研究与开发 基于改进的ＴｒｕｓｔＲａｎｋ算法的钓鱼网站检测 韩浩，刘博文，林果园 （中国矿业大学计算机科学与技术学院，江苏徐州２２１１１６） 摘要：钓鱼检测方式一般只是通过比较网页问特征的相似度判断钓鱼网站，容易被攻击者根据特征提取过程 反检测。因此，提出依据网页之问的关系来检测钓鱼网站，通过设立网页集合、结合钓鱼网站与其他网站问的 链接关系改进ＴｒｕｓｔＲａｎｋ算法来检测钓鱼网站。实验证明，改进的ＴｒｕｓｔＲａｎｋ算法可以将钓鱼网站的信任值集中 在一个范围内，并且与其他方法相比具有较低的误判率、漏判率和较高的速度，可以很好地检测钓鱼网站。 关键词：钓鱼网站；ＴｒｕｓｔＲａｎｋ；网页关系；链接关系 中图分类号：ＴＰ１８２ 文献标识码：Ａ ｄｏｉ：１０．１１９５９／ｊ．ｉｓｓｎ．１０００—０８０１．２０１８０４６ Ｄｅｔｅｃｔｉｏｎ ｏｆ ｐｈｉｓｈｉｎｇ ｗｅｂｓｉｔｅｓ ｂａｓｅｄ ｏｎ ｔｈｅ ｉｍｐｒｏｖｅｄ ＴｒｕｓｔＲａｎｋ ａｌｇｏｒｉｔｈｍ ＨＡＮ Ｈａｏ，ＬＩＵ Ｂｏｗｅｎ，ＬＩＮ Ｇｕｏｙｕａｎ Ｓｃｈｏｏｌ ｏｆＣｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ ａｎｄ Ｔｅｃｈｎｏｌｏｇｙ，Ｃｈｉｎａ Ｕｎｉｖｅｒｓｉｔｙ ｏｆＭｉｎｉｎｇ ａｎｄ Ｔｅｃｈｎｏｌｏｇｙ，Ｘｕｚｈｏｕ ２２１１１６，Ｃｈｉｎａ Ａｂｓｔｒａｃｔ：Ａｎｔｉ－－ｐｈｉｓｈｉｎｇ ｍｅｔｈｏｄｓ ｊｕｓｔ ｇｅｎｅｒａｌｌｙ ｄｅｔｅｃｔ ｐｈｉｓｈｉｎｇ ｓｉｔｅｓ ｂａｓｅｄ ｏｎ ｃｏｍｐａｒｉｎｇ ｔｈｅ ｓｉｍｉｌａｒｉｔｙ ｏｆ ｐａｇｅｓ ｆｅａ－－ ｔｕｒｅｓ，ｗｈｉｃｈ ｃｏｕｌｄ ｂｅ ａｎｔｉ—ｄｅｔｅｃｔｅｄ ｗｈｅｎ ａｔｔａｃｋｅｒｓ ａｒｅ ｃｌｅａｒ ａｂｏｕｔ ｔｈｅ ｅｘｔｒａｃｔｉｏｎ ｐｒｏｃｅｓｓ ｏｆ ｆｅａｔｕｒｅｓ．Ｔｈｅｒｅｆｏｒｅ，ａ ｍｅｔｈｏｄ ｂａｓｅｄ ｏｎ ｗｅｂ ｐａｇｅｓ ｒｅｌａｔｉｏｎｓｈｉｐ ｗａｓ ｐｒｏｐｏｓｅｄ ｔｏ ｄｅｔｅｃｔ ｐｈｉｓｈｉｎｇ ｗｅｂｓｉｔｅｓ．Ａｃｃｏｒｄｉｎｇ ｔｏ ｔｈｉｓ ｍｅｔｈｏｄ，ｐｈｉｓｈ— ｉｎｇ ｗｅｂｓｉｔｅｓ ｗｅｒｅ ｄｅｔｅｃｔｅｄ ｂｙ ａｎ ｉｍｐｒｏｖｅｄ ＴｒｕｓｔＲａｎｋ ａｌｇｏｒｉｔｈｍ ｗｈｉｃｈ ｓｅｔ ｕｐ ａ ｃｏｌｌｅｃｔｉｏｎ ｏｆ ｗｅｂ ｐａｇｅｓ ａｎｄ ｕｓｅｄ ｈｅ ｔｌｉｎｋ ｒｅｌａｔｉｏｎｓｈｉｐ ｂｅｔｗｅｅｎ ｐｈｉｓｈｉｎｇ ｗｅｂｓｉｔｅｓ ａｎｄ ｏｔｈｅｒ ｗｅｂｓｉｔｅｓ．Ｅｘｐｅｒｉｍｅｎｔｓ ｓｈｏｗ ｔｈａｔ ｈｅ ｔｉｍｐｒｏｖｅｄ ＴｒｕｓｔＲａｎｋ ａｌｇｏ— ｒｉｔｈｍ Ｃａｎ ｆｏｃｕｓ ｔｈｅ ｔｒｕｓｔ ｖａｌｕｅｓ ｏｆ ｐｈｉｓｈｉｎｇ ｗｅｂｓｉｔｅｓ ｏｎ ｓｏｍｅ ｒａｎｇｅ ｗｉｔｈ ｔｈｅ ｌｏｗｅｒ ｆａｌｓｅ ｐｏｓｉｔｉｖｅ ｒａｔｅ，ｔｈｅ ｌｏｗｅｒ ｆａｌｓｅ ｎｅｇａｔｉｖｅ ｒａｔｅ ａｎｄ ｔｈｅ ｈｉｇｈｅｒ ｓｐｅｅｄ ｃｏｍｐａｒｅｄ ｔｏ ｏｔｈｅｒ ｍｅｔｈｏｄｓ． Ｋｅｙ ｗｏｒｄｓ：ｐｈｉｓｈｉｎｇ ｗｅｂｓｉｔｅ，ＴｒｕｓｔＲａｎｋ，ｗｅｂ ｐａｇｅ ｒｅｌａｔｉｏｎｓｈｉｐ，ｌｉｋ ｎｒｅｌａｔｉｏｎｓｈｉｐ １ 引言 钓鱼网站是网络安全中的一个重大问题，因 钓鱼网站造成的经济损失和社会问题逐年增加。 收稿日期：２０１７－１０－１３；修回日期：２０１８－０１—１５ ２０１７年６月份，由ＣＮＮＩＣ牵头筹建的互联网域名管理 技术国家工程实验室与国际反钓鱼工作组（ＡＰＷＧ）、 中国反钓鱼网站联盟（ＡＰＡＣ）联合发布的《全球 中文钓鱼网站现状统计分析报告（２０１６年）》【 】 通信作者：林果园，ｌｉｎｇｙ＠ｃｕｍｔ．