[發(fā)明專利]文件外殼的脫殼方法及裝置、存儲介質(zhì)、電子裝置

有效

• 申請?zhí)枺?/td>: 201910945337.2
• 申請日: 2019-09-30
• 公開（公告）號: CN112580040B
• 公開（公告）日: 2023-07-04
• 發(fā)明（設(shè)計）人: 呂群
• 申請（專利權(quán)）人: 奇安信安全技術(shù)（珠海）有限公司;奇安信科技集團(tuán)股份有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京中強(qiáng)智尚知識產(chǎn)權(quán)代理有限公司 11448
• 代理人: 黃耀威;賈依嬌

1.一種文件外殼的脫殼方法，其特征在于，包括：

識別目標(biāo)文件的外殼種類；

根據(jù)所述外殼種類對所述目標(biāo)文件進(jìn)行脫殼，得到脫殼文件；

對所述脫殼文件進(jìn)行修復(fù)，得到原始文件；

識別目標(biāo)文件的外殼種類包括：

檢測目標(biāo)文件的文件外殼的家族標(biāo)識；

在檢測得到所述家族標(biāo)識時，檢測所述文件外殼的外殼代碼；

根據(jù)所述外殼代碼識別所述文件外殼的外殼種類；

在檢測目標(biāo)文件的文件外殼的家族標(biāo)識時，包括：

識別所述目標(biāo)文件的可移植的執(zhí)行體PE結(jié)構(gòu)；

根據(jù)所述PE結(jié)構(gòu)在PE文件的節(jié)區(qū)中檢測所述文件外殼的家族標(biāo)識；

根據(jù)所述外殼種類對所述目標(biāo)文件進(jìn)行脫殼包括：

在預(yù)設(shè)殼表數(shù)據(jù)中查找與所述外殼種類對應(yīng)的加殼規(guī)則，所述加殼規(guī)則至少包括數(shù)據(jù)段的起始范圍、數(shù)據(jù)段的大小、算法；

根據(jù)所述加殼規(guī)則對所述目標(biāo)文件進(jìn)行反序列處理；

根據(jù)所述加殼規(guī)則對所述目標(biāo)文件進(jìn)行反序列處理包括：

通過所述目標(biāo)文件的文件特征定位殼數(shù)據(jù)段的起始位置，確定所述目標(biāo)文件中殼數(shù)據(jù)段的加殼算法，其中，所述加殼算法包括加密算法和壓縮算法；

基于所述起始位置在所述目標(biāo)文件中定位殼代碼，并通過脫殼算法對所述目標(biāo)文件進(jìn)行還原，其中，所述脫殼算法是所述加殼算法的逆向算法。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，對所述脫殼文件進(jìn)行修復(fù)包括：

確定所述脫殼文件的缺失程序；

從預(yù)設(shè)數(shù)據(jù)庫中獲取所述缺失程序，并采用所述缺失程序修復(fù)所述脫殼文件。

3.一種文件外殼的脫殼裝置，其特征在于，包括：

識別模塊，用于識別目標(biāo)文件的外殼種類；

脫殼模塊，用于根據(jù)所述外殼種類對所述目標(biāo)文件進(jìn)行脫殼，得到脫殼文件；

修復(fù)模塊，用于對所述脫殼文件進(jìn)行修復(fù)，得到原始文件；

所述識別模塊包括：

第一檢測單元，用于檢測目標(biāo)文件的文件外殼的家族標(biāo)識；

第二檢測單元，用于在檢測得到所述家族標(biāo)識時，檢測所述文件外殼的外殼代碼；

識別單元，用于根據(jù)所述外殼代碼識別所述文件外殼的外殼種類；

在檢測目標(biāo)文件的文件外殼的家族標(biāo)識時，包括：

識別所述目標(biāo)文件的可移植的執(zhí)行體PE結(jié)構(gòu)；

根據(jù)所述PE結(jié)構(gòu)在PE文件的節(jié)區(qū)中檢測所述文件外殼的家族標(biāo)識；

所述脫殼模塊包括：

查找單元，用于在預(yù)設(shè)殼表數(shù)據(jù)中查找與所述外殼種類對應(yīng)的加殼規(guī)則，所述加殼規(guī)則至少包括數(shù)據(jù)段的起始范圍、數(shù)據(jù)段的大小、算法；

處理單元，用于根據(jù)所述加殼規(guī)則對所述目標(biāo)文件進(jìn)行反序列處理；

所述處理單元包括：

確定子單元，用于通過所述目標(biāo)文件的文件特征定位殼數(shù)據(jù)段的起始位置，確定所述目標(biāo)文件中殼數(shù)據(jù)段的加殼算法，其中，所述加殼算法包括加密算法和壓縮算法；

還原子單元，用于基于所述起始位置在所述目標(biāo)文件中定位殼代碼，并通過脫殼算法對所述目標(biāo)文件進(jìn)行還原，其中，所述脫殼算法是所述加殼算法的逆向算法。

4.一種存儲介質(zhì)，其特征在于，所述存儲介質(zhì)中存儲有計算機(jī)程序，其中，所述計算機(jī)程序被設(shè)置為運行時執(zhí)行權(quán)利要求1至2任一項中所述的方法。

5.一種電子裝置，包括存儲器和處理器，其特征在于，所述存儲器中存儲有計算機(jī)程序，所述處理器被設(shè)置為運行所述計算機(jī)程序以執(zhí)行權(quán)利要求1至2任一項中所述的方法。