[發明專利]一種檢測方法和裝置

有效

• 申請號: 201611263964.0
• 申請日: 2016-12-30
• 公開（公告）號: CN106650453B
• 公開（公告）日: 2019-11-05
• 發明（設計）人: 劉洋;陳亙;李永泉;謝瑞璇
• 申請（專利權）人: 北京啟明星辰信息安全技術有限公司;啟明星辰信息技術集團股份有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京集佳知識產權代理有限公司 11227
• 代理人: 王寶筠

1.一種檢測方法，其特征在于，包括：

判斷獲取的目標文件是否是固態存儲器與動畫編輯器flash文件；

當判斷出所述獲取的目標文件是flash文件，將所述目標文件中包含的具有二進制形式的代碼的格式進行轉換，轉換成具有字符串形式的代碼；

將位于所述具有字符串形式的代碼中的預設位置的代碼提取出來，得到待解析代碼；

判斷所述待解析代碼中是否包含有預設的惡意特征中的至少一個惡意特征；預設的惡意特征包括名稱特征、惡意行為特征或數據拼接特征；名稱特征包括類名；

當判斷出所述待解析代碼中包含有預設的惡意特征中的至少一個惡意特征，根據所述待解析代碼中包含的每一個惡意特征中的待解析字符串，得到與所述每一個惡意特征對應的、能夠表示該惡意特征的惡意程度的數值；與所述每一個惡意特征對應的、能夠表示該惡意特征的惡意程度的數值與所述待解析代碼中包含的每一個惡意特征中的待解析字符串有關聯關系；

根據與所述每一個惡意特征對應的、能夠表示該惡意特征的惡意程度的數值，采用機器學習算法，判斷所述目標文件是否是惡意文件。

2.根據權利要求1所述的檢測方法，其特征在于，所述判斷獲取的目標文件是否是固態存儲器與動畫編輯器flash文件，包括：

采用文件格式識別方法識別所述目標文件的文件類型，判斷所述文件類型是否是flash文件的文件類型。

3.根據權利要求1所述的檢測方法，其特征在于，所述將位于所述具有字符串形式的代碼中的預設位置的代碼提取出來，得到待解析代碼，包括：

查找位于所述具有字符串形式的代碼中的預設位置中的每個位置的代碼；

將所述每個位置的代碼提取出來，得到待解析代碼。

4.根據權利要求1所述的檢測方法，其特征在于，

所述預設的惡意特征包括名稱特征、惡意行為特征或數據拼接特征；

相應的，所述根據所述待解析代碼中包含的每一個惡意特征中的待解析字符串，得到與所述每一個惡意特征對應的、能夠表示該惡意特征的惡意程度的數值，包括：

當所述待解析代碼中包含所述名稱特征時，根據與所述待解析代碼中包含的所述名稱特征相匹配的字符串為正常字符串的概率，得到與所述名稱特征對應的、能夠表示所述名稱特征的惡意程度的數值；

當所述待解析代碼中包含所述惡意行為特征時，根據所述待解析代碼中包含的所述惡意行為特征中的每個特征出現的次數，得到與所述惡意行為特征對應的、能夠表示所述惡意行為特征的惡意程度的數值；

當所述待解析代碼中包含所述數據拼接特征時，根據所述待解析代碼中包含的所述數據拼接特征出現的次數，得到與所述數據拼接特征對應的、能夠表示所述數據拼接特征的惡意程度的數值。

5.根據權利要求1所述的檢測方法，其特征在于，所述根據與所述每一個惡意特征對應的、能夠表示該惡意特征的惡意程度的數值，采用機器學習算法，判斷所述目標文件是否是惡意文件，包括：

根據與所述每一個惡意特征對應的、能夠表示該惡意特征的惡意程度的數值，采用機器學習算法，計算得到所述目標文件為惡意文件的概率；

根據所述概率，判斷所述目標文件是否是惡意文件。