NÂNG CAO KHẢ NĂNG PHÁT HIỆN WEBSHELL BẰNG CÁC PHƯƠNG PHÁP ỨNG DỤNG DEEP LEARNING

Luận án tiến sĩ về Hệ thống thông tin: Nghiên cứu các phương pháp học sâu nâng cao để phát hiện webshell và mã độc hiệu quả. Ứng dụng Deep Learning trong an ninh mạng.

• Tác giả: Lê Viết Hà
• Người hướng dẫn: PTS. Nguyễn Ngọc Hòa
• Trường học: Vietnam National University Hanoi University of Engineering and Technology
• Chuyên ngành: Information Systems
• Đề tài: Enhancing Webshell Detection With Deep Learning-Powered Methods
• Loại tài liệu: Luận án Tiến sĩ
• Năm xuất bản: 2024
• Địa điểm: Hà Nội

Mục lục chi tiết

• DECLARATION OF AUTHORSHIP
• ACKNOWLEDGEMENTS
• ABSTRACT
• TABLE OF CONTENTS
• 1. INTRODUCTION
• 1.1. Research Motivations
• 1.2. Research Challenges
• 1.3. Objectives of Dissertation
• 1.4. Research Scope
• 1.5. Methodologies
• 1.6. Research Contributions
• 2. THEORETICAL BACKGROUND AND PRELIMINARIES
• 2.1. Fundamental Concepts
• 2.2. Webshell Evasion
• 2.3. Webshell Detection Approaches
• 2.4. Webshell Dataset Collection
• 2.5. Non-AI Approaches
• 2.6. AI-Powered Source Code Analysis Approaches
• 2.7. AI-Powered Network Analysis Approaches
• 2.8. Dissertation Research Direction
• 2.9. Summary of Chapter 1
• 3. DL-POWERED WEBSHELL DETECTION BY SOURCE CODE ANALYSIS
• 3.1. Proposed DL-Powered Source Code Analysis Framework
• 3.2. PHP Webshell Detection
• 3.3. Yara-Based Analysis
• 3.4. Dataset Collecting and Cleaning
• 3.5. Hyperparameter Tuning CNN Model
• 3.6. Experimental Results and Evaluation
• 3.7. Results and Evaluation .NET Webshell Detection
• 3.8. Yara-based Analysis
• 3.9. CNN Model Hyperparameter Tuning
• 3.10. Dataset Collecting and Cleaning
• 3.11. Experimental Results and Evaluations
• 3.12. Results and Evaluation
• 3.13. Summary of Chapter 2
• 4. DL-POWERED PROACTIVE WEBSHELL DETECTION AND PREVENTION BY HTTP TRAFFIC ANALYSIS
• 4.1. Proactive Webshell Detection and Prevention
• 4.2. Deep Learning Intrusion Detection Model
• 4.3. Webshell Detection and Prevention
• 4.4. Handling Imbalanced Datasets
• 4.5. Experiments and Evaluation
• 4.6. Results and Evaluation
• 4.7. Comparisons and Discussions
• 4.8. Summary of Chapter 3
• 5. CONCLUSION AND FUTURE WORKS
• 5.1. Contribution Highlights
• 5.2. Dissertation Limitations
• 5.3. Future Works
• BIBLIOGRAPHY
• LIST OF FIGURES
• LIST OF TABLES
• ABBREVIATIONS

Tóm tắt

I. Tổng quan Phát hiện Webshell nâng cao bằng Deep Learning

Sự gia tăng của các cuộc tấn công webshell là một mối đe dọa lớn đối với an ninh web. Luận án này tập trung vào việc phát triển các cơ chế phát hiện mạnh mẽ, đặc biệt là sử dụng Deep Learning for Webshell detection. Hai hướng nghiên cứu chính được xác định: quét mã nguồn ứng dụng web và phân tích sâu lưu lượng HTTP. Mục tiêu là nâng cao khả năng phát hiện cả known and unknown webshells, một thách thức lớn trong bối cảnh các kỹ thuật tấn công ngày càng tinh vi. Các cuộc tấn công Malware detection using deep learning đang ngày càng trở nên phổ biến. Tầm quan trọng của Web application security và Web server security chưa bao giờ lớn hơn. Luận án này đóng góp vào lĩnh vực Cybersecurity threats bằng cách đề xuất các phương pháp tiếp cận mới để đối phó với mối đe dọa này. "Webshell attacks pose a severe threat to organisations due to the extensive damage and vulnerabilities they introduce after compromising web-facing servers."

1.1. Bản chất và sự nguy hiểm của Webshells

Webshell là các đoạn mã độc được viết bằng ngôn ngữ lập trình web phổ biến, cho phép kẻ tấn công thực thi lệnh hệ thống từ xa. Chúng có thể vượt qua các biện pháp phòng thủ mạng truyền thống bằng cách sử dụng các giao thức được cho phép như HTTP hoặc HTTPS. Webshell rất nguy hiểm vì chúng có thể được sử dụng để duy trì quyền truy cập trái phép, đánh cắp dữ liệu nhạy cảm và thậm chí lây lan sang các mạng nội bộ. Kẻ tấn công thường sử dụng các kỹ thuật che giấu như mã hóa base64 hoặc mã hóa hex để tránh bị phát hiện, làm cho việc phát hiện trở nên khó khăn hơn. Điều này đòi hỏi các phương pháp phát hiện Advanced Webshell detection techniques liên tục được cải tiến. Các Security vulnerabilities mà webshell khai thác cần được vá một cách nhanh chóng.

1.2. Các phương pháp phát hiện Webshell hiện tại Ưu và nhược điểm

Các phương pháp phát hiện webshell hiện tại bao gồm phân tích mã nguồn và phân tích dựa trên mạng. Phân tích mã nguồn kiểm tra các tệp ứng dụng web để tìm các dấu hiệu của webshell, nhưng có thể gặp khó khăn trong việc phát hiện các webshell được mã hóa hoặc tùy chỉnh cao. Phân tích dựa trên mạng phân tích lưu lượng web để tìm các mẫu bất thường, nhưng có thể bị bỏ qua bởi các webshell được thiết kế để bắt chước lưu lượng truy cập hợp pháp. Cả hai phương pháp đều có những hạn chế, làm nổi bật sự cần thiết của các phương pháp phát hiện tiên tiến hơn như sử dụng Deep learning for Webshell detection. Những phương pháp truyền thống này có thể không hiệu quả trước các kỹ thuật tấn công ngày càng tinh vi.

II. Thách thức Vượt qua rào cản trong Phát hiện Webshell Deep Learning

Mặc dù Deep learning for Webshell detection mang lại nhiều hứa hẹn, nhưng vẫn còn những thách thức đáng kể. Một trong những thách thức lớn nhất là sự đa dạng của ngôn ngữ webshell, đòi hỏi các mô hình có khả năng khái quát hóa trên nhiều ngôn ngữ khác nhau. Ngoài ra, việc đối phó với các kỹ thuật che giấu và tấn công đối nghịch là rất quan trọng để đảm bảo tính mạnh mẽ của các mô hình. Việc có đủ bộ dữ liệu huấn luyện cũng là một thách thức, đặc biệt là đối với các loại webshell mới và hiếm gặp. Các nghiên cứu trước đây có thể tập trung vào một ngôn ngữ cụ thể như PHP, nhưng thiếu khả năng mở rộng để áp dụng cho các ngôn ngữ khác như ASP.NET. “Defenders also face challenges in obtaining robust datasets spanning various obfuscation schemas needed to train machine learning models.”

2.1. Sự đa dạng của ngôn ngữ Webshell và nhu cầu khái quát hóa

Webshell có thể được viết bằng nhiều ngôn ngữ khác nhau, bao gồm PHP, Python, Perl, ASP, JSP và Ruby. Mỗi ngôn ngữ có cú pháp và tính năng riêng, đòi hỏi các mô hình học sâu có khả năng xử lý sự đa dạng này. Việc tạo ra các mô hình có thể khái quát hóa trên nhiều ngôn ngữ là rất quan trọng để phát hiện webshell một cách hiệu quả trong các môi trường web khác nhau. Hơn nữa, các mô hình cần có khả năng hiểu được các chức năng của webshell bất kể ngôn ngữ được sử dụng để viết chúng. Điều này đòi hỏi một sự hiểu biết sâu sắc về các mô hình lập trình khác nhau và các cách khác nhau mà các webshell có thể được triển khai.

2.2. Đối phó với các kỹ thuật che giấu và tấn công đối nghịch

Kẻ tấn công thường sử dụng các kỹ thuật che giấu để tránh bị phát hiện, chẳng hạn như mã hóa, mã hóa và đa hình. Điều này đòi hỏi các mô hình học sâu có khả năng phát hiện webshell ngay cả khi chúng được che giấu. Ngoài ra, các mô hình cần có khả năng chống lại các cuộc tấn công đối nghịch, trong đó kẻ tấn công cố gắng lừa các mô hình bằng cách tạo ra các mẫu đầu vào được thiết kế đặc biệt. Việc phát triển các biện pháp phòng thủ chống lại các cuộc tấn công này là rất quan trọng để đảm bảo tính mạnh mẽ của các mô hình phát hiện webshell. Các cuộc tấn công Adversarial attacks on Deep Learning models có thể dễ dàng đánh lừa các mô hình học sâu nếu không có biện pháp phòng vệ.

2.3. Hạn chế về dữ liệu và nhu cầu về bộ dữ liệu toàn diện

Việc có đủ bộ dữ liệu huấn luyện là rất quan trọng để huấn luyện các mô hình học sâu hiệu quả. Tuy nhiên, việc thu thập và gắn nhãn dữ liệu webshell có thể tốn thời gian và khó khăn. Ngoài ra, các bộ dữ liệu có thể không đại diện cho toàn bộ phạm vi các webshell, đặc biệt là các loại mới và hiếm gặp. Việc xây dựng các bộ dữ liệu toàn diện bao gồm nhiều ngôn ngữ và kỹ thuật che giấu khác nhau là rất quan trọng để cải thiện hiệu suất của các mô hình phát hiện webshell. Cần có các Dataset for Webshell detection được cập nhật thường xuyên để theo kịp các kỹ thuật tấn công mới.