ｅｄｕ．ｃａ 基金项目：江苏省产学研前瞻性联合研究项目（Ｎｏ．ＢＹ２０１６０２６—０４） Ｆｏｕｎｄａｔｉｏｎ Ｉｔｅｍ：Ｐｒｏｄｕｃｔｉｏｎ ａｎｄ Ｒｅｓｅａｒｃｈ Ｐｒｏｓｐｅｃｔｉｖｅ Ｊｏｉｎｔ Ｒｅｓｅａｒｃｈ Ｐｒｏｊｅｃｔ ｏｆＪｉａｎｇｓｕ Ｐｒｏｖｉｎｃｅ（Ｎｏ．ＢＹ２０１６０２６—０４） ２０１８０４６．１ ·８７· 显示，２０１６年我国钓鱼网站数量为１４７ ２１１例， ３种链接关系作为网站的钓鱼特征； 比２０１５年增长ｌ５０．９６％。 ·由于钓鱼网站普遍存在时间短，因此选 常见的检测钓鱼网站的方法有基于页面特征 取网站的注册时间作为网站的一个钓鱼 的检测 ，引、基于ＵＲＬ的检测 ， 、基于图像的检 特征； 测［６，７１和结合机器学习进行检测［８ｑｏ］。除了基于 ·为了避免误判新出现的正规网站，考虑到 ＵＲＬ的检测方法，其他方法都会处理大量的多媒 ＵＲＬ检测的简单性和新出现的网站的 体内容而影响检测效率，并且随着网络钓鱼技术 ＵＲＬ并不会和黑白名单中的网站ＵＲＬ相 的发展，传统的检测方法虽然能够有效地检测出 似度过高，因此，将选取网页的ＵＲＬ与 钓鱼网站，但容易被新的钓鱼技术反检测而影响 白名单中网页的ＵＲＬ相似度作为另一个 检测的准确率。 网站的钓鱼特征。 不法分子往往通过电子邮件、即时通信工具、 短信、论坛或者搜索页面等使受害者访问钓鱼网 ２ ＴｒｕｓｔＲａｎｋ基本原理 站【Ｉ¨。从受害者访问不法分子的推广链接到受害 在ＴｒｕｓｔＲａｎｋ算法中，将网络中的网页依据相 者受到损失过程中，受害者所访问的网站中会出 互链接的关系组织成一个Ｗｅｂ图Ｌ１ Ｇｗ＝＜尸 ＞， 现以访问的钓鱼网站为中心链接在一起网站集 其中，Ｐ是网络中的网页集合，也就是Ｗｅｂ图中 合。而钓鱼者又不得不推广钓鱼网站以使得更多 的顶点集合，Ｒ是网页与网页之间的链接集合。 的人访问钓鱼网站，因此以钓鱼网站为中心分析 在Ｗｅｂ图Ｇ 中，为了表示网页之间的链接关系 其和其他网页之间的链接关系从而检测钓鱼网站 定义Ｒ ， ∈ 表示网页Ｐ到网页ｇ的链接。用Ｎｏｐ 的方法是钓鱼者不容易躲避的。 表示网页Ｐ指出链接的数量，即Ｗｅｂ图中网页Ｐ ＴｒｕｓｔＲａｎｋ［ 】是通过检测网页间的链接关系并 的出度，用 表示网页Ｐ指出的链接，其中， 量化出网页的信任值，从而判断网页性质的算法， ｉ∈（Ｏ，Ｎｏ ）。用 表示指向网页Ｐ的链接的数 谷歌应用ＴｒｕｓｔＲａｎｋ屏蔽搜索结果中的垃圾页面。 量，即Ｗｅｂ图中网页Ｐ的入度，用眦ｆ表示指向 虽然钓鱼网站也是垃圾网站，但是ＴｒｕｓｔＲａｎｋ所考 网页Ｐ的链接，其中，ｉ∈（０，Ｎｍ）。 虑的因素仅是网页之间的链接关系，并不是针对钓 ＴｒｕｓｔＲａｎｋ算法是一种半自动分类的方法，用 鱼网站的特征，因此不能够直接检测钓鱼网站。由 于描述网页的信任程度从而对网页进行排名。 此，需要结合钓鱼网站的特征改进ＴｒｕｓｔＲａｎｋ。 ＴｒｕｓｔＲａｎｋ假设好的网站很少会链接到坏的网站， 将可以判断一个网站是否是钓鱼网站的网站 但是坏的网站会链接到好的网站以提高自己的信 特征称为网站的钓鱼特征。对于钓鱼网站特征的 任度。ＴｒｕｓｔＲａｎｋ算法首先设置一个好的网站种子 选取也可以从ＴｒｕｓｔＲａｎｋ的角度选取，即分析网站 集Ｓｐ＇，即认为集合中的网站是信任度高的网站， 之间的链接关系，这样贴近于ＴｒｕｓｔＲａｎｋ的算法思 一般将这些网页的初始信任度设置为１，之后将垃 想，可以使选取的钓鱼特征更有效地结合 １ ＴｒｕｓｔＲａｎｋ算法。因此从以下３个方面考虑提取网 圾网页的信任度设置为０，其他网站设置为去。Ｚ 站的钓鱼特征改进ＴｒｕｓｔＲａｎｋ算法： 若种子集中的某网页到一个网页所有的路径上都 ·ＴｒｕｓｔＲａｎｋ是针对链接的网页排序算法，由 不包含垃圾网页，则将此网页信任度设置为１。