[發明專利]一種木馬程序的檢測方法和裝置

有效

• 申請號: 201610136580.6
• 申請日: 2016-03-10
• 公開（公告）號: CN107181719B
• 公開（公告）日: 2021-03-02
• 發明（設計）人: 費永康
• 申請（專利權）人: 阿里巴巴集團控股有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06F21/56
• 代理公司: 北京博思佳知識產權代理有限公司 11415
• 代理人: 林祥

1.一種木馬程序的檢測方法，其特征在于，所述方法包括以下步驟：

客戶端監控到在信息匯聚平臺上發生指定事件；其中，所述指定事件包括通過電子商務平臺提供的查詢接口查詢用戶信息的事件；所述信息匯聚平臺為賣家平臺，所述用戶信息為買家用戶的用戶信息；

所述客戶端將所述指定事件對應的程序的驗證信息發送給服務端，以使服務端利用所述驗證信息判斷所述指定事件對應的程序是否為危險程序；

所述客戶端根據接收到的程序上報命令，將所述指定事件對應的程序發送給服務端，以使所述服務端檢測所述程序是否為木馬程序。

2.根據權利要求1所述的方法，其特征在于，

所述客戶端監控到在信息匯聚平臺上發生指定事件的過程，具體包括：

所述客戶端監控到所述信息匯聚平臺查詢用戶信息時，則確定在信息匯聚平臺上發生指定事件。

3.根據權利要求2所述的方法，其特征在于，

所述客戶端監控到所述信息匯聚平臺查詢用戶信息的過程，具體包括：

所述客戶端向所述信息匯聚平臺的每個進程注入動態鏈接庫dll，所述dll用于監控本進程是否有通過電子商務平臺提供的查詢接口查詢用戶信息的行為；當通過所述dll監控到有進程通過所述查詢接口查詢用戶信息的行為時，則監控到所述信息匯聚平臺通過所述查詢接口查詢用戶信息；

所述查詢接口包括統一資源定位符URL接口或者應用程序編程接口API。

4.根據權利要求1所述的方法，其特征在于，所述驗證信息包括以下之一或者任意組合：簽名信息、文件名、md5值、文件大小。

5.一種木馬程序的檢測方法，其特征在于，所述方法包括以下步驟：

服務端接收客戶端發送的驗證信息，所述驗證信息為客戶端監控到在信息匯聚平臺上發生指定事件時，發送的所述指定事件對應的程序的驗證信息；其中，所述指定事件包括通過電子商務平臺提供的查詢接口查詢用戶信息的事件；所述信息匯聚平臺為賣家平臺，所述用戶信息為買家用戶的用戶信息；

所述服務端利用所述驗證信息判斷所述指定事件對應的程序是否為危險程序；如果是，則所述服務端向所述客戶端發送程序上報命令；

所述服務端接收所述客戶端發送的所述指定事件對應的程序；

所述服務端檢測所述程序是否為木馬程序。

6.根據權利要求5所述的方法，其特征在于，所述服務端利用所述驗證信息判斷所述指定事件對應的程序是否為危險程序的過程，具體包括：

所述服務端判斷預先維護的程序白名單庫內是否存在所述驗證信息；

如果否，則所述服務端確定所述指定事件對應的程序是危險程序；

如果是，則所述服務端確定所述指定事件對應的程序不是危險程序；

其中，在所述服務端上預先維護有程序白名單庫，且所述程序白名單庫內記錄了被授權的能夠查詢用戶信息的程序的驗證信息。

7.根據權利要求5或6所述的方法，其特征在于，所述驗證信息包括以下之一或者任意組合：簽名信息、文件名、md5值、文件大小。

8.根據權利要求6所述的方法，其特征在于，所述服務端利用所述驗證信息判斷所述指定事件對應的程序是否為危險程序的過程，具體包括：

所述服務端判斷當前收到的驗證信息中是否包含簽名信息；

如果否，則所述服務端確定所述指定事件對應的程序是危險程序；

如果是，則所述服務端判斷簽名信息是否包含在程序白名單庫中；

如果所述簽名信息未包含在所述程序白名單庫中，則所述服務端確定所述指定事件對應的程序是危險程序；如果所述簽名信息包含在所述程序白名單庫中，則所述服務端確定所述指定事件對應的程序不是危險程序。