[發明專利]一種基于復合特征碼的惡意文件檢測方法

有效

• 申請號: 201210277275.0
• 申請日: 2012-08-06
• 公開（公告）號: CN102902918A
• 公開（公告）日: 2013-01-30
• 發明（設計）人: 黃騰
• 申請（專利權）人: 廈門市美亞柏科信息股份有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京恒都律師事務所 11395
• 代理人: 安筱瓊

1.一種基于復合特征碼的惡意文件檢測方法，其特征在于，包括：

步驟1：預先設置主特征碼集合，并為所述主特征碼集合中的每個主特征碼設置與其對應的非特征碼；

步驟2：采用所述主特征碼集合掃描待檢測文件，當且僅當所述待檢測文件中能匹配到所述主特征碼集合中的任意一個主特征碼且不能匹配到該主特征碼所對應任意一個非特征碼時，所述待檢測文件為惡意文件。

2.如權利要求1所述的一種基于復合特征碼的惡意文件檢測方法，其特征在于，所述步驟2包括：

S21：采用所述主特征碼集合掃描待檢測文件開頭的預定長度的代碼段；

S22：判斷當前掃描的待檢測文件的代碼段是否能夠與所述主特征碼集合中的任意一個主特征碼相匹配？若是，則繼續S23；否則，執行S27；

S23：判斷在所述待檢測文件中是否能匹配到當前匹配到的主特征碼所對應的任意一個非特征碼？若是，則繼續執行S24；否則，輸出待檢測文件為惡意文件的檢測結果，結束檢測流程；

S24：判斷是否已經采用所述主特征碼集合掃描到所述待檢測文件的結尾？若是，則認為待檢測文件為非惡意文件；否則，繼續執行S25；

S25：將當前匹配到的主特征碼從所述主特征碼集合中刪除；

S26：采用主特征碼集合掃描待檢測文件的下一個預定長度的代碼段，并返回執行S22；

S27：判斷是否已經采用所述主特征碼集合掃描到待檢測文件的結尾？若是，則認為待檢測文件為非惡意文件，否則，跳至執行S26。?

3.如權利要求2所述的一種基于復合特征碼的惡意文件檢測方法，其特征在于，所述步驟1包括：

預先設置并在數據庫中存儲由n個主特征碼組成的主特征碼集合；其中，n為大于等于0的整數；

預先為所述主特征碼集合中的每個主特征碼設置與其對應的若干個非特征碼，得到對應于每個主特征碼的非特征碼集合并將所述非特征碼集合存儲于所述數據庫中；

將所述數據庫中的所有數據讀入內存，并將所述主特征碼集合中的每個主特征碼在所述內存中的地址與該主特征碼所對應的非特征碼集合在所述內存中的地址之間建立映射關系。

4.如權利要求3所述的一種基于復合特征碼的惡意文件檢測方法，其特征在于，步驟S23所述判斷在所述待檢測文件中是否能匹配到當前匹配到的主特征碼所對應的任意一個非特征?碼，包括：

獲取所述當前匹配到的主特征碼在內存中的地址；

根據預先配置的每個主特征碼在所述內存中的地址與該主特征碼所對應的非特征碼集合在所述內存中的地址之間的映射關系，獲取所述當前匹配到的主特征碼所對應的非特征碼集合；

判斷所述待檢測文件中是否能匹配到當前獲取的非特征碼集合中的任意一個非特征碼。

5.如權利要求4所述的一種基于復合特征碼的惡意文件檢測方法，其特征在于，步驟1中所述將所述數據庫中的所有數據讀入內存之前，還包括：預先為所述主特征碼集合中的每個主特征碼設置與其對應的若干個從特征?碼，得到對應于每個主特征碼的從特征碼集合并將所述從特征碼集合存儲于所述數據庫中；

步驟1中所述將所述數據庫中的所有數據讀入內存之后，還包括：將所述主特征碼集合中的每個主特征碼在所述內存中的地址與該主特征碼所對應的從特征碼集合在所述內存中的地址之間建立映射關系。

6.如權利要求5所述的一種基于復合特征碼的惡意文件檢測方法，其特征在于，所述步驟S22和S23之間還包括步驟：

判斷在所述待檢測文件中是否能匹配到當前匹配到的主特征碼所對應的全部從特征碼？若是，則繼續執行S23，否則，跳至執行S24。

7.如權利要求5所述的一種基于復合特征碼的惡意文件檢測方法，其特征在于，當所述步驟S23的判斷結果為否時，所述步驟S23之后還包括步驟：

判斷在待檢測文件中是否能匹配到當前匹配到的主特征碼所對應的全部從特征碼？若否，則繼續執行步驟5；若是，則輸出待檢測文件為惡意文件的檢測結果，結束檢測流程。

8.如權利要求6或7所述的一種基于復合特征碼的惡意文件檢測方法，其特征在于，所述判斷在待檢測文件中是否能匹配到當前匹配到的主特征碼所對應的全部從特征碼，包括：獲取所述當前匹配到的主特征碼在內存中的地址；

根據預先配置的每個主特征碼在所述內存中的地址與該主特征碼所對應的從特征碼集合在所述內存中的地址之間的映射關系，獲取所述當前匹配到的主特征碼所對應的從特征碼集合；

判斷所述待檢測文件中是否能匹配到當前獲取的從特征碼集合中的全部特征碼。?