[發明專利]異常文件識別方法及裝置

有效

• 申請號: 201710263599.1
• 申請日: 2017-04-20
• 公開（公告）號: CN107169353B
• 公開（公告）日: 2021-05-14
• 發明（設計）人: 姜澎;畢磊;吳彬;郭曉龍;蘇蒙;申金娟
• 申請（專利權）人: 騰訊科技（深圳）有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京三高永信知識產權代理有限責任公司 11138
• 代理人: 朱雅男

本發明公開了一種異常文件識別方法及裝置，屬于網絡技術領域。方法包括：獲取多個樣本異常文件的特征集合以及公共數據串，樣本異常文件的特征集合由樣本異常文件的多個數據層的特征確定，多個樣本異常文件通過同一加密變形算法加密變形得到，公共數據串為至少兩個樣本異常文件的指定數據層均包括的數據串；獲取待識別的目標文件；根據目標文件的多個數據層的特征，獲取目標文件的特征集合；當特征集合與任一樣本異常文件的特征集合匹配，且目標文件與任一樣本異常文件的指定數據層均包括公共數據串，確定目標文件為異常文件。本發明擴展了一種異常文件識別方法，解決了異常文件加密變形后無法識別的問題，提升了靈活性。

技術領域

本發明涉及網絡技術領域，特別涉及一種異常文件識別方法及裝置。

背景技術

隨著網絡技術的發展以及網絡信息的廣泛傳播，網絡中存在著多個類型的文件，例如腳本、文檔、頁面等，這些文件中很可能包括異常文件。通常情況下，異常文件會影響系統的正常運行，導致用戶信息泄露，為用戶帶來損失。因此，識別異常文件成為一個亟需解決的問題。

相關技術中，異常特征碼可以認為是導致文件出現異常的根源，一旦某一文件中包括異常特征碼，即可認為該文件為異常文件，在該文件的運行過程中該異常特征碼會影響系統的正常運行，因此識別異常文件的過程可以通過識別異常特征碼實現。通常情況下，首先會獲取已知的異常特征碼，而對于待識別的文件，可以將文件中的數據與該異常特征碼進行匹配，以判斷該文件是否包括該異常特征碼，當確定該文件包括該異常特征碼時，可以確定該文件為異常文件。

然而，當采用加密變形算法對異常文件進行加密變形后，異常文件中的異常特征碼也會被加密變形，導致異常文件中包括異常特征碼加密變形后的數據，而不包括原始的異常特征碼，此時將無法識別出該異常文件，存在局限性。

發明內容

為了解決相關技術的問題，本發明實施例提供了一種異常文件識別方法及裝置。所述技術方案如下：

第一方面，提供了一種異常文件識別方法，所述方法包括：

獲取多個樣本異常文件中每個樣本異常文件的特征集合以及根據所述多個樣本異常文件確定的公共數據串，所述樣本異常文件的特征集合由所述樣本異常文件的多個數據層的特征確定，所述多個樣本異常文件通過采用同一加密變形算法對多個異常文件進行加密變形后得到，所述公共數據串為至少兩個樣本異常文件的指定數據層均包括的數據串；

獲取待識別的目標文件；

根據所述目標文件的多個數據層的特征，獲取所述目標文件的特征集合；

當所述特征集合與任一樣本異常文件的特征集合匹配，且所述目標文件與所述任一樣本異常文件的指定數據層均包括所述公共數據串時，確定所述目標文件為異常文件。

第二方面，提供了一種異常文件識別裝置，所述裝置包括：

特征集合獲取模塊，用于獲取多個樣本異常文件中每個樣本異常文件的特征集合，所述樣本異常文件的特征集合由所述樣本異常文件的多個數據層的特征確定，所述多個樣本異常文件通過采用同一加密變形算法對多個異常文件進行加密變形后得到，

公共數據串獲取模塊，用于獲取根據所述多個樣本異常文件確定的公共數據串，所述公共數據串為至少兩個樣本異常文件的指定數據層均包括的數據串；

目標文件獲取模塊，用于獲取待識別的目標文件；

所述特征集合獲取模塊，還用于根據所述目標文件的多個數據層的特征，獲取所述目標文件的特征集合；

異常文件確定模塊，用于當所述特征集合與任一樣本異常文件的特征集合匹配，且所述目標文件與所述任一樣本異常文件的指定數據層均包括所述公共數據串時，確定所述目標文件為異常文件。

本發明實施例提供的技術方案帶來的有益效果是：