34、网络安全领域的两大关键技术：脚本反混淆与后门攻击增强

网络安全领域的两大关键技术：脚本反混淆与后门攻击增强

1. 恶意 PowerShell 脚本反混淆技术

1.1 恶意脚本现状

在网络安全领域，恶意软件组织利用 PowerShell 进行攻击已成为常见手段。PowerShell 能让攻击者借助系统内置的自动化和管理工具获利，且使用过程不会在硬盘上留下痕迹。为躲避反恶意软件的检测以及迷惑安全分析师，恶意 PowerShell 脚本常被混淆器处理，这使得检测脚本混淆和恢复原始内容成为一项极具挑战性的任务。

1.2 现有反混淆方法的局限性

目前大多数反混淆解决方案是手动编写的，依赖正则表达式和人工编写的算法。然而，在恶意软件不断变化的环境中，这些方法难以维护。

1.3 基于 Transformer 模型的反混淆方法

提出了一种全自动、通用的反混淆方法，采用字符级 Transformer 模型实现反混淆。该模型经过特定方式训练，能够理解 PowerShell 语言和混淆概念。其优势在于依赖先进的机器学习模型，而非人工编写的算法，因此能轻松应对最新的混淆技术。实验结果表明，该模型能够快速、准确地完成任务，正确恢复 92%脚本的完整原始内容。

1.4 脚本长度与反混淆时间的关系

脚本的原始长度、混淆后长度和反混淆后长度与反混淆时间并非严格线性关系。混淆器大量依赖随机性，会在混淆脚本中引入不同数量的“垃圾”内容，这些“垃圾”后续会被反混淆器去除。Transformer 模型每次仅为单个标记输出概率向量，即每次只生成下一个标记，要生成完整输出序列，需不断将自身输出作为输入，直至遇到“句子结束”标记。这种循环过程对反混淆时间的影响比输