[發明專利]一種惡意文件的檢測方法及裝置

在審

• 申請號: 201610098803.4
• 申請日: 2016-02-23
• 公開（公告）號: CN107103237A
• 公開（公告）日: 2017-08-29
• 發明（設計）人: 鄭瀚
• 申請（專利權）人: 阿里巴巴集團控股有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京同達信恒知識產權代理有限公司11291
• 代理人: 朱佳

1.一種惡意文件的檢測方法，其特征在于，包括：

將所述第一參數集合作為輸入參數，執行指定的目標腳本文件；

當確定目標腳本文件在執行所述第一函數集合中的任意一個函數的過程中，使用了所述第一參數集合中的任意一個參數時，判定所述目標腳本文件為惡意文件；其中，所述第一參數集合中記錄的每一個參數均被設置污點標記，所述第一函數集合中記錄的每一個函數均為腳本文件運行過程中能夠使用的命令函數。

2.如權利要求1所述的方法，其特征在于，所述第一參數集合中記錄的參數為超全局變量。

3.如權利要求1所述的方法，其特征在于，將所述第一參數集合作為輸入參數，執行指定的目標腳本文件之前，進一步包括：

基于所述第一函數集合中的每一個函數，將待測試的目標腳本文件中對應的函數插入Hook檢測代碼。

4.如權利要求1、2或3所述的方法，其特征在于，執行指定的目標腳本文件之前，進一步包含：

將所述目標腳本文件與預設的第一白名單及第一黑名單進行匹配，判定所述目標腳本文件未記錄在所述第一白名單及第一黑名單時，確定能夠執行所述目標腳本文件。

5.如權利要求1、2或3所述的方法，其特征在于，執行指定的目標腳本文件之前，進一步執行以下操作中的一種或任意組合：

將目標腳本文件與預設的第一一句話WEBSHELL集合進行匹配，判定未匹配成功時，確定能夠執行所述目標腳本文件，其中，所述第一一句話WEBSHELL集合用于描述惡意程序的模式特征；或者，

將目標腳本文件與對應所述目標腳本文件預設的第一多模正則規則集合進行匹配，判定未匹配成功時，確定能夠執行所述目標腳本文件，其中，第二 多模正則規則集合用于描述惡意程序的內容特征；或者，

采用模糊化哈希算法對目標腳本文件進行處理，將處理后的目標腳本文件與預設的第一大馬惡意樣本集合進行匹配，判定未匹配成功時，確定能夠執行所述目標腳本文件，其中，所述第一大馬惡意樣本集合為具有完備功能的惡意腳本文件集合。

6.如權利要求1－5任一項所述的方法，其特征在于，所述方法應用于客戶端側或者云服務器側。

7.如權利要求6所述的方法，其特征在于，若所述方法應用于客戶端側，則判定目標腳本文件不為惡意文件后，進一步包括：

將目標腳本文件的相關信息上報至云服務器，觸發云服務器執行以下操作中的一種或任意組合：

將目標腳本文件與預設的第二一句話WEBSHELL集合進行匹配，判定匹配成功時，確定所述目標腳本文件為惡意文件；其中，所述第二一句話WEBSHELL集合用于描述惡意程序的型號特征；或者，

將目標腳本文件與對應所述目標腳本文件預設的第二多模正則規則集合進行匹配，判定匹配成功時，確定所述目標腳本文件為惡意文件，其中，所述第二多模正則規則集合用于描述惡意程序的內容特征；或者，

采用模糊化哈希算法對目標腳本文件進行處理，將處理后的目標腳本文件與預設的第二大馬惡意樣本集合進行匹配，判定匹配成功時，確定所述目標腳本文件為惡意文件，其中，所述第二大馬惡意樣本集合為具有完備功能的惡意腳本文件集合。

8.如權利要求6所述的方法，其特征在于，若所述方法應用于客戶端側，則判定目標腳本文件不為惡意文件后，進一步包括：

將目標腳本文件的相關信息上報至云服務器，觸發云服務器執行以下操作：

將第二參數集合作為輸入參數，執行所述目標腳本文件；

確定所述目標腳本文件在執行所述第二函數集合中的任意一個函數的過程中，使用了所述第二參數集合中的任意一個參數時，確定所述目標腳本文件為惡意文件；

其中，所述第二參數集合中記錄的每一個參數均被設置污點標記，所述第二函數集合中記錄的每一個函數均為腳本文件運行過程中能夠使用的命令函數。

9.一種惡意文件的檢測裝置，其特征在于，包括：

執行單元，用于將所述第一參數集合作為輸入參數，執行指定的目標腳本文件；

判定單元，用于當確定目標腳本文件在執行所述第一函數集合中的任意一個函數的過程中，使用了所述第一參數集合中的任意一個參數時，判定所述目標腳本文件為惡意文件；其中，所述第一參數集合中記錄的每一個參數均被設置污點標記，所述第一函數集合中記錄的每一個函數均為腳本文件運行過程中能夠使用的命令函數。