[發明專利]檢測程序代碼的方法及裝置、服務器

在審

• 申請號: 201610192199.1
• 申請日: 2016-03-30
• 公開（公告）號: CN107292168A
• 公開（公告）日: 2017-10-24
• 發明（設計）人: 王敏學
• 申請（專利權）人: 阿里巴巴集團控股有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京博思佳知識產權代理有限公司11415
• 代理人: 陳蕾

1.一種檢測程序代碼的方法，其特征在于，所述方法包括：

將待檢測程序代碼輸入模擬程序運行的環境中后，對待檢測程序代碼進行詞法及語法解析，得到解析后的所述待檢測程序代碼；

提取所述解析后的待檢測程序代碼中的第一表達式特征；

將所述第一表達式特征與特征庫中的第二表達式特征進行匹配，得到匹配結果，所述特征庫用于記錄已采集的惡意代碼中出現的表達式特征；

根據所述匹配結果確定所述待檢測程序代碼是否為惡意代碼。

2.根據權利要求1所述的方法，其特征在于，所述方法還包括：

當根據所述匹配結果確定所述待檢測程序代碼為正常代碼時，在所述虛擬機中跟蹤所述解析后的待檢測程序代碼的執行行為；

根據所述執行行為確定所述待檢測程序代碼是否為惡意代碼。

3.根據權利要求2所述的方法，其特征在于，所述根據所述執行行為確定所述待檢測程序代碼是否為惡意代碼，包括：

確定所述執行行為是否命中預設的異常行為；

當所述執行行為命中所述預設的異常行為時，確定所述待檢測程序代碼為惡意代碼；

當所述執行行為未命中所述預設的異常行為時，確定所述待檢測程序代碼為正常代碼。

4.根據權利要求3所述的方法，其特征在于，所述方法還包括：

當確定所述待檢測程序代碼為惡意代碼時，提取所述待檢測程序代碼中的表達式特征；

將所述待檢測程序代碼中的表達式特征更新到所述特征庫中。

5.一種檢測程序代碼的方法，其特征在于，所述方法包括：

將待檢測程序代碼輸入模擬程序運行的環境中；

在所述模擬程序運行的環境中跟蹤所述待檢測程序代碼的執行行為；

根據所述執行行為確定所述待檢測程序代碼是否為惡意代碼。

6.根據權利要求5所述的方法，其特征在于，所述根據所述執行行為確定所述待檢測程序代碼是否為惡意代碼，包括：

確定所述執行行為是否命中預設的異常行為；

當所述執行行為命中所述預設的異常行為時，確定所述待檢測程序代碼為惡意代碼；

當所述執行行為未命中所述預設的異常行為時，確定所述待檢測程序代碼為正常代碼。

7.一種檢測程序代碼的裝置，其特征在于，所述裝置包括：

解析模塊，用于將待檢測程序代碼輸入模擬程序運行的環境中后，對待檢測程序代碼進行詞法及語法解析，得到解析后的所述待檢測程序代碼；

第一提取模塊，用于提取所述解析模塊解析后的待檢測程序代碼中的第一表達式特征；

匹配模塊，用于將所述第一提取模塊提取到的所述第一表達式特征與特征庫中的第二表達式特征進行匹配，得到匹配結果，所述特征庫用于記錄已采集的惡意代碼中出現的表達式特征；

第一確定模塊，用于根據所述匹配模塊得到的所述匹配結果確定所述待檢測程序代碼是否為惡意代碼。

8.根據權利要求7所述的裝置，其特征在于，所述裝置還包括：

第一跟蹤模塊，用于當所述第一確定模塊根據所述匹配結果確定所述待檢測程序代碼為正常代碼時，跟蹤所述解析后的待檢測程序代碼的執行行為；

第二確定模塊，用于根據所述第一跟蹤模塊得到的所述執行行為確定所述待檢測程序代碼是否為惡意代碼。

9.根據權利要求8所述的裝置，其特征在于，所述第二確定模塊包括：

第一確定單元，用于確定所述執行行為是否命中預設的異常行為；

第二確定單元，用于當所述第一確定單元確定所述執行行為命中所述預設的異常行為時，確定所述待檢測程序代碼為惡意代碼；

第三確定單元，用于當所述第一確定單元確定所述執行行為未命中所述預設的異常行為時，確定所述待檢測程序代碼為正常代碼。

10.根據權利要求9所述的裝置，其特征在于，所述裝置還包括：

第二提取模塊，用于當所述第二確定單元確定所述待檢測程序代碼為惡意代碼時，提取所述待檢測程序代碼中的表達式特征；

更新模塊，用于將所述第二提取模塊提取到的所述待檢測程序代碼中的表達式特征更新到所述特征庫中。