当前位置：首页 > news >正文

木马查杀篇—Opcode提取

news 来源：原创 2025/7/21 2:34:21

【前言】介绍Opcode的提取方法，并探讨多种机器学习算法在Webshell检测中的应用，理解如何在实际项目中应用Opcode进行高效的Webshell检测。

Ⅰ 基本概念

Opcode：计算机指令的一部分，也叫字节码，一个php文件可以抽取出一个指令序列，如ADD、ECHO、RETURN。
【原因】由于直接对php文件使用词袋和TF-IDF进行模型训练会消耗大量计算资源，使用opcode模型进行降维可以有效提升模型效率和模型的准确率。
【作用】避免Webshell中为了绕开静态检测恶意添加的无用注释的干扰

Ⅱ Opcode提取

【背景】php版本72，路径/www/server/php/72/bin
安装地址：https://pecl.php.net/package/vld 官网下载对应的vld版本

安装脚本

cd vld-0.15.0
# 使用phpize生成配置脚本，并指定php-config路径（与你的 PHP 路径相关 ）
/www/server/php/72/bin/phpize
./configure --with-php-config=/www/server/php/72/bin/php-config --enable-vld
# 编译
make && make install
#可看到一个so文件
/opt/vld-0.15.0/vld-0.15.0/modules/vld.so# php.ini文件添加
extension=vld.so# 重启php服务
systemctl restart php7.2

测试 111.php

<?phpecho "Hello World";
?>

查看php文件的Opcode

php -dvld.active=1 -dvld.execute=0  111.php

效果如下，op值就是了，直接提取下来
在这里插入图片描述

Ⅲ 训练过程

提取opcode很简单，就是采用什么模型训练，才能尽可能提高召回率和准确率

第一种：朴素贝叶斯

特征提取使用词袋&TF-IDF模型

将 WebShell 样本以及常见 PHP 开源软件的文件提取词袋。
使用 TF-IDF 处理。
随机划分为训练集和测试集。
使用朴素贝叶斯算法在训练集上训练，获得模型数据。
使用模型数据在测试集上进行预测。
验证朴素贝叶斯算法预测效果。

第二种：使用MLP算法

特征提取使用特征提取使用opcode&n-gram

完整的处理流程为

将 WebShell 样本以及常见 PHP 开源软件的文件提取 opcode.
使用 n-gram 处理。
随机划分为训练集和测试集。
使用 MLP 算法在训练集上训练，获得模型数据。
使用模型数据在测试集上进行预测。
验证 MLP 算法预测效果。

第三种：CNN模型训练

还未实现

Ⅳ 实战环节

def extract_opcodes(filepath: str, php_executable: str = 'php') -> Optional[str]:"""使用vld扩展从文件中提取PHP opcodes，适配详细输出格式。Args:filepath: PHP文件的路径。php_executable: PHP可执行文件的路径。Returns:如果成功，返回一个包含opcode的空格分隔字符串，否则返回None。"""if not os.path.exists(filepath):logger.error(f"文件未找到用于opcode提取: {filepath}")return Nonecmd = [php_executable,'-dvld.active=1','-dvld.execute=0',filepath]logger.debug(f"运行命令用于opcode提取: {' '.join(cmd)}")try:# --- 正确的提取逻辑，用于解析表格 ---output = subprocess.check_output(cmd, stderr=subprocess.STDOUT)output_str = output.decode('utf-8', errors='ignore') # 使用 utf-8 解码，忽略可能的解码错误tokens = re.findall(r'\s(\b[A-Z_]+\b)\s', output_str)opcodes = " ".join(tokens)# --- 提取逻辑结束 ---if not opcodes:# 即使命令成功，也可能因为文件内容或VLD的特殊输出而没有Opcode#  logger.warning(f"未从 {filepath} 提取到有效格式的Opcode。VLD输出起始部分: {result.stdout[:300]}...")return ""print("|==============文件{}提取出来的opcode:{}".format(filepath,opcodes))return opcodesexcept FileNotFoundError:logger.error(f"'{php_executable}'命令未找到。无法提取opcode。")return Noneexcept subprocess.TimeoutExpired:logger.warning(f"Opcode提取超时于{filepath}。跳过。")return Noneexcept Exception as e:logger.error(f"在{filepath}提取opcode时发生错误: {e}")return None

