[發明專利]一種目標程序處理方法、處理裝置及云端服務設備

有效

• 申請號: 201210265098.4
• 申請日: 2012-07-27
• 公開（公告）號: CN102831343A
• 公開（公告）日: 2012-12-19
• 發明（設計）人: 程文坤
• 申請（專利權）人: 北京奇虎科技有限公司;奇智軟件（北京）有限公司
• 主分類號: G06F21/00
• 分類號: G06F21/00
• 代理公司: 北京國昊天誠知識產權代理有限公司 11315
• 代理人: 許志勇

1.一種目標程序處理方法，其特征在于，包括：

獲取第三方函數庫的名稱及所述第三方函數庫所包含的函數的名稱，所述第三方函數庫為加載目標程序至內存時所要導入的第三方函數庫；

構造空白函數庫，根據所述第三方函數庫的名稱及其包含的函數的名稱，將所述空白函數庫偽造成所述第三方函數庫；

導入偽造的第三方函數庫并讀取對應的函數名稱，從而加載所述目標程序到內存，對所述目標程序進行脫殼并掃描所述目標程序，根據掃描結果對所述目標程序進行處理。

2.如權利要求1所述的處理方法，其特征在于，獲取第三方函數庫的名稱及所述第三方函數庫所包含的函數的名稱，進一步包括：

通過比對所述目標程序的導入表及操作系統的系統函數庫列表，解析出加載所述目標程序至內存時所要導入的第三方函數庫的名稱，還解析出所述第三方函數庫所包含的函數的名稱；

其中，所述導入表中記錄加載所述目標程序至內存時所要導入的函數庫，還記錄有每所述函數庫包含的函數，所述函數庫包括系統函數庫和第三方函數庫；所述系統函數庫列表中記錄所述操作系統運行時所要導入的系統函數庫。

3.如權利要求1或2所述的處理方法，其特征在于，根據所述第三方函數庫的名稱及其包含的函數的名稱，將所述空白函數庫偽造成對應的所述第三方函數庫，進一步包括：

將所述空白函數庫修改為對應的第三方函數庫的名稱，將所述第三方函數庫包含的函數的名稱登記到所述空白函數庫。

4.如權利要求1-3中任一項所述的處理方法，其特征在于，將所述第三方函數庫包含的函數的名稱登記到所述空白函數庫，進一步包括：

為所述空白函數庫創建導出表，所述導出表中登記有所述空白函數庫偽造的所述第三方函數庫的名稱，還登記有所述第三方函數庫所包含的函數的名稱。

5.如權利要求1-4中任一項所述的處理方法，其特征在于，

所述目標程序為支持脫殼的有殼程序；

所述空白函數庫偽造的第三方函數庫及其導出表，與所述目標程序位于同一目錄內。

6.如權利要求1-5中任一項所述的處理方法，其特征在于，判斷所述目標程序為支持脫殼的有殼文件的操作，包括：

構建特征庫，所述特征庫中保存有每種殼的一個或多個特征，還保存有每種殼是否適用脫殼；

獲取所述目標程序的入口指令，根據所述入口指令的特征碼分析得到所述目標程序的殼的一個或多個特征，根據所述一個或多個特征在所述特征庫中進行匹配，在所述特征庫中特征匹配數量最高且大于一門限值的殼，判定為所述目標程序的殼；

根據所述目標程序的殼，結合所述特征庫獲知能否對所述目標程序進行脫殼。

7.如權利要求1-6中任一項所述的處理方法，其特征在于，還包括：

如果所述目標程序不能脫殼，直接導入所述第三方函數庫，并讀取登記到所述第三方函數庫的函數名稱從而加載所述目標程序，并將所述目標程序轉存到內存鏡像進行處理。

8.一種目標程序處理裝置，其特征在于，包括：獲取模塊、構造模塊及處理模塊，其中，

所述獲取模塊，用于獲取第三方函數庫的名稱及所述第三方函數庫所包含的函數的名稱，所述第三方函數庫為加載目標程序至內存時所要導入的第三方函數庫；

所述構造模塊，用于構造空白函數庫，根據所述第三方函數庫的名稱及其包含的函數的名稱，將所述空白函數庫偽造成對應的所述第三方函數庫；

所述處理模塊，用于導入偽造的第三方函數庫并讀取對應的函數名稱，從而加載所述目標程序到內存，對所述目標程序進行脫殼并掃描所述目標程序，根據掃描結果對所述目標程序進行處理。

9.如權利要求8所述的處理裝置，其特征在于，所述獲取模塊，進一步包括：解析單元、第一獲取單元及第二獲取單元，其中，

所述第一獲取單元，用于獲取所述目標程序的導入表，所述導入表中記錄加載所述目標程序至內存時所要導入的函數庫，還記錄有所述函數庫包含的函數，所述函數庫包括系統函數庫和第三方函數庫；

所述第二獲取單元，用于獲取操作系統的系統函數庫列表，所述系統函數庫列表中記錄所述操作系統運行時所要導入的系統函數庫；

所述解析單元，用于通過比對所述目標程序的導入表及操作系統的系統函數庫列表，解析出加載所述目標程序至內存時所要導入的第三方函數庫的名稱，還解析出所述第三方函數庫所包含的函數的名稱。