[發明專利]一種染毒文件的處理方法和系統

有效

• 申請號: 201210380243.3
• 申請日: 2012-09-29
• 公開（公告）號: CN102902925A
• 公開（公告）日: 2013-01-30
• 發明（設計）人: 譚合力
• 申請（專利權）人: 北京奇虎科技有限公司;奇智軟件（北京）有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京潤澤恒知識產權代理有限公司 11319
• 代理人: 蘇培華

1.一種染毒文件的處理方法，包括：

獲取文件系統讀取失敗的文件，作為待處理文件；

獲取所述待處理文件在磁盤上的簇分布信息；

依據所述簇分布信息，從磁盤上讀取所述待處理文件的數據；

將讀取出的數據寫入臨時文件；

分析所述臨時文件的安全性，若所述臨時文件不安全，則對所述臨時文件及對應待處理文件執行清理操作。

2.如權利要求1所述的方法，所述獲取所述待處理文件在磁盤上的簇分布信息的步驟，包括：

以讀屬性打開所述待處理文件，得到相應的句柄；

基于設備驅動接口函數的磁盤驅動控制碼功能，獲取與所述句柄相應的所述待處理文件在磁盤上的簇分布信息。

3.如權利要求1所述的方法，所述依據所述簇分布信息，從磁盤上讀取所述待處理文件的數據的步驟，包括：

依據所述待處理文件的路徑，獲取所述待處理文件對應的磁盤分區；

依據所述簇分布信息，得到所述待處理文件在對應的磁盤分區上的簇偏移；

在所述待處理文件對應的磁盤分區對應位置上讀取與所述簇偏移相應的數據。

4.如權利要求1所述的方法，所述文件系統讀取失敗的文件包括ERROR_SHARING_VIOLATION32對應的文件和ERROR_LOCK_VIOLATION?33對應的文件。

5.如權利要求1所述的方法，所述獲取文件系統讀取失敗的文件，作為待處理文件的步驟，包括：

讀取文件后綴名，通過文件后綴名來判定所述文件是否為PE文件，若是，則使用文件系統讀取所述文件，若讀取失敗則將所述文件作為待處理文件；或者，

判定文件大小，若所述文件大于第一文件閾值，則使用文件系統讀取所述文件，若讀取失敗則將所述文件作為待處理文件。

6.如權利要求1所述的方法，所述分析所述臨時文件的安全性的步驟，包括：

計算所述臨時文件的特征值；

根據白名單和所計算的所述臨時文件的特征值，監測所述臨時文件是否可信任；所述白名單至少包括可信任文件的特征值；

在監測結果為肯定的情況下，確定所述臨時文件安全；

在監測結果為否定的情況下，利用殺毒引擎分析所述臨時文件是否安全。

7.如權利要求1所述的方法，所述清理操作包括：禁用所述臨時文件及對應待處理文件的啟動項，或者，粉碎所述臨時文件及對應待處理文件。

8.如權利要求7所述的方法，所述粉碎所述臨時文件及對應待處理文件的步驟，包括：

依據所述臨時文件及對應待處理文件的路徑在對象管理器中查找對應的文件對象解析例程；

依據查找得到的文件對象解析例程生成I/O請求包，并發送至預置的文件系統下層設備的原始地址；

由文件系統下層設備依據所述I/O請求包對所述臨時文件及對應待處理文件執行粉碎操作。

9.如權利要求6所述的方法，所述分析所述臨時文件的安全性的步驟，還包括：

在監測結果為否定的情況下，判斷所述臨時文件的簽名是否有效；

在所述臨時文件的簽名有效時，確定所述臨時文件安全；

在所述臨時文件的簽名無效時，利用殺毒引擎分析所述臨時文件是否安全。

10.一種處理系統，包括：

待處理文件獲取模塊，用于獲取文件系統讀取失敗的文件，作為待處理文件；

簇分布獲取模塊，用于獲取所述待處理文件在磁盤上的簇分布信息；

簇讀取模塊，用于依據所述簇分布信息，從磁盤上讀取所述待處理文件的數據；

臨時寫入模塊，用于將讀取出的數據寫入臨時文件；

安全性分析模塊，用于分析所述臨時文件的安全性；

清理模塊，用于在臨時文件不安全時，對所述臨時文件及對應待處理文件執行清理操作。

11.如權利要求10所述的系統，所述簇分布獲取模塊包括：

打開子模塊，用于以讀屬性打開所述待處理文件，得到相應的句柄；

控制碼功能獲取子模塊，用于基于設備驅動接口函數的磁盤驅動控制碼功能，獲取與所述句柄相應的所述待處理文件在磁盤上的簇分布信息。