然 此依据网页间的链接关系归纳出钓鱼网 后采取信任分裂【Ｈ］的传播方式传播信任值，信任 站和其他网站的３种链接关系，并量化这 分裂是如果一个网页的信任值为１，且指向ｎ个网 研究与开发 ·８８· 页，那么它所指向的每一个网页得到的信任值为 １一网站，但是通常钓鱼网站的链接会出现在知名网 站中，也就是好网站，诸如论坛、贴吧等。对钓 ，由此一个网页的信任值是它从所有链入到它的 ，２ 鱼网站分析得出，钓鱼网站与其他网站的关系有 推广、假链接和恶链接３种：推广关系是钓鱼网 站的链接出现在了其他的网站并且该网站的可信 度很高；假链接是指钓鱼网站为了躲避检测，在 网页得到的信任值的总和，信任分裂如图１所示。 好的网页 ＴＲ（口）＝１ 网站中加入自己所假冒网站的链接：恶链接则是 钓鱼网站含有的链接指向另一个钓鱼网站，一般 也是为了躲避钓鱼检测。 ３．１直接ＴｒｕｓｔＲａｎｋ值 对钓鱼网站分析可以得出钓鱼者在推广网站 好的网页 ＴＲ（ｂ １ 的时候，通常选取用户数量大的社交网站对钓鱼 网站进行推广。钓鱼网站的存活时间短，但是钓 鱼网站在其他正规网站中的推广链接不容易被删 除，因此随机选取ｐｈｉｓｈｔａｎｋ上的２ ０００条钓鱼网 站链接并使用网络爬虫爬取含有这些钓鱼网站链 图１中的ＴＲ是页面的信任值，ＴｒｕｓｔＲａｎｋ 算法结合信任分裂由式（１）计算页面的 ＴｒｕｓｔＲａｎｋ值。 讯 ㈩ 接的网站，分别得出钓鱼网站推广链接的分布情 况，如图２所示。为了显示方便，将网站进行分 成几大类：社交类网站、门户类网站、交易类网 站、游戏类网站、小说类网站、企业政府类网站 和其他类别。 其中，ＴＰ（ｐ）是页面的ＴｒｕｓｔＲａｎｋ值，ｄ为阻尼系 图２中的百分比是此类网站中推广链接的数 数；ｑｉ是含有指向网页Ｐ链接的第ｉ个网页。 量占总的推广链接的比例。按照数量从多到少排 序依次是：社交类网站、交易类网站、游戏类网 站、小说类网站、门户类网站、企业政府类网站 和其他。可以看出，社交类网站占有很大的比例， ３基于钓鱼特征改进的ＴｒｕｓｔＲａｎｋ算法 ＴｒｕｓｔＲａｎｋ算法假设好网站不会链接到坏的 图２推广链接在各类网站的分布情况 ·８９· 电 高达９７．３９％，也就是说钓鱼网站推广的目标网站 自身网页设置链入正规网站的链接，而ＴｍｓｔＲａｎｋ 大都属于社交类网站。进一步对社交类网站分析， 算法并不能对一个网页的出链接做出检测。因此 每个网站所包含的推广链接数相近。然后再多次 提出以下步骤。 随机选取其他的５００条钓鱼网站链接，最终发现 步骤１ 设立正规网站集合包含易受攻击的 有１５６个网站包含的钓鱼网站链接数量大并且接 一些网站，正规网站集合的网页来自于Ａｌｅｘａ网 近。由此可以得到一个推广网站集合Ｐ一，这个集 站中排名靠前的５００个网站以及谷歌搜索出的前 合包含这１５６个网站。 １ ０００个被经常访问的网站，易受攻击的网站来自 ＴｒｕｓｔＲａｎｋ算法假设好的网站不会链接到坏 ｍｉｌｌｅｒｓｍｉｌｅｓ的统计。 的网站，但是所分析出的１５６个网站都是 步骤２计算网页Ｐ的ＵＲＬ和正规网站集合 ＴｒｕｓｔＲａｎｋ值较高的网站，根据此类情况，提出一 中的ＵＲＬ的相似度。 个直接ＴｒｕｓｔＲａｎｋ值量化钓鱼网站和其他网站的 步骤３计算得出的相似性越高，则网页Ｐ 推广关系。直接ＴｒｕｓｔＲａｎｋ值是只计算网页Ｐ和链 是钓鱼网站的可能性越高，因为钓鱼网站为了迷 入网页Ｐ的网页之间的信任关系，并且将包含在 惑受害者会提高自己网站的ＵＲＬ与所要假冒的正 推广网站集合中的网页ｇ 的信任度 设置为０， 规网站的ＵＲＬ相似度。 否则信任度 ｇｆ）为１，采取信任分裂的方式计算 钓鱼网站会同时采取增加、修改和删除合法 直接ＴｒｕｓｔＲａｎｋ值，如式（２）所示： 网站的ＵＲＬ中的字符来使自己的网站的ＵＲＬ看 ＮＴＲ。