到其注册信息。 ３ Ｐｈｉｓｈｉｎｇ页面检测算法 ３．１算法日的 算法的目的就是要求不但能够成功检测所有已知攻击的 Ｐｈｉｓｈｉｎｇ页面，而且能够检测出以往Ｐｈｉｓｈｉｎｇ页面攻击的新 的变体。通过第２节的分析可以发现，页面文档对象模型中 某些对象和页面包含的某些ＨＴＴＰ协议数据与Ｐｈｉｓｈｉｎｇ攻击 的成功与否密切相关，Ｐｈｉｓｈｉｎｇ页面的攻击机制通常分布在 这些对象和数据中，因此，可以将这些对象和数据称为 Ｐｈｉｓｈｉｎｇ敏感特征。算法对页面提取Ｐｈｉｓｈｉｎｇ敏感特征，认 为这些特征就可代表当前页面中与Ｐｈｉｓｈｉｎｇ页面攻击相关的 信息，将其作为算法检测的主要依据，同时这些敏感特征与 具体的Ｐｈｉｓｈｉｎｇ页面攻击无关。算法将从合法站点页面和以 往的Ｐｈｉｓｈｉｎｇ页面中概括出敏感特征的正常状态模型。当敏 感特征中出现异常时，算法检测出其异常程度，判断待测页 面是否为Ｐｈｉｓｈｉｎｇ页面。 ３．２ Ｐｈｉｓｈｉｎｇ页面检测算法的设计 Ｐｈｉｓｈｉｎｇ页面检测算法流程如图１所示。 待测Ｗｅｂ页面ｐ 解析Ｐ的文档对象模型 和ＨＴＴＰ坼议数据 、｝ｌ页面Ｐ ｈｌｓｈｊｎｇ敏感特 征生成算法 已知攻击特征生 成算法 （２）ｆ ＢＰ神经 络 （３）Ｉ 页面分类器 （４）ｌ 检测结果处理 图１ Ｐｈｉｓｈｉｎｇ页面检测算法流程 符号Ｐ表示一个Ｗｅｂ页面。对于算法来说，一个Ｗｅｂ 页面Ｐ包括网络协议头部数据、ＨＴＴＰ协议头部数据、页面 文档对象模型。其中，，表示所有Ｗｅｂ页面的集合；Ｎ表示 正常Ｗｅｂ页面的集合；Ａ 表示已知攻击的Ｐｈｉｓｈｉｎｇ页面的集 合；Ａ 表示未知攻击的Ｐｈｉｓｈｉｎｇ页面的集合，公式为 ，＝ＮＵＡ ＵＡ （１） 使用Ｃ 表示Ｗｅｂ页面Ｐ是正常页面（ｃ ＝０）还是Ｐｈｉｓｈｉｎｇ —ｌ６２一 页面（ｃ口＝１）。Ｐ即为Ｐｈｉｓｈｉｎｇ页面检测算法的输入，Ｃ 即为算 法的输出。Ｐｈｉｓｈｉｎｇ页面检测算法主要由Ｗｅｂ页面敏感特征 生成算法Ｆ、ＢＰ神经网络检测算法Ｓ、已知攻击特征生成算 法Ｈ和页面分类算法￡４个部分组成。Ｐｈｉｓｈｉｎｇ页面检测算 法为 Ｃ ＝Ｌ（ （Ｆ（ｐ）），Ｈ（ｐ）），Ｐ∈，，Ｃ ∈｛０，１｝ （２） ３．２．１ Ｗｅｂ页面Ｐｈｉｓｈｉｎｇ敏感特征生成算法 在图１中，Ｐｈｉｓｈｉｎｇ页面检测算法步骤（１）提取页面 Ｐｈｉｓｈｉｎｇ敏感特征。步骤的输入为Ｗｅｂ页面Ｐ，输出为Ｘ维 敏感特征向量ｙ。 算法共从Ｗｅｂ页面中提取８个Ｐｈｉｓｈｉｎｇ页面的敏感特征， 特征提取对象为图片对象（如＜ｉｍｇ＞），链接对象（如＜ａ＞）， 框架对象（￣＜ｆｒａｍｅ＞，＜ｉｆｒａｍｅ＞等），嵌入式对象（￣Ｗ＜ｓｃｒｉｐｔ＞， ＜ａｐｐｌｅｔ＞等），数据提交对象（￣ｌ＜ｆｏｒｍ＞等），页面ＵＲＬ地址， ＳＳＬ证书，以及域名信息。使用特征函数来表示敏感特征， 一共８个特征函数 ，… ，每个特征函数的输出为实数值， 表示待测页面中对应敏感特征的状态。