[發明專利]一種網頁中惡意代碼的檢測方法及系統

有效

• 申請號: 201110442308.8
• 申請日: 2011-12-26
• 公開（公告）號: CN102542201A
• 公開（公告）日: 2012-07-04
• 發明（設計）人: 宋申雷;肖鵬;劉起
• 申請（專利權）人: 北京奇虎科技有限公司
• 主分類號: G06F21/00
• 分類號: G06F21/00;G06F17/30
• 代理公司: 北京潤澤恒知識產權代理有限公司 11319
• 代理人: 蘇培華

1.一種網頁中惡意代碼的檢測方法，其特征在于，包括：

捕獲瀏覽器接口的接口函數；

在瀏覽器接口調用所述接口函數傳遞要運行的腳本給腳本解釋引擎之前，攔截所述要運行的腳本；

對腳本中的內容進行分析并檢測惡意代碼。

2.根據權利要求1所述的方法，其特征在于，所述對腳本中的內容進行分析并檢測惡意代碼，包括：

根據預置的詞組規則將腳本中的內容分解為特定的詞組；

根據特征碼對所述特定的詞組進行惡意代碼檢測。

3.根據權利要求2所述的方法，其特征在于，所述根據預置的詞組規則將腳本中的內容分解為特定的詞組，包括：

以預置的詞組規則中的詞法分割符為分割標識，將腳本中的內容分割為多個代碼塊；

將每個代碼塊分別與所述詞組規則中的詞組定義進行匹配，以查找特定的詞組，所述特定的詞組包括函數名、關鍵字和變量內容。

4.根據權利要求3所述的方法，其特征在于，所述特征碼中包括惡意代碼慣用的函數名、關鍵字、變量內容或其中若干項的組合，

所述根據特征碼對所述特定的詞組進行惡意代碼檢測，包括：

將所述特征碼分別與所述特定的詞組進行匹配，檢測所述特定的詞組中是否存在惡意代碼慣用的函數名、關鍵字、變量內容或其中若干項的組合。

5.根據權利要求4所述的方法，還包括：

將檢測到的惡意代碼中慣用的函數名、關鍵字、變量內容或其中若干項的組合以預置的公式進行計算；

若計算結果超過惡意代碼閾值，則該腳本中含有惡意代碼。

6.根據權利要求5所述的方法，其特征在于，還包括：

若檢測到腳本中含有惡意代碼，則阻斷惡意代碼的執行并報告檢測到的惡意代碼。

7.根據權利要求1所述的方法，其特征在于，在IE內核瀏覽器中，所述捕獲瀏覽器接口的接口函數，包括：

使用鉤子函數捕獲IE內核瀏覽器中IActiveScriptParse接口的ParseScriptText函數。

8.根據權利要求7所述的方法，其特征在于，在IE內核瀏覽器中，所述在瀏覽器接口調用所述接口函數傳遞要運行的腳本給腳本解釋引擎之前，攔截所述要運行的腳本，包括：

在IActiveScriptParse接口調用ParseScriptText函數傳遞要運行的腳本給腳本解釋引擎之前，通過所述鉤子函數攔截要運行的腳本。

9.一種網頁中惡意代碼的檢測系統，其特征在于，包括：

捕獲模塊，用于捕獲瀏覽器接口的接口函數；

攔截模塊，用于在瀏覽器接口調用所述接口函數傳遞要運行的腳本給腳本解釋引擎之前，攔截所述要運行的腳本；

分析并檢測模塊，用于對腳本中的內容進行分析并檢測惡意代碼。

10.根據權利要求9所述的系統，其特征在于，所述分析并檢測模塊，包括：

詞組分解子模塊，用于根據預置的詞組規則將腳本中的內容分解為特定的詞組；

惡意代碼檢測子模塊，用于根據特征碼對所述特定的詞組進行惡意代碼檢測。

11.根據權利要求10所述的系統，其特征在于，所述詞組分解子模塊，包括：

分割單元，用于以預置的詞組規則中的詞法分割符為分割標識，將腳本中的內容分割為多個代碼塊；

匹配并查找單元，用于將每個代碼塊分別與所述詞組規則中的詞組定義進行匹配，以查找特定的詞組，所述特定的詞組包括函數名、關鍵字和變量內容。

12.根據權利要求10所述的系統，其特征在于，所述特征碼中包括惡意代碼慣用的函數名、關鍵字、變量內容或其中若干項的組合，所述惡意代碼檢測子模塊，包括：

匹配單元，用于將所述特征碼分別與所述特定的詞組進行匹配，檢測所述特定的詞組中是否存在惡意代碼慣用的函數名、關鍵字、變量內容或其中若干項的組合。

13.根據權利要求12所述的系統，其特征在于，所述惡意代碼檢測子模塊，還包括：

計算單元，用于將檢測到的惡意代碼中慣用的函數名、關鍵字、變量內容或其中若干項的組合以預置的公式進行計算；

比較單元，用于若計算結果超過惡意代碼閾值，則該腳本中含有惡意代碼。