（ｐ）＝（１一 ）＋ 台ｉ．￣ Ｓ（ｑｉ） （２） 起来与合法网站一样。但钓鱼网站又要尽量与其 所假冒的网站的ＵＲＬ相似，因此在对字符操作的 过程中，字符之间的相对位置变化不大。然后提 其中，ＴＲＤ（ ）是网页Ｐ的直接ＴｒｕｓｔＲａｎｋ值，ｑｉ 出用最长公共子序列匹配的方式匹配ＵＲＬ并计算 是含有指向网页Ｐ链接的第ｉ个网页。 匹配度以衡量一个网页ＵＲＬ与正规网站集合中的 直接ＴｒｕｓｔＲａｎｋ值有一个缺点，就是容易将与 网页的ＵＲＬ的相似度，匹配度越高表明是钓鱼网 推广网站集合中的网页有密切关系的正规网站的 站的可能性越高。 直接信任值降低。因此提出链入网页Ｐ的所有网页 假设网页Ｐ为要检测的网站，网页 是正规 中不在推广网站集合中的网页占有的比列来改善 网站集合的网页，则网页Ｐ的链接相似度Ｊ［） 砒。ｈ 直接ＴｒｕｓｔＲａｎｋ的缺点。因为，正规网站相比较钓 由函数 ｃｈ（Ｕｐ，Ｕｑ３决定。 鱼网站而言，与正规网站产生相互间链入链出的网 ｃｈ（ ， ）由以下步骤计算得出。 页应该是多样的。因此，当不在推广网站集合中的 Ｆｕｎｃｔｉｏｎ Ｕｍａｔｃｈ（Ｕｐ，Ｕｑｉ） 网页占有的比例越高时，说明此网页不是钓鱼网站 的可能性越高。改进后的表达式如式（３）所示： Ｉｎｐｕｔ：Ｕｐ， ｆ ／／输入： 为待检测的网页Ｐ的ＵＲＬ，ｕｑｆ正 ＴＲ脚（ｐ）＝ＴＲＤ（ｐ）× （３） 规网站集合中的网页的ＵＲＬ。 Ｖｉｎｐ Ｏｕｔｐｕｔ：Ｊ［）ｕｍａＩ。ｈ 其中，Ｓｉｎｐ为指向网页Ｐ但不在推广网站集合中 ／／输出为 和 ｆ的匹配度 的网页的数量。 Ｂｅｇｉｎ： ３．２目标链接相似度 Ｃｏｕｎｔ＝Ｏ； 钓鱼网站为了躲避检测或者诱导受害者而在 Ｌｑｉ＝ ｆ．１ｅｎｇｔｈ；／／Ｕｑｆ的长度 研究与开发 ·９０· Ｎｕｍ＝Ｓｕｍ（Ｕｑｆ）／／统计 的数量 其中， 是网站存在的时间，单位为天。由分析 Ｓｔｒｉｎｇ Ｍａｘｓｔｒ； 得知Ｊ［） 和ＴＲｐｈ（Ｐ）成反比，但是若网页Ｐ和网 Ｆｏｒ ｆ：：１ ｔｏＮｕｍ ｓｔｅｐ １ 页ｇｆ没有大于２的公共子序列则Ｊ［）ｕｍ 为０，因 ｛ 此不能直接将 ｍａｔｃｈ取倒数。而 和Ｊ［） 都属 Ｍａｘｓｔｒ＝Ｍａｘｔｃｈ（ ，Ｕｑｆ，２）ＩＩｇ找 于网页的自身特征ＵＲＬ特征和时间特征，因此可 与 ｆ公共子序列Ｍａｓｔｅｒ，最短的子序列长度为２， 以由以上分析得出Ｄｕｍａｔｃｈ和 １相加后取倒数可以 』Ｐ 并存储在Ｍａｘｓｔｒ中； Ｌｍａ ＝Ｍａｘｔｃｈ．１ｅｎｇｔｈ；／／求Ｍａｘｔｃｈ存储 解决Ｄ ～ｈ为０的问题。而—— 和ＴＲＤｐ（ｐ）１ ＋ 的数据数量 一Ｆｏｒｊ：＝０ ｔｏ Ｍａｘｔｃｈ．１ｅｎｇｔｈ一１ ｓｔｅｐ １ 是作为ＴＲ（ｐ）的权重因子存在的，因此三者直接相 ｛ 乘。由此得出结合钓鱼网站改进后的网页的 Ｓｔｒｉｎｇ ｓｔｒ Ｍａｘｔｃｈ［ｊ］； ＴｒｕｓｔＲａｎｋ值ＴＲｐｈ（Ｐ）。 Ｃｏｕｎｔ＋＝ｓｔｒ．１ｅｎｇｔｈ； Ｄ［ｉ一１］＝ｃｏｕｎｔ／（Ｌ口ｉｘＬ ）； ｝ Ｄｕｍ 。 ＝Ｓｍａｘ（Ｄ【］）／／取数组Ｄ中最大数 ｝ Ｐｒｉｎｔ Ｄｕ ａｔｃｈ （乙 ， ｆ）就是统计出己 和 ｆ的所有公 共子序列，然后计算 的每一个子序列长度占 长度的比例之和的平均值，最终匹配完所有的 后取最大的值。因为钓鱼网站的假链接是和自 己的ＵＲＬ相似度高的链接，而正常网站除了白反 链接外，很难和其他网站的ＵＲＬ具有高的相似性。 可以看出Ｄ 值越大，网页是钓鱼网站的可能 性越高。 ３．３改进的ＴｒｕｓｔＲａｎｋ 对于网站链出链接包含恶链接的，则先判断 该网站是不是钓鱼网站，若不是则将网站添加到 推广网站集合中。根据第３．１节和第３．