[發明專利]脫殼文件的驗證方法及裝置、存儲介質、計算機設備

有效

• 申請號: 201910943731.2
• 申請日: 2019-09-30
• 公開（公告）號: CN112580034B
• 公開（公告）日: 2022-04-22
• 發明（設計）人: 劉同豪;李博;呂群
• 申請（專利權）人: 奇安信安全技術（珠海）有限公司;奇安信科技集團股份有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京中強智尚知識產權代理有限公司 11448
• 代理人: 黃耀威;賈依嬌

本申請公開了一種脫殼文件的驗證方法及裝置、存儲介質、計算機設備，該方法包括：在虛擬機中執行帶殼文件，并在執行結束后從所述虛擬機的執行內存中獲取所述帶殼文件對應的脫殼文件；分別對所述帶殼文件以及所述脫殼文件進行字符串提取，統計所述帶殼文件的字符串數量以及所述脫殼文件的字符串數量；根據所述帶殼文件的字符串數量以及所述脫殼文件的字符串數量，計算所述脫殼文件的字符串膨脹比；若所述字符串膨脹比大于或等于預設字符串膨脹閾值，則確定所述帶殼文件脫殼成功。本申請可以快速有效的判斷虛擬機執行的樣本是否脫殼成功，幫助虛擬機開發人員、以及樣本運營人員快速的篩選出未脫殼文件，及時分析虛擬機潛在的問題。

技術領域

本申請涉及計算機安全技術領域，尤其是涉及到一種脫殼文件的驗證方法及裝置、存儲介質、計算機設備。

背景技術

對二進制文件加殼已經成為計算機信息安全領域應用比較廣泛的一種技術手段，殼大致分為：壓縮殼、加密殼、保護殼等種類，主要用于防止商業軟件被逆向工程，壓縮軟件、躲避反病毒軟件查殺這些方向上。

現有的反病毒軟件為了查殺加殼惡意軟件，通常會對加殼惡意軟件進行脫殼操作，并對產生的新的脫殼后二進制數據進行特征匹配去查殺，對目標可執行文件進行脫殼，更多的是使用靜態脫殼的方式，就是對每個殼進行分析，繼而進行編碼，以達到脫殼的目的。惡意軟件作者為了對抗查殺，會對加殼惡意軟件進行修改，但是基于上述的脫殼方法對于每款殼，都需要進行單獨的分析，編碼才能脫殼，如果發布了新版本或者修改版，亦需要重新進行分析與編碼，需要投入相當大的人力物力。

文件脫殼是病毒查殺的基礎，如何驗證文件脫殼是否成功是本領域亟待解決的基礎問題。

發明內容

有鑒于此，本申請提供了一種脫殼文件的驗證方法及裝置、存儲介質、計算機設備。

根據本申請的一個方面，提供了一種脫殼文件的驗證方法，包括：

在虛擬機中執行帶殼文件，并在執行結束后從所述虛擬機的執行內存中獲取所述帶殼文件對應的脫殼文件；

分別對所述帶殼文件以及所述脫殼文件進行字符串提取，統計所述帶殼文件的字符串數量以及所述脫殼文件的字符串數量；

根據所述帶殼文件的字符串數量以及所述脫殼文件的字符串數量，計算所述脫殼文件的字符串膨脹比；

若所述字符串膨脹比大于或等于預設字符串膨脹閾值，則確定所述帶殼文件脫殼成功。

具體地，所述若所述字符串膨脹比大于或等于預設脫殼成功閾值，則確定所述帶殼文件脫殼成功，具體包括：

若所述字符串膨脹比大于或等于預設脫殼成功閾值，則根據所述脫殼文件的文件大小以及所述帶殼文件的文件大小，計算所述脫殼文件的文件大小增量；

若所述文件大小增量大于或等于預設文件大小增量閾值，則確定所述帶殼文件脫殼成功。

具體地，所述脫殼文件的字符串膨脹比＝(所述脫殼文件的字符串數量-所述帶殼文件的字符串數量)/所述帶殼文件的字符串數量。

具體地，所述在虛擬機中執行帶殼文件，并在執行結束后從所述虛擬機的執行內存中獲取所述帶殼文件對應的脫殼文件，具體包括：

利用所述虛擬機的內存管理模塊在所述虛擬機中為所述帶殼文件分配相應的執行內存塊，以使所述帶殼文件在所述虛擬機中執行時利用所述帶殼文件的殼本身包含的脫殼程序在所述執行內存塊中釋放出所述目標程序對應的所述脫殼文件；

獲取所述內存管理模塊為所述帶殼文件分配的所述執行內存塊；

在所述帶殼文件執行結束后，備份所述執行內存塊，并從所述執行內存塊的備份文件中提取出所述脫殼文件。

具體地，所述在虛擬機中執行帶殼文件之前，所述方法還包括：