[發明專利]一種加速虛擬執行的方法、裝置、電子設備及存儲介質

有效

• 申請號: 201711498890.3
• 申請日: 2017-12-29
• 公開（公告）號: CN108875363B
• 公開（公告）日: 2021-04-30
• 發明（設計）人: 李林哲;孫博軒;關墨辰;王小豐;肖新光
• 申請（專利權）人: 北京安天網絡安全技術有限公司
• 主分類號: G06F21/53
• 分類號: G06F21/53;G06F9/455
• 代理公司: 北京市廣友專利事務所有限責任公司 11237
• 代理人: 祁獻民

本發明的實施例公開一種加速虛擬執行的方法、裝置、電子設備及存儲介質，涉及計算機安全領域，能夠提高現有技術中虛擬執行的效率。本發明實施例提供一種加速虛擬執行的方法，包括：每次調用應用程序的調用接口API時，將第一指令序列與指令知識庫中的目標指令序列進行模式匹配搜索；當匹配成功時，根據所述目標指令序列與執行結果的對應關系，獲取與所述第一指令序列對應的執行結果；根據所述執行結果，直接修改根據所述第一指令序列操作發生變化的寄存器。

技術領域

本發明涉及計算機安全領域，尤其涉及一種加速虛擬執行的方法、裝置、電子設備及存儲介質。

背景技術

沙箱(Sandboxie)，又名沙盤，是一種按照安全策略限制程序行為的執行環境，它允許用戶在沙箱環境中運行程序，運行所產生的變化可以隨后刪除。通過在沙箱環境中運行程序，可以檢測程序中是否存在惡意行為，當發現程序中存在惡意行為時可以發出告警。

針對惡意軟件的變形、混淆等逃避檢測的手段，沙箱系統使用動態虛擬執行的手段可以對其進行比較有效地檢測。但是動態虛擬執行也存在著如虛擬執行速度慢的固有缺陷，其與傳統的反病毒引擎相比，檢測效率較低。

發明內容

有鑒于此，本發明實施例提供一種加速虛擬執行的方法、裝置、電子設備及存儲介質，能夠提高虛擬執行的效率。

第一方面，本發明實施例提供一種加速虛擬執行的方法，包括：每次調用應用程序的調用接口API時，將第一指令序列與指令知識庫中的目標指令序列進行模式匹配搜索，所述第一指令序列為需要物理CPU運算的指令序列，所述指令知識庫中保存有目標指令序列與執行結果的對應關系；當匹配成功時，根據所述目標指令序列與執行結果的對應關系，獲取與所述第一指令序列對應的執行結果；根據所述執行結果，直接修改根據所述第一指令序列操作發生變化的寄存器。

結合第一方面，在第一方面的第一種實施方式中，所述方法，包括：當匹配不成功時，調用所述物理CPU執行所述第一指令序列。

結合第一方面的第一種實施方式，在第一方面的第二種實施方式中，所述方法，還包括：

當所述第一指令序列匹配不成功且所述第一指令序列為惡意對抗代碼對應的指令流，將所述第一指令序列以及與所述第一指令序列對應的執行結果的對應關系錄入所述指令知識庫中。

結合第一方面、第一方面的第一種或第二種實施方式，在第一方面的第三種實施方式中，所述將第一指令序列與指令知識庫中的目標指令序列進行模式匹配搜索，包括：翻譯調用API對應的函數以生成虛擬指令序列；將所述虛擬指令序列中的指令按序逐條加入緩沖區以形成第一指令序列直至匹配完成。

結合第一方面的第三種實施方式，在第一方面的第四種實施方式中，所述將所述虛擬指令序列中的指令按序逐條加入緩沖區以形成第一指令序列直至匹配完成，包括：每加入一條指令時將緩沖區中更新的第一指令序列與所述指令知識庫中的目標指令序列進行匹配；若所述第一指令序列屬于定位的目標指令序列中的首部部分，則將所述虛擬指令序列中的下一條指令加入所述緩沖區，直至所述第一指令序列與定位的目標指令序列完全一致，或所述第一指令序列與定位的目標指令序列中出現不同指令。

結合第一方面的第三種實施方式，在第一方面的第五種可能的實現方式中，所述將所述虛擬指令序列中的指令按序逐條加入緩沖區以形成第一指令序列直至匹配完成之后，還包括：清空所述緩沖區。

第二方面，本發明實施例提供一種加速虛擬執行的裝置，包括：

匹配單元，用于每次調用應用程序的調用接口API時，將第一指令序列與指令知識庫中的目標指令序列進行模式匹配搜索，所述第一指令序列為需要物理CPU運算的指令序列，所述指令知識庫中保存有目標指令序列與執行結果的對應關系；

獲取單元，用于當所述匹配單元匹配成功時，根據所述目標指令序列與執行結果的對應關系，獲取與所述第一指令序列對應的執行結果；