２节中的分 析，结合钓鱼网站存活时问短的特征，得出最终 改进的ＴｒｕｓｔＲａｎｋ值如式（４）所示： ＴＲｐｈ（ｐ）：ＴＲ（ｐ）× ｘＴＲＤｐ（Ｐ）（４） ＋ ｎ图３ 改进的ＴｒｕｓｔＲａｎｋ钓鱼检测网站的流程 ·９１· 图３是基于钓鱼网站链接关系改进的ＴｒｕｓｔＲａｎｋ ４．２参数确定 检测钓鱼网站的流程，其中黑名单中的网站是 为了确定合适的ＴＲｐｈ可以高效地检测钓鱼网 ｐｈｉｓｈｔａｎｋ上的网站的ＵＲＬ集合，白名单为第３．２ 站，计算包含钓鱼网站和正常网站的数据集中网 节中的正规网站集合中的网站的ＵＲＬ集合。 页的ＴＲ０ｈ值并对其分析。在ｐｈｉｓｈｔａｎｋ网站中随机 ４实验与分析 选取５００个钓鱼网站计算ＴＲＤｈ，然后随机计算白 名单中的网站和排名较高的网站总共２ ５００个网 ４．１ 实验设置 站的ＴＲｐｈ值。对这些ＴＲｐｈ值进行分析，由于ＴＲｐｈ 为了检验基于钓鱼网站链接关系改进的 值的范围分布较大，因此对ＴＲ。ｈ值进行归一化处 ＴｒｕｓｔＲａｎｋ检测钓鱼网站是否有效，实验首先观察 理，因为检测钓鱼网站时只有当前网页的ＴＲＤｈ 改进的ＴｒｕｓｔＲａｎｋ算法在含有钓鱼网站和正常网 可供参考，因此采取以自身值为基准归一化，如 站的数据集上的准确率和速度，然后分析是否存 式（５）所示： 在一个ＴＲｙｈ范围可以将算法的准确率和速度确 Ｎｏｒｍａ（ＴＲｐｈ）＝ＴＲｐｂ／（ＴＲｐｈ＋１） （５） 定在一个稳定和最优的范围内。在此基础上，与 参考文献［１４】提出的基于图形挖掘与信念传播的 然后分析由改进得ＴｍｓｔＲａｎｋ得出的归一化 检测方法、参考文献【ｌ５］提出的通过线性分类器 后的ＴＲｎｈ发现分布情况如图４所示。 分析提取的页面异常特征检测方法、参考文献［１ ６１ 从图４中数据分析可得，钓鱼网站的 提出的基于统计机器学习分类器来检测依钓鱼 Ｎｏｒｍａ（ＴＲｐｈ）值集中分布在０～０．２中，占总的钓鱼 网站的方法以及参考文献【１７］提出的基于易受攻 网站数量的９６．４％，０．２～０．３中有１０个钓鱼网站， 击网站的ＵＲＬ的相关性检测钓鱼网站的方法这 但是正常网站的数量占实验总网站数量的 ４种方法，在另外一个随机选取的数据集上比较 １３．７６％，数值过高因此舍掉０．２～０＿３这个范围，选 准确率和速度。 取０～０．２为钓鱼网站的Ｎｏｒｍａ（ＴＲｐｌｈ）值的范围，对 对于ＴｍｓｔＲａｎｋ所需要的好的网站的种子集 应的ＴＲｐｈ在０～０．２５中，因此若网页的ＴＲｐｈ在这 ｓｐｇ，采取参考文献［１８］的方法确定。推广网站集 个范围则判定网页为钓鱼网页。这个区间内，改 合的初始集合由第３．１节中的１５６个网站组成并随 进的ＴｍｓｔＲａｎｋ算法检测误判率ＥＴ按照式（６） 着对钓鱼网站的检测逐渐增加。 计算为０．５３％，漏判率ＬＴ按照式（７）计算为Ｏ．６％。 Ｎｏｒｍａ（ＴＲｐｈ）的值 图４由改进的ＴｒｕｓｔＲａｎｋ得出的Ｎｏｒｍａ（ＴＲｐｈ）分布情况 研究与开发 ·９２· ＥＴ： ×１００％ （６） ＡＣ＝ ×１００％ （８） ＳＮｐ ｒ ＳＮｐｈ Ⅳ ＬＴ： ×１００％ （７） ＳＮＰ Ｄｒ 。＝ 』Ｖｈｍ ×１００％ （９） 其中，ⅣＥ是将正常网站判定为钓鱼网站的数目， ＳＮｐ是所有网站的总数目，ⅣＬ是将钓鱼网站判定 为正常网站的总数目。 其中，ＡＣ是检测钓鱼网站的准确率，Ⅳ 是正确 检测出的钓鱼网站的数目， ｈ是钓鱼网站的总 数。Ｄ 。是各方法检测钓鱼网站的有效速率，Ⅳｈ 是除了改进的ＴｒｕｓｔＲａｎｋ之外的其他方法每小时 正确检测出的钓鱼网站的数目，Ⅳｈ 是改进的 为了验证对ＴｒｕｓｔＲａｎｋ改进的有效性，对以上 网站集合的网页按照式（１）计算ＴｒｕｓｔＲａｎｋ值ＴＲ， 然后计算Ｎｏｒｍａ（ＴＲ）的值。由ＴｒｕｓｔＲａｎｋ得出的 Ｎｏｒｍａ（ＴＲ）的分布结果如图５所示。