以链接对象为例，其 特征函数为 ｌ（ “，，＋Ｌｒｅ日１）／Ｌａｌｌ Ｌｎ“２ｆ＋Ｌ 口 ≥ＬｆｏｃⅡ／＞０ ，２：４ ｏ ＝ｏ （３） Ｉ一 ／ ，， … ＞ Ⅳ＋ 。ｆ＞ｏ 其中，Ｌ ｌｌ代表页面中链接对象的总数；Ｌ ｌ１代表页面中空链 接的个数；己 ｌ代表页面中指向真实站点链接的个数；Ｌｌ。 ｌ 代表页面中指向本域的链接的个数。此特征函数所要表达的 是Ｗｅｂ页面中链接对象的异常程度。 则Ｐｈｉｓｈｉｎｇ页面检测算法的第（１）步页面敏感特征生成算 法，＝ ，…，ｆ８），输入值Ｐ经过Ｆ计算，得到一个８维的敏 感特征向量 ＝＜ｖｌ，Ｙ２，…，ＶＳ＞，其中，ｖ￣ｗＳ（ｐ）。 ３．２．２页面Ｐｈｉｓｈｉｎｇ异常检测 Ｐｈｉｓｈｉｎｇ页面检测算法步骤（２）检测待测页面中Ｐｈｉｓｈｉｎｇ 敏感特征的异常信息，以此来衡量页面异常程度。该步骤的 输入为８维的敏感特征向量 ，输出为０－１之间的实数值 。 算法利用ＢＰ神经网络的自适应和自学习的能力，通过对其 训练，使其从合法站点页面和以往的Ｐｈｉｓｈｉｎｇ页面中概括出 敏感特征的正常状态模型，作为敏感特征异常检测的模型。 算法所使用的神经网络为３层ＢＰ神经网络。网络结构 为：输入层包含节点个数与页面检测算法步骤（１）所产生的敏 感特征向量的维数相同；输出层节点个数为１，输出Ｏ～ｌ之 间的实数，表示被检测页面的异常程度；一个隐藏层，节点 个数根据式（４）” 计算： Ｎ＾＝４ｏ．４３Ｎ Ｎ ＋０．１２Ｎｏ２＋２．５４Ｎ ＋ｏ．７７Ｎ ＋ｏ．３５＋０．５ （４） 其中，Ⅳ＾为隐藏层节点数；Ｎｉ为输入层节点数；Ｎｏ为输出层 节点数。 在将此神经网络应用于检测算法之前，需要对其进行训 练。为了克服传统ＢＰ算法的收敛速度慢和容易陷入局部最 小点的缺陷，页面检测算法使用Ｌ—Ｍ算法作为神经网络的学 习算法来获取高收敛速度和高精确度。关于训练样本，从 ＰｈｉｓｈＴａｎｋ．ｃｏｒｎ中记录的２００７年７月一２０（）７年８月问已确认 的Ｐｈｉｓｈｉｎｇ站点中随机选取１５０个，提取相关信息作为 Ｐｈｉｓｈｉｎｇ站点样本；另外根据ｍｉｌｌｅｒｓｍｉｌｅｓ．ＣＯ．ｕｋ中的记录提 取１００个易受Ｐｈｉｓｈｉｎｇ攻击的合法站点的相关信息作为合法 站点样本，一共２５０个训练和测试样本。 Ｐｈｉｓｈｉｎｇ页面检测算法经过步骤（１）的Ｗｅｂ页面敏感特征 的提取算法后，生成一个８维的敏感特征向量 ＝＜ｖ１， 该及时更新而权值在Ｈ变动和到达一定周期时也应更新。 ｖ２，…，ｖｓ＞，作为训练好的神经网络Ｓ的输入。 步骤（４）由式（６）～式（９）计算出 ，其取值为０或１，即表 ｅｐ （ ，ｖ２，…，ｖ８） （５） 示页面Ｐ是正常页面还是Ｐｈｉｓｈｉｎｇ页面。将此判断提交给后 神经网络的输出 是０～１之间的模糊数，表示当前检测 续Ｐｈｉｓｈｉｎｇ防御机制。 的Ｗｅｂ页面的异常程度，其值越接近１，异常程度越大，可 ４实验结果与分析 认为该Ｗｅｂ页面很有可能是Ｐｈｉｓｈｉｎｇ页面；越接近０，异常 实验将实时收集的站点信息作为测试用例，２００７年８月 程度越小，可判为正常页面。