使用 TF-IDF 处理：特征工程 (CountVectorizer + TF-IDF)

    logger.info(f"应用 CountVectorizer (ngrams={ngram_range}, min_df={min_df}, max_df={max_df})...")vectorizer = CountVectorizer(ngram_range=ngram_range,decode_error="ignore",# token_pattern=r'\s(\b[A-Z_]+\b)\s', # 匹配 Opcode 的模式min_df=min_df,max_df=max_df)

随机划分为训练集和测试集。

    logger.info(f"划分数据 (test_size={test_size}, random_state={random_state})...")X_train, X_test, y_train, y_test = train_test_split(X_tfidf, y_labels, test_size=test_size, random_state=random_state, stratify=y_labels # stratify 保证训练集和测试集标签比例相似)logger.info(f"训练集大小: {X_train.shape[0]}, 测试集大小: {X_test.shape[0]}")

大概划分训练集大小: 13359, 测试集大小: 5726

使用朴素贝叶斯算法在训练集上训练，获得模型数据。

    logger.info("训练多项式朴素贝叶斯模型...")model = MultinomialNB()model.fit(X_train, y_train)logger.info("模型训练完成。")

用模型数据在测试集上进行预测。

    logger.info("--- 在测试集上评估模型 ---")y_pred = model.predict(X_test)accuracy = accuracy_score(y_test, y_pred)precision = precision_score(y_test, y_pred, zero_division=0) # 处理除零情况recall = recall_score(y_test, y_pred, zero_division=0)f1 = f1_score(y_test, y_pred, zero_division=0)conf_matrix = confusion_matrix(y_test, y_pred)logger.info(f"准确率 (Accuracy):  {accuracy:.4f}")logger.info(f"精确率 (Precision): {precision:.4f}")logger.info(f"召回率 (Recall):    {recall:.4f}")logger.info(f"F1 分数 (F1-Score):  {f1:.4f}")

验证朴素贝叶斯算法预测效果。

 --- 在测试集上评估模型 ---
- 准确率 (Accuracy):  0.9555
- 精确率 (Precision): 0.9305
- 召回率 (Recall):    0.8796
- F1 分数 (F1-Score):  0.9043
- 混淆矩阵 (Confusion Matrix):
-
[[4266   90][ 165 1205]]

实战测试
效果很一般，误报极高，本来只有两个文件的
在这里插入图片描述

Ⅴ 当前问题

第一：go进程如果要调用opcode进行预测，是否需要自动编译一个内置环境，还是说有内置go环境
需要手动写一个内置的php环境，用于获取opcode，单纯go程序，无法正常获取

Ⅵ 下一步优化

调参
AST解析出操作序列

木马查杀篇—Opcode提取

【前言】介绍Opcode的提取方法，并探讨多种机器学习算法在Webshell检测中的应用，理解如何在实际项目中应用Opcode进行高效的Webshell检测。 Ⅰ 基本概念 Opcode：计算机指令的一部分，也叫字节码，一个php文件可以抽取出…...

编程日记 2025/7/21 2:34:21

栈和队列复习（C语言版）

目录一.栈的概念二.栈的实现三.队列的概念四.队列的实现五.循环队列的实现一.栈的概念可以将栈抽象地理解成羽毛球桶，或者理解成坐直升电梯；最后一个进去的，出来时第一个出来，并且只有一个出入口。这边需要注意的是&am…...

编程日记 2025/7/18 4:45:51

SDK does not contain ‘libarclite‘ at the path

Xcode16以上版本更新SDK之后就报错了。是因为缺少libarclite_iphoneos.a文件。所以需要在网上找一下该文件根据路径添加进去，arc文件可能需要新建一下。 clang: error: SDK does not contain ‘libarclite’ at the path ‘/Applications/Xcode.app/Contents/Develo…...

