[發明專利]一種提取PE文件特征的方法及裝置

有效

• 申請號: 201410086803.3
• 申請日: 2014-03-10
• 公開（公告）號: CN103886229B
• 公開（公告）日: 2017-01-04
• 發明（設計）人: 王鑫;姚輝;劉桂峰
• 申請（專利權）人: 珠海市君天電子科技有限公司
• 主分類號: G06F21/10
• 分類號: G06F21/10;G06F21/56
• 代理公司: 北京柏杉松知識產權代理事務所(普通合伙)11413
• 代理人: 項京,馬敬

1.一種提取PE文件特征的方法，其特征在于，所述方法包括：

對目標PE文件的源代碼進行分析，獲得所述源代碼中的特征代碼；所述特征代碼為以下幾種中任意一種或幾種的組合，目標PE文件的代碼節、目標PE文件的附加數據或目標PE文件的資源節；

提取所述特征代碼的hash特征；

根據所述特征代碼的hash特征生成目標PE文件的特征，所述目標PE文件的特征用于檢測所述目標PE文件是否被病毒感染。

2.根據權利要求1所述的方法，其特征在于，所述提取所述特征代碼的hash值，包括：

根據預設規則對特征代碼進行分段；

提取分段后各個代碼段預設位置對應的子代碼段；

提取各個子代碼段的hash特征；

根據各個子代碼段的hash特征生成特征代碼的hash特征。

3.根據權利要求2所述的方法，其特征在于，所述預設位置，包括：

從代碼段的開始位置，向后，長度為預設的第一閾值的代碼區間；或

從代碼段的結束位置，向前，長度為預設的第二閾值的代碼區間；或

從代碼段的中間位置，向前和向后，長度均為預設的第三閾值的代碼區間。

4.根據權利要求1-3中任一項所述的方法，其特征在于，在分析得知所述目標PE文件包括多個代碼節的情況下，

所述獲得所述源代碼中的特征代碼，包括：

獲得所述源代碼中的一個或多個代碼節。

5.根據權利要求4所述的方法，其特征在于，

所述獲得所述源代碼中的一個代碼節，包括：

獲得所述源代碼中長度最長的代碼節；或

獲得所述源代碼中包含入口代碼的代碼節。

6.一種提取PE文件特征的裝置，其特征在于，所述裝置包括：

特征代碼獲得模塊，用于對目標PE文件的源代碼進行分析，獲得所述源代碼中的特征代碼；所述特征代碼為以下幾種中任意一種或幾種的組合，目標PE文件的代碼節、目標PE文件的附加數據或目標PE文件的資源節；

hash特征提取模塊，用于提取所述特征代碼的hash特征；

PE文件特征生成模塊，用于根據所述特征代碼的hash特征生成目標PE文件的特征，所述目標PE文件的特征用于檢測所述目標PE文件是否被病毒感染。

7.根據權利要求6所述的裝置，其特征在于，所述hash特征提取模塊，包括：特征代碼分段子模塊、子代碼段提取子模塊、子代碼段hash特征提取子模塊和hash特征生成子模塊；

所述特征代碼分段子模塊，用于根據預設規則對特征代碼進行分段；

所述子代碼段提取子模塊，用于提取分段后各個代碼段預設位置對應的子代碼段；

所述子代碼段hash特征提取子模塊，用于提取各個子代碼段的hash特征；

所述hash特征生成子模塊，用于根據各個子代碼段的hash特征生成特征代碼的hash特征。

8.根據權利要求7所述的裝置，其特征在于，所述子代碼段提取子模塊，具體用于提取分段后各個代碼段以下位置對應的子代碼段，

從代碼段的開始位置，向后，長度為預設的第一閾值的代碼區間；或

從代碼段的結束位置，向前，長度為預設的第二閾值的代碼區間；或

從代碼段的中間位置，向前和向后，長度均為預設的第三閾值的代碼區間。

9.根據權利要求6-8中任一項所述的裝置，其特征在于，所述特征代碼獲得模塊，具體用于對目標PE文件的源代碼進行分析，在分析得知所述目標PE文件的源代碼中包括多個代碼節的情況下，獲得所述源代碼中的一個或多個代碼節。

10.根據權利要求9所述的裝置，其特征在于，所述特征代碼獲得模塊，

具體用于對目標PE文件的源代碼進行分析，獲得所述源代碼中長度最長的代碼節；或

具體用于對目標PE文件的源代碼進行分析，獲得所述源代碼中包含入口代碼的代碼節。