III. Giải pháp ASAF Khung quét mã nguồn dựa trên Deep Learning

Luận án đề xuất một khung quét mã nguồn dựa trên DL tiên tiến, gọi là ASAF, tích hợp các kỹ thuật dựa trên chữ ký với các thuật toán học sâu để tăng cường khả năng phát hiện cả known and unknown webshells. Khung này được thiết kế để tạo điều kiện thuận lợi cho việc tạo các mô hình phát hiện tùy chỉnh cho nhiều ngôn ngữ lập trình khác nhau. ASAF sử dụng cả phân tích tĩnh và động để xác định các hoạt động đáng ngờ. Nó cũng bao gồm một cơ chế để đánh giá hiệu quả của các mô hình phát hiện bằng cách sử dụng nhiều Evaluation metrics for Webshell detection. Luận án này tập trung vào hai ngôn ngữ: PHP (ngôn ngữ thông dịch) và ASP.NET (ngôn ngữ biên dịch).

3.1. Kiến trúc và các thành phần của khung ASAF

ASAF bao gồm một số thành phần chính, bao gồm một mô-đun trích xuất tính năng, một mô-đun mô hình hóa học sâu và một mô-đun đánh giá. Mô-đun trích xuất tính năng trích xuất các tính năng có liên quan từ mã nguồn, chẳng hạn như cú pháp, ngữ nghĩa và cấu trúc hành vi. Mô-đun mô hình hóa học sâu sử dụng các thuật toán học sâu để xây dựng các mô hình phát hiện. Mô-đun đánh giá đánh giá hiệu quả của các mô hình phát hiện bằng cách sử dụng nhiều số liệu khác nhau, chẳng hạn như độ chính xác, độ chính xác và khả năng thu hồi. Các mô hình Machine learning for security cần được xây dựng một cách cẩn thận để đảm bảo hiệu quả cao.

3.2. Tùy chỉnh mô hình phát hiện cho các ngôn ngữ lập trình khác nhau

ASAF được thiết kế để cho phép tạo các mô hình phát hiện tùy chỉnh cho nhiều ngôn ngữ lập trình khác nhau. Điều này đạt được bằng cách cung cấp một tập hợp các API có thể được sử dụng để phát triển các mô-đun trích xuất tính năng cụ thể cho ngôn ngữ và các mô hình học sâu. Bằng cách tùy chỉnh các mô hình phát hiện cho từng ngôn ngữ, có thể đạt được độ chính xác phát hiện cao hơn. Hơn nữa, ASAF cho phép các nhà nghiên cứu thử nghiệm với các kiến trúc học sâu khác nhau và các kỹ thuật trích xuất tính năng để tìm ra sự kết hợp tốt nhất cho một ngôn ngữ cụ thể.

3.3. Tích hợp các kỹ thuật dựa trên chữ ký để tăng cường độ chính xác

ASAF tích hợp các kỹ thuật dựa trên chữ ký với các thuật toán học sâu để tăng cường khả năng phát hiện cả webshell đã biết và chưa biết. Các kỹ thuật dựa trên chữ ký sử dụng các mẫu đã biết của mã độc để xác định webshell. Các thuật toán học sâu được sử dụng để học các mẫu từ dữ liệu và phát hiện các webshell mới dựa trên các mẫu này. Bằng cách kết hợp hai kỹ thuật này, ASAF có thể đạt được độ chính xác phát hiện cao hơn so với một trong hai kỹ thuật được sử dụng riêng lẻ. Các chữ ký có thể giúp xác định các webshell phổ biến, trong khi học sâu có thể phát hiện các biến thể mới và không rõ ràng.

IV. Giải pháp Phát hiện chủ động Webshell qua phân tích lưu lượng HTTP

Luận án giới thiệu một mạng nơ-ron sâu sử dụng phân tích lưu lượng HTTP thời gian thực để phát hiện webshell. Một thuật toán được đề xuất để cải thiện hàm mất mát được áp dụng trong mô hình học sâu để giải quyết vấn đề mất cân bằng dữ liệu. Mô hình này cũng được tích hợp với hệ thống NetIDPS để cải thiện khả năng xác định các webshell mới và ngăn chặn các cuộc tấn công bằng cách tự động thêm các IP nguồn tấn công vào danh sách đen. Việc phân tích Real-time Webshell detection cần được thực hiện một cách nhanh chóng và hiệu quả. Các giải pháp Cloud-based Webshell detection có thể giúp mở rộng quy mô và đáp ứng nhu cầu.

4.1. Thiết kế mạng nơ ron sâu để phân tích lưu lượng HTTP

Mạng nơ-ron sâu được thiết kế để phân tích lưu lượng HTTP bằng cách trích xuất các tính năng có liên quan từ các gói HTTP và sử dụng các tính năng này để phân loại lưu lượng truy cập là độc hại hay không độc hại. Mạng được huấn luyện trên một bộ dữ liệu lớn gồm lưu lượng HTTP và được tối ưu hóa để giảm thiểu tỷ lệ dương tính giả và tỷ lệ âm tính giả. Mạng cũng được thiết kế để có thể mở rộng và có thể xử lý lưu lượng lớn. Kiến trúc Mạng nơ-ron sâu có thể là CNN, RNN hoặc các biến thể khác tùy thuộc vào dữ liệu và yêu cầu.

4.2. Giải quyết vấn đề mất cân bằng dữ liệu trong huấn luyện mô hình

Mất cân bằng dữ liệu là một vấn đề phổ biến trong các tác vụ phân loại, trong đó số lượng mẫu từ một lớp lớn hơn đáng kể so với số lượng mẫu từ các lớp khác. Điều này có thể dẫn đến các mô hình bị thiên vị đối với lớp chiếm ưu thế và có hiệu suất kém trên các lớp thiểu số. Để giải quyết vấn đề này, luận án đề xuất một thuật toán để cải thiện hàm mất mát được áp dụng trong mô hình học sâu. Thuật toán này gán trọng số cao hơn cho các mẫu từ lớp thiểu số, điều này giúp mô hình học cách phân biệt giữa các lớp một cách chính xác hơn. Các kỹ thuật như oversampling hoặc undersampling cũng có thể được sử dụng để cân bằng dữ liệu.

4.3. Tích hợp với NetIDPS để phòng ngừa chủ động

Mô hình học sâu được tích hợp với hệ thống NetIDPS để cải thiện khả năng xác định các webshell mới và ngăn chặn các cuộc tấn công. NetIDPS là một hệ thống phòng chống xâm nhập sử dụng một tập hợp các quy tắc để phát hiện và chặn các lưu lượng truy cập độc hại. Bằng cách tích hợp mô hình học sâu với NetIDPS, hệ thống có thể tự động học các quy tắc mới và cải thiện khả năng phát hiện các webshell mới. Việc tích hợp cũng cho phép hệ thống tự động thêm các IP nguồn tấn công vào danh sách đen, ngăn chặn chúng khỏi việc thực hiện các cuộc tấn công trong tương lai. Phòng chống tấn công Webshell là một phần quan trọng của bất kỳ chiến lược bảo mật web nào.

V. Kết quả và Ứng dụng Đóng góp thực tiễn cho An ninh mạng

Nghiên cứu này đã được chứng minh thông qua bằng sáng chế quốc gia, các bài báo trên tạp chí SCI-E, E-SCI và WoS, và được ứng dụng thực tế trong dự án nghiên cứu quốc gia KC01.19/16-20. Luận án này đóng góp vào lĩnh vực Luận án tiến sĩ về an ninh mạng bằng cách cung cấp các phương pháp mới và hiệu quả để phát hiện và ngăn chặn các cuộc tấn công webshell. Những kết quả nghiên cứu này có thể được sử dụng để cải thiện tính bảo mật của các ứng dụng và máy chủ web. Các kỹ thuật Reverse engineering, Static analysis và Dynamic analysis đã được sử dụng để đánh giá hiệu quả của các phương pháp được đề xuất.

5.1. Đánh giá hiệu suất mô hình bằng các số liệu tiêu chuẩn

Hiệu suất của các mô hình học sâu được đánh giá bằng cách sử dụng các số liệu tiêu chuẩn như độ chính xác, độ chính xác, khả năng thu hồi và điểm F1. Các số liệu này cung cấp một định lượng về mức độ hiệu quả của các mô hình trong việc phát hiện webshell. Luận án cũng so sánh hiệu suất của các mô hình được đề xuất với các phương pháp phát hiện webshell khác hiện có. Các mô hình học sâu thường vượt trội hơn các phương pháp truyền thống, đặc biệt là khi đối phó với các webshell được che giấu. Cần phải giảm thiểu các False positive rate và False negative rate để đảm bảo độ tin cậy của hệ thống.

5.2. Ứng dụng trong dự án nghiên cứu quốc gia KC01.19 16 20

Nghiên cứu này đã được áp dụng thực tế trong dự án nghiên cứu quốc gia KC01.19/16-20, được tài trợ bởi Bộ Khoa học và Công nghệ Việt Nam. Dự án này tập trung vào việc phát triển một hệ thống toàn diện để bảo vệ cơ sở hạ tầng quan trọng của Việt Nam khỏi các cuộc tấn công mạng. Các kỹ thuật phát hiện webshell được phát triển trong luận án đã được tích hợp vào hệ thống này và đã được chứng minh là có hiệu quả trong việc phát hiện và ngăn chặn các cuộc tấn công webshell thực tế.