编程日记 2025/7/20 23:42:01

Kotlin跨平台Compose Multiplatform实战指南

Kotlin Multiplatform（KMP）结合 Compose Multiplatform 正在成为跨平台开发的热门选择，它允许开发者用一套代码构建 Android、iOS、桌面（Windows/macOS/Linux）和 Web 应用。以下是一个实战指南，涵盖核心概念…...

编程日记 2025/7/21 0:43:35

Oracle数据库全局性HANG的处理过程

如果Oracle数据库全局性HANG，首先要做的就是收集数据库HANG时的状态，只有收集到了相应状态，抓住故障现场，才可以进一步分析故障产生的可能原因。出现此故障，一般情况下可以如此处理： 如果数据库是单节点&a…...

编程日记 2025/7/18 8:23:40

MySQL 8.0 OCP（1Z0-908）英文题库(21-30)

目录第21题题目分析正确答案第22题题目分析正确答案第23题题目分析正确答案第24题题目分析正确答案第25题题目分析正确答案第26题题目分析正确答案第27题题目分析正确答案第28题题目分析正确答案第29题题目分析正确答案第30题题目解析正确答案第21题 Choose three.…...

编程日记 2025/7/21 0:08:31

beyond compare 免密钥进入使用（删除注册表）

beyond compare 免密钥进入，免费使用（删除注册表） 温馨提醒：建议仅个人使用，公司使用小心律师函警告！ 1.winr 输入regedit 打开注册表 2.删除计算机 \HKEY_CURRENT_USER\Software\Scooter Software\Beyo…...

编程日记 2025/7/20 8:09:40

前端项目2-01：个人简介页面

目录一.代码显示二.效果图三.代码分析 1. 文档声明和 HTML 基本结构 2. CSS 样式部分全局样式 body 样式页面主要容器 box 样式左侧区域 l 样式右侧区域 r 样式左侧区域中头像容器 to 样式头像图片样式及悬停效果左侧区域中个人信息容器 tit 样式个人…...

编程日记 2025/7/20 23:53:50

.NET 8 API 实现websocket，并在前端angular实现调用

.NET 8 API 实现websocket，并在前端angular实现调用。后端：.NET 8 WebSocket API 实现在 .NET 8 中，可以通过 Microsoft.AspNetCore.WebSockets 提供的支持来实现 WebSocket 功能。以下是创建一个简单的 WebSocket 控制器的步骤。安装必…...

编程日记 2025/7/18 12:33:45

P2P架构

P2P 是 Peer-to-Peer（点对点） 的缩写，是一种去中心化的网络架构，其中每个节点（称为 “对等节点”，Peer）既是 “客户端”，也是 “服务器”，可以直接与其他节点通信、共享…...

编程日记 2025/7/16 1:40:37

菊厂0510面试手撕题目解答

题目输入一个整数数组，返回该数组中最小差出现的次数。示例1：输入：[1,3,7,5,9,12]，输出：4，最小差为2，共出现4次； 示例2：输入：[90,98,90,90,1,1]&#xf…...

编程日记 2025/7/20 18:38:42

【25软考网工】第六章（4）VPN虚拟专用网 L2TP、PPTP、PPP认证方式；IPSec、GRE

博客主页：christine-rr-CSDN博客专栏主页：软考中级网络工程师笔记大家好，我是christine-rr !目前《软考中级网络工程师》专栏已经更新二十多篇文章了，每篇笔记都包含详细的知识点，希望能帮助到你&#xff01…...

编程日记 2025/7/19 12:35:23

C语言：深入理解指针（3）

目录一、数组名的理解二、用指针访问数组三、一维数组传参的本质四、冒泡排序五、二级指针六、指针数组七、指针数组模拟二维数组八、结语一、数组名的理解数组名其实就是首元素的地址 int arr[3] {1,2,3}; printf("arr :%p\n" ,arr); printf(…...

编程日记 2025/7/21 0:28:43

R语言实战第5章（1）

第一部分：数学、统计和字符处理函数数学和统计函数：R提供了丰富的数学和统计函数，用于执行各种计算和分析。这些函数可以帮助用户快速完成复杂的数学运算、统计分析等任务，例如计算均值、方差、相关系数、进行假设检验等。字符处…...

