[發明專利]一種基于反匯編進行惡意樣本檢測的方法及系統在審
| 申請號： | 201410582608.X | 申請日： | 2014-10-28 |
| 公開（公告）號： | CN104978381A | 公開（公告）日： | 2015-10-14 |
| 發明（設計）人： | 張國強;李柏松 | 申請（專利權）人： | 哈爾濱安天科技股份有限公司 |
| 主分類號： | G06F17/30 | 分類號： | G06F17/30 |
| 代理公司： | 暫無信息 | 代理人： | 暫無信息 |
| 地址： | 150090 黑龍江省哈爾濱*** | 國省代碼： | 黑龍江;23 |
| 權利要求書： | 查看更多 | 說明書： | 查看更多 |
| 摘要： | |||
| 搜索關鍵詞： | 一種 基于 匯編 進行 惡意 樣本 檢測 方法 系統 | ||
1.一種基于反匯編進行惡意樣本檢測的方法，其特征在于，包括：
步驟1、將待檢測文檔轉換為十六進制格式的數據；
步驟2、對所述數據以逐字節遍歷的形式進行反匯編；
步驟3、判斷是否存在成功反匯編的指令，若存在，則執行步驟4，否則執行步驟5；
步驟4、判斷成功反匯編的指令字節總長度是否大于預設值，若大于，則待檢測文檔為惡意文檔，否則，執行步驟5；
步驟5、判斷對所述數據的遍歷是否已完成，若已完成，則待檢測文檔為非惡意文檔，否則，繼續執行步驟2。
2.如權利要求1所述的方法，其特征在于，所述步驟1包括：判斷待檢測文檔是否為文本可讀類型文檔，若是，則以文本方式讀取待檢測文檔，并轉換為十六進制格式的數據，否則以二進制方式讀取待檢測文檔，并轉換為十六進制格式的數據，并設置初始偏移offset為0。
3.如權利要求2所述的方法，其特征在于，所述步驟2包括：從offset處對所述數據以逐字節遍歷的形式進行反匯編，每次遍歷完成后，所述offset自動加1。
4.如權利要求3所述的方法，其特征在于，所述判斷對所述數據的遍歷是否已完成包括：判斷所述offset是否大于等于所述數據總長度，若是，則已完成，否則未完成。
5.一種基于反匯編進行惡意樣本檢測的系統，其特征在于，包括：
格式轉換模塊，用于將待檢測文檔轉換為十六進制格式的數據；
反匯編模塊，用于對所述數據以逐字節遍歷的形式進行反匯編；
第一判定模塊，用于判斷是否存在成功反匯編的指令，若存在，則由第二判定模塊繼續操作，否則由第三判定模塊繼續操作；
第二判定模塊，用于判斷成功反匯編的指令字節總長度是否大于預設值，若大于，則待檢測文檔為惡意文檔，否則由第三判定模塊繼續操作；
第三判定模塊，用于判斷對所述數據的遍歷是否已完成，若已完成，則待檢測文檔為非惡意文檔，否則由反匯編模塊繼續操作。
6.如權利要求5所述的系統，其特征在于，所述格式轉換模塊為：用于判斷待檢測文檔是否為文本可讀類型文檔，若是，則以文本方式讀取待檢測文檔，并轉換為十六進制格式的數據，否則以二進制方式讀取待檢測文檔，并轉換為十六進制格式的數據，并設置初始偏移offset為0。
7.如權利要求6所述的系統，其特征在于，所述反匯編模塊為：從offset處對所述數據以逐字節遍歷的形式進行反匯編，每次遍歷完成后，offset自動加1。
8.如權利要求7所述的系統，其特征在于，所述判斷對所述數據的遍歷是否已完成包括：判斷所述offset是否大于等于所述數據總長度，若是，則已完成，否則未完成。
該專利技術資料僅供研究查看技術是否侵權等信息，商用須獲得專利權人授權。該專利全部權利屬于哈爾濱安天科技股份有限公司，未經哈爾濱安天科技股份有限公司許可，擅自商用是侵權行為。如果您想購買此專利、獲得商業授權和技術合作，請聯系【客服】
本文鏈接：http://www.szxzyx.cn/pat/books/201410582608.X/1.html，轉載請聲明來源鉆瓜專利網。
