[發明專利]一種提取PE文件特征的方法及裝置

有效

• 申請號: 201410086803.3
• 申請日: 2014-03-10
• 公開（公告）號: CN103886229B
• 公開（公告）日: 2017-01-04
• 發明（設計）人: 王鑫;姚輝;劉桂峰
• 申請（專利權）人: 珠海市君天電子科技有限公司
• 主分類號: G06F21/10
• 分類號: G06F21/10;G06F21/56
• 代理公司: 北京柏杉松知識產權代理事務所(普通合伙)11413
• 代理人: 項京,馬敬

技術領域

本發明涉及數據安全技術領域，特別涉及一種提取PE文件特征的方法及裝置。

背景技術

PE（Portable?Execute）文件被稱為可移植的執行體，例如，exe文件、dll文件、ocx文件、sys文件和com文件等均為PE文件。由于實際應用中PE文件感染計算機病毒的現象越來越常見，因此，用戶在獲得某一PE文件后，通常先通過殺毒軟件檢測該PE文件是否已被計算機病毒感染。

應用殺毒軟件檢測待檢測PE文件是否已被計算機病毒感染時，首先要提取待檢測PE文件的特征。現有技術中，提取待檢測PE文件的全文hash（哈希）特征是較常見的一種PE文件特征提取方法。在提取全文hash特征時，其計算范圍為待檢測PE文件中的所有字節，因此，該特征可以精確的描述待檢測文件的特征。但是，全文hash特征對數據比較敏感，即使改變文件中的一個字節也會帶來全文hash特征的改變，例如，兩個PE文件的核心代碼是一樣的，但是非核心代碼稍有區別，則全文hash特征可能存在很大差別，因此，殺毒軟件利用全文hash特征匹配法進行病毒檢測時，全文hash特征的通用性較弱。另外，一般PE文件中會存在多處可以隨意修改但是不影響文件正常運行的結構，例如，節縫隙等等，因此，實際應用中病毒程序可以通過修改這些地方而改變待檢測文件的全文hash特征，從而繞過殺毒軟件的檢測。再者，由于提取全文hash特征時，需覆蓋待檢測PE文件中的所有字節，因此，提取全文hash特征時，速度慢、消耗資源高。

發明內容

本發明實施例公開了一種提取PE文件特征的方法及裝置，以使得殺毒軟件利用該特征進行病毒檢測時不易被繞過，且提高利用該特征進行病毒檢測時的通用性，及提取目標PE文件特征的速度。

為達到上述目的，本發明實施例公開了一種提取PE文件特征的方法，所述方法包括：

對目標PE文件的源代碼進行分析，獲得所述源代碼中的特征代碼；所述特征代碼為以下幾種中任意一種或幾種的組合，目標PE文件的代碼節、目標PE文件的附加數據或目標PE文件的資源節；

提取所述特征代碼的hash特征；

根據所述特征代碼的hash特征生成目標PE文件的特征，所述目標PE文件的特征用于檢測所述目標PE文件是否被病毒感染。

較佳的，所述提取所述特征代碼的hash值，包括：

根據預設規則對特征代碼進行分段；

提取分段后各個代碼段預設位置對應的子代碼段；

提取各個子代碼段的hash特征；

根據各個子代碼段的hash特征生成特征代碼的hash特征。

較佳的，所述預設位置，包括：

從代碼段的開始位置，向后，長度為預設的第一閾值的代碼區間；或

從代碼段的結束位置，向前，長度為預設的第二閾值的代碼區間；或

從代碼段的中間位置，向前和向后，長度均為預設的第三閾值的代碼區間。

較佳的，在分析得知所述目標PE文件包括多個代碼節的情況下，

所述獲得所述源代碼中的特征代碼，包括：

獲得所述源代碼中的一個或多個代碼節。

較佳的，所述獲得所述源代碼中的一個代碼節，包括：

獲得所述源代碼中長度最長的代碼節；或

獲得所述源代碼中包含入口代碼的代碼節。

為達到上述目的，本發明實施例公開了一種提取PE文件特征的裝置，所述裝置包括：

特征代碼獲得模塊，用于對目標PE文件的源代碼進行分析，獲得所述源代碼中的特征代碼；所述特征代碼為以下幾種中任意一種或幾種的組合，目標PE文件的代碼節、目標PE文件的附加數據或目標PE文件的資源節；

hash特征提取模塊，用于提取所述特征代碼的hash特征；

PE文件特征生成模塊，用于根據所述特征代碼的hash特征生成目標PE文件的特征，所述目標PE文件的特征用于檢測所述目標PE文件是否被病毒感染。

較佳的，所述hash特征提取模塊，包括：特征代碼分段子模塊、子代碼段提取子模塊、子代碼段hash特征提取子模塊和hash特征生成子模塊；

所述特征代碼分段子模塊，用于根據預設規則對特征代碼進行分段；

所述子代碼段提取子模塊，用于提取分段后各個代碼段預設位置對應的子代碼段；

所述子代碼段hash特征提取子模塊，用于提取各個子代碼段的hash特征；

所述hash特征生成子模塊，用于根據各個子代碼段的hash特征生成特征代碼的hash特征。