[發(fā)明專利]病毒檢測方法及設(shè)備

有效

• 申請?zhí)枺?/td>: 201210560398.5
• 申請日: 2012-12-21
• 公開（公告）號: CN103067364A
• 公開（公告）日: 2013-04-24
• 發(fā)明（設(shè)計）人: 劉振華
• 申請（專利權(quán)）人: 華為技術(shù)有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 廣州三環(huán)專利代理有限公司 44202
• 代理人: 郝傳鑫;熊永強(qiáng)

1.一種病毒檢測方法，其特征在于，包括：

接收承載有可移植執(zhí)行PE文件的網(wǎng)絡(luò)數(shù)據(jù)流，并根據(jù)所述網(wǎng)絡(luò)數(shù)據(jù)流中的數(shù)據(jù)包重組出所述PE文件的文件頭，其中，所述文件頭中包含所述PE文件的結(jié)構(gòu)信息；

根據(jù)所述PE文件的結(jié)構(gòu)信息計算第一識別信息；

將所述第一識別信息與病毒庫中預(yù)先存儲的病毒識別信息進(jìn)行匹配，若匹配命中，則根據(jù)所述病毒庫中預(yù)先存儲的病毒識別信息與文件類型的對應(yīng)關(guān)系，確定所述PE文件是否為Archive文件，其中，所述文件類型包括Archive文件和PE病毒文件；

若所述PE文件為Archive文件，則從所述網(wǎng)絡(luò)數(shù)據(jù)流中獲取承載所述Archive文件數(shù)據(jù)部分的數(shù)據(jù)包，并根據(jù)所述承載所述Archive文件數(shù)據(jù)部分的數(shù)據(jù)包計算第二識別信息；

將所述第二識別信息與所述病毒庫中預(yù)先存儲的病毒識別信息進(jìn)行匹配，若匹配命中，則確定所述Archive文件為Archive病毒文件。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，若所述PE文件為非Archive文件，則確定所述PE文件為PE病毒文件。

3.根據(jù)權(quán)利要求1或2所述的方法，其特征在于，所述從所述網(wǎng)絡(luò)數(shù)據(jù)流中獲取承載所述Archive文件數(shù)據(jù)部分的數(shù)據(jù)包，并根據(jù)所述承載所述Archive文件數(shù)據(jù)部分的數(shù)據(jù)包計算第二識別信息，具體包括：

從所述病毒庫中預(yù)先存儲的病毒識別信息與Archive文件形式的對應(yīng)關(guān)系中，查詢所述第一識別信息對應(yīng)的Archive文件形式，其中，所述Archive文件形式包括數(shù)據(jù)部分包含數(shù)據(jù)結(jié)構(gòu)信息的Archive文件和數(shù)據(jù)部分不包含數(shù)據(jù)結(jié)構(gòu)信息的Archive文件；

從所述網(wǎng)絡(luò)數(shù)據(jù)流中獲取承載所述Archive文件數(shù)據(jù)部分的數(shù)據(jù)包；

根據(jù)所述第一識別信息對應(yīng)的Archive文件形式和所述承載所述Archive文件數(shù)據(jù)部分的數(shù)據(jù)包計算第二識別信息。

4.根據(jù)權(quán)利要求3所述的方法，其特征在于，所述根據(jù)所述第一識別信息對應(yīng)的Archive文件形式和所述承載所述Archive文件數(shù)據(jù)部分的數(shù)據(jù)包計算第二識別信息，包括：

若所述第一識別信息對應(yīng)的Archive文件形式為數(shù)據(jù)部分不包含數(shù)據(jù)結(jié)構(gòu)信息的Archive文件，則根據(jù)所述承載所述Archive文件數(shù)據(jù)部分的數(shù)據(jù)包，重組出所述Archive文件的數(shù)據(jù)部分，利用哈希算法計算所述Archive文件的數(shù)據(jù)部分的哈希值，作為所述第二識別信息；

或者，若所述第一識別信息對應(yīng)的Archive文件形式為數(shù)據(jù)部分包含數(shù)據(jù)結(jié)構(gòu)信息的Archive文件，則根據(jù)所述承載所述Archive文件數(shù)據(jù)部分的數(shù)據(jù)包，重組得到所述Archive文件數(shù)據(jù)部分中包含的數(shù)據(jù)結(jié)構(gòu)信息，利用哈希算法計算重組得到的所述數(shù)據(jù)結(jié)構(gòu)信息的哈希值，作為所述第二識別信息。

5.根據(jù)權(quán)利要求1、2或4所述的方法，其特征在于，所述根據(jù)所述PE文件的結(jié)構(gòu)信息計算第一識別信息具體包括：

從所述PE文件的結(jié)構(gòu)信息中選取至少二個屬性信息，并將所述至少二個屬性信息銜接成一個數(shù)據(jù)塊；

利用哈希算法計算出所述數(shù)據(jù)塊的哈希值，作為所述第一識別信息。

6.一種病毒檢測設(shè)備，其特征在于，包括：

信息獲取模塊，用于接收承載有可移植執(zhí)行PE文件的網(wǎng)絡(luò)數(shù)據(jù)流，并根據(jù)所述網(wǎng)絡(luò)數(shù)據(jù)流中的數(shù)據(jù)包重組出所述PE文件的文件頭，其中，所述文件頭中包含所述PE文件的結(jié)構(gòu)信息；

第一計算模塊，用于根據(jù)所述信息獲取模塊獲取的所述PE文件的結(jié)構(gòu)信息計算第一識別信息；

第一判斷模塊，用于將所述第一計算模塊計算得到的所述第一識別信息與病毒庫中預(yù)先存儲的病毒識別信息進(jìn)行匹配，若匹配命中，則根據(jù)所述病毒庫中預(yù)先存儲的病毒識別信息與文件類型的對應(yīng)關(guān)系，確定所述PE文件是否為Archive文件，其中，所述文件類型包括Archive文件和PE病毒文件；

第二計算模塊，用于在所述第一判斷模塊確定出所述PE文件為Archive文件時，從所述網(wǎng)絡(luò)數(shù)據(jù)流中獲取承載所述Archive文件數(shù)據(jù)部分的數(shù)據(jù)包，并根據(jù)所述承載所述Archive文件數(shù)據(jù)部分的數(shù)據(jù)包計算第二識別信息；

第二判斷模塊，用于將所述第二計算模塊計算得出的所述第二識別信息與所述病毒庫中預(yù)先存儲的病毒識別信息進(jìn)行匹配，若匹配命中，則確定所述Archive文件為Archive病毒文件。