[發(fā)明專利]軟件識別方法及裝置

在審

• 申請?zhí)枺?/td>: 201310632296.4
• 申請日: 2013-12-02
• 公開（公告）號: CN104679495A
• 公開（公告）日: 2015-06-03
• 發(fā)明（設(shè)計）人: 王鑫;姚輝;劉桂峰
• 申請（專利權(quán)）人: 貝殼網(wǎng)際（北京）安全技術(shù)有限公司;北京金山網(wǎng)絡(luò)科技有限公司
• 主分類號: G06F9/44
• 分類號: G06F9/44;G06F17/30
• 代理公司: 北京柏杉松知識產(chǎn)權(quán)代理事務(wù)所(普通合伙) 11413
• 代理人: 項京;馬敬

1.一種軟件識別方法，其特征在于，包括：

將待識別軟件的可執(zhí)行文件進行反匯編處理；

確定所述反匯編處理后的可執(zhí)行文件所利用的編譯程序的類型；

根據(jù)所述編譯程序的類型，提取所述反匯編處理后的可執(zhí)行文件中的用戶定義函數(shù)；

生成所述用戶定義函數(shù)對應(yīng)的待識別特征值；

確定所述待識別特征值與特征庫中所存儲的特征值的匹配數(shù)量，其中，所述特征庫存儲有從惡意軟件中提取的用戶定義函數(shù)所對應(yīng)的特征值，且所述特征庫中所存儲的特征值與所述待識別特征值具有相同的數(shù)據(jù)長度；

依據(jù)所述匹配數(shù)量與所述待識別特征值的總數(shù)量的比值，確定所述待識別軟件的屬性。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述生成所述用戶定義函數(shù)對應(yīng)的待識別特征值，包括：

對所述用戶定義函數(shù)進行至少一次編譯，獲得所述用戶定義函數(shù)對應(yīng)的命令序列；

從所述命令序列中確定出所述用戶定義函數(shù)所調(diào)用的第一函數(shù)的地址，其中，所述第一函數(shù)包括：庫函數(shù)和/或API函數(shù)；

通過所述第一函數(shù)的地址，確定所述第一函數(shù)的名稱；

將所述命令序列中的第一函數(shù)的地址替換為相應(yīng)的第一函數(shù)的名稱；

對第一函數(shù)的地址替換為相應(yīng)的第一函數(shù)的名稱的所述命令序列運用預(yù)設(shè)的算法，以形成所述用戶定義函數(shù)對應(yīng)的待識別特征值。

3.根據(jù)權(quán)利要求1所述的方法，其特征在于，通過提取程序入口函數(shù)或PE（Portable?Executable，可移植可執(zhí)行）字節(jié)表的方式，確定所述反匯編處理后的可執(zhí)行文件所利用的編譯程序的類型。

4.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述待識別軟件的屬性包括：正常軟件、惡意軟件、偏正常軟件或偏惡意軟件。

5.根據(jù)權(quán)利要求1-4任意一項所述的方法，其特征在于，當確定出所述反匯編處理后的可執(zhí)行文件所利用的編譯程序為MFC類型時，所述根據(jù)所述編譯程序的類型，提取所述反匯編處理后的可執(zhí)行文件中的用戶定義函數(shù)，包括：

確定所述反匯編處理后的可執(zhí)行文件中的rdata節(jié)；

確定所述rdata節(jié)中的虛表；

從虛表對應(yīng)的虛函數(shù)中，去除重寫的MFC類虛函數(shù)；

將所剩余的虛函數(shù)作為反匯編處理后的可執(zhí)行文件中的用戶定義函數(shù)。

6.根據(jù)權(quán)利要求5所述的方法，其特征在于，所述根據(jù)所述編譯程序的類型，提取所述反匯編處理后的可執(zhí)行文件中的用戶定義函數(shù)，還包括：

確定rdata節(jié)中的消息循環(huán)列表；

依據(jù)所述消息循環(huán)列表，確定出消息循環(huán)處理函數(shù)結(jié)構(gòu)體，進而依據(jù)消息循環(huán)處理函數(shù)結(jié)構(gòu)體，提取出消息循環(huán)處理函數(shù)；

在從虛表對應(yīng)的虛函數(shù)中，去除重寫的MFC類虛函數(shù)之后，遍歷所述消息循環(huán)處理函數(shù)和所剩余的虛函數(shù)，獲取被調(diào)用的函數(shù)；

所述將所剩余的虛函數(shù)作為反匯編處理后的可執(zhí)行文件中的用戶定義函數(shù)，包括：

將所述被調(diào)用的函數(shù)和所剩余的虛函數(shù)作為反匯編處理后的可執(zhí)行文件中的用戶定義函數(shù)。

7.根據(jù)權(quán)利要求1-4任意一項所述的方法，其特征在于，當確定出所述反匯編處理后的可執(zhí)行文件所利用的編譯程序為VB類型時，所述根據(jù)所述編譯程序的類型，提取所述反匯編處理后的可執(zhí)行文件中的用戶定義函數(shù)，包括：

依據(jù)所述反匯編處理后的可執(zhí)行文件的程序入口代碼，確定出文件頭結(jié)構(gòu)體；

解析所述文件頭結(jié)構(gòu)體，確定出所述反匯編處理后的可執(zhí)行文件的事件處理函數(shù)結(jié)構(gòu)體；

依據(jù)所述事件處理函數(shù)結(jié)構(gòu)體，提取所述反匯編處理后的可執(zhí)行文件中的事件處理函數(shù)；

遍歷所述事件處理函數(shù)，獲取被調(diào)用的函數(shù)；

將所獲取的被調(diào)用的函數(shù)作為所述反匯編處理后的可執(zhí)行文件中的用戶定義函數(shù)。