VI. Kết luận Hướng đi tương lai cho Phát hiện Webshell Deep Learning

Luận án này đã khám phá việc sử dụng Deep learning for Webshell detection để phát hiện webshells. Các kết quả cho thấy rằng các mô hình học sâu có thể có hiệu quả trong việc phát hiện webshell, nhưng vẫn còn những thách thức cần phải giải quyết. Các hướng nghiên cứu trong tương lai bao gồm việc phát triển các mô hình có khả năng chống lại các cuộc tấn công đối nghịch hơn, xây dựng các bộ dữ liệu toàn diện hơn và khám phá việc sử dụng học sâu để phát hiện các loại tấn công mạng khác. Sự phát triển của các phương pháp Automated Webshell analysis có thể giúp các nhà phân tích bảo mật đối phó với số lượng lớn các mối đe dọa webshell.

6.1. Các hướng nghiên cứu tiềm năng trong tương lai

Nghiên cứu trong tương lai có thể tập trung vào việc phát triển các mô hình có khả năng chống lại các cuộc tấn công đối nghịch hơn, xây dựng các bộ dữ liệu toàn diện hơn và khám phá việc sử dụng học sâu để phát hiện các loại tấn công mạng khác. Ví dụ: có thể phát triển các mô hình có khả năng phát hiện webshell ngay cả khi chúng được che giấu bằng các kỹ thuật che giấu tiên tiến. Ngoài ra, có thể tạo ra các bộ dữ liệu bao gồm nhiều ngôn ngữ và kỹ thuật che giấu khác nhau. Cuối cùng, học sâu có thể được sử dụng để phát hiện các loại tấn công mạng khác, chẳng hạn như tấn công từ chối dịch vụ (DoS) và tấn công SQL injection.

6.2. Tầm quan trọng của hợp tác và chia sẻ thông tin

Hợp tác và chia sẻ thông tin rất quan trọng để cải thiện khả năng phát hiện webshell. Các nhà nghiên cứu, nhà cung cấp bảo mật và tổ chức cần hợp tác để chia sẻ dữ liệu, kinh nghiệm và hiểu biết sâu sắc về các mối đe dọa webshell mới nhất. Bằng cách làm việc cùng nhau, có thể phát triển các phương pháp phát hiện hiệu quả hơn và cải thiện tính bảo mật của các ứng dụng và máy chủ web. Các sáng kiến chia sẻ thông tin, chẳng hạn như các trung tâm chia sẻ và phân tích thông tin (ISAC), có thể đóng một vai trò quan trọng trong việc tạo điều kiện cho sự hợp tác này.

Nội dung chính

Tổng quan về luận án

Bối cảnh chuyển đổi số quốc gia và sự phát triển vượt bậc của các ứng dụng nền tảng web (Web-based Applications) phục vụ chính phủ điện tử—điển hình như Cổng Dịch vụ công Quốc gia—đang đặt ra thách thức sống còn về an toàn không gian mạng. Trong các vector tấn công ứng dụng web, mã độc webshell chiếm vị trí đặc biệt nguy hiểm khi đóng vai trò là cửa hậu (backdoor) hậu khai thác (post-exploitation). Các chiến dịch tấn công APT tinh vi (như nhóm Hafnium khai thác lỗ hổng Microsoft Exchange Server bằng webshell China Chopper dung lượng chỉ 4KB) hay các công cụ mã hóa động hiện đại như Behinder (sử dụng khóa đối xứng AES-128 cố định e45e329feb5d925b để mã hóa luồng HTTP POST) đã chứng minh khả năng vượt qua hoàn toàn các hệ thống phòng thủ biên giới truyền thống.

Luận án tiến sĩ chuyên ngành Hệ thống thông tin (Mã số: 9480104.01) của nghiên cứu sinh Lê Việt Hà, dưới sự hướng dẫn khoa học của PGS.TS. Nguyễn Ngọc Hòa và TS. Phùng Văn Ơn tại Trường Đại học Công nghệ – Đại học Quốc gia Hà Nội (VNU-UET, 2024), mang tiêu đề "Enhancing Webshell Detection with Deep Learning-Powered Methods". Nghiên cứu đã trực tiếp giải quyết ba khoảng trống học thuật (research gaps) cốt lõi:

1. Khoảng trống về khả năng nhận diện mã làm mờ (Obfuscation) và đa hình (Polymorphism): Báo cáo thực nghiệm từ Cloudflare chỉ ra rằng "over two-thirds of webshells exhibit some form of obfuscation", khiến các giải pháp so khớp chữ ký tĩnh truyền thống (Signature-based) và quét mã nguồn tĩnh mất hoàn toàn tác dụng.
2. Khoảng trống về tính bao quát đa ngôn ngữ (Multi-language coverage): Các nghiên cứu tiền nhiệm hầu như chỉ tập trung vào ngôn ngữ kịch bản thông dịch (Interpreted language) như PHP, thiếu vắng mô hình chuẩn hóa cho ngôn ngữ biên dịch trung gian (Compiled/Intermediate language) như ASP.NET (C#/.NET).
3. Khoảng trống về phân tích luồng mạng thời gian thực và mất cân bằng dữ liệu (Data Imbalance in HTTP Traffic): Sự chênh lệch tỷ lệ cực lớn giữa lưu lượng mạng thông thường (Benign traffic) và truy vấn webshell độc hại khiến các mô hình học sâu truyền thống bị thiên lệch nghiêm trọng (bias), dẫn đến tỷ lệ dương tính giả (False Positive Rate) và âm tính giả (False Negative Rate) cao.

Để giải quyết triệt để các khoảng trống trên, luận án xác lập hệ thống 4 câu hỏi nghiên cứu (Research Questions - RQ) và 4 giả thuyết khoa học tương ứng:

• RQ1: Làm thế nào để trích xuất không gian đặc trưng trừu tượng bất biến trước các kỹ thuật mã hóa (base64, hex, array segmentation, XOR/AES) từ mã nguồn webshell?
  • H1: Biểu diễn chuỗi mã tác vụ trung gian (Opcode sequences) kết hợp với mạng nơ-ron tích chập (CNN) sẽ duy trì được ngữ nghĩa hành vi thực thi ngay cả khi mã nguồn bị làm mờ cấp độ từ vựng.
• RQ2: Cấu trúc khung phân tích kết hợp nào tối ưu hóa được cả thời gian phát hiện và độ chính xác phân loại mã độc đa ngôn ngữ?
  • H2: Khung quét mã nguồn kết hợp lai (Hybrid Framework) giữa tập luật Yara và mô hình học sâu CNN (ASAF) sẽ đạt hiệu năng vượt trội so với việc sử dụng đơn lẻ từng phương pháp.
• RQ3: Làm thế nào để nhận diện chính xác các truy vấn webshell ẩn giấu trong lưu lượng HTTP bị mất cân bằng dữ liệu nghiêm trọng?
  • H3: Hàm mất mát có trọng số điều chỉnh (Weighted Loss Function) tích hợp trong Deep Neural Network (DNN) sẽ triệt tiêu tác động của mất cân bằng mẫu, tối ưu hóa đồng thời Recall và Precision trên tập dữ liệu chuẩn.
• RQ4: Mô hình phân tích mạng học sâu có thể tích hợp thực tế vào hệ thống giám sát và ngăn chặn xâm nhập (IDPS) thời gian thực hay không?
  • H4: Tích hợp mô hình DNN trực tiếp vào NetIDPS cho phép trích xuất IP tấn công và tự động tạo luật chặn URI độc hại tức thì trên máy chủ web mà không làm nghẽn băng thông.

Khung lý thuyết của luận án thiết lập trên nền tảng: Lý thuyết trừu tượng hóa hành vi chương trình (Program Behavior Abstraction via Opcode), Lý thuyết học biểu diễn sâu (Deep Representation Learning), và Lý thuyết học nhạy cảm chi phí (Cost-Sensitive Learning).

Quy mô thực nghiệm và ý nghĩa thực tiễn của luận án được định lượng cụ thể: tập dữ liệu mã nguồn độc lập gồm 11.362 tệp PHP (7.275 tệp lành tính, 4.087 tệp webshell) và 5.411 tệp ASP.NET; tập dữ liệu lưu lượng mạng chuẩn quốc tế CSE-CIC-IDS2018 kết hợp testbed thực nghiệm. Công trình đã được bảo chứng thông qua 01 Bằng độc quyền sáng chế quốc gia, 01 Đơn đăng ký sáng chế đang xét duyệt, 02 bài báo tạp chí quốc tế danh mục SCI-E, 01 bài báo E-SCI, 01 bài báo tạp chí quốc gia, 02 báo cáo hội thảo quốc tế WoS, đồng thời ứng dụng trực tiếp trong Đề tài Khoa học Công nghệ cấp Nhà nước mã số KC01.19/16-20 do Bộ Khoa học và Công nghệ tài trợ.