编程日记 2025/7/18 22:47:31

Lodash isEqual 方法源码实现分析

Lodash isEqual 方法源码实现分析 Lodash 的 isEqual 方法用于执行两个值的深度比较，以确定它们是否相等。这个方法能够处理各种 JavaScript 数据类型，包括基本类型、对象、数组、正则表达式、日期对象等，并且能够正确处理循环引用。 1. is…...

编程日记 2025/7/18 1:03:59

探索边缘计算：赋能物联网的未来

摘要随着物联网（IoT）技术的飞速发展，越来越多的设备接入网络，产生了海量的数据。传统的云计算模式在处理这些数据时面临着延迟高、带宽不足等问题，而边缘计算的出现为解决这些问题提供了新的思路。本文将深入探讨边缘…...

编程日记 2025/7/20 1:37:41

Ubuntu中配置【Rust 镜像源】

本篇主要记录Ubuntu中配置Rust编程环境时，所需要做的镜像源相关的配置无法下载 Rust 工具链通过环境变量指定 Rust 的国内镜像源（如中科大或清华源）。方法一：临时设置镜像 export RUSTUP_DIST_SERVERhttps://mirrors.ustc.e…...

编程日记 2025/7/21 0:27:53

netty 客户端发送消息服务端收到消息无法打印，springBoot配合 lombok使用@Slf4j

netty 客户端发送消息服务端收到消息无法打印，springBoot配合 lombok使用Slf4j 服务端代码 Slf4j public class EventLoopServer {public static void main(String[] args) throws InterruptedException {new ServerBootstrap().group(new NioEventLoopGroup()).c…...

编程日记 2025/7/20 23:42:36

学习笔记：黑马程序员JavaWeb开发教程(2025.4.3)

12.1 基础登录功能 EmpService中的login方法，是根据接收到的用户名和密码，查询时emp数据库中的员工信息，会返回一个员工对象。使用了三元运算符来写返回 Login是登录，是一个业务方法，mapper接口是持久层，是…...

编程日记 2025/7/17 15:38:48

Spark SQL 运行架构详解（专业解释+番茄炒蛋例子解读）

1. 整体架构概览 Spark SQL的运行过程可以想象成一个"SQL查询的加工流水线"，从原始SQL语句开始，经过多个阶段的处理和优化，最终变成分布式计算任务执行。主要流程如下： SQL Query → 解析 → 逻辑计划 → 优化 → 物理…...

编程日记 2025/7/20 14:02:03

【时时三省】(C语言基础)字符数组的输入输出

山不在高，有仙则名。水不在深，有龙则灵。 ----CSDN 时时三省字符数组的输入输出可以有两种方法。 ( 1 )逐个字符输入输出。用格式符“% c”输入或输出一个字符. ( 2 )将整个字符串一次输入或输出。用“% s”格式符，意思是对字符串( strin…...

编程日记 2025/7/16 11:43:54

Hive HA配置高可用

Hive的高可用性（HA）通过消除关键组件的单点故障来实现，确保系统在部分故障时仍能正常运行。其基本原理涉及以下核心组件和策略： ‌1. Hive Metastore 的高可用‌ ‌ 多实例部署‌：部署多个Metastore服务实例，每个实例连接到共享的后端数据库（如MySQL、PostgreSQ…...

编程日记 2025/7/15 20:04:38

Python爬虫第20节-使用 Selenium 爬取小米商城空调商品

目录前言一、本文目标二、环境准备 2.1 安装依赖 2.2 配置 ChromeDriver 三、小米商城页面结构分析 3.1 商品列表结构 3.2 分页结构四、Selenium 自动化爬虫实现 4.1 脚本整体结构 4.2 代码实现五、关键技术详解 5.1 Selenium 启动与配置 5.2 页面等待与异…...

编程日记 2025/7/13 23:32:31

重构金融数智化产业版图：中电金信“链主”之道

近日，《商学院》杂志独家专访了中电金信常务副总经理（主持经营工作）冯明刚，围绕“金融科技”“数字底座”“架构转型”“AI驱动”等议题，展开了一场关于未来架构、技术变革与系统创新的深入对话。当下，数字…...

