[發明專利]文件外殼的脫殼方法及裝置、存儲介質、電子裝置

有效

• 申請號: 201910945337.2
• 申請日: 2019-09-30
• 公開（公告）號: CN112580040B
• 公開（公告）日: 2023-07-04
• 發明（設計）人: 呂群
• 申請（專利權）人: 奇安信安全技術（珠海）有限公司;奇安信科技集團股份有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京中強智尚知識產權代理有限公司 11448
• 代理人: 黃耀威;賈依嬌

本發明提供了一種文件外殼的脫殼方法及裝置、存儲介質、電子裝置，其中，該方法包括：識別目標文件的外殼種類；根據所述外殼種類對所述目標文件進行脫殼，得到脫殼文件；對所述脫殼文件進行修復，得到原始文件。通過本發明，解決了相關技術中只能對單一類型的帶殼文件進行還原的技術問題，提高了帶殼文件的識別率和檢測率，同時也降低了使用外殼偽裝的病毒木馬文件帶來的網絡風險。

技術領域

本發明涉及網絡安全領域，具體而言，涉及一種文件外殼的脫殼方法及裝置、存儲介質、電子裝置。

背景技術

相關技術中，外殼是文件的原程序之外程序段，一般用于文件變種，壓縮，加密等，因為加殼會讓病毒更小巧，方便傳播同時也會扭曲病毒的代碼，以躲避殺毒軟件的識別。

外殼包括保護殼等多種，相關技術中保護殼是病毒用于保護自己不被反病毒軟件識別的一種代碼保護技術，如果想對被保護的病毒進行查殺一般分為兩個步驟，1：識別殼2：脫殼。相關技術中的脫殼工具一般都是較為針對性的識別殼，只能查殺固定種類的外殼，這樣會導致其他家族的殼無法識別，有一定幾率識別錯誤等問題。

針對相關技術中存在的上述問題，目前尚未發現有效的解決方案。

發明內容

本發明實施例提供了一種文件外殼的脫殼方法及裝置、存儲介質、電子裝置。

根據本發明的一個實施例，提供了一種文件外殼的脫殼方法，包括：識別目標文件的外殼種類；根據所述外殼種類對所述目標文件進行脫殼，得到脫殼文件；對所述脫殼文件進行修復，得到原始文件。

可選的，根據所述外殼種類對所述目標文件進行脫殼包括：在預設殼表數據中查找與所述外殼種類對應的加殼規則；根據所述加殼規則對所述目標文件進行反序列處理。

可選的，根據所述加殼規則對所述目標文件進行反序列處理包括：確定所述目標文件中殼數據段的起始位置和加殼算法，其中，所述加殼算法包括加密算法和壓縮算法；基于所述起始位置在所述目標文件中定位殼代碼，并通過脫殼算法對所述目標文件進行還原，其中，所述脫殼算法是所述加殼算法的逆向算法。

可選的，對所述脫殼文件進行修復包括：確定所述脫殼文件的缺失程序；從預設數據庫中獲取所述缺失程序，并采用所述缺失程序修復所述脫殼文件。

可選的，識別目標文件的外殼種類包括：檢測目標文件的文件外殼的家族標識；在檢測得到所述家族標識時，檢測所述文件外殼的外殼代碼；根據所述外殼代碼識別所述文件外殼的外殼種類。

根據本發明的另一個實施例，提供了一種文件外殼的脫殼裝置，包括：識別模塊，用于識別目標文件的外殼種類；脫殼模塊，用于根據所述外殼種類對所述目標文件進行脫殼，得到脫殼文件；修復模塊，用于對所述脫殼文件進行修復，得到原始文件。

可選的，所述脫殼模塊包括：查找單元，用于在預設殼表數據中查找與所述外殼種類對應的加殼規則；處理單元，用于根據所述加殼規則對所述目標文件進行反序列處理。

可選的，所述處理單元包括：確定子單元，用于確定所述目標文件中殼數據段的起始位置和加殼算法，其中，所述加殼算法包括加密算法和壓縮算法；還原子單元，用于基于所述起始位置在所述目標文件中定位殼代碼，并通過脫殼算法對所述目標文件進行還原，其中，所述脫殼算法是所述加殼算法的逆向算法。

可選的，所述修復模塊包括：確定單元，用于確定所述脫殼文件的缺失程序；修復單元，用于從預設數據庫中獲取所述缺失程序，并采用所述缺失程序修復所述脫殼文件。

可選的，所述識別模塊包括：第一檢測單元，用于檢測目標文件的文件外殼的家族標識；第二檢測單元，用于在檢測得到所述家族標識時，檢測所述文件外殼的外殼代碼；識別單元，用于根據所述外殼代碼識別所述文件外殼的外殼種類。