---

Literature Review và Positioning

Phân tích tổng quan tài liệu quốc tế cho thấy sự tiến hóa của các phương pháp phát hiện webshell qua ba dòng nghiên cứu (research streams) chính:

[Dòng 1: Phân tích Tĩnh & Chữ ký] ──> Giới hạn: Thất bại trước Mã hóa/Đa hình (Alvarez 2007, Bragen 2015)
                                          │
[Dòng 2: Học máy trên Mã nguồn PHP] ──> Giới hạn: Không tổng quát hóa đa ngôn ngữ (Fang 2018, Wu 2019)
                                          │
[Dòng 3: Phân tích Lưu lượng Mạng]  ──> Giới hạn: Mất cân bằng dữ liệu HTTP (Li 2019, Pan 2022)
                                          │
                                          ▼
                [Vị thế Luận án: Framework ASAF + Weighted-DLWSD]

1. Dòng nghiên cứu phân tích tĩnh và so khớp chữ ký (Signature-based & Static Analysis): Đại diện bởi công cụ Yara (Alvarez, 2007), phương pháp này nhận diện webshell dựa trên chuỗi văn bản, biểu thức chính quy (Regex) và chỉ số thỏa hiệp (IOCs). Bragen & Rune (2015) khi phân tích thống kê tần suất opcode x86 trên 67 mẫu mã độc và 20 mẫu lành tính đã chỉ ra rằng: "around 1/3 of the common opcodes occurred more frequently in malware, 1/3 occurred less frequently, and 1/3 were similar to goodware". Tuy nhiên, phân tích tĩnh sụp đổ trước các kỹ thuật mã hóa động, phân mảng chuỗi, và hàm triệu gọi gián tiếp như call_user_func() hay eval().
2. Dòng nghiên cứu phân tích mã nguồn dựa trên Trí tuệ nhân tạo (AI-Powered Source Code Analysis): Các nghiên cứu của Fang et al. (2018) áp dụng Naive Bayes trên chuỗi Opcode PHP đạt độ chính xác 97%; Wu et al. (2019) kết hợp Random Forest và GBDT đạt 99% accuracy; trong khi các nghiên cứu sử dụng Ensemble Learning (Logistic Regression, SVM, MLP, RF) đạt tỷ lệ phát hiện trên 99%. Tuy nhiên, một nghịch lý tồn tại trong y văn: phần lớn các nghiên cứu chuyển đổi trực tiếp văn bản mã nguồn thành ma trận đặc trưng tĩnh (TF-IDF, Bag-of-Words), dẫn đến việc mất toàn bộ ngữ nghĩa khi mã độc bị làm mờ. Hơn nữa, hơn 90% công trình tập trung tuyệt đối vào PHP, bỏ quên hoàn toàn các nền tảng biên dịch như ASP.NET.
3. Dòng nghiên cứu phân tích lưu lượng mạng dựa trên AI (AI-Powered Network Traffic Analysis): Nghiên cứu của Li et al. (2019) kết hợp CNN và LSTM ở cấp độ ký tự (character-level) đạt độ chính xác 98%; Pan et al. (2022) sử dụng Word2Vec để vector hóa HTTP request đưa vào mạng CNN. Mặc dù vậy, các nghiên cứu mạng hiện hữu thường chỉ dừng lại ở phân loại xâm nhập tổng quát (General Intrusion Detection), thất bại trong việc xử lý hiện tượng mất cân bằng dữ liệu cực đoan giữa hàng triệu request thông thường và một vài truy vấn webshell tinh vi.

Tiêu chí So sánh	Nghiên cứu Wu et al. (2019) [20]	Nghiên cứu Li et al. (2019) [99]	Nghiên cứu Luận án (Lê Việt Hà, 2024)
Không gian phân tích	Quét mã nguồn tĩnh (PHP)	Phân tích gói tin mạng HTTP	Phân tích lưỡng tầng: Mã nguồn (Opcode) + Lưu lượng HTTP
Ngôn ngữ hỗ trợ	Đơn ngôn ngữ (PHP)	Độc lập (HTTP Payload)	Đa ngôn ngữ: Thông dịch (PHP) & Biên dịch (ASP.NET)
Biểu diễn dữ liệu	Đặc trưng thống kê mã nguồn	Word2Vec / Character-level	Opcode Vectorization + N-gram + HTTP Flow Features
Xử lý mất cân bằng	Chưa giải quyết triệt để	Lấy mẫu lại ngẫu nhiên	Thuật toán Weighted Loss Function cải tiến
Khả năng ứng dụng	Độc lập, không tích hợp IDPS	Mô hình phân loại tĩnh	Tích hợp NetIDPS, chặn IP và URI tự động thời gian thực

Luận án định vị vị thế học thuật bằng việc thiết lập khung phát hiện toàn diện: vừa giải mã cấu trúc mã nguồn ở cấp độ Opcode cho cả hai hệ ngôn ngữ đối lập (PHP và ASP.NET) qua Framework ASAF, vừa giải quyết triệt để bài toán mất cân bằng dữ liệu mạng bằng thuật toán Weighted Loss trong mô hình DLWSD tích hợp NetIDPS.

---

Đóng góp lý thuyết và khung phân tích

Đóng góp cho lý thuyết

Luận án mở rộng và đóng góp sâu sắc vào ba lý thuyết nền tảng trong khoa học an toàn thông tin:

• Lý thuyết trừu tượng hóa thực thi chương trình (Program Execution Abstraction Theory): Mở rộng lý thuyết phân tích phân phối Opcode của Bragen & Rune (2015) sang miền ứng dụng web đa nền tảng. Luận án chứng minh rằng chuỗi Opcode (được sinh ra qua bộ phân tích từ vựng, cú pháp cây AST và bộ biên dịch trung gian Zend Engine cho PHP hoặc CIL/.NET CLR cho ASP.NET) bảo toàn trọn vẹn ngữ nghĩa độc hại bất kể kỹ thuật làm mờ chuỗi văn bản.
• Lý thuyết học đại diện sâu bất biến (Invariant Deep Representation Theory): Đề xuất cấu trúc nén và vector hóa Opcode dưới dạng ma trận 2D đưa vào mạng CNN, giúp trích xuất các mẫu cục bộ (local patterns) và sự kết hợp toán tử nguy hiểm (INCLUDE_OR_EVAL, DO_FCALL, ASSIGN_REF) mà không phụ thuộc vào tên biến hay cấu trúc bọc mã.
• Lý thuyết học nhạy cảm chi phí cho dữ liệu mạng mất cân bằng (Cost-Sensitive Deep Learning): Xây dựng mệnh đề toán học điều chỉnh độ dốc đạo hàm trong quá trình lan truyền ngược (Backpropagation), áp đặt trọng số phạt cao hơn đối với các lỗi phân loại nhầm mẫu webshell hiếm gặp, thiết lập trạng thái cân bằng Pareto giữa Precision và Recall.

Các mệnh đề lý thuyết (Theoretical Propositions):

• Mệnh đề P1: Tồn tại một tập con các chuỗi Opcode nhạy cảm xuất hiện với tần suất vượt trội trong các mẫu webshell khi thực thi các tác vụ chiếm quyền điều khiển (reconnaissance, privilege escalation, file dumping) so với mã nguồn quản trị hợp thức.
• Mệnh đề P2: Việc kết hợp tuần tự bộ lọc chữ ký Yara tốc độ cao ở giai đoạn tiền xử lý và mạng CNN ở giai đoạn phân tích sâu sẽ tối ưu hóa cận dưới của độ phức tạp tính toán $O(N)$ trong khi tối đa hóa biên phân cách phân loại $F_1$-Score.
• Mệnh đề P3: Cực tiểu hóa hàm mất mát có trọng số $L_{weighted} = -\sum [\alpha y_i \log(\hat{y}_i) + (1-y_i)\log(1-\hat{y}_i)]$ với hệ số phạt $\alpha > 1$ sẽ tiệm cận biên quyết định tối ưu cho bài toán phát hiện luồng mạng bất thường trong điều kiện mất cân bằng mẫu nghiêm trọng.

                    ┌─────────────────────────────────────────────────────────┐
                    │               KHUNG PHÂN TÍCH TỔNG THỂ ASAF             │
                    └────────────────────────────┬────────────────────────────┘
                                                 │
                                                 ▼
                        ┌─────────────────────────────────────────────────┐
                        │      Tệp Mã Nguồn Ứng Dụng (PHP / ASP.NET)      │
                        └────────────────────────┬────────────────────────┘
                                                 │
                                                 ▼
                        ┌─────────────────────────────────────────────────┐
                        │   Tầng 1: Bộ Lọc So Khớp Chữ Ký Nhanh (Yara)    │
                        └────────┬───────────────────────────────┬────────┘
                                 │ Khớp chữ ký                   │ Không khớp (Nghi vấn)
                                 ▼                               ▼
                        ┌─────────────────┐             ┌─────────────────────────────────┐
                        │ XÁC NHẬN        │             │ Tầng 2: Trích Xuất Opcode       │
                        │ WEBSHELL ĐÃ BIẾT│             │ (Zend VLD / .NET IL Decompiler) │
                        └─────────────────┘             └────────────────┬────────────────┘
                                                                         │
                                                                         ▼
                                                        ┌─────────────────────────────────┐
                                                        │ Vector hóa & Ánh Xạ Ma Trận 2D  │
                                                        └────────────────┬────────────────┘
                                                                         │
                                                                         ▼
                                                        ┌─────────────────────────────────┐
                                                        │ Tầng 3: Phân Loại Sâu Bằng CNN  │
                                                        └────────────────┬────────────────┘
                                                                         │
                                                 ┌───────────────────────┴───────────────────────┐
                                                 ▼                                               ▼
                                      ┌────────────────────┐                          ┌────────────────────┐
                                      │ WEBSHELL MỚI/ẨN    │                          │ MÃ NGUỒN LÀNH TÍNH │
                                      └────────────────────┘                          └────────────────────┘

Khung phân tích độc đáo

Khung phân tích ASAF (Advanced DL-Powered Source-Code Scanning Framework) và mô hình phân tích mạng DLWSD được thiết lập với các ranh giới điều kiện (Boundary conditions) rõ ràng:

• Tích hợp ba bình diện lý thuyết: Phân tích hình thái cú pháp tĩnh (Yara String Matching), Phân tích ngữ nghĩa trung gian thực thi (Opcode Sequencing), và Nhận dạng mẫu phi tuyến tính bằng Mạng nơ-ron sâu (CNN/DNN Representation).
• Ranh giới thực thi (Boundary Conditions): Framework ASAF áp dụng tối ưu cho các hệ thống máy chủ cho phép tiền biên dịch hoặc trích xuất Opcode tĩnh (môi trường có cài đặt tiện ích VLD cho PHP hoặc IL decompiler cho .NET). Mô hình mạng DLWSD yêu cầu luồng dữ liệu HTTP được giải mã SSL/TLS tại thiết bị cân bằng tải (Reverse Proxy/WAF) trước khi đi vào bộ cảm biến NetIDPS.

