[發(fā)明專利]脫殼文件的驗(yàn)證方法及裝置、存儲(chǔ)介質(zhì)、計(jì)算機(jī)設(shè)備

有效

• 申請(qǐng)?zhí)枺?/td>: 201910943731.2
• 申請(qǐng)日: 2019-09-30
• 公開（公告）號(hào): CN112580034B
• 公開（公告）日: 2022-04-22
• 發(fā)明（設(shè)計(jì)）人: 劉同豪;李博;呂群
• 申請(qǐng)（專利權(quán)）人: 奇安信安全技術(shù)（珠海）有限公司;奇安信科技集團(tuán)股份有限公司
• 主分類號(hào): G06F21/56
• 分類號(hào): G06F21/56
• 代理公司: 北京中強(qiáng)智尚知識(shí)產(chǎn)權(quán)代理有限公司 11448
• 代理人: 黃耀威;賈依嬌

1.一種脫殼文件的驗(yàn)證方法，其特征在于，包括：

在虛擬機(jī)中執(zhí)行帶殼文件，并在執(zhí)行結(jié)束后從所述虛擬機(jī)的執(zhí)行內(nèi)存中獲取所述帶殼文件對(duì)應(yīng)的脫殼文件；

分別對(duì)所述帶殼文件以及所述脫殼文件進(jìn)行字符串提取，統(tǒng)計(jì)所述帶殼文件的字符串?dāng)?shù)量以及所述脫殼文件的字符串?dāng)?shù)量；

根據(jù)所述帶殼文件的字符串?dāng)?shù)量以及所述脫殼文件的字符串?dāng)?shù)量，計(jì)算所述脫殼文件的字符串膨脹比；

若所述字符串膨脹比大于或等于預(yù)設(shè)字符串膨脹閾值，則確定所述帶殼文件脫殼成功。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述若所述字符串膨脹比大于或等于預(yù)設(shè)脫殼成功閾值，則確定所述帶殼文件脫殼成功，具體包括：

若所述字符串膨脹比大于或等于預(yù)設(shè)脫殼成功閾值，則根據(jù)所述脫殼文件的文件大小以及所述帶殼文件的文件大小，計(jì)算所述脫殼文件的文件大小增量；

若所述文件大小增量大于或等于預(yù)設(shè)文件大小增量閾值，則確定所述帶殼文件脫殼成功。

3.根據(jù)權(quán)利要求1或2所述的方法，其特征在于，所述脫殼文件的字符串膨脹比＝(所述脫殼文件的字符串?dāng)?shù)量-所述帶殼文件的字符串?dāng)?shù)量)/所述帶殼文件的字符串?dāng)?shù)量。

4.根據(jù)權(quán)利要求2所述的方法，其特征在于，所述在虛擬機(jī)中執(zhí)行帶殼文件，并在執(zhí)行結(jié)束后從所述虛擬機(jī)的執(zhí)行內(nèi)存中獲取所述帶殼文件對(duì)應(yīng)的脫殼文件，具體包括：

利用所述虛擬機(jī)的內(nèi)存管理模塊在所述虛擬機(jī)中為所述帶殼文件分配相應(yīng)的執(zhí)行內(nèi)存塊，以使所述帶殼文件在所述虛擬機(jī)中執(zhí)行時(shí)利用所述帶殼文件的殼本身包含的脫殼程序在所述執(zhí)行內(nèi)存塊中釋放出所述帶殼文件對(duì)應(yīng)的所述脫殼文件；

獲取所述內(nèi)存管理模塊為所述帶殼文件分配的所述執(zhí)行內(nèi)存塊；

在所述帶殼文件執(zhí)行結(jié)束后，備份所述執(zhí)行內(nèi)存塊，并從所述執(zhí)行內(nèi)存塊的備份文件中提取出所述脫殼文件。

5.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述在虛擬機(jī)中執(zhí)行帶殼文件之前，所述方法還包括：

根據(jù)預(yù)設(shè)壓縮殼特征，從樣本文件中篩選出所述帶殼文件，其中，所述帶殼文件的殼類型包括壓縮殼。

6.根據(jù)權(quán)利要求2所述的方法，其特征在于，所述方法還包括：

若所述字符串膨脹比小于所述預(yù)設(shè)字符串膨脹閾值或所述字符串膨脹比小于所述預(yù)設(shè)脫殼成功閾值，則在所述虛擬機(jī)中再次執(zhí)行所述帶殼文件，并在執(zhí)行結(jié)束后從所述虛擬機(jī)的執(zhí)行內(nèi)存中獲取所述帶殼文件對(duì)應(yīng)的新的脫殼文件。

7.根據(jù)權(quán)利要求6所述的方法，其特征在于，所述方法還包括：

若所述帶殼文件在所述虛擬機(jī)中執(zhí)行次數(shù)超過預(yù)設(shè)執(zhí)行次數(shù)閾值，則將所述帶殼文件以及所述帶殼文件對(duì)應(yīng)的執(zhí)行日志上報(bào)至脫殼管理中心。

8.一種脫殼文件的驗(yàn)證裝置，其特征在于，包括：

脫殼模塊，用于在虛擬機(jī)中執(zhí)行帶殼文件，并在執(zhí)行結(jié)束后從所述虛擬機(jī)的執(zhí)行內(nèi)存中獲取所述帶殼文件對(duì)應(yīng)的脫殼文件；

字符串提取模塊，用于分別對(duì)所述帶殼文件以及所述脫殼文件進(jìn)行字符串提取，統(tǒng)計(jì)所述帶殼文件的字符串?dāng)?shù)量以及所述脫殼文件的字符串?dāng)?shù)量；

膨脹比計(jì)算模塊，用于根據(jù)所述帶殼文件的字符串?dāng)?shù)量以及所述脫殼文件的字符串?dāng)?shù)量，計(jì)算所述脫殼文件的字符串膨脹比；

脫殼分析模塊，用于若所述字符串膨脹比大于或等于預(yù)設(shè)字符串膨脹閾值，則確定所述帶殼文件脫殼成功。

9.根據(jù)權(quán)利要求8所述的裝置，其特征在于，所述脫殼分析模塊，具體包括：

分析單元，用于若所述字符串膨脹比大于或等于預(yù)設(shè)脫殼成功閾值，則根據(jù)所述脫殼文件的文件大小以及所述帶殼文件的文件大小，計(jì)算所述脫殼文件的文件大小增量；

確定單元，用于若所述文件大小增量大于或等于預(yù)設(shè)文件大小增量閾值，則確定所述帶殼文件脫殼成功。

10.根據(jù)權(quán)利要求8或9所述的裝置，其特征在于，所述脫殼文件的字符串膨脹比＝(所述脫殼文件的字符串?dāng)?shù)量-所述帶殼文件的字符串?dāng)?shù)量)/所述帶殼文件的字符串?dāng)?shù)量。