[發明專利]檢測惡意網頁的方法及裝置

在審

• 申請號: 201210217486.5
• 申請日: 2012-06-27
• 公開（公告）號: CN102737188A
• 公開（公告）日: 2012-10-17
• 發明（設計）人: 張聰;宋申雷;肖鵬;劉起
• 申請（專利權）人: 北京奇虎科技有限公司
• 主分類號: G06F21/00
• 分類號: G06F21/00;G06F17/30
• 代理公司: 北京市德權律師事務所 11302
• 代理人: 劉麗君

1.一種檢測惡意網頁的方法，其特征在于，包括：

對通過網頁植入惡意程序以及運行惡意程序過程中可能調用的全部應用程序編程接口API函數進行監控；

當監控到所述全部API函數中有API函數被調用時，對被調用API函數的運行狀態信息進行檢測，以便判斷對所述被調用API函數的調用是否合法；

如果存在不合法的API函數調用，則確定當前通過瀏覽器進程打開的網頁中存在惡意網頁。

2.根據權利要求1所述的方法，其特征在于，所述植入惡意程序以及運行惡意程序過程中可能調用的全部應用程序編程接口API函數包括：惡意指令代碼Shellcode在植入惡意程序以及運行惡意程序過程中可能調用的全部API函數。

3.根據權利要求1或2所述的方法，其特征在于，所述植入惡意程序以及運行惡意程序過程中可能調用的全部API函數包括：

文件操作類API函數、網絡請求下載類API函數以及執行命令類API函數。

4.根據權利要求1所述的方法，其特征在于，所述當監控到所述API函數被調用時，對所述API的運行狀態信息進行檢測，以便判斷所述API函數的調用是否合法，包括：

當監控到所述API函數被調用時，檢測所述API函數的返回地址內存頁屬性，如果所述API函數的返回地址內存頁屬性為不可執行屬性，則判定所述API函數的調用不合法。

5.根據權利要求1所述的方法，其特征在于，所述當監控到所述API函數被調用時，對所述API的運行狀態信息進行檢測，以便判斷所述API函數的調用是否合法，包括：

當監控到所述API函數被調用時，檢測所述API函數的返回地址是否在所屬模塊的加載范圍，如果所述API函數的返回地址不在所屬模塊的加載范圍，則判定所述API函數的調用不合法。

6.根據權利要求1所述的方法，其特征在于，所述對植入惡意程序以及運行惡意程序過程中可能調用的全部API函數進行監控，包括：

對植入惡意程序以及運行惡意程序過程中可能調用的不同版本的全部API函數進行監控。

7.根據權利要求1所述的方法，其特征在于，還包括：

在確定當前通過瀏覽器進程打開的網頁中存在惡意網頁后，提示用戶系統存在安全風險，需要終止瀏覽器進程，以便阻斷惡意網頁的惡意行為。

8.根據權利要求1所述的方法，其特征在于，還包括：

在確定當前通過瀏覽器進程打開的網頁中存在惡意網頁后，結束瀏覽器進程，以便阻斷惡意網頁的惡意行為。

9.一種檢測惡意網頁的裝置，其特征在于，包括：

監控單元，用于對通過網頁植入惡意程序以及運行惡意程序過程中可能調用的全部應用程序編程接口API函數進行監控；

檢測單元，用于當監控到所述全部API函數中有API函數被調用時，對被調用API函數的運行狀態信息進行檢測，以便判斷對所述被調用API函數的調用是否合法；

確定單元，用于如果存在不合法的API函數調用，則確定當前通過瀏覽器進程打開的網頁中存在惡意網頁。

10.根據權利要求9所述的裝置，其特征在于，所述監控單元具體用于：對惡意指令代碼Shellcode在植入惡意程序以及運行惡意程序過程中可能調用的全部API函數進行監控。

11.根據權利要求9或10所述的裝置，其特征在于，所述植入惡意程序以及運行惡意程序過程中可能調用的全部API函數包括：

文件操作類API函數、網絡請求下載類API函數以及執行命令類API函數。

12.根據權利要求9所述的裝置，其特征在于，所述檢測單元，包括：

第一檢測子單元，用于當監控到所述API函數被調用時，檢測所述API函數的返回地址內存頁屬性，如果所述API函數的返回地址內存頁屬性為不可執行屬性，則判定所述API函數的調用不合法。

13.根據權利要求9所述的裝置，其特征在于，所述檢測單元，包括：

第二檢測子單元，用于當監控到所述API函數被調用時，檢測所述API函數的返回地址是否在所屬模塊的加載范圍，如果所述API函數的返回地址不在所屬模塊的加載范圍，則判定所述API函數的調用不合法。