[發(fā)明專利]一種沙箱分析方法、裝置、電子設(shè)備及存儲介質(zhì)

在審

• 申請?zhí)枺?/td>: 201711426404.7
• 申請日: 2017-12-25
• 公開（公告）號: CN108874658A
• 公開（公告）日: 2018-11-23
• 發(fā)明（設(shè)計）人: 李林哲;王永亮;孫博軒;關(guān)墨辰;王小豐;肖新光
• 申請（專利權(quán)）人: 北京安天網(wǎng)絡(luò)安全技術(shù)有限公司
• 主分類號: G06F11/36
• 分類號: G06F11/36
• 代理公司: 北京市廣友專利事務(wù)所有限責任公司 11237
• 代理人: 祁獻民

1.一種沙箱分析方法，其特征在于，包括：

運行輸入沙箱的程序樣本并監(jiān)測所述程序樣本運行中是否存在創(chuàng)建定時任務(wù)的操作；

在所述程序樣本運行中存在創(chuàng)建定時任務(wù)的操作的情況下，觸發(fā)創(chuàng)建的所述定時任務(wù)提前執(zhí)行。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述監(jiān)測所述程序樣本運行中是否存在創(chuàng)建定時任務(wù)的操作包括：

監(jiān)測所述程序樣本對預(yù)設(shè)API函數(shù)和/或預(yù)設(shè)系統(tǒng)命令的調(diào)用；

根據(jù)監(jiān)測到的調(diào)用情況，確定所述程序樣本運行中是否存在創(chuàng)建定時任務(wù)的操作。

3.根據(jù)權(quán)利要求2所述的方法，其特征在于，所述監(jiān)測所述程序樣本對預(yù)設(shè)API函數(shù)和/或預(yù)設(shè)系統(tǒng)命令的調(diào)用包括：

通過對所述預(yù)設(shè)API函數(shù)注冊的監(jiān)測函數(shù)，監(jiān)測所述程序樣本對所述預(yù)設(shè)API函數(shù)的調(diào)用；

所述根據(jù)監(jiān)測到的調(diào)用情況，確定所述程序樣本運行中是否存在創(chuàng)建定時任務(wù)的操作包括：

在所述監(jiān)測函數(shù)被調(diào)用的情況下，確定所述程序樣本運行中存在創(chuàng)建定時任務(wù)的操作。

4.根據(jù)權(quán)利要求2所述的方法，其特征在于，所述監(jiān)測所述程序樣本對預(yù)設(shè)API函數(shù)和/或預(yù)設(shè)系統(tǒng)命令的調(diào)用包括：

通過對預(yù)設(shè)系統(tǒng)命令的衍生進程的監(jiān)測，監(jiān)測所述程序樣本對所述預(yù)設(shè)系統(tǒng)命令的調(diào)用；

所述根據(jù)監(jiān)測到的調(diào)用情況，確定所述程序樣本運行中是否存在創(chuàng)建定時任務(wù)的操作包括：

在所述衍生進程中包括創(chuàng)建定時任務(wù)的命令的情況下，確定所述程序樣本運行中存在創(chuàng)建定時任務(wù)的操作。

5.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述在所述程序樣本運行中存在創(chuàng)建定時任務(wù)的操作的情況下，觸發(fā)創(chuàng)建的所述定時任務(wù)提前執(zhí)行包括：

在所述程序樣本運行中存在創(chuàng)建定時任務(wù)的操作的情況下，直接調(diào)用實現(xiàn)所述定時任務(wù)的API函數(shù)，以觸發(fā)所述定時任務(wù)提前執(zhí)行，或者修改所述定時任務(wù)的定時參數(shù)，以觸發(fā)所述定時任務(wù)提前執(zhí)行，或者向所述定時任務(wù)發(fā)送模擬觸發(fā)信號，以觸發(fā)所述定時任務(wù)提前執(zhí)行，或者修改系統(tǒng)時間，以觸發(fā)所述定時任務(wù)提前執(zhí)行。

6.一種沙箱分析裝置，其特征在于，包括：

監(jiān)測單元，運行輸入沙箱的程序樣本并監(jiān)測所述程序樣本運行中是否存在創(chuàng)建定時任務(wù)的操作；

觸發(fā)單元，用于在所述監(jiān)測單元監(jiān)測到所述程序樣本運行中存在創(chuàng)建定時任務(wù)的操作的情況下，觸發(fā)創(chuàng)建的所述定時任務(wù)提前執(zhí)行。

7.根據(jù)權(quán)利要求6所述的裝置，其特征在于，所述監(jiān)測單元包括：

監(jiān)測模塊，用于監(jiān)測所述程序樣本對預(yù)設(shè)API函數(shù)和/或預(yù)設(shè)系統(tǒng)命令的調(diào)用；

確定模塊，用于根據(jù)監(jiān)測到的調(diào)用情況，確定所述程序樣本運行中是否存在創(chuàng)建定時任務(wù)的操作。

8.根據(jù)權(quán)利要求7所述的裝置，其特征在于，所述監(jiān)測模塊，具體用于通過對所述預(yù)設(shè)API函數(shù)注冊的監(jiān)測函數(shù)，監(jiān)測所述程序樣本對所述預(yù)設(shè)API函數(shù)的調(diào)用；

所述確定模塊，具體用于在所述監(jiān)測函數(shù)被調(diào)用的情況下，確定所述程序樣本運行中存在創(chuàng)建定時任務(wù)的操作。

9.根據(jù)權(quán)利要求7所述的裝置，其特征在于，所述監(jiān)測模塊，具體用于通過對預(yù)設(shè)系統(tǒng)命令的衍生進程的監(jiān)測，監(jiān)測所述程序樣本對所述預(yù)設(shè)系統(tǒng)命令的調(diào)用；

所述確定模塊，具體用于在所述衍生進程中包括創(chuàng)建定時任務(wù)的命令的情況下，確定所述程序樣本運行中存在創(chuàng)建定時任務(wù)的操作。

10.根據(jù)權(quán)利要求7所述的裝置，其特征在于，所述觸發(fā)單元，具體用于在確定所述程序樣本運行中存在創(chuàng)建定時任務(wù)的操作的情況下，直接調(diào)用實現(xiàn)所述定時任務(wù)的API函數(shù)，以觸發(fā)所述定時任務(wù)提前執(zhí)行，或者修改所述定時任務(wù)的定時參數(shù)，以觸發(fā)所述定時任務(wù)提前執(zhí)行，或者向所述定時任務(wù)發(fā)送模擬觸發(fā)信號，以觸發(fā)所述定時任務(wù)提前執(zhí)行，或者修改系統(tǒng)時間，以觸發(fā)所述定時任務(wù)提前執(zhí)行。