[發(fā)明專利]虛擬機的模擬方法及裝置、存儲介質(zhì)、計算機設備

有效

• 申請?zhí)枺?/td>: 201910943733.1
• 申請日: 2019-09-30
• 公開（公告）號: CN112580024B
• 公開（公告）日: 2023-08-01
• 發(fā)明（設計）人: 劉同豪;黃瀚;胡彬
• 申請（專利權(quán)）人: 奇安信安全技術(shù)（珠海）有限公司;奇安信科技集團股份有限公司
• 主分類號: G06F21/53
• 分類號: G06F21/53;G06F21/56
• 代理公司: 北京中強智尚知識產(chǎn)權(quán)代理有限公司 11448
• 代理人: 黃耀威;賈依嬌

本申請公開了一種虛擬機的模擬方法及裝置、存儲介質(zhì)、計算機設備，該方法包括：獲取真實系統(tǒng)中的可執(zhí)行文件對應的可執(zhí)行文件頭；根據(jù)可執(zhí)行文件頭導出可執(zhí)行文件對應的函數(shù)；利用可執(zhí)行文件對應的函數(shù)以及可執(zhí)行文件頭，在虛擬機中建立虛擬可執(zhí)行文件，其中，虛擬可執(zhí)行文件包括與函數(shù)對應的樁函數(shù)ID、樁函數(shù)調(diào)用中斷以及樁函數(shù)調(diào)用返回值。本申請實施例建立的虛擬機在執(zhí)行目標程序時不會向在真實系統(tǒng)中執(zhí)行時那樣真正的去調(diào)用系統(tǒng)中的函數(shù)真正的調(diào)用函數(shù)中的參數(shù)實現(xiàn)調(diào)用目的。既可以大大的減小虛擬機的磁盤占用空間，加速執(zhí)行速度，又可以細粒度的控制樁函數(shù)執(zhí)行行為，為基于動態(tài)行為的啟發(fā)式病毒檢測提供技術(shù)保障。

技術(shù)領域

本申請涉及計算機安全技術(shù)領域，尤其是涉及到一種虛擬機的模擬方法及裝置、存儲介質(zhì)、計算機設備。

背景技術(shù)

隨著計算機技術(shù)的不斷發(fā)展，現(xiàn)在，無論是在日常生活中還是在工作中，計算機都已經(jīng)成為人們不可或缺的伙伴，為人們的工作和生活帶來了很多的便利，但是在這之中有一個不和諧的因素，那就是計算機病毒。

針對由計算機病毒帶來的計算機安全方面的問題，現(xiàn)在幾乎任何企業(yè)或個人都會使用殺毒軟件，但是現(xiàn)在的殺毒軟件大多是基于病毒庫中包括的病毒特征進行病毒查殺，即若計算機中的某個程序命中了病毒庫中的病毒特征，則判定該程序為病毒程序，很顯然，若出現(xiàn)新型病毒或變種病毒，利用病毒庫將難以應對。

因此本申請?zhí)岢隽瞬捎锰摂M機引擎進行啟發(fā)式病毒檢測的方法，但是在目前開發(fā)虛擬機引擎的過程中，發(fā)現(xiàn)在搭建好虛擬機架構(gòu)后，如果完全按照真實系統(tǒng)模擬虛擬機，讓虛擬機加載真實系統(tǒng)可執(zhí)行文件，會造成虛擬機便的非常的臃腫龐大，執(zhí)行效率差，且無法很好的控制API的執(zhí)行行為，達不到病毒動態(tài)行為分析的目的。

如何建立一種更適用于病毒檢測的虛擬機，成為了計算機安全領域的重點課題。

發(fā)明內(nèi)容

有鑒于此，本申請?zhí)峁┝艘环N虛擬機的模擬方法及裝置、存儲介質(zhì)、計算機設備。

根據(jù)本申請的一個方面，提供了一種虛擬機的模擬方法，包括：

獲取真實系統(tǒng)中的可執(zhí)行文件對應的可執(zhí)行文件頭；

根據(jù)所述可執(zhí)行文件頭導出所述可執(zhí)行文件對應的函數(shù)；

利用所述可執(zhí)行文件對應的函數(shù)以及所述可執(zhí)行文件頭，在虛擬機中建立虛擬可執(zhí)行文件，其中，所述虛擬可執(zhí)行文件包括與所述函數(shù)對應的樁函數(shù)ID、樁函數(shù)調(diào)用中斷以及樁函數(shù)調(diào)用返回值。

具體地，所述在虛擬機中建立虛擬可執(zhí)行文件之后，所述方法還包括：

當目標程序在所述虛擬機中執(zhí)行時，調(diào)用所述虛擬可執(zhí)行文件；

響應于所述目標程序?qū)λ鎏摂M可執(zhí)行文件中的目標樁函數(shù)調(diào)用，通過相應的所述樁函數(shù)調(diào)用中斷實現(xiàn)所述目標程序?qū)λ瞿繕藰逗瘮?shù)的調(diào)用，其中，通過目標樁函數(shù)ID確定相應的所述樁函數(shù)調(diào)用中斷；

根據(jù)所述目標程序調(diào)用的所述目標樁函數(shù)以及所述樁函數(shù)調(diào)用返回值，輸出所述目標程序的執(zhí)行結(jié)果。

具體地，所述方法還包括：

記錄所述目標程序在所述虛擬機中執(zhí)行時調(diào)用的所述樁函數(shù)ID；

根據(jù)所述目標程序所調(diào)用的所述樁函數(shù)ID，判斷所述目標程序是否為惡意程序。

具體地，所述根據(jù)所述目標程序所調(diào)用的所述樁函數(shù)ID，判斷所述目標程序是否為惡意程序，具體包括：

根據(jù)所述目標程序所調(diào)用的所述樁函數(shù)ID，確定所述目標程序的執(zhí)行序列，并從所述執(zhí)行序列中解析出所述目標程序的執(zhí)行特征；

查詢所述目標程序的執(zhí)行特征是否屬于預設執(zhí)行特征黑名單中包含的惡意執(zhí)行特征；