从图５中可以 看出，ＴｒｕｓｔＲａｎｋ并不能将钓鱼网站和正常网站很 好地分开，在每个区问内都分布有很多的正常网 站，在０．１ ０．２这个区间，正常网站的数目最少， 但是占总的网站数目的３．６３％，远高于改进的 ＴｒｕｓｔＲａｎｋ值选取０－０．２区间后误判的０．５３％。因 ＴｒｕｓｔＲａｎｋ每小时检测出的钓鱼网站的数目。 作对比所采取的钓鱼网站集合是从 ａｎｔｉ—ｐｈｉｓｈｉｎｇ中的黑名单中随机选取的１５０ ０００个 钓鱼网站，正常网站则从谷歌搜索和Ａｌｅｘａ网站 中随机选取的２０ ０００个正常网站。对于钓鱼网站 集合的处理是随机分为３组，每组包含５０ ０００个 钓鱼网站，然后分别检测每组钓鱼网站集合和正 常网站混合后的检测效果。最终对每组的准确率、 误判率、漏判率、Ｄ 分别求和然后求取平均值。 对于参考文献［１６］实验中选取的特征为：ＵＲＬ所 在服务器是否是网络虚拟服务器；ＵＲＬ中是否包 含被攻击的特征；ＵＲＬ中的长单词、关键词以及 品牌词。其中，关键词是包含登录、确认、注册 等意思的单词，品牌词是与现有的公司名有关的 单词。训练的样本选取ｐｈｉｓｈｔａｎｋ和ａｎｔｉ ｐｈｉｓｈｉｎｇ 的钓鱼网站。表１是５种方法在此方法中检测钓 此，改进后的ＴｒｕｓｔＲａｎｋ比ＴｒｕｓｔＲａｎｋ算法能更有 效地检测出钓鱼网站和正常网站。 ４．３实验对比 为了验证选取的ＴＲｏｈ值的范围可以有效检测钓 鱼网站，将改进后的ＴｍｓｔＲａｎｋ算法与参考文献［１４］、 参考文献［１５］、参考文献［１６］以及参考文献［１７ｌｅｏ 的方法作比较，并计算各种方法的准确率、误判 率、漏判率以及速度并进行比较。其中准确率由 式（８）计算，检测速度由式（９）计算。 Ｎｏｒｒｎａｌ（ＴＲ）的值 图５由ＴｍｓｔＲａｎｋ得出的Ｎｏｒｍａ（ＴＲ）的分布情况 ２０１８０４６—７ ·９３· 鱼网站的准确率、误判率、漏判率的平均值对比， 网页的特点，所以具有较高检测准确率和检测速 表２是５组实验中各方法的Ｊ［） 值的平均值。 度。但改进的ＴｒｕｓｔＲａｎｋ算法仍有不足，接下来的 表１ 各方法准确率（ＡＣ）、误判率（ＥＴ） 工作从以下两个方面展开：由于正规网站集合中 以及漏判率（ＬＴ）的值 网页的数量很大，可以将改进的ＴｒｕｓｔＲａｎｋ搭建在 云平台中实现以提高检测的速度；结合机器学习 的方法可以动态地调整选取的ＴＲＤｈ以使检测准确 率更高。 参考文献： 表２各方法的有效速率Ｄ Ｉ。值 ｆ１］ＣＮＮＩＣ．全球中文钓鱼网站现状统计分析报告（２０１６年） 【Ｒ／ＯＬ］．（２０１６－０１—０７）［２０１７－１０·２９］．ｈｔｔｐ：／／ｗｗｗ．ｓｏｈｕ．ｃｏｍ／ａ／ １４７６５７８１—３５２８５６． ＣＮＮＩＣ．Ｓｔａｔｉｓｔｉｃａｌ ｒｅｐｏｒｔ ｏｎ ｃｕｒｒｅｎｔ ｓｉｔｕａｔｉｏｎ ｏｆ ｇｌｏｂａｌ ｃｈｉｎｅｓｅ ｉｆｓｈｉｎｇ ｗｅｂｓｉｔｅ（２０１６）［Ｒ／ＯＬ］．（２０１６－０１－０７）［２０１７—１０—２９１．ｈｔｔｐ：／／ ｗｗｗ．ｓｏｈｕ．ｃｏｍ／ａ／１４７６５７８１—３５２８５６． 【２］ ＳＯＮＯＷＡＬ Ｇ ＫｕＰＰｕＳＡＭＹ Ｋ Ｓ．ｐｈｉＤＭＡ—Ａ ｐｈｉｓｈｉｎｇ ｄｅｔｅｃｔｉｏｎ ｍｏｄｅｌ ｗｉｔｈ ｍｕｌｔｉ—ｆｉｌｔｅｒ ａｐｐｒｏａｃｈ［Ｊ］．Ｊｏｕｒｎａｌ ｏｆ 从表１的数据可以分析出，改进的ＴｒｕｓｔＲａｎｋ Ｋｉｎｇ Ｓａｕｄ Ｕｎｉｖｅｒｓｉｔｙ－Ｃｏｍｐｕｔｅｒ ａｎｄ Ｉｎｆｏｒｍａｔｉｏｎ Ｓｃｉｅｎｃｅｓ， ２Ｏ１７． 算法的准确率为９８．４２％，高于其他４种方法的准 【３］ＭＯＧＨＩＭＩ Ｍ，ＶＡＲＪＡＮＩ Ａ Ｙ Ｎｅｗ ｒｕｌｅ－ｂａｓｅｄ ｐｈｉｓｈｉｎｇ ｄｅｔｅｃ－ 确率Ｏ．８９％、０．５６％、０．３９％￣Ｄ ０．７４％。误判率低 ｔｉｏｎ ｍｅｔｈｏｄ［Ｊ］．