编程日记 2025/7/18 20:58:28

笔记本电脑升级实战手册【扩展篇1】：flash id查询硬盘颗粒

文章目录前言：一、硬盘颗粒介绍1、MLC（Multi-Level Cell）2、TLC（Triple-Level Cell）3、QLC（Quad-Level Cell） 二、硬盘与主控1、主控介绍2、主流主控厂家三、硬盘颗粒查询使用flash id工具查…...

编程日记 2025/7/20 13:34:16

文档外发安全：企业数据防护的最后一道防线

在当今数字化时代，数据已成为企业最宝贵的资产之一。随着网络安全威胁日益增多，企业安装专业加密软件已从"可选"变为"必选"。本文将全面分析企业部署华途加密解决方案后获得的各项战略优势。一、数据安全防护升级核心数据全面保护…...

编程日记 2025/7/21 1:31:31

springboot集成langchain4j实现票务助手实战

前言看此篇的前置知识为langchain4j整合springboot，以及springboot集成langchain4j记忆对话。 Function-Calls介绍 langchain4j 中的 Function Calls（函数调用）是一种让大语言模型（LLM）与外部工具（如 A…...

编程日记 2025/7/20 23:52:23

ZYNQ笔记（二十一）： VDMA HDMI 彩条显示

版本：Vivado2020.2（Vitis） 任务：实现驱动 HDMI 显示彩条图像，同时支持输出给 HDMI 的图像分辨率可调。目录一、介绍二、硬件设计 （1）DVI_Transmitter （2）Clockin…...

编程日记 2025/7/19 1:06:40

常用的maven插件及其使用指南

目录 1.maven官方插件列表2.两种方式调用maven插件3.常用的maven插件总结参考文献 1.maven官方插件列表 groupId为org.apache.maven.pluginshttp://maven.apache.org/plugins/index.html 2.两种方式调用maven插件将插件目标与生命周期阶段绑定，例如maven默认将m…...

编程日记 2025/7/21 1:08:40

Meilisearch 安装

1.环境 rockey linux 9.2 meilisearch-linux-amd64 2.下载访问：https://github.com/meilisearch/meilisearch/releases 下载适合自己系统版本的。注意：我下载的不是最新版本的，因为最新版本的需要GLIBC2.35，我本地系统的是…...

编程日记 2025/7/20 6:01:53

用postman的时候如何区分服务器还是自己的问题？

作为测试人员，在使用Postman进行接口测试时，准确判断问题是出在服务器端还是本地环境非常重要。以下是一些实用的区分方法： 1. 基础检查方法本地问题排查清单： ✅ 检查网络连接是否正常 ✅ 确认Postman版本是否为最新 ✅ 验证请求URL是否正确（特别是环境变量是否被正确…...

编程日记 2025/7/16 7:50:14

【Python算法】最长递增子序列

题目链接方法1： 记忆化搜索 class Solution:def lengthOfLIS(self, nums: List[int]) -> int:cachedef dfs(i):res0 for j in range(i):if nums[j]<nums[i]:res max(res,dfs(j))return res1 # 返回res表示以nums[i]结尾的LIS长度return max(dfs(i) for i…...

编程日记 2025/7/20 7:20:40

springboot-web基础

21.web spring MVC 基于浏览器的 B/S 结构应用十分流行。Spring Boot 非常适合 Web 应用开发。可以使用嵌入式 Tomcat、Jetty、 Undertow 或 Netty 创建一个自包含的 HTTP 服务器。一个 Spring Boot 的 Web 应用能够自己独立运行，不依赖需要安装的 Tomcat&#x…...

编程日记 2025/7/17 22:42:07

解构赋值

【系统学习ES6】本专题旨在对ES6的常用技术点进行系统性梳理，帮助大家对其有更好的掌握，希望大家有所收获。 ES6允许按照一定模式，从数组和对象中提取值，对变量进行赋值，这被称为解构。解构是一种打破数据结构&#x…...

