[發明專利]一種可疑代碼分析方法及裝置

有效

• 申請號: 200810216474.4
• 申請日: 2008-10-10
• 公開（公告）號: CN101727348A
• 公開（公告）日: 2010-06-09
• 發明（設計）人: 張小松;陳廳;顧凌志;楊玉奇;杜歡;白皓文
• 申請（專利權）人: 成都市華為賽門鐵克科技有限公司
• 主分類號: G06F9/455
• 分類號: G06F9/455;G06F21/22
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種可疑代碼分析方法，包括：

創建代碼虛擬執行環境，所述代碼虛擬執行環境創建主機系統的常用進 程；啟動可疑代碼，所述可疑代碼對主機系統進行操作；

將可疑代碼對主機系統的常用進程的操作重定向到所述代碼虛擬執行 環境創建的進程；

將可疑代碼對主機系統的文件系統或注冊表的操作重定向到所述代碼 虛擬執行環境創建的虛擬的文件系統或虛擬的注冊表；

記錄可疑代碼運行時的行為特征并保存為日志文件；

將所述日志文件通過命名管道發送至所述主機系統進行分析，所述命名 管道對于所述代碼虛擬執行環境中的可疑代碼是不可見的。

2.如權利要求1所述的方法，其特征在于：所述方法還包括：

禁止非所述代碼虛擬執行環境的進程對所述代碼虛擬執行環境的操作。

3.如權利要求1所述的方法，其特征在于：所述命名管道只被所述代 碼虛擬執行環境中的進程本身所使用。

4.如權利要求1所述的方法，其特征在于：還包括限制所述代碼虛擬 執行環境中的可疑代碼進程獲取主機系統中的進程信息。

5.如權利要求1所述的方法，其特征在于：還包括限制所述代碼虛擬 執行環境中的可疑代碼進程發消息給主機系統中的進程。

6.一種可疑代碼分析裝置，包括：

虛擬執行環境創建模塊，用于創建代碼虛擬執行環境，所述代碼虛擬執 行環境創建主機系統的常用進程；

可疑代碼啟動模塊，用于啟動可疑代碼，所述可疑代碼對主機系統進行 操作；

重定向模塊，用于將可疑代碼對主機系統的常用進程的操作重定向到所 述代碼虛擬執行環境創建的進程，將可疑代碼對主機系統的文件系統或注冊 表的操作重定向到所述代碼虛擬執行環境創建的虛擬的文件系統或虛擬的 注冊表；

行為記錄模塊，用于記錄可疑代碼運行時的行為特征并保存為日志文 件；

管道通信模塊，用于將所述日志文件通過命名管道發送至所述主機系統 進行分析，所述命名管道對于所述代碼虛擬執行環境中的可疑代碼是不可見 的。

7.如權利要求6所述的裝置，其特征在于：還包括訪問控制模塊，用 于禁止非所述代碼虛擬執行環境的進程對所述代碼虛擬執行環境的操作。

8.如權利要求6所述的裝置，其特征在于：所述命名管道只被所述代 碼虛擬執行環境中的進程本身所使用。

9.如權利要求6所述的裝置，其特征在于：還包括進程信息限制模塊， 用于限制所述代碼虛擬執行環境中的可疑代碼進程獲取主機系統中的進程 信息。

10.如權利要求6所述的裝置，其特征在于：還包括消息限制模塊，用 于限制所述代碼虛擬執行環境中的可疑代碼進程發消息給主機系統中的進 程。