[發(fā)明專利]惡意代碼的檢測方法、裝置、存儲介質(zhì)及電子設(shè)備

在審

• 申請?zhí)枺?/td>: 202010113038.5
• 申請日: 2020-02-24
• 公開（公告）號: CN111339531A
• 公開（公告）日: 2020-06-26
• 發(fā)明（設(shè)計）人: 過辰楷;許靜;黃登蓉;張建雯;朱靜雯;趙偉
• 申請（專利權(quán)）人: 南開大學(xué);天津南大通用數(shù)據(jù)技術(shù)股份有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06K9/62
• 代理公司: 北京布瑞知識產(chǎn)權(quán)代理有限公司 11505
• 代理人: 孟潭

1.一種惡意代碼的檢測方法，其特征在于，包括：

獲取待檢測代碼；其中所述待檢測代碼包括至少一個回調(diào)函數(shù)；

提取所述待檢測代碼的特征信息；

計算所述待檢測代碼的特征信息與典型惡意代碼的特征信息的相似度；以及

當(dāng)所述相似度大于預(yù)設(shè)的相似度閾值時，確定所述待檢測代碼為惡意代碼。

2.根據(jù)權(quán)利要求1所述的檢測方法，其特征在于，所述待檢測代碼包括多個回調(diào)函數(shù)；所述待檢測代碼的特征信息包括所述多個回調(diào)函數(shù)的內(nèi)部代碼信息和所述多個回調(diào)函數(shù)之間的序列信息。

3.根據(jù)權(quán)利要求2所述的檢測方法，其特征在于，所述多個回調(diào)函數(shù)之間的序列信息的獲取方式包括：

基于所述多個回調(diào)函數(shù)，構(gòu)建回調(diào)圖；以及

通過隨機游走的方式，獲取所述多個回調(diào)函數(shù)之間的序列信息。

4.根據(jù)權(quán)利要求2所述的檢測方法，其特征在于，所述多個回調(diào)函數(shù)的內(nèi)部代碼信息的獲取方式包括：

分別將所述多個回調(diào)函數(shù)中每個回調(diào)函數(shù)的內(nèi)部代碼轉(zhuǎn)化為抽象語法樹中的多個節(jié)點；以及

根據(jù)所述抽象語法樹中的多個節(jié)點，形成所述多個回調(diào)函數(shù)中每個回調(diào)函數(shù)的內(nèi)部代碼信息。

5.根據(jù)權(quán)利要求1所述的檢測方法，其特征在于，所述待檢測代碼的特征信息包括如下信息中的一個或多個的組合：

函數(shù)名稱、返回值類型、函數(shù)參數(shù)列表；和/或

所述典型惡意代碼的特征信息包括如下信息中的一個或多個的組合：

函數(shù)名稱、返回值類型、函數(shù)參數(shù)列表。

6.根據(jù)權(quán)利要求1所述的檢測方法，其特征在于，所述典型惡意代碼包括多個惡意應(yīng)用程序類別。

7.根據(jù)權(quán)利要求1所述的檢測方法，其特征在于，還包括：

當(dāng)所述相似度小于或等于所述相似度閾值時，確定所述待檢測代碼為非惡意代碼。

8.一種惡意代碼的檢測裝置，其特征在于，包括：

獲取模塊，用于獲取待檢測代碼；其中所述待檢測代碼包括至少一個回調(diào)