[發明專利]病毒檢測方法及裝置

有效

• 申請號: 201410012797.7
• 申請日: 2014-01-10
• 公開（公告）號: CN103778373B
• 公開（公告）日: 2017-02-08
• 發明（設計）人: 李龍
• 申請（專利權）人: 深圳市深信服電子科技有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06F9/455
• 代理公司: 深圳市世紀恒程知識產權代理事務所44287
• 代理人: 胡海國

技術領域

本發明涉及計算機領域，還涉及虛擬化技術，尤其涉及一種病毒檢測方法及裝置。

背景技術

隨著計算機技術的不斷發展，病毒已經不再局限于exe形式的可執行文件中，在html（Hypertext?Markup?Language，超文本標記語言）、pdf（Portable?Document?Format，可移植文檔格式）、swf（Shock?wave?Flash，動畫設計軟件的文件格式）等格式的文檔中都可能存在。由于病毒格式復雜且有一定的動態特性，因此對病毒的檢測方式逐漸由傳統的特征碼技術轉向虛擬執行技術。

由于病毒的觸發依賴于特定的軟件版本，例如某些病毒只能作用于Internet?Explorer6瀏覽器或特定的Adobe?Reader（pdf閱讀器）版本，對該版本的軟件打補丁或更新版本后，此類病毒就不再觸發。同時，由于無法對客戶端的操作系統版本和應用軟件版本進行假設，因此為了分析病毒在不同軟件版本中的運行行為，通常會在虛擬機中安裝不同版本的應用軟件，比如瀏覽器、Adobe?Reader等。但這種檢測方式存在以下問題：相同軟件的不同版本可能不能并存，且大量不同版本的軟件也可能會互相干擾。

發明內容

鑒于此，有必要提供一種病毒檢測方法及裝置，以解決同一虛擬機不能針對不同版本的應用軟件進行病毒檢測的問題。

本發明實施例公開了一種病毒檢測方法，包括以下步驟：

識別待檢測文件的文件類型；

根據所述文件類型，調用所述文件類型對應的虛擬機系統鏡像文件和/或所述待檢測文件對應的應用程序版本的增量快照；

利用虛擬機軟件加載所述虛擬機系統鏡像文件和/或增量快照，生成虛擬機實例，并在虛擬機實例上運行所述待檢測文件；

檢測所述虛擬機實例的運行狀態，分析所述待檢測文件是否包含病毒。

優選地，所述應用程序版本的增量快照包括所述應用程序至少一個版本對應的增量快照。

優選地，所述利用虛擬機軟件加載所述虛擬機系統鏡像文件和增量快照，生成虛擬機實例，并在虛擬機實例上運行所述待檢測文件，包括：

在虛擬機軟件上運行調用的所述虛擬機系統鏡像文件；

基于運行的所述虛擬機系統鏡像文件，加載所述增量快照，生成包含所述增量快照映射的應用程序版本的虛擬機實例；

利用所述虛擬機實例，打開所述待檢測文件。

優選地，所述識別待檢測文件的文件類型，之前還包括：

配置各操作系統分別對應的所述虛擬機系統鏡像文件，根據配置的所述虛擬機系統鏡像文件，利用虛擬機軟件生成虛擬機實例，并在所述虛擬機系統鏡像文件對應的虛擬機實例上安裝預設版本的應用程序，生成增量快照并存儲。

優選地，所述分析所述待檢測文件是否包含病毒，包括：

分析所述待檢測文件所包含的病毒的惡意行為，以及所述病毒發作所需的操作系統和/或所述病毒發作所需的應用程序版本。

本發明實施例還公開一種病毒檢測裝置，包括：

類型識別模塊，用于識別待檢測文件的文件類型；

虛擬機鏡像和增量快照調用模塊，用于根據所述文件類型，調用所述文件類型對應的虛擬機系統鏡像文件和/或所述待檢測文件對應的應用程序版本的增量快照；

虛擬運行模塊，用于利用虛擬機軟件加載所述虛擬機系統鏡像文件和/或增量快照，生成虛擬機實例，并在虛擬機實例上運行所述待檢測文件；

病毒檢測模塊，用于檢測所述虛擬機實例的運行狀態，分析所述待檢測文件是否包含病毒。

優選地，所述應用程序版本的增量快照包括所述應用程序至少一個版本對應的增量快照。

優選地，所述虛擬運行模塊還用于：

在虛擬機軟件上運行調用的所述虛擬機系統鏡像文件；

基于運行的所述虛擬機系統鏡像文件，加載所述增量快照，生成包含所述增量快照映射的應用程序版本的虛擬機實例；

利用所述虛擬機實例，打開所述待檢測文件。

優選地，所述病毒檢測裝置還包括：

增量快照配置模塊，用于配置各操作系統分別對應的所述虛擬機系統鏡像文件，根據配置的所述虛擬機系統鏡像文件，利用虛擬機軟件生成虛擬機實例，并在所述虛擬機系統鏡像文件對應的虛擬機實例上安裝預設版本的應用程序，生成增量快照并存儲。

優選地，所述病毒檢測模塊還用于：

分析所述待檢測文件所包含的病毒的惡意行為，以及所述病毒發作所需的操作系統和/或所述病毒發作所需的應用程序版本。