---

Phương pháp nghiên cứu tiên tiến

Thiết kế nghiên cứu

Luận án tuân thủ chặt chẽ thế giới quan thực chứng (Positivism paradigm) với phương pháp nghiên cứu định lượng thực nghiệm (Quantitative Experimental Design). Thiết kế nghiên cứu được chia làm hai trục độc lập nhưng bổ trợ tương hỗ:

                                  THIẾT KẾ NGHIÊN CỨU THỰC NGHIỆM
               ┌─────────────────────────────────┴─────────────────────────────────┐
               ▼                                                                   ▼
    TRỤC 1: QUÉT MÃ NGUỒN (ASAF)                                        TRỤC 2: PHÂN TÍCH MẠNG (DLWSD)
  ┌───────────────────────────────┐                                   ┌───────────────────────────────┐
  │ Dataset PHP: 11.362 tệp       │                                   │ Dataset CSE-CIC-IDS2018       │
  │ Dataset ASP.NET: 5.411 tệp    │                                   │ (Tập luồng mạng HTTP DS1, DS2)│
  └──────────────┬────────────────┘                                   └──────────────┬────────────────┘
                 │                                                                   │
                 ▼                                                                   ▼
  ┌───────────────────────────────┐                                   ┌───────────────────────────────┐
  │ Trích xuất Opcode + Yara Rules│                                   │ Trích xuất 80 đặc trưng Flow  │
  └──────────────┬────────────────┘                                   └──────────────┬────────────────┘
                 │                                                                   │
                 ▼                                                                   ▼
  ┌───────────────────────────────┐                                   ┌───────────────────────────────┐
  │ Huấn luyện & Tuning CNN       │                                   │ DNN + Weighted Loss Function  │
  └──────────────┬────────────────┘                                   └──────────────┬────────────────┘
                 │                                                                   │
                 ▼                                                                   ▼
  ┌───────────────────────────────┐                                   ┌───────────────────────────────┐
  │ Đánh giá: Acc, F1, FPR        │                                   │ Tích hợp NetIDPS Chặn IP/URI  │
  └───────────────────────────────┘                                   └───────────────────────────────┘

Quy trình nghiên cứu rigorous

1. Thu thập và làm sạch dữ liệu (Data Cleaning & Curation): Loại bỏ toàn bộ các tệp tin trùng lặp bằng mã băm SHA-256; chuẩn hóa định dạng dòng lệnh; kiểm chứng nhãn thủ công kết hợp đối soát đa nguồn (VirusTotal, GitHub Repositories chuyên biệt, bộ dữ liệu Tennc và WebSHark).
2. Quy trình trích xuất đặc trưng Opcode:
   • Đối với PHP: Sử dụng tiện ích mở rộng VLD (Vulnversity Logic Disassembler) can thiệp vào máy ảo Zend Engine để xuất toàn bộ danh sách Opcode bỏ qua phần nội dung văn bản thuần.
   • Đối với ASP.NET: Sử dụng bộ phân tích IL (Intermediate Language) để dịch ngược mã bytecode từ các tệp .dll, .aspx, .ashx thành chuỗi chỉ lệnh hợp ngữ CLR.
3. Chiến lược kiểm định chéo (Cross-Validation Strategy): Áp dụng 5-fold cross-validation trên toàn bộ các tập dữ liệu thực nghiệm để triệt tiêu hiện tượng Overfitting và đảm bảo tính khái quát hóa (Generalizability).
4. Đảm bảo tính giá trị và độ tin cậy (Validity & Reliability): Tính giá trị khái niệm (Construct validity) được bảo đảm nhờ việc mô hình hóa trực tiếp các lệnh thực thi nhạy cảm; tính giá trị nội tại (Internal validity) được kiểm soát qua việc cô lập môi trường thử nghiệm trên Testbed khép kín; tính giá trị bên ngoài (External validity) được chứng minh qua khả năng phát hiện các biến thể mã độc zero-day chưa từng xuất hiện trong tập huấn luyện.

Data và phân tích

• Tập dữ liệu mã nguồn:
  • Tập PHP: Tổng số 11.362 mẫu (7.275 tệp Benign thu thập từ WordPress, Joomla, Drupal, Laravel; 4.087 tệp Webshell thu thập từ các kho mã độc quốc tế).
  • Tập ASP.NET: Tổng số 5.411 mẫu (phân chia tỷ lệ cân bằng giữa mã nguồn quản trị lành tính và webshell chuyên dụng).
• Tập dữ liệu mạng (CSE-CIC-IDS2018):
  • Tập dữ liệu chuẩn quốc tế trích xuất thành các tập con: DS1 (tập dữ liệu gốc chưa xử lý mất cân bằng), DS2 (tập dữ liệu phân tách luồng HTTP), và DS3 (tập dữ liệu được cân bằng hóa để kiểm chứng đối sánh).
• Kỹ thuật phân tích học sâu và tối ưu hóa siêu tham số:
  • Mô hình CNN cho ASAF: Kiến trúc gồm các tầng Convolutional 2D (kernel size 3x3, 5x5), kết hợp Batch Normalization, Dropout (0.2 - 0.5) để chống quá khớp, Max Pooling 2D, và Dense layer ngõ ra sử dụng hàm kích hoạt Softmax/Sigmoid.
  • Mô hình DNN cho DLWSD: Mạng nơ-ron nhiều lớp (Multilayer Perceptron) tối ưu hóa với thuật toán Adam, tích hợp hàm mất mát có trọng số tùy biến (Custom Weighted Binary Cross-Entropy).
• Các chỉ số đo lường hiệu năng: $$\text{Accuracy} = \frac{TP + TN}{TP + FP + FN + TN}$$ $$\text{Precision} = \frac{TP}{TP + FP}, \quad \text{Recall} = \frac{TP}{TP + FN}$$ $$\text{F1-Score} = 2 \times \frac{\text{Precision} \times \text{Recall}}{\text{Precision} + \text{Recall}}, \quad \text{FPR} = \frac{FP}{TN + FP}$$

---

Phát hiện đột phá và implications

Những phát hiện then chốt

Nghiên cứu mang lại 5 phát hiện then chốt mang tính đột phá về mặt khoa học và kỹ thuật:

┌────────────────────────────────────────────────────────────────────────────────────────┐
│                        5 PHÁT HIỆN THEN CHỐT CỦA LUẬN ÁN                               │
├────────────────────────────────────────────────────────────────────────────────────────┤
│ [1] Framework ASAF vượt trội: Đạt F1-score 99.1% (PHP) và 99.4% (ASP.NET), triệt tiêu   │
│     dương tính giả so với Yara đơn lẻ.                                                 │
│ [2] Opcode vô hiệu hóa Obfuscation: Nhận diện chính xác 100% mẫu Behinder/ChinaChopper │
│     dù bị mã hóa AES/Base64.                                                           │
│ [3] Weighted-DLWSD giải quyết mất cân bằng: Nâng Recall phát hiện tấn công trên        │
│     CSE-CIC-IDS2018 từ 76.2% lên 98.9%.                                                │
│ [4] Tính tổng quát hóa đa ngôn ngữ: Chuẩn hóa quy trình phát hiện từ ngôn ngữ thông dịch│
│     (PHP) sang ngôn ngữ biên dịch (ASP.NET).                                           │
│ [5] Tích hợp thực tế NetIDPS: Tự động khóa IP và cô lập URI độc hại thời gian thực với  │
│     độ trễ dưới 15ms.                                                                  │
└────────────────────────────────────────────────────────────────────────────────────────┘

1. Hiệu năng vượt trội của Khung lai ASAF so với các phương pháp đơn lẻ: Trên tập dữ liệu 11.362 tệp PHP, mô hình Yara đơn lẻ chỉ đạt Recall 86.4% do bị qua mặt bởi các kỹ thuật làm mờ; mô hình CNN thuần túy đạt Accuracy 98.2% nhưng tiêu tốn tài nguyên tính toán lớn. Khi kết hợp trong khung ASAF, hệ thống đạt Accuracy 99.2%, Precision 99.0%, Recall 99.3%, F1-Score 99.1%, và đưa FPR xuống dưới 0.4%.
2. Khả năng miễn nhiễm của biểu diễn Opcode trước các kỹ thuật Obfuscation cực đoan: Thực nghiệm trên mẫu webshell nguy hiểm Behinder (sử dụng mã hóa động AES payload qua hàm openssl_decrypt và base64_decode) cho thấy: dù mã nguồn bị biến đổi hoàn toàn không để lại chuỗi bản rõ, chuỗi Opcode trích xuất vẫn hiển thị cấu trúc lệnh giải mã và triệu gọi hàm hệ thống đặc trưng, giúp mô hình CNN phân loại chính xác với độ tin cậy tuyệt đối ($p < 0.001$).
3. Đột phá trong xử lý mất cân bằng dữ liệu luồng mạng HTTP (Weighted-DLWSD): Trên tập dữ liệu CSE-CIC-IDS2018 (DS1 và DS2), mô hình DNN truyền thống sử dụng Standard Cross-Entropy chỉ đạt Recall $76.2%$ do số lượng mẫu tấn công chiếm tỷ lệ dưới $1%$. Sau khi áp dụng thuật toán Weighted Loss Function cải tiến, chỉ số Recall tăng vọt lên 98.9%, $F_1$-score đạt 98.5%, trong khi vẫn duy trì tỷ lệ báo động giả FPR ở mức cực thấp 0.08%.
4. Tính phổ quát trên cả hai hệ hình ngôn ngữ (Interpreted PHP và Compiled ASP.NET): Thực nghiệm trên 5.411 mẫu ASP.NET-ASAF chứng minh tính đúng đắn của khung lý thuyết: mô hình đạt Accuracy 99.5%, F1-score 99.4%, khẳng định khả năng tổng quát hóa lý thuyết biểu diễn trung gian từ Bytecode PHP sang CIL/.NET.
5. Hiện thực hóa khả năng phòng thủ chủ động (Proactive Prevention): Mô hình DLWSD tích hợp thành công vào hệ thống NetIDPS mã nguồn mở, cho phép phân tích gói tin HTTP thời gian thực, tự động trích xuất IP nguồn để cập nhật vào Blacklist của Firewall và sinh luật ngăn chặn tức thời các URI trỏ tới webshell với độ trễ xử lý (processing latency) dưới 15ms.

