[發明專利]一種提取病毒文件的病毒特征的方法及其裝置

有效

• 申請號: 200710031555.2
• 申請日: 2007-11-21
• 公開（公告）號: CN101441687A
• 公開（公告）日: 2009-05-27
• 發明（設計）人: 姚輝;李敏
• 申請（專利權）人: 珠海金山軟件股份有限公司
• 主分類號: G06F21/00
• 分類號: G06F21/00
• 代理公司: 廣州華進聯合專利商標代理有限公司
• 代理人: 李雙皓

1.一種提取病毒文件的病毒特征的方法，其特征在于，包括以下步驟：

步驟一、根據所述病毒文件的文件頭查找PE文件；

步驟二、根據殼的特征代碼庫識別PE文件的殼代碼，并將所述PE文件進行脫殼處理，所述殼代碼為對所述PE文件進行加密和壓縮的嵌入式二進制代碼，所述脫殼處理是分析出所述殼代碼的嵌入式二進制代碼；所述殼的特征代碼庫為對所述殼的特征代碼提取對比特征所形成的庫；步驟三、將所述脫殼處理后的PE文件標識為特征區域和非特征區域，所述非特征區域是所述PE文件中不存在病毒特征的嵌入式二進制代碼的區域，所述特征區域是所述PE文件中可能存在病毒特征的嵌入式二進制代碼的區域；

步驟四、在所述特征區域提取病毒特征并生成病毒特征文件。

2.根據權利要求1所述的方法，其特征在于：

步驟三所述的非特征區域為所述PE文件的殼代碼。

3.根據權利要求1所述的方法，其特征在于：

步驟二中，如果識別不出PE文件的殼代碼，將該PE文件作為特征區域，之后執行步驟四。

4.根據權利要求1所述的方法，其特征在于，所述步驟三之前還包括：

根據編譯器的特征代碼庫識別所述脫殼處理后PE文件的編譯器類型；所述編譯器的特征代碼庫為對各編譯器生成的PE文件的二進制代碼區域提取對比特征所形成的庫；

步驟三所述非特征區域根據所述編譯器類型進行標識。

5.根據權利要求4所述的方法，其特征在于：

如果無法識別所述脫殼處理后的PE文件的編譯器類型，則將所述脫殼處理后的PE文件作為特征區域。

6.根據權利要求1至5任一項所述的提取病毒文件的病毒特征的方法，其特征在于：所述PE文件是Windows可以識別的程序文件。

7.一種提取病毒文件的病毒特征的方法，其特征在于，包括以下步驟：

步驟一、根據所述病毒文件的文件頭查找PE文件；

步驟二、根據編譯器的特征代碼庫識別所述PE文件的編譯器類型；所述編譯器的特征代碼庫為對各編譯器生成的PE文件的二進制代碼區域提取對比特征所形成的庫；

步驟三、根據識別出的編譯器類型對該PE文件標識非特征區域和特征區域；所述非特征區域是所述PE文件中不存在病毒特征的嵌入式二進制代碼的區域，所述特征區域是所述PE文件中可能存在病毒特征的嵌入式二進制代碼的區域；

步驟四、在所述特征區域提取病毒特征并生成病毒特征文件。

8.根據權利要求7所述的提取病毒文件的病毒特征的方法，其特征在于：步驟二還包括：如果識別不出所述PE文件的編譯器的類型，將該PE文件標識為特征區域，之后執行步驟四。

9.一種提取病毒文件的病毒特征的裝置，其特征在于：包括，

查找模塊，其用于根據病毒文件的文件頭查找PE文件；

殼識別模塊，其用于根據殼的特征代碼庫識別所述PE文件的殼代碼，且對識別出有殼代碼的PE文件進行脫殼處理；所述殼代碼為對所述PE文件進行加密和壓縮的嵌入式二進制代碼，所述脫殼處理是分析出所述PE文件的殼代碼的嵌入式二進制代碼，所述殼的特征代碼庫為對所述殼的特征代碼提取對比特征所形成的庫；

第一標識模塊，其用于根據所述脫殼處理后的PE文件標識非特征區域和特征區域；所述非特征區域是所述PE文件中不存在病毒特征的嵌入式二進制代碼的區域，所述特征區域是所述PE文件中可能存在病毒特征的嵌入式二進制代碼的區域；

特征提取生成模塊，其用于在所述特征區域提取病毒特征并生成病毒特征文件。

10.根據權利要求9所述的提取病毒文件的病毒特征的裝置，其特征在于，還包括：

編譯器識別模塊，其用于根據編譯器的特征代碼庫識別所述脫殼處理后的PE文件的編譯器類型；所述編譯器的特征代碼庫為對各編譯器生成的PE文件的二進制代碼區域提取對比特征所形成的庫；

第二標識模塊，其用于根據識別出的編譯器類型對所述PE文件標識非特征區域和特征區域；

所述特征提取生成模塊提取病毒特征的所述特征區域為所述第一標識模塊和/或第二標識模塊所標識的特征區域。

11.一種提取病毒文件的病毒特征的裝置，其特征在于：包括，

查找模塊，其用于根據病毒文件的文件頭查找PE文件；

編譯器識別模塊，其用于根據編譯器的特征代碼庫識別所述PE文件的編譯器類型；所述編譯器的特征代碼庫為對各編譯器生成的PE文件的二進制代碼區域提取對比特征所形成的庫；

第二標識模塊，其用于根據識別出的編譯器類型對所述PE文件標識非特征區域和特征區域；所述非特征區域是所述PE文件中不存在病毒特征的嵌入式二進制代碼的區域，所述特征區域是所述PE文件中可能存在病毒特征的嵌入式二進制代碼的區域；

特征提取生成模塊，其用于在所述特征區域提取病毒特征并生成病毒特征文件。