采取模糊化的描述有利于更精 １０日一２００７年８月１４ １３间持续关注ＰｈｉｓｈＴａｎｋ．ｃｏｍ中 确的描述Ｗｅｂ页面发生异常的程度，也能为后续的防御机制 Ｐｈｉｓｈｉｎｇ ＵＲＬ的最新报告，随机选取并进行验证，收集经确 提供更多的信息。 认的Ｐｈｉｓｈｉｎｇ站点的相关信息。一共收集了２５０个Ｐｈｉｓｈｉｎｇ ３．２．３页面分类器 站点作为测试用例。使用Ｇｏｏｇｌｅ搜索在线服务相关的站点， Ｐｈｉｓｈｉｎｇ页面检测算法步骤（３）使用前面步骤的结果来判 随机选取搜索结果并进行验证，收集经确认的合法站点的相 定Ｗｅｂ页面Ｐ是否为Ｐｈｉｓｈｉｎｇ页面。该步算法的输入为ＢＰ 关信息。本文共收集了１７０个合法站点作为测试用例，将总 神经网络的输出ｅ 和Ｗｅｂ页面Ｐ，输出Ｃｐ为０或ｌ，分别表 共４２０个测试用例随机混合在一起，使用算法逐个进行检测。 示页面Ｐ为正常页面和页面Ｐ为Ｐｈｉｓｈｉｎｇ页面。 是整个页 实验结果如下：算法正确判断出１６６个合法站点页面和 面检测算法的最后输出。 ２４３个Ｐｈｉｓｈｉｎｇ站点页面，但是将４个合法站点页面误判为 步骤（１）所提取的敏感特征向量和步骤（２）所得到的页面 Ｐｈｉｓｈｉｎｇ页面，将７个Ｐｈｉｓｈｉｎｇ站点页面漏判为合法页面。 异常程度可以为后续的防御措施提供很多信息。步骤（３）使用 由此可得误判率为２．４％，漏报率为２．８％，正确率为９７．４％。 页面分类器是诸多后续方案之一。该算法主要目的是处理异 对于误判的４个合法站点，经过分析，发现它们都是内容聚 常检测技术中的传统难题——误判率高的问题。 合站点，与算法所针对提供在线金融类站点在内容组织上有 从现有已发生的攻击中概括出一系列已知攻击特征 较大差别，因此，会出现误判。而对于漏报的７个Ｐｈｉｓｈｉｎｇ （｜ｌｚ１，ｈ２，…，ｈｎ）和神经网络的输出ｅ 一起组成分类特征向量日， 站点，经过分析发现，它们的页面大部分是由图片拼接而成， 传入前向线性模型Ｌ，得出分类值。 算法不容易提取敏感特征，因此，会出现漏报。 ｎ＋ｌ ｃ ＝Ｌ（Ｅ ） （６） ｉ＝１ ５结束语 Ｌ（ ）＝０ ｉｆ ＞０，Ｌ（ ）＝１ ｉｆ ≤０ （７） 本文研究并实现了一种基于敏感特征异常检测的 式（６）中，ｎ是从页面Ｐ中提取的攻击特征的个数。参考 Ｐｈｉｓｈｉｎｇ页面检测算法。实验表明，该算法具有较高的效率： 文献【２】，本文选择对页面提取７个攻击特征，分别为：域名 正确率＞９７％，误判率＜３％，同时具有实时检测的速度。 第１次注册时间，常用商标图案，可疑ＵＲＬ，可疑链接，ＵＲＬ 目前算法中敏感特征的提取对于绝大部分的Ｐｈｉｓｈｉｎｇ页 中包含ＩＰ地址，ＵＲＬ中点的个数以及是否包含表单。ｈ 面来说是有效的。针对新近出现的使用图片来构造Ｐｈｉｓｈｉｎｇ （ １，２，…，ｎ）表示当前页面中攻击特征的取值，ｈｉ＝Ｄ表示使用 页面的攻击方式，将来算法可能需要结合图像相似性检测技 ｈ 来检测页面时，判断该页面为正常，而ｈｉ＝１表示表示使用 术来提取这种攻击方式的敏感特征，进一步提高检测效率。 