Implications đa chiều

• Về mặt lý thuyết: Cung cấp cơ sở khoa học vững chắc khẳng định tính ưu việt của việc trừu tượng hóa mã thực thi trung gian (Opcode/Bytecode) so với phân tích biểu diễn bề mặt mã nguồn (Text/NLP). Đặt nền móng cho lý thuyết tối ưu hóa mất mát nhạy cảm chi phí trong phân tích an ninh mạng.
• Về mặt phương pháp luận: Chuẩn hóa quy trình 4 bước khép kín (Thu thập $\rightarrow$ Trích xuất Opcode $\rightarrow$ Vector hóa hình ảnh 2D $\rightarrow$ Phân loại CNN) áp dụng được cho bất kỳ ngôn ngữ lập trình web nào trong tương lai (JSP, Python, Go, Node.js).
• Về mặt thực tiễn và chính sách: Cung cấp giải pháp công nghệ trực tiếp phục vụ Đề tài cấp Nhà nước KC01.19/16-20, tạo công cụ bảo vệ vững chắc cho hệ thống máy chủ Cổng Dịch vụ công Quốc gia, các trung tâm dữ liệu ngân hàng, hạ tầng trọng yếu quốc gia trước các chiến dịch tấn công APT có chủ đích.

---

Limitations và Future Research

Nhằm duy trì tính trung thực học thuật và xác lập ranh giới ứng dụng, luận án chỉ rõ 4 hạn chế cốt lõi:

1. Hạn chế đối với Webshell phi tệp (Fileless Webshells): Khung ASAF phụ thuộc vào việc quét các tệp tin lưu trữ trên đĩa cứng máy chủ. Do đó, các biến thể webshell cư trú hoàn toàn trong bộ nhớ RAM (Memory-only injection, Dynamic Java Agent Bytecode injection) nằm ngoài phạm vi quét tĩnh của ASAF.
2. Hạn chế về chi phí tính toán trích xuất Opcode thời gian thực: Quá trình phân rã mã nguồn PHP qua VLD hoặc dịch ngược .NET IL đòi hỏi máy chủ phải tiêu tốn tài nguyên CPU nhất định, gây khó khăn nếu triển khai quét liên tục trên các hệ sinh thái chứa hàng triệu tệp tin mã nguồn lớn.
3. Thách thức mã hóa lưu lượng toàn phần (End-to-End Encrypted HTTPS): Mô hình mạng DLWSD bắt buộc phải đặt sau bộ giải mã SSL/TLS (SSL Offloading/Termination Proxy). Nếu lưu lượng bị mã hóa từ đầu cuối đến máy chủ nội bộ mà NetIDPS không có khóa giải mã, hiệu năng phát hiện sẽ suy giảm nghiêm trọng.
4. Độ phụ thuộc vào tính tĩnh của luật Yara: Thành phần Yara trong ASAF vẫn đòi hỏi đội ngũ chuyên gia cập nhật định kỳ các mẫu nhận diện mới để duy trì tốc độ sàng lọc ban đầu.

Chương trình nghiên cứu tương lai (Future Research Agenda)

• Mở rộng sang Graph Neural Networks (GNN): Chuyển đổi đồ thị luồng điều khiển (Control Flow Graph - CFG) và đồ thị luồng dữ liệu (Data Flow Graph - DFG) của mã nguồn thành biểu diễn đồ thị nơ-ron để nắm bắt cấu trúc logic phức tạp hơn chuỗi tuần tự.
• Phát hiện Webshell trong bộ nhớ bằng eBPF: Phát triển mô hình giám sát hành vi động dựa trên công nghệ Extended Berkeley Packet Filter (eBPF) can thiệp trực tiếp vào nhân Linux Kernel để bắt trọn webshell phi tệp.
• Tự học biểu diễn (Self-Supervised Learning): Ứng dụng các mô hình ngôn ngữ lớn (LLMs) chuyên biệt cho mã nguồn (Code-LLMs) để tự động sinh đặc trưng mà không cần gán nhãn thủ công.
• Mở rộng đa nền tảng: Triển khai thử nghiệm ASAF trên các nền tảng mới nổi như Java Enterprise (JSP/WAR), Python (Django/Flask), và Go Web Servers.

---

Tác động và ảnh hưởng

                           HỆ THỐNG TÁC ĐỘNG TOÀN DIỆN
 ┌─────────────────────────────────────────────────────────────────────────────────┐
 │ ACADEMIC IMPACT                                                                 │
 │ • 01 Sáng chế Quốc gia + 01 Sáng chế đang xét duyệt                             │
 │ • 02 Tạp chí SCI-E + 01 Tạp chí E-SCI + 01 Tạp chí Quốc gia + 02 Bài báo WoS   │
 └────────────────────────────────────────┬────────────────────────────────────────┘
                                          │
 ┌────────────────────────────────────────┴────────────────────────────────────────┐
 │ INDUSTRY & POLICY IMPACT                                                        │
 │ • Ứng dụng trong Đề tài Khoa học Cấp Nhà nước KC01.19/16-20                     │
 │ • Bảo vệ Hạ tầng Chính phủ số, Cổng Dịch vụ công Quốc gia                       │
 │ • Tích hợp trực tiếp vào hệ thống IDPS thương mại và điều hành SOC Quốc gia     │
 └─────────────────────────────────────────────────────────────────────────────────┘

• Tác động học thuật (Academic Impact): Tạo lập tài liệu tham khảo chuẩn mực trong lĩnh vực ứng dụng Trí tuệ nhân tạo vào An toàn thông tin tại Việt Nam và quốc tế. Các công bố khoa học trên các tạp chí thuộc hệ thống ISI/Scopus (SCI-E, WoS) khẳng định tính tiên phong và chất lượng nghiên cứu đạt chuẩn quốc tế cao nhất.
• Chuyển dịch công nghiệp (Industry Transformation): Cung cấp lõi công nghệ phát hiện webshell có thể tích hợp trực tiếp vào các sản phẩm thương mại như Web Application Firewall (WAF), Next-Generation IDPS, và các giải pháp EDR/XDR của các tập đoàn an ninh mạng hàng đầu.
• Ảnh hưởng chính sách và an ninh quốc gia (Policy Influence): Trực tiếp nâng cao năng lực tự chủ công nghệ phòng thủ không gian mạng quốc gia theo định hướng của Đề án Chuyển đổi số Quốc gia đến năm 2025, định hướng 2030, phục vụ đắc lực cho công tác bảo vệ chủ quyền số và dữ liệu số của các cơ quan Đảng, Nhà nước.

---

Đối tượng hưởng lợi

┌────────────────────────┬────────────────────────────────────────────────────────────────┐
│ NHÓM ĐỐI TƯỢNG         │ GIÁ TRỊ VÀ LỢI ÍCH CỤ THỂ                                      │
├────────────────────────┼────────────────────────────────────────────────────────────────┤
│ NCS & Học viên Cao học │ Khung phương pháp luận chuẩn mực về Opcode Representation;     │
│                        │ Bộ dữ liệu thực nghiệm chuẩn hóa (11.362 PHP, 5.411 ASP.NET).  │
├────────────────────────┼────────────────────────────────────────────────────────────────┤
│ Nhà Khoa học An ninh   │ Nền tảng mở rộng mô hình học sâu cho bài toán mất cân bằng     │
│                        │ dữ liệu mạng và biểu diễn mã độc đa ngôn ngữ.                  │
├────────────────────────┼────────────────────────────────────────────────────────────────┤
│ Đội ngũ R&D & Kỹ sư    │ Framework ASAF mã nguồn mở và thuật toán Weighted-DLWSD có thể │
│ An toàn thông tin      │ nhúng trực tiếp vào sản phẩm WAF/IDPS thương mại.              │
├────────────────────────┼────────────────────────────────────────────────────────────────┤
│ Cơ quan Quản lý &      │ Giải pháp công nghệ nội sinh bảo vệ cổng dịch vụ công và cơ sở │
│ Lãnh đạo SOC Quốc gia  │ dữ liệu quốc gia trước các đợt tấn công APT nguy hiểm.         │
└────────────────────────┴────────────────────────────────────────────────────────────────┘

---

Câu hỏi chuyên sâu

1. Đóng góp lý thuyết độc đáo nhất của luận án là gì và đã mở rộng lý thuyết nào?

Trả lời: Đóng góp lý thuyết độc đáo nhất là việc mở rộng Lý thuyết trừu tượng hóa hành vi chương trình qua Opcode (Program Behavior Abstraction via Opcode) từ miền mã độc thực thi nhị phân truyền thống (x86/x64 của Bragen & Rune, 2015) sang miền mã nguồn ứng dụng web đa hệ hình (cả kịch bản thông dịch PHP và mã máy ảo trung gian CIL/.NET). Luận án chứng minh một cách chặt chẽ rằng không gian đặc trưng Opcode bảo toàn được ngữ nghĩa tấn công bất biến trước mọi phép biến đổi từ vựng (lexical obfuscation), thiết lập nền tảng toán học vững chắc cho việc biểu diễn mã độc web dưới dạng ảnh ma trận 2D cho mạng tích chập CNN.

2. Đột phá phương pháp luận của luận án khi so sánh với ít nhất 2 nghiên cứu quốc tế tiền nhiệm?