Ｅｘｐｅｒｔ Ｓｙｓｔｅｍｓ ｗｉｔｈ Ａｐｐｌｉｃａｔｉｏｎｓ，２０１６（５３）： 于其他４种方法０．６４５％、１．６７６％、０．６７％和 ２３１．２４２． 【４］ＴＡＮＣＬ，ＫＡＮＧＬＣ，ＷＯＮＧＫ Ｓ，ｅｔ ａ１．ＰｈｉｓｈｗＨｏ：ｐｈｉｓｈｉｎｇ ０．９８４％。同样漏判率也低于其他４种方法。因此 ｗｅｂｐａｇｅ ｄｅｔｅｃｔｉｏｎ ｖｉａ ｉｄｅｎｔｉｔｙ ｋｅｙｗｏｒｄｓ ｅｘｔｒａｃｔｉｏｎ ａｎｄ ｔａｒｇｅｔ 可以得出改进的ＴｒｕｓｔＲａｎｋ算法能够很好地检测 ｄｏｍａｉｎ ｎａｍｅ ｆｉｎｄｅｒ［Ｊ］．Ｄｅｃｉｓｉｏｎ Ｓｕｐｐｏｒｔ Ｓｙｓｔｅｍｓ，２０１６（８８）： 钓鱼网站。 １８．２７． ［５】ＺＨＡＮＧ Ｄ，ＹＡＮ Ｚ，ＪＩＡＮＧ Ｈ，ｅｔ ａ１．Ａ ｄｏｍａｉｎ－ｆｅａｔｕｒｅ ｅｎ— 由式（９）可知，当Ｄ 的值大于１的时候， ｈａｎｃｅｃ￣ ｃｌａｓｓｉｉｆｃａｔｉｏｎ ｍｏｄｅｌ ｆｏｒ ｔｈｅ ｄｅｔｅｃｔｉｏｎ ｏｆ Ｃｈｉｎｅｓｅ ｐｈｉｓｈ— 可以认为所对应的检测方法的检测速度比改进的 ｉｎｇ ｅ－Ｂｕｓｉｎｅｓｓ ｗｅｂｓｉｔｅｓ［Ｊ］．Ｉｎｆｏｒｍａｔｉｏｎ＆Ｍａｎａｇｅｍｅｎｔ，２０１４， ５１（７）：８４５—８５３． ＴｒｕｓｔＲａｎｋ快。但是表２中的数据分别为０．９０２、 ［６】ＫＡＮＧ Ｌ Ｃ，ＣＨＡＮＧ Ｅ Ｈ，ＳＺＥ Ｓ Ｎ，ｅｔ ａ１．Ｕｔｉｌｉｓａｔｉｏｎ ｏｆｗｅｂ－ ０．８８７、０．８５１和０．８０９，都低于１，因此这４种方 ｓｉｔｅ ｌｏｇｏ ｆｏｒ ｐｈｉｓｈｉｎｇ ｄｅｔｅｃｔｉｏｎ［Ｊ］．Ｃｏｍｐｕｔｅｒｓ＆Ｓｅｃｕｒｉｔｙ， 法的检测速度都低于改进的ＴｒｕｓｔＲａｎｋ算法，由此 ２０１５（５４）：１６—２６． 【７】ＪＡ１Ｎ Ａ Ｋ，ＧＵＰＴＡ Ｂ Ｂ．Ｐｈｉｓｈｉｎｇ ｄｅｔｅｃｔｉｏｎ：ａｎａｌｙｓｉｓ ｏｆ ｖｉｓｕａｌ 可以得出改进的ＴｒｕｓｔＲａｎｋ具有较高的检测速度。 ｓｉｍｉｌａｒｉｔｙ ｂａｓｅｄ ａｐｐｒｏａｃｈｅｓ［Ｊ］．２０１７（４）：１—２０． 【８］ＶＡＲＳＨＮＥＹ Ｇ，ＭＩＳＲＡ Ｍ，ＡＴＲＥＹ Ｐ Ｋ．Ａ ｐｈｉｓｈ ｄｅｔｅｃｔｏｒ ｕｓｉｎｇ ５结束语 ｌｉｇｈｔｗｅｉｇｈｔ ｓｅａｒｃｈ ｆｅａｔｕｒｅｓ［Ｊ］．Ｃｏｍｐｕｔｅｒｓ＆Ｓｅｃｕｒｉｔｙ，２０１６（６２）： ２１３—２２８． 基于对钓鱼网站链接的分析以及钓鱼网站存 ［９】ＲＡＪＡＢ Ｋ Ｄ．Ｎｅｗ ｈｙｂｒｉｄ ｆｅａｎｌｒｅｓ ｓｅｌｅｃｔｉｏｎ ｍｅｔｈｏｄ：ａ ｃａｓｅ ｓｔｕｄｙ 在时间短的特点，分别计算了网页的直接 ｏｎ ｗｅｂｓｉｔｅｓ ｐｈｉｓｈｉｎｇ［Ｊ］．Ｓｅｃｕｒｉｔｙ＆Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｎｅｔｗｏｒｋｓ， ２０１７（２）：１－１０． ＴｒｕｓｔＲａｎｋ值、目标链接相似度以及钓鱼网站存在 【１０】ＨＡＤＩ Ｗ ＡＢＵＲＵＢ ＡＬＨＡＷＡ￣Ｓ．Ａ ｎｅｗ ｆａｓｔ ａｓｓｏｃｉａｔｉｖｅ 时间，然后结合ＴｒｕｓｔＲａｎｋ值改进得到网页的ＴＲＤｈ ｃｌａｓｓｉｆｉｃａｔｉｏｎ ａｌｇｏｒｉｈｔｍ ｆｏｒ ｄｅｔｅｃｔｉｎｇ ｐｈｉｓｈｉｎｇ ｗｅｂｓｉｔｅｓ［Ｍ］． 来判断一个网页是否是钓鱼网站。因为结合钓鱼 Ｎｅｔｈｅｒｌａｎｄｓ：Ｅｌｓｅｖｉｅｒ Ｓｃｉｅｎｃｅ Ｐｕｂｌｉｓｈｅｒｓ，２０１６． ［１１］ＲＡＴＨＯＲＥ Ｓ，ＳＨＡＲＭＡ Ｐ Ｋ，ＬＯＩＡ ｅｔ ａ１．Ｓｏｃｉａｌ ｎｅｔｗｏｒｋ 网站的特征以及ＴｒｕｓｔＲａｎｋ本身的基于链接分析 ｓｅｃｕｒｉｙｔ：ｉｓｓｕｅｓ，ｃｈａｌｌｅｎｇｅｓ，ｔｈｒｅａｔｓ，ａｎｄ ｓｏｌｕｔｉｏｎｓ［Ｊ］．Ｉｎｆｏｒ－ ２０１８０４６．