[發(fā)明專利]一種文件宏病毒的檢測方法和裝置

有效

• 申請?zhí)枺?/td>: 201210246661.3
• 申請日: 2012-07-16
• 公開（公告）號: CN102841999A
• 公開（公告）日: 2012-12-26
• 發(fā)明（設(shè)計）人: 禹建文
• 申請（專利權(quán)）人: 北京奇虎科技有限公司;奇智軟件（北京）有限公司
• 主分類號: G06F21/00
• 分類號: G06F21/00
• 代理公司: 北京潤澤恒知識產(chǎn)權(quán)代理有限公司 11319
• 代理人: 蘇培華

1.一種文件宏病毒的檢測方法，其特征在于，包括：

將待檢測文件的宏代碼與行為代碼庫中的行為代碼進(jìn)行匹配；其中，所述行為代碼用于表示實現(xiàn)固定的宏病毒行為所需的宏代碼；

依據(jù)匹配結(jié)果判別所述待檢測文件是否感染宏病毒。

2.如權(quán)利要求1所述的方法，其特征在于，所述將待檢測文件的宏代碼與行為代碼庫中的行為代碼進(jìn)行匹配的步驟，進(jìn)一步包括：

在所述待檢測文件的宏代碼中存在匹配成功的行為代碼時得到匹配成功的匹配結(jié)果，以及，在所述待檢測文件的宏代碼中不存在匹配成功的行為代碼時，得到匹配失敗的匹配結(jié)果；

則所述依據(jù)匹配結(jié)果判別所述待檢測文件是否感染宏病毒的步驟，進(jìn)一步包括：

在所述匹配結(jié)果為匹配失敗時，判別所述待檢測文件未感染宏病毒；

在所述匹配結(jié)果為匹配成功時，依據(jù)所述待檢測文件的宏代碼中匹配成功的行為代碼，判別所述待檢測文件是否感染宏病毒。

3.如權(quán)利要求2所述的方法，其特征在于，所述依據(jù)所述待檢測文件的宏代碼中匹配成功的行為代碼，判別所述待檢測文件是否感染宏病毒的步驟，進(jìn)一步包括：

判斷所述待檢測文件的宏代碼中匹配成功的行為代碼是否符合預(yù)設(shè)的危險性條件，若是，則判別所述待檢測文件感染宏病毒，否則，判別所述待檢測文件未感染宏病毒。

4.如權(quán)利要求3所述的方法，其特征在于，所述預(yù)設(shè)的危險性條件包括如下條件中的一項或多項：

所述待檢測文件的宏代碼中匹配成功的行為代碼的危險系數(shù)超過預(yù)設(shè)的危險系數(shù)閾值；

所述待檢測文件的宏代碼中匹配成功的行為代碼的危險等級超過預(yù)設(shè)的危險等級；

待檢測文件的宏代碼中匹配成功的行為代碼出現(xiàn)了預(yù)設(shè)的單個行為代碼，或者，出現(xiàn)了預(yù)設(shè)的行為代碼組合。

5.如權(quán)利要求1至4中任一項所述的方法，其特征在于，通過如下步驟構(gòu)造所述行為代碼庫：

收集實現(xiàn)固定的宏病毒行為所需的行為代碼；

將所述行為代碼保存至行為代碼庫。

6.如權(quán)利要求5所述的方法，其特征在于，所述收集實現(xiàn)固定的宏病毒行為所需的行為代碼的步驟，進(jìn)一步包括：

收集宏病毒樣本；

依據(jù)宏代碼的語法，對所述宏病毒樣本的宏代碼進(jìn)行語義分析，從中提取相應(yīng)的實現(xiàn)固定的宏病毒行為所需的行為代碼。

7.如權(quán)利要求1至4中任一項所述的方法，其特征在于，所述行為代碼包括函數(shù)名、函數(shù)變量名或者函數(shù)語句。

8.如權(quán)利要求1至4中任一項所述的方法，其特征在于，還包括：

針對待檢測Excel文件的工作表，若其自定義名稱中存在Excel保留名稱，則判別所述待檢測Excel文件感染宏病毒。

9.一種文件宏病毒的檢測裝置，其特征在于，包括：

匹配模塊，用于將待檢測文件的宏代碼與行為代碼庫中的行為代碼進(jìn)行匹配；其中，所述行為代碼用于表示實現(xiàn)固定的宏病毒行為所需的宏代碼；及

判別模塊，用于依據(jù)匹配結(jié)果判別所述待檢測文件是否感染宏病毒。

10.如權(quán)利要求9所述的裝置，其特征在于，所述匹配模塊進(jìn)一步包括：

匹配成功子模塊，用于在所述待檢測文件的宏代碼中存在匹配成功的行為代碼時得到匹配成功的匹配結(jié)果；以及

匹配失敗子模塊，用于在所述待檢測文件的宏代碼中不存在匹配成功的行為代碼時，得到匹配失敗的匹配結(jié)果；

則所述判別模塊進(jìn)一步包括：

第一判別子模塊，用于在所述匹配結(jié)果為匹配失敗時，判別所述待檢測文件未感染宏病毒；

第二判別子模塊，用于在所述匹配結(jié)果為匹配成功時，依據(jù)所述待檢測文件的宏代碼中匹配成功的行為代碼，判別所述待檢測文件是否感染宏病毒。

11.如權(quán)利要求10所述的裝置，其特征在于，所述第二判別子模塊進(jìn)一步包括：

判斷單元，用于判斷所述待檢測文件的宏代碼中匹配成功的行為代碼是否符合預(yù)設(shè)的危險性條件，若是，則判別所述待檢測文件感染宏病毒，否則，判別所述待檢測文件未感染宏病毒。