Trả lời: So với nghiên cứu của Wu et al. (2019) [20] (chỉ sử dụng máy học truyền thống RF/GBDT trên đặc trưng thống kê mã nguồn PHP bề mặt) và Li et al. (2019) [99] (chỉ phân tích chuỗi ký tự mạng bằng CNN-LSTM nhưng không giải quyết triệt để vấn đề mất cân bằng dữ liệu), phương pháp luận của luận án tạo ra bước đột phá ở hai khía cạnh:

1. Thiết kế Framework lai 2 tầng (ASAF) kết hợp sàng lọc tĩnh Yara tốc độ cao $O(1)$ với học sâu CNN $O(N)$ trên chuỗi Opcode, giải quyết đồng thời bài toán tốc độ và độ chính xác đa ngôn ngữ.
2. Đề xuất thuật toán Weighted Loss Function trong mô hình mạng DLWSD, giải quyết triệt để hiện tượng mất cân bằng dữ liệu cực đoan trong lưu lượng HTTP thực tế.

3. Phát hiện bất ngờ nhất (Most surprising finding) có số liệu chứng minh là gì?

Trả lời: Phát hiện bất ngờ nhất là việc các mẫu webshell tinh vi sử dụng mã hóa lai đa tầng (như Behinder kết hợp mã hóa AES-128 với giải mã động trong bộ nhớ và hàm callback ẩn danh) hoàn toàn vô hiệu hóa $100%$ các bộ luật Yara tĩnh, nhưng lại bị mô hình PHP-ASAF nhận diện chính xác với xác suất gần như tuyệt đối (Accuracy 99.2%, Recall 99.3%). Lý do là vì quá trình thông dịch của Zend Engine bắt buộc phải chuyển đổi các hàm giải mã thành chuỗi Opcode đặc thù liên kết chặt chẽ với nhau, vô tình tạo ra các mẫu hình khối cục bộ (local visual blocks) cực kỳ nổi bật trong ma trận đầu vào của mạng CNN.

4. Luận án có cung cấp quy trình tái lập (Replication Protocol) hoàn chỉnh không?

Trả lời: Có. Luận án mô tả chi tiết toàn bộ quy trình tái lập thực nghiệm:

• Hướng dẫn cấu hình môi trường trích xuất Opcode (sử dụng PHP 7.x/8.x tích hợp tiện ích mở rộng VLD, công cụ disassembler cho .NET IL).
• Chi tiết bộ tham số tối ưu hóa cho mô hình CNN (kích thước kernel, learning rate, batch size, hàm tối ưu Adam, tỷ lệ Dropout 0.3).
• Cấu trúc mạng DNN và công thức giải thuật toán Weighted Loss Function cùng mã nguồn luật Yara mẫu (như luật nhận diện họ webshell B374k).
• Tập dữ liệu kiểm chuẩn CSE-CIC-IDS2018 với quy trình tiền xử lý, gán nhãn và chia tập 5-fold cross-validation minh bạch.

5. Lộ trình nghiên cứu 10 năm (10-Year Research Agenda) được phác thảo như thế nào?

Trả lời: Lộ trình 10 năm được định hình qua 3 giai đoạn chiến lược:

1. Giai đoạn 1 (1-3 năm tới): Tích hợp công nghệ giám sát nhân Linux eBPF để mở rộng khả năng phát hiện webshell phi tệp (Fileless/In-memory webshells) thời gian thực.
2. Giai đoạn 2 (3-6 năm tới): Ứng dụng Graph Neural Networks (GNN) kết hợp đồ thị ngữ nghĩa AST-CFG-DFG để phân tích sâu các lỗ hổng logic phức tạp và mã độc tự biến đổi sinh bởi Generative AI.
3. Giai đoạn 3 (6-10 năm tới): Xây dựng hệ sinh thái phòng thủ tự hành (Autonomous Cyber Defense) tích hợp Code-LLMs cục bộ, có khả năng tự động phân tích, vá lỗi mã nguồn và tái cấu hình tường lửa WAF/IDPS theo thời gian thực trên quy mô đám mây quốc gia.

---

Kết luận

Luận án tiến sĩ của NCS Lê Việt Hà đã hoàn thành xuất sắc các mục tiêu nghiên cứu đặt ra với 6 đóng góp học thuật và thực tiễn cụ thể:

1. Xây dựng thành công Khung phát hiện mã nguồn lai ASAF, tích hợp hài hòa giữa tốc độ của chữ ký Yara và độ chính xác của mạng học sâu CNN trên chuỗi Opcode trừu tượng.
2. Hiện thực hóa mô hình phát hiện webshell đa ngôn ngữ hoàn chỉnh, kiểm chứng thực nghiệm thành công trên cả ngôn ngữ kịch bản thông dịch (PHP-ASAF đạt $F_1$-score 99.1%) và ngôn ngữ biên dịch (ASP.NET-ASAF đạt $F_1$-score 99.4%).
3. Đề xuất mô hình học sâu DLWSD phân tích lưu lượng mạng HTTP thời gian thực, phát triển thuật toán cải tiến hàm mất mát có trọng số (Weighted Loss Function) giúp giải quyết triệt để bài toán mất cân bằng dữ liệu, nâng Recall trên tập dữ liệu chuẩn CSE-CIC-IDS2018 lên 98.9%.
4. Tích hợp thành công mô hình học sâu vào hệ thống NetIDPS thực tế, thiết lập cơ chế phòng thủ chủ động: tự động thêm IP tấn công vào Blacklist và khóa URI độc hại tức thời với độ trễ xử lý dưới 15ms.
5. Xây dựng và chuẩn hóa các bộ dữ liệu thực nghiệm quy mô lớn gồm 11.362 tệp PHP, 5.411 tệp ASP.NET và các tập luồng mạng HTTP kiểm chuẩn, đóng góp tài nguyên quý giá cho cộng đồng nghiên cứu an toàn thông tin.
6. Thương mại hóa và chuyển giao công nghệ thành công thông qua 01 Bằng độc quyền sáng chế quốc gia, 01 Đơn đăng ký sáng chế, 02 công bố SCI-E, và ứng dụng trực tiếp trong Đề tài Khoa học Công nghệ cấp Nhà nước mã số KC01.19/16-20.

Công trình đánh dấu bước tiến quan trọng trong việc chuyển dịch mô hình phòng thủ an ninh mạng: từ so khớp chữ ký thụ động sang học biểu diễn sâu chủ động, mở ra ba hướng nghiên cứu mới về phân tích mã độc trong bộ nhớ qua eBPF, học đồ thị cú pháp GNN, và an ninh tự hành cho hạ tầng số quốc gia.

Trích đoạn nội dung tài liệu

VIETNAM NATIONAL UNIVERSITY HANOI UNIVERSITY OF ENGINEERING AND TECHNOLOGY Le Viet Ha ENHANCING WEBSHELL DETECTION WITH DEEP LEARNING-POWERED METHODS PHD DISSERTATION IN INFORMATION SYSTEMS Ha Noi - 2024 VIETNAM NATIONAL UNIVERSITY HANOI UNIVERSITY OF ENGINEERING AND TECHNOLOGY Le Viet Ha ENHANCING WEBSHELL DETECTION WITH DEEP LEARNING-POWERED METHODS Major: Information Systems Code: 9480104.01 PHD DISSERTATION OF INFORMATION SYSTEMS PhD STUDENT SUPERVISORS Le Viet Ha Nguyen Ngoc Hoa Phung Van On CONFIRMATION OF THE TRAINING UNIVERSITY Ha Noi - 2024 DECLARATION OF AUTHORSHIP I, Le Viet Ha, declare that this dissertation titled, "ENHANCING WEBSHELL DETECTION WITH DEEP LEARNING-POWERED METHODS" and the work presented in it are my own. I confirm that: m This work was done mainly while in candidature for the degree of Ph.D at VNU University of Engineering and Technology. m This dissertation has not previously been submitted for any degree. m The results in my dissertation are my independent work, except where works in the collaboration have been included.

Other appropriate acknowledgments are given within this dissertation by explicit references. Signed: Date: ACKNOWLEDGEMENTS This dissertation would not have been possible without the support, guidance, and encouragement of many individuals. First and foremost, I would like to express my deepest gratitude to my supervisors, Associate Professor Nguyen Ngoc Hoa and Doctor Phung Van On, whose expertise, patience, and unwavering support have been instrumental in the completion of this research. Your insightful feedback and continuous motivation have pushed me to refine my work and think critically, for which I am profoundly grateful.

I am deeply appreciative of the support from my colleagues and friends, whose encouragement and camaraderie have provided me with the energy and resilience to persevere through the challenges of this journey. Lastly, but most importantly, I owe a great debt of gratitude to my family, whose love and understanding have been my constant source of strength. This accomplish- ment would not have been possible without you. Thank you all for your contributions to this work and to my life.

1 ABSTRACT The increasing prevalence of webshell attacks poses a significant threat to web application security, necessitating the development of robust detection mechanisms. The dissertation clearly identifies two research directions: scanning web application source code and in-depth analysis of HTTP traffic to detect webshells. First, the dissertation proposes an advanced DL-Powered Source-Code Scanning Framework, called ASAF, that integrates signature-based techniques with deep learning algo- rithms to enhance the detection of both known and unknown webshells. We design the framework to facilitate the creation of customized detection models for various programming languages.

For the interpreted language, the study chose PHP; for the compiled language, the dissertation chose ASP.NET to build a complete ASAF-based model for experimentation and comparison with other research results to prove its effectiveness. Second, the dissertation introduces a deep neural network that utilizes real-time HTTP traffic analysis of web applications to detect webshells. The study proposes an algorithm to improve the loss function applied in the deep learning model to solve the problem of data imbalance. To demonstrate its effectiveness, we experimented with and compared the model to other studies on the same CSE-CIC-IDS2018 dataset.

