[發(fā)明專(zhuān)利]基于主動(dòng)技術(shù)的惡意代碼捕獲方法

無(wú)效

• 申請(qǐng)?zhí)枺?/td>: 201410245192.2
• 申請(qǐng)日: 2014-06-05
• 公開(kāi)（公告）號(hào): CN104008339A
• 公開(kāi)（公告）日: 2014-08-27
• 發(fā)明（設(shè)計(jì)）人: 程光
• 申請(qǐng)（專(zhuān)利權(quán)）人: 東南大學(xué)
• 主分類(lèi)號(hào): G06F21/56
• 分類(lèi)號(hào): G06F21/56;G06F17/30
• 代理公司: 江蘇永衡昭輝律師事務(wù)所 32250
• 代理人: 王斌

1.一種基于主動(dòng)技術(shù)的惡意代碼捕獲方法，其特征在于：

步驟一：設(shè)置種子URL，設(shè)置未下載URL列表，設(shè)置已下載URL列表，設(shè)置下載惡意代碼總數(shù)，設(shè)置惡意代碼數(shù)據(jù)庫(kù)，設(shè)置URL抽樣率，設(shè)置已下載惡意代碼數(shù)，已下載惡意代碼數(shù)初始值為0，進(jìn)入步驟二；

步驟二：將種子URL加入到未下載URL列表中，進(jìn)入步驟三；

步驟三：如果未下載URL列表中為空，退出方法；否則從未下載URL列表中隨機(jī)選擇一個(gè)URL進(jìn)行下載，進(jìn)入步驟四；

步驟四：在未下載URL列表中刪除所選URL，同時(shí)將所選URL加入到已經(jīng)下載URL列表中，進(jìn)行步驟五；

步驟五：對(duì)下載的URL頁(yè)面進(jìn)行分析，如果同一頁(yè)面標(biāo)簽內(nèi)同時(shí)出現(xiàn)“width”及“height”二個(gè)關(guān)鍵詞且width和height屬性值都小于10，則記為可疑URL，進(jìn)入步驟六，否則回到步驟三；

步驟六：按照URL抽樣率對(duì)下載的URL頁(yè)面中的URL進(jìn)行抽樣，被抽樣中的URL如果不在已下載URL列表和未下載URL列表中，則加入到未下載URL列表中，進(jìn)入步驟七；

步驟七：采用瀏覽器對(duì)可疑URL進(jìn)行訪(fǎng)問(wèn)，監(jiān)控瀏覽器的運(yùn)行，如果有代碼下載，則進(jìn)入步驟八，否則回到步驟三；

步驟八：如果發(fā)現(xiàn)系統(tǒng)文件發(fā)生了增加、刪除或修改變化，進(jìn)入步驟十一，否則進(jìn)入步驟九；

步驟九：如果發(fā)現(xiàn)注冊(cè)表項(xiàng)發(fā)生創(chuàng)建和修改變化，進(jìn)入步驟十一，否則進(jìn)入步驟十；

步驟十：利用winpcap系統(tǒng)庫(kù)抓取系統(tǒng)所產(chǎn)生的網(wǎng)絡(luò)報(bào)文，如果下載的代碼運(yùn)行訪(fǎng)問(wèn)網(wǎng)絡(luò)，進(jìn)入步驟十一，否則回到步驟三；

步驟十一：將下載的代碼上傳到惡意代碼數(shù)據(jù)庫(kù)中，取出可疑URL網(wǎng)頁(yè)中的所有URL，在已下載URL列表和未下載URL列表中分別查找可疑URL網(wǎng)頁(yè)中的各個(gè)URL，將未記錄于已下載URL列表和未下載URL列表中的可疑URL網(wǎng)頁(yè)中的URL加入到未下載URL列表中，已下載惡意代碼數(shù)增加1，如果已下載惡意代碼數(shù)大于等于下載惡意代碼總數(shù)，方法結(jié)束，退出方法；否則回到步驟三。

2.根據(jù)權(quán)利要求1所述的基于主動(dòng)技術(shù)的惡意代碼捕獲方法，其特征在于，發(fā)現(xiàn)系統(tǒng)文件發(fā)生了增加、刪除或修改變化的方法如下：使用FindFirstChangeNotification函數(shù)創(chuàng)建一個(gè)改變通知對(duì)象，通過(guò)FindFirstChangeNotification函數(shù)監(jiān)視IE的臨時(shí)文件夾、Windows系統(tǒng)目錄下的system32文件夾的變化，當(dāng)一個(gè)符合過(guò)濾條件的改變發(fā)生時(shí)，一個(gè)在通知句柄上的等待函數(shù)返回。

3.根據(jù)權(quán)利要求1所述的基于主動(dòng)技術(shù)的惡意代碼捕獲方法，其特征在于，發(fā)現(xiàn)注冊(cè)表項(xiàng)發(fā)生創(chuàng)建和修改變化的方法如下：利用API函數(shù)RegNotifyChangeKeyValue監(jiān)控注冊(cè)表的變化情況。