ｈ 来检测页面时，判断该页面为Ｐｈｉｓｈｉｎｇ页面。Ｗ 是各分量 参考文献 的权值，其中ｈ川和Ｗ 分别表示ｅ 及其权值。ｗ （ １ ２一， ） ［１］Ｐａｎ Ｙｉｎｇ，Ｄｉｎｇ Ｘｕｈｕａ．Ａｎｏｍａｌｙ Ｂａｓｅｄ Ｗｅｂ Ｐｈｉｓｈｉｎｇ Ｐａｇｅ 由式（８）和式（９）确定： Ｄｅｔｅｃｔｉｏｎ［Ｃ］／／Ｐｒｏｃ．ｏｆ ｔｈｅ ２２ｎｄ Ａｎｎｕａｌ Ｃｏｍｐｕｔｅｒ Ｓｅｃｕｒｉｔｙ Ａｐｐｌｉｃａｔｉｏｎｓ Ｃｏｎｆｅｒｅｎｃｅ．Ｎｅｗ Ｏｒｌｅａｎｓ，ＬＡ，ＵＳＡ：Ｉｓ．ｎ．】，２００６： ／ｎ＋ｌ ＝ ／∑ｅｔｆ， （８） ３８１—３９２． ｅｌｆ＋＝ 一 ［２］Ｚｈａｎｇ Ｙｕｅ，Ｊａｓｏｎ Ｉ．Ａ Ｃｏｎｔｅｎｔ－ｂａｓｅｄ Ａｐｐｒｏａｃｈ ｔＯ Ｄｅｔｅｃｔｉｎｇ （９） Ｐｈｉｓｈｉｎｇ Ｗｅｂ Ｓｉｔｅｓ［Ｃ］／／Ｐｒｏｃ．ｏｆ ｔｈｅ １６ｔｈ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ 其中， 和 分别表示单独使用分量ｈ 进行页面检测时的 ｏｎ Ｗｏｒｌｄ Ｗｉｄｅ Ｗｅｂ．Ｂｕｄａｐｅｓｔ，Ｈｕｎｇａｒｙ：Ｉｓ．ｎ．］，２００７：６３９—６４８． 正确率和误判率。攻击特征ｈ 是否能准确表述以往Ｐｈｉｓｈｉｎｇ ［３１ Ｗｈｉｔｅ Ｈ．Ｃｏｍｍｅｎｔｉｏｎｉｓｔ Ｎｏｎｐａｒａｍｅｔｒｉｃ Ｒｅｇｒｅｓｓｉｏｎ：Ｍｕｌｔｉｌａｙｅｒ 攻击的特征及其权值Ｗ 直接影响最后的检测结果。由于 Ｆｅｅｄ Ｆｏｒｗａｒｄ Ｎｅｔｗｏｒｋｓ Ｃａｎ Ｌｅａｒｎ Ａｒｂｉｔｒａｒｙ Ｍａｐｐｉｎｇ［Ｊ］．Ｎｅｕｒａｌ Ｐｈｉｓｈｉｎｇ攻击手段的快速发展，因此已知攻击特征向量日应 Ｎｅｔｗｏｒｋｓ，１９９０，３（１）：４７—５１． （上接第１６０页） 参考文献 ５结束语 ［１］Ａｌｉａｓ Ｃ．Ｐｒｏｇｒａｍ Ｏｐｔｉｍｉｚａｔｉｏｎ ｂｙ Ｔｅｍｐｌａｔｅ Ｒｅｃｏｇｎｉｔｉｏｎ ａｎｄ 密码算法实现形式多样化，同一种算法的实现往往呈现 Ｒｅｐｌａｃｅｍｅｎｔ［Ｄ］．Ｖｅｒｓａｉｌｌｅｓ，Ｆｒａｎｃｅ：Ｕｎｉｖｅｒｓｉｔｙ ｏｆ Ｖｅｒｓａｉｌｌｅｓ 出不同的语法形态，单从静态数据特征的角度来识别密码算 Ｓａｉｎｔ—Ｑｕｅｎｔｉｎ．２００５． 法有一定的局限性。在可执行代码中提取密码算法一方面要 ［２］Ｓｃｈｎｅｉｅｒ Ｂ．应用密码学［Ｍ】．北京：机械工业出版社，２００１． ［３］Ｍｅｎｅｚｅｓ Ａ Ｊ，Ｏｏｒｓｃｈｏｔ Ｐ Ｃ．应用密码学手册【Ｍ】．北京：电子工业 进一步深入研究各种密码算法的加密机制，建立各种密码算 出版社，２００５． 法抽象语义库；另一方面要尽可能地从可执行代码中提取语 ［４】杨广正，吴岷，张晓莉，等．模式识别［Ｍ］．合ＢＥ：中国科学技 义信息。 术大学出版社，２００３． １６３—