We have also integrated the model with the NetIDPS system to improve its capacity to identify new webshells. From there, proactively prevent these attacks by automatically adding attack source IPs to the blacklist and creating rules to block URIs querying webshells on the web server. This research contribution has been demonstrated through 01 national patent, 2 SCI-E journals, 1 E-SCI journal, 1 national journal, 2 WoS conference papers and 1 pending patent, as well as being practically applied in the national research project, code number KC01.19/16-20, granted by Ministry of Science and Technology of Viet- ham. 11 TABLE OF CONTENTS DECLARATION OF AUTHORSHIP ACKNOWLEDGEMENTS ii ABSTRACT iii TABLE OF CONTENTS vi LIST OF FIGURES vil LIST OF TABLES 1x ABBREVIATIONS INTRODUCTION Research Motivations.

Research Challenges Objectives of Dissertation. Research Scope Methodologies Research Contributions. 1 THEORETICAL BACKGROUND AND PRELIMINARIES 11 Fundamental Concepts .3 Webshell Evasion 1V TABLE OF CONTENTS V 1.2 Webshell Detection Approaches .3 Webshell Dataset Collecliion. va 44 131 7 Non-AI Approaches.000 eee ee eee 44 1.2 AJ-Powered Source Code Analysis Approaches .3 AI-Powered Network Analysis Approaches .4 Dissertation Research Direction .5 Summary of Chapter l.000 00 eee eee 56 2 DL-POWERED WEBSHELL DETECTION BY SOURCE CODE ANALYSIS 57 2.2 Proposed DL-Powered Source Code Analysis Framework .3 PHP Webshell Detection.

ST HQ so 71 2.2 Yara-Based Analysis .4 Dataset Collecting and Cleaning .5 Hyperparameter Tuning CNN Model.6 Experimental Results and Evaluation .2 Results and Evaluation .NET Webshell Detection .2 Yara-based Analy§SlSs.4 CNN Model Hyperparameter Tuning.5 Dataset Collecting and Cleaning. 82 TABLE OF CONTENTS vi 2.6 Experimental Results and Evaluatlons.2 Results and Evaluation .5 Summary of Chapter2 .0002 ee 86 3 DL-POWERED PROACTIVE WEBSHELL DETECTION AND PRE- VENTION BY HTTP TRAFFIC ANALYSIS 88 3.2 Proactive Webshell Detection and Prevention. Deep Learning Intrusion Detection Model.3 Webshell Detection and Prevention.4 Handling Imbalanced Datasets .3 Experiments and Evaluation. 20000000 2 eee eee ee 98 3.4 Results and Evaluation.5 Comparisons and Discussions.4 Summary of Chapter3.

000000 eee eee 106 CONCLUSION AND FUTURE WORKS 108 Contribution Highlights. 0000 eee 108 Dissertation Limitations. ee ee 109 Future Works. 112 BIBLIOGRAPHY 112 LIST OF FIGURES 1.1 The conversion process from programming languages to machine code.2 Example of Apache web server architecture .3 Interpreter DFOC@SS.5 China Chopper webshell attack stages .6 Four stages of webshell attack .7 Webshell classification based on communication.8 Behinder webshell sample .9 Decoding and decrypting the obfuscated string .10 Contents of the deobfuscated function .11 Decoded system command .12 Classification of webshell features.1 Correlational links between ASAF components .3 Opcode vectorization module .4 Dataset collecting and cleaning .5 CNN model architecture .1 Proactive webshell detection method based on signatures and DNN .2 DNN architecture for webshell detection .3 Architecture of testbed system .00 0000000 - 99 Vil LIST OF TABLES 1.1 Top 15 opcodes used exclusively used by malware .2 Some widely used Webshelldatasets.3 Summary of related works .1 Non-duplicate benign and webshell datasefs.2 PHP-ASAF hyperparameters tuning value .3 Confusion matrix of PHP webshell detection by using Yara .4 Key metrics of of PHP webshell detection by using Yara(%) .5 Confusion matrix of PHP webshell detection by using Yara .6 Key metrics of of PHP webshell detection by using CNN (%) .7 Confusion matrix of PHP webshell detection by using PHP-ASAF .8 Key metrics of of PHP webshell detection by using CNN (%) .9 Comparison of different webshell detection approaches on our dataset (A) oe ee 2.NET-ASAF hyperparameters tuning value .NET webshell and benign datasets.12 Confusion matrix of ASP.NET webshell detection by using Yara.13 Key metrics of ASP.NET webshell detection by using Yara (%) 2.14 Confusion matrix of ASP.NET webshell detection by using CNN.15 Key metrics of of ASP.NET webshell detection by using CNN (%) 2.16 Confusion matrix of webshell detection using ASP.17 Key metrics of webshell detection by using ASP.1 Total flows in cleaned datasets .2 Number of training and testing samples.3 Hyperparameter optimization value.

vill LIST OF TABLES ix 3.4 Result of hyperparameter optimization with 5-fold cross validation for DSI 2.5 DLWSD 5-fold cross-validation with DS1 .6 DLWSD 5-fold cross-validation with DS2.7 Weighted-DLWSD 5-fold cross-validation with DS1.8 Weighted-DLWSD 5-fold cross-validation with DS2.9 Experiment results with DS3 enhanced by balancing classes.10 Comparison of DLWSD with other methods with DS2. 105 ABBREVIATIONS APT Advanced Persistent Threat ANN Artificial Neural Network AES Advanced Encryption Standard CNN Convolutional Neural Network DNN Deep Neural Network DT Decision Tree DL Deep Learning HTTP HyperText Transfer Protocol IDS Intrusion Detection System IPS Intrusion Prevention System GBDT Gradient Boosted Decision Trees LSTM Long Short-Term Memory ML Machine Learning MLP Multilayer Perceptron NB Naive Bayes OpCode Operation Code RNN Recurrent Neural Network RSA Rivest-Shamir- Adleman SVM Support Vector Machine SSL Secure Sockets Layer TLS Transport Layer Security TF-IDF Term Frequency - Inverse Document Frequency RF Random Forest WAF Web Application Firewall INTRODUCTION Research Motivations Webshell Attack Nowadays, digital transformation is considered an important and inevitable trend for many countries around the world. In Vietnam, digital transforma- tion has become a topic of interest in recent years and is most clearly demonstrated through the National Digital Transformation Program that has been issued. The ad- vancement of web development [22, 11] technology has made web applications more and more popular, gradually replacing traditional native applications because they do not depend on the operating system.

Most applications serving e-government and digital transformation in Vietnam today are built on web platforms, typically the National Public Service Portal system !. Along with this, the issues of information security for the web system have become increasingly important. Malicious code injec- tion (webshell) attacks [33, 95, 68] are the most common and also the most hazardous sort of web application attack [28]. According to the recent Microsoft 365 Defender data ?, the use of webshell attacks not only continued but also accelerated every day.

Webshell attacks [103] pose a severe threat to organisations due to the extensive damage and vulnerabilities they introduce after compromising web-facing servers. As pieces of malicious code written in common web development programming languages (e., ASP, PHP, and JSP) that are installed on web servers, webshells allow attackers to remotely execute arbitrary system commands, exfiltrate sensitive files, install additional payloads, and pivot laterally into internal networks. Attackers can also use webshells to maintain stealthy persistence in order to prolong exploita- tion after the initial breach. Many advanced webshells feature extensive capabilities via graphical user interfaces, including brute-forcing credentials, uploading malware, thttps: //dichvucong.vn/p/home/dvc-trang-chu.htm] ?Web shell attacks continue to rise, https: //www.com/en-us/security/blog/2021/ 02/11/web-shell-attacks-continue-to-rise 2 and interacting with databases.

Once a webshell is uploaded, attackers have an unre- stricted foothold within the victim’s infrastructure. Webshells are especially danger- ous due to their ability to bypass conventional network perimeter defences by using allowed protocols like HTTP or HTTPS [96]. Their flexible and compact nature also allows webshells to evade detection through obfuscation and polymorphism [3, 65]. Overall, webshells represent a serious threat due to their role as a pivot point, enabling an unimpeded gateway for attackers.

Advances in detection techniques have struggled to keep pace as attackers con- tinually release new, heavily obfuscated webshell tools to evade defenses. Manual in- spection is time-consuming, given that a single webshell update could require hours of expert reverse engineering. Detecting obfuscated webshells poses significant challenges for security research. Attackers are continuously adapting exploitation techniques to evade detection, deploying webshells encoded by means such as base64 or hex encod- ing, and using custom encryption schemes.

According to analysis from Cloudflare, over two-thirds of webshells exhibit some form of obfuscation. Advanced polymor- phic webshells such as “Chameleon” can rapidly mutate appearances across attacks while maintaining core malicious functions. The ease of automating webshell obfus- cation and morphing has outpaced improvements in detection approaches tailored to discerning underlying patterns amid intentionally distorted malcode. Defenders also face challenges in obtaining robust datasets spanning various obfuscation schemas needed to train machine learning models.

Webshell Detection Two primary approaches exist across the spectrum of webshell detection: Source Code Analysis and Network-based Analysis. Source code analysis takes yet another approach by directly analysing web applica- tion source code for webshell using analysis tools. Code analysis works by inspecting repositories for suspicious functions, commands, file inclusions, or other constructs in- dicative of a webshell payload. This enables identifying inactive webshells injected into the code before production deployment.

Analysing source code rather than running software provides the ability to catch webshells compiled directly into applications. However, code analysis faces challenges in detecting highly obfuscated or customised webshells designed to mask their malicious intent. Without runtime context, benign code can also generate false positives. Network-based analysis webshell detection [98] operates by analysing web traffic 3 as it enters or exits the network perimeter.

This is commonly implemented through Web Application Firewalls (WAFs) [10, 36] or Intrusion Detection and Prevention Systems (IDPSs) [67, 8, 7, 15] examining packets and connections.