[發明專利]一種非可執行文件中包含惡意代碼的檢測方法及其裝置

有效

• 申請號: 201010531717.0
• 申請日: 2010-11-03
• 公開（公告）號: CN102043915A
• 公開（公告）日: 2011-05-04
• 發明（設計）人: 郭小春;張永光;吳鴻偉
• 申請（專利權）人: 廈門市美亞柏科信息股份有限公司
• 主分類號: G06F21/00
• 分類號: G06F21/00
• 代理公司: 廈門市首創君合專利事務所有限公司 35204
• 代理人: 連耀忠

1.一種非可執行文件中包含惡意代碼的檢測方法，其特征在于：包括如下步驟：

打開被檢查的文件，讀取并解碼有效內容數據到內存；

從數據起始開始，對數據中是否含有有效CPU指令代碼塊進行檢查，如果當前位置一定數量的數據含有有效CPU指令代碼塊，則認為該文件包含惡意代碼；

如果該位置數據不含有有效CPU指令代碼塊，則移動到下一個數據位置繼續檢查；

如果檢查所有數據均沒有發現有效CPU指令代碼塊，則認為該文件不包含惡意代碼。

2.根據權利要求1所述的非可執行文件中包含惡意代碼的檢測方法，其特征在于：所述的對數據中是否含有有效CPU指令代碼塊進行檢查的過程，包括：

檢測該數據是否配備可執行指令代碼塊的規則而不是一段不可執行的數據塊；

將數據作為一段代碼使用指令模擬執行程序進行執行，在指定的有限時間或指定的有限指令個數內是否能夠合法運行而不出現錯誤。

3.根據權利要求2所述的非可執行文件中包含惡意代碼的檢測方法，其特征在于：所述的使用指令模擬執行程序進行執行的過程，包括：

a.判斷是否已到文件尾，如果是則結束，否則從文件中讀取一塊數據；

b.判斷是否已到數據塊結尾，若已到數據塊結尾則返回步驟a，否則從該數據塊中讀取一條指令；

c.判斷該指令是否為預先設定的非法指令形式；如果是則返回步驟b，否則繼續下一步驟；

d.解析該指令，復制該指令到緩沖區；

e.調用通用處理過程處理緩沖區內的代碼，在緩沖區內的代碼處理過程中，若在指定規則下運行不出現錯誤，且滿足預先設定的惡意代碼指令形式，則認為文件中含有有效CPU指令代碼塊，結束模擬；否則返回步驟b。

4.根據權利要求3所述的非可執行文件中包含惡意代碼的檢測方法，其特征在于：所述的預先設定的非法指令形式，包括：指令中任意的使用了未初始化的寄存器、指令進行了無意義的操作、指令是特權指令、指令包含無效存儲地址、指令包含不常用的指令或指令包含其他預定義的指令。

5.根據權利要求3所述的非可執行文件中包含惡意代碼的檢測方法，其特征在于：所述的預先設定的惡意代碼指令形式，包括：代碼中含解密算子、代碼中含代碼重定位、代碼中含跳板、代碼中含API導入或代碼中含其他用戶預定義的規則。

6.一種非可執行文件中包含惡意代碼的檢測裝置，其特征在于：包括：

一打開文件裝置，用來打開被檢查的文件，讀取并解碼有效內容數據到內存；

一有效CPU指令代碼塊檢測裝置，用來對數據中是否含有有效CPU指令代碼塊進行檢查，并輸出檢測結果；

一輸出顯示裝置，用來顯示有效CPU指令代碼塊檢測裝置輸出的顯示結果，當被檢測的文件中含有有效CPU指令代碼塊時，輸出和顯示報警信息，當被檢測的文件中不含有有效CPU指令代碼塊時，輸出不包含惡意代碼的信息；

打開文件裝置的輸出接至有效CPU指令代碼塊檢測裝置的輸入；有效CPU指令代碼塊檢測裝置的輸出接至輸出顯示裝置的輸入。

7.根據權利要求6所述的非可執行文件中包含惡意代碼的檢測裝置，其特征在于：所述的有效CPU指令代碼塊檢測裝置由用來檢測文件的數據是否配備可執行指令代碼塊的規則而不是一段不可執行的數據塊的第一檢測裝置和用來將數據作為一段代碼使用指令模擬執行程序進行執行、在指定的有限時間或指定的有限指令個數內是否能夠合法運行而不出現錯誤的第二檢測裝置，第一檢測裝置的輸入接至打開文件裝置的輸出，第一檢測裝置的輸出接至第二檢測裝置的輸入，第二檢測裝置的輸出接至輸出顯示裝置的輸入。