[發明專利]一種基于病毒樣本特征的檢測方法、檢測裝置及檢測系統

有效

• 申請號: 201310573299.5
• 申請日: 2013-11-15
• 公開（公告）號: CN103559447A
• 公開（公告）日: 2014-02-05
• 發明（設計）人: 陳卓;楊康;唐海
• 申請（專利權）人: 北京奇虎科技有限公司;奇智軟件（北京）有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京市浩天知識產權代理事務所 11276
• 代理人: 宋菲;劉云貴

1.一種基于病毒樣本特征的檢測方法，其包括：

對實際腳本進行詞法分析，確定所述實際腳本中每個詞語單元的單詞類型集合；所述單詞類型集合包括所述詞語單元所對應的至少一個單詞類型元素；

對所述實際腳本進行語法分析，確定所述實際腳本中每個語句單元的語句類型集合；所述語句類型集合包括所述語句單元所對應的至少一個語句類型元素；

根據所述單詞類型集合和所述語句類型集合，獲取所述實際腳本的虛擬腳本集合，對所述虛擬腳本集合中的每個虛擬腳本進行虛擬執行；

檢測所述虛擬執行的結果，當所述虛擬執行的結果符合病毒樣本特征時，確定所述實際腳本為腳本病毒并且將所述腳本病毒的檢測結果保存至病毒特征庫。

2.根據權利要求1所述的檢測方法，其中，所述虛擬腳本包含由所述詞語單元和所述語句單元組成的至少一條腳本語句。

3.根據權利要求1所述的檢測方法，其中，所述虛擬腳本包含由所述詞語單元和所述語句單元組成的至少一條第一腳本語句、以及由所述詞語單元、所述語句單元和所述表達式單元所組成的至少一條第二腳本語句；

在所述對實際腳本進行詞法分析之后，在對所述實際腳本進行語法分析之前，還包括：

對所述實際腳本進行表達式分析，確定所述實際腳本中每個表達式單元的表達式類型集合；所述表達式類型集合包括所述表達式單元所對應的至少一個表達式類型元素；

在對所述實際腳本進行語法分析之后，對所述虛擬腳本集合中的每個虛擬腳本進行虛擬執行之前，還包括：

根據所述單詞類型集合、所述表達式集合和所述語句類型集合，獲取所述實際腳本的虛擬腳本集合。

4.根據權利要求2所述的檢測方法，其中，所述根據所述單詞類型集合和所述語句類型集合，獲取所述實際腳本的虛擬腳本集合的步驟具體包括：

對于每一個所述詞語單元，從所述詞語單元所對應的所述單詞類型集合中選擇一個所述單詞類型元素，得到具有確定類型的所述詞語單元；

對于每一個所述語句單元，從所述語句單元所對應的所述語句類型集合中選擇一個所述語句類型元素，得到具有確定類型的所述語句單元；

在所述實際腳本中，根據全部具有確定類型的所述詞語單元和所述語句單元，形成一個所述虛擬腳本；

根據所述虛擬腳本獲取所述虛擬腳本集合；所述虛擬腳本集合包括遍歷全部所述單詞類型集合和全部所述語句類型集合所形成的全部所述虛擬腳本。

5.根據權利要求3所述的檢測方法，其中，根據所述單詞類型集合、所述表達式集合和所述語句類型集合，獲取所述實際腳本的虛擬腳本集合的步驟具體包括：

對于每一個所述詞語單元，從所述詞語單元所對應的所述單詞類型集合中選擇一個所述單詞類型元素，得到具有確定類型的所述詞語單元；

對于每一個所述表達式單元，從所述表達式單元所對應的所述表達式類型集合中選擇一個所述表達式類型元素，得到具有確定類型的所述表達式單元；

對于每一個所述語句單元，從所述語句單元所對應的所述語句類型集合中選擇一個所述語句類型元素，得到具有確定類型的所述語句單元；

在所述實際腳本中，根據全部具有確定類型的所述詞語單元、表達式單元和所述語句單元，形成一個所述虛擬腳本；

根據所述虛擬腳本獲取所述虛擬腳本集合；所述虛擬腳本集合包括遍歷全部所述單詞類型集合、全部所述表達式類型集合和全部所述語句類型集合所形成的全部所述虛擬腳本。

6.一種基于病毒樣本特征的檢測裝置，其包括：

詞法分析模塊，用于對實際腳本進行詞法分析，確定所述實際腳本中每個詞語單元的單詞類型集合；所述單詞類型集合包括所述詞語單元所對應的至少一個單詞類型元素；

語法分析模塊，用于對所述實際腳本進行語法分析，確定所述實際腳本中每個語句單元的語句類型集合；所述語句類型集合包括所述語句單元所對應的至少一個語句類型元素；

虛擬執行模塊，用于根據所述單詞類型集合和所述語句類型集合，獲取所述實際腳本的虛擬腳本集合，對所述虛擬腳本集合中的每個虛擬腳本進行虛擬執行；

檢測模塊，用于檢測所述虛擬執行的結果，當所述虛擬執行的結果符合病毒樣本特征時，確定所述實際腳本為腳本病毒并且將所述腳本病毒的檢測結果保存至病毒特征庫。