[發明專利]軟件識別方法及裝置

在審

• 申請號: 201310454828.X
• 申請日: 2013-09-29
• 公開（公告）號: CN104517053A
• 公開（公告）日: 2015-04-15
• 發明（設計）人: 王鑫;姚輝;劉桂峰
• 申請（專利權）人: 北京金山網絡科技有限公司;貝殼網際（北京）安全技術有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06F21/00
• 代理公司: 北京柏杉松知識產權代理事務所(普通合伙) 11413
• 代理人: 項京;馬敬

1.一種軟件識別方法，其特征在于，包括：

將待識別軟件的可執行文件進行反匯編處理；

去除反匯編處理后的可執行文件中的屬于庫函數的代碼；

從剩余代碼中提取待識別字符串；

從所述待識別字符串中，確定與第一字符串庫所存儲字符串匹配的待識別字符串的第一數量，以及與第二字符串庫所存儲字符串匹配的待識別字符串的第二數量；其中，所述第一字符串庫存儲有從惡意軟件所對應的、屬于庫函數的代碼以外的剩余代碼中提取的字符串，所述第二字符串庫存儲有從正常軟件所對應的、屬于庫函數的代碼以外的剩余代碼中提取的字符串；

根據所述第一數量與所述第二數量的比值，確定所述待識別軟件的識別結果。

2.根據權利要求1所述的方法，其特征在于，從剩余代碼中提取待識別字符串，包括：

確定所述剩余代碼中的全局地址；

從所確定出的全局地址中提取待識別字符串。

3.根據權利要求1所述的方法，其特征在于，去除反匯編處理后的可執行文件中的屬于庫函數的代碼，包括：

構建經過反匯編處理后的可執行文件的函數塊，并存儲到第三函數塊集合中；

確定所述第三函數塊集合中屬于庫函數的函數塊，并去除所確定出的屬于庫函數的函數塊；

相應的，從剩余代碼中提取待識別字符串，包括：

從去除屬于庫函數的函數塊的所述第三函數塊集合中的剩余的函數塊中提取待識別字符串。

4.根據權利要求4所述的方法，其特征在于，通過代碼分段匹配的方式，確定所述第三函數塊集合中屬于庫函數的函數塊。

5.根據權利要求1-4任意一項所述的方法，其特征在于，所述第一字符串庫和第二字符串庫的構建過程包括：

分別對第三數量的惡意軟件所對應的第一可執行文件進行反匯編處理，并分別對第四數量的正常軟件所對應的第一可執行文件進行反匯編處理；

構建經過反匯編處理后的第一可執行文件的函數塊，并存儲到第一函數塊集合，構建經過反匯編處理后的第二可執行文件的函數塊，并存儲到第二函數塊集合中；

確定所述第一函數塊集合和所述第二函數塊集合中的屬于庫函數的函數塊，并去除所確定出的屬于庫函數的函數塊；

從所述第一函數塊集合所剩余的函數塊中提取字符串并構建第一字符串庫；

從所述第二函數塊集合所剩余的函數塊中提取字符串并構建第二字符串庫。

6.根據權利要求5所述的方法，其特征在于，在構建第一字符串庫和第二字符串庫后，所述方法還包括：

確定所述第一字符串庫和第二字符串庫中共同存在的字符串；

將所確定出的共同存在的字符串從第一字符串庫和第二字符串庫中去除。

7.根據權利要求1-4任意一項所述的方法，其特征在于，還包括：

顯示所述待識別軟件的識別結果。

8.根據權利要求1-4任意一項所述的方法，其特征在于，所述識別結果，包括：

正常軟件、惡意軟件、偏正常軟件或偏惡意軟件。

9.一種軟件識別裝置，其特征在于，包括：

反匯編模塊，用于將待識別軟件的可執行文件進行反匯編處理；

庫函數代碼去除模塊，用于去除反匯編處理后的可執行文件中的屬于庫函數的代碼；

字符串提取模塊，用于從剩余代碼中提取待識別字符串；

數量確定模塊，用于從所述待識別字符串中，確定與第一字符串庫所存儲字符串匹配的待識別字符串的第一數量，以及與第二字符串庫所存儲字符串匹配的待識別字符串的第二數量；

結果確定模塊，用于根據所述第一數量與所述第二數量的比值，確定所述待識別軟件的識別結果；

字符串庫構建模塊，用于構建所述第一字符串庫和所述第二字符串庫，其中，其中，所述第一字符串庫存儲有從惡意軟件所對應的、屬于庫函數的代碼以外的剩余代碼中提取的字符串，所述第二字符串庫存儲有從正常軟件所對應的、屬于庫函數的代碼以外的剩余代碼中提取的字符串。

10.根據權利要求9所述的裝置，其特征在于，所述字符串提取模塊，包括：

全局地址確定單元，用于確定所述剩余代碼中的全局地址；

第一字符串提取單元，用于從所確定出的全局地址中提取待識別字符串。