８ ｎｌａｔｌｏｎ Ｓｃｉｅｎｃｅｓ．２０ ｌ ７． Ｔｅｃｈｎｉｃａｌ ｒｅｐｏｒｔ［Ｒ］Ｓｔａｎｆｏｒｄ Ｕｎｉｖｅｒｓｉｔｙ．２００４ ［１ ２］ＳＯＵＳＡ Ｊ，ＲＩＢＥＩＲＯ Ｌ，ＭＡＲＱＵＦＳ Ａ Ｓ，ｅｔ ａｌ Ｌｏｃａｔｉｎｇ ｌｅａｋｓ ｗｉｔｈ ｔｍｓｔｒａｎｋ ａｌｇｏｒｉｔｈｍ ｓｕｐｐｏｒｔ［Ｊ］．Ｗａｔｅｒ．２０ １ ５，７（４）：ｌ ３７８—１ ４０ １． 【作者简介】 韩浩（１９９３）， ，Ｉｌ一… 、 人 竹机 ［１ ３］刘Ｉｑ『．Ｉ Ｊ二十ｒ Ｊ是ｊ－ 合内棒特… Ｔｒ．ｕｓｔＲａｎｋ钾‘法改进…． 计馆机】 ＬＩＵ 』改汁，２Ｏｌ ３，３４（４）：１２７６—１ ２７９ 科 Ｊ披术 院侦ｌ ｔ－，１ ｛ｌ』ｌ宄 ‘ 为 ｉ ，ＺＨＡＮＧ Ｈ Ｘ．１ｌｎｐｒｏｖｅｌｌｌｅｎｔ ｏｆ ＴｒｕｓｔＲａｎｋ ａｌｇｏｒｉｔｌｕｎ ｂａｓｅｄ ０１１ ｃｏｍｂｉｎａｔｉｏｎ ｏｆ ｃｏｎｔｅｎｔ ｆｅａｔｔｕ‘ｅｓｌ Ｊ Ｃｏｍｐｕｔｌｅｒ ｔ＇．，ｎｇｉ— ｎｅｅｒｉｎｇ ａｎｄ Ｄｅｓｉｇｎ，２０１３，３４（４）：Ｉ ２７６ １ ２７＇４ 臼 友个。 ［Ｉ ４】ＺＯＵ ＧＡＮＧ ＰＥＩ Ｂ，ｅｔ ａｌ Ｗｃｂ Ｐｈｉｓｈｉｎｇ ｄｅｔｅｃｔｉｏｎ ｂａｓｅｄ ｏｎ ｇｒａｐｈ ｍｉｎｉｎｇ［Ｃ］／／ＩＥＥＥ Ｉｎｔｅｒｎａｔｉｏｎａｌ（ ｏｎｆｅｒｅｌｌｃｅ ｏｎ（＇ｏｎ１一 ｐｕｔｅｒ ａｎｄ Ｃｏｎｗｎｕｎｉｃａｔｉｏｎｓ．Ｊｕｌ ｌ一２，２【）ｌ ７．Ｊａｐｕｒ Ｉｎｄｉａ．１ ｉｓｃａ— ｔａｗａｙ：ＩＥＥＥ Ｐｒｅｓｓ．２０ Ｉ ７ 刘博文（１９９３）， 钓ｆｒｌ 站卡＝：ｊ＝洲乃 【ｌＩ Ｊ ＿，－…Ｉ、 、ｌ 人 ｉｌ竹 ［Ｉ ５］宋＿ＩＪｊ秋 唬 Ｊ Ｊ‘般感 ｝ｌ】＝的 机科 、ｊ ： Ｊ技术 院顺ｌ ．１ ￣Ｊｔ５ｇ …乃 ￡ 心安令。 人造 ｌ 人０ 叫［王、２０１ ３，５３（ｂ）：９０３—９０７ ＳＯＮＧ Ｍ Ｑ．ＣＡＯ Ｘ Ｙ Ｄｅｔｅｃｔｉｏｎ ｍｅｔｈｏｄ ｏｌ’ｐｈｉｓｈｉｎｇ ｓｉｔｅ ｂａｓｅｄ Ｏ１１ ｓｅｎｓｉｔｉｖｅ ｆｅａｔｕｒｅ［Ｊ］．Ｊｏｕｒｎａｌ ｏＩ’Ｄａｌｉａｎ Ｕｎｖｅｒｓｉｔｙ ｏｆ Ｔｅｃｈｎｏｌ— ｏｇｙ，２０ １ ３，５３（６）：９０３—９０７ ［１ ６］ＺＨＡＮＧ Ｊ．ＰＡＮ Ｙ－ＷＡＮＧ ，ｅｔ ａｌ ｔ ＪＲＩ ｂａｓｅｄ ｇａｔｅｗａｙ ｓｉｄｅ ｐｈｉｓｈｉｎｇ ｄｅｔｅｃｔｉｏｎ ｍｃｔｈｏｄ［Ｃ］／／ＴＩ‘ｕｓｆｃｏｌ１１／ｂｊｇｄａｆａｓｃ／ｌｓｐａ Ａｕｇ ｌ＿４，２０１ ７，Ｓｙｄｎｅｙ，Ａｕｓｔｒａｌｉａ Ｐｉｓｃａｔａｗａｙ：ＩＥＥＥ Ｐｒｅｓｓ，２０１ ７： ２６８．２７５． 林果园（１９７５一）， ， 矿业人 １ 导帅、 汁 机科学 ｊ技术 院刚 授、 息发个系１ｉ仃、信息嵌 赶凑 １ ｆＦ，１ ［１ ７】ＸＵＥ ＬＩ ＹＡＯ ｅｔ ａｌ Ｐｈｉｓｈｉｎｇ ｓｉｔｅｓ ｄｅｔｅｃｔｉｏｎ ｂａｓｅｄ ｏｎ 委 全刚 Ｕｒｌ ｃ０ｍ ｌａｔｉｏｎ［ｃ］／／Ｉｎｔｅｍａｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ Ｏ１１ Ｃｌｏｕｄ Ｃｏｍｐｕ－ ｔｉｎｇ ａｎｄ Ｉｎｔｅｌｌｉｇｅｎｃｅ Ｓｙｓｔｅｍｓ，２０ １ ６ Ｂｅｉｊｉｎｇ Ｃｌｉｆｎａ．Ｎｅｗ Ｐｉｓ— ｃａｔａｗａｙ：ＩＥＥＥ Ｐｒｅｓｓ ２０ｌ６：２４４—２４８ 究 向为叫 。 ＩＩＪ 个、移动 个＝、 暇及 发个＝、云汁 及 发个、Ｊ Ｊ 似 月 务、矿 系统及其 『１ ８１ ＧＹＯＮＧＹＩ Ｚ，ＧＡＲＣＩＡ—Ｍ Ｈ．Ｓｅｅｄ Ｓｅｌｃｏｔｉｏｎ ｉＩ１ ＴｒｕｓｔＲａｎｋ 息 救个 安 坝卅贫乏三化 ２０ｌ８０４６—９