编程日记 2025/7/16 12:14:27

Leetcode-BFS问题

LeetCode-BFS问题 1.Floodfill问题 1.图像渲染问题 [https://leetcode.cn/problems/flood-fill/description/](https://leetcode.cn/problems/flood-fill/description/) class Solution {public int[][] floodFill(int[][] image, int sr, int sc, int color) {//可以借助另一…...

编程日记 2025/7/15 7:34:11

AI 时代 UI 设计的未来范式

在人工智能技术持续突破的浪潮下，UI 设计领域正经历着前所未有的变革。AI 的深度介入不仅重塑了设计流程，更催生了全新的设计范式，为用户带来颠覆式的交互体验。探索 AI 时代 UI 设计的未来范式，是把握行业发展趋势的关键所在。…...

编程日记 2025/7/21 0:20:03

键盘输出希腊字符方法

在不同操作系统中，输出希腊字母的方法有所不同。以下是针对 Windows 和 macOS 系统的详细方法，以及一些通用技巧： 1.Windows 系统 1.1 使用字符映射表字符映射表是一个内置工具，可以方便地找到并插入希腊字母。 • 步骤&#xf…...

编程日记 2025/7/20 23:57:51

[数据结构高阶]并查集初识、手撕、可以解决哪类问题？

标题：[数据结构高阶]并查集初识、手撕、可以解决哪类问题？ 水墨不写bug 文章目录一、认识并查集二、模拟实现并查集三、用并查集解决问题1、[省份的数量](https://leetcode.cn/problems/number-of-provinces/)2、[等式方程的可满足性](https://leetcode…...

编程日记 2025/7/19 10:40:21

BUUCTF——PYWebsite

BUUCTF——PYWebsite 进入靶场看看基本信息没有什么信息扫个目录看看 http://node5.buuoj.cn:28115/.DS_Store http://node5.buuoj.cn:28115/flag.php http://node5.buuoj.cn:28115/index.html访问flag.php 提示保存购买者的IP 抓包看看直接XFF伪造一下 X-Forwarded-F…...

编程日记 2025/7/19 6:39:32

【学习笔记】机器学习(Machine Learning) | 第六章(2)| 过拟合问题

机器学习（Machine Learning） 简要声明基于吴恩达教授(Andrew Ng)课程视频 BiliBili课程资源文章目录机器学习（Machine Learning）简要声明解决过拟合问题一、收集更多训练数据二、选择特征三、正则化四、过拟合解决方法总结过…...

编程日记 2025/7/15 22:11:45

单片机-STM32部分：13-1、编码器

飞书文档https://x509p6c8to.feishu.cn/wiki/BpEywhaX9iqbiLkdqdAcmDnwnab EC旋转编码器在产品开发过程中，需要位置闭环的的产品，类似电机类产品来说，编码器至关重要，它不仅可以使我们对带年纪进行精确的速度闭环，位…...

编程日记 2025/7/21 0:42:05

浅谈大语言模型原理

1.反向传播算法背景反向传播算法是当前深度学习的核心技术。神经网络 x是输入，o是输出，w是需要训练的参数（w有初始值）三层全连接的神经网络：输入层、隐藏层、输出层激活函数 f ( x ) 1 1 x − 1 f(x)\frac…...

编程日记 2025/7/19 16:18:46

设计模式之中介者模式

在我们实际开发中，我们经常会遇到多个对象之间互相依赖、互相调用的场景。如果这些对象之间的耦合度太高，不仅会让系统变得难以维护，还会让扩展变得异常困难。此时，中介者模式(Mediatro)就是一种非常实用的设计方案，它…...

编程日记 2025/7/18 15:55:08

Matlab 空调温度时延模型的模糊pid控制

1、内容简介 Matlab 231-空调温度时延模型的模糊pid控制可以交流、咨询、答疑 2、内容说明略 3、仿真分析略 4、参考论文略中央空调温湿度采用PID控制系统的探讨.pdf 中央空调房间温度智能 PID控制的仿真研究.pdf...

编程日记 2025/7/12 23:31:28

RabbitMQ ③-Spring使用RabbitMQ

Spring使用RabbitMQ 创建 Spring 项目后，引入依赖：  <dependency><groupId>org.springframework.boot</groupId><artifac…...

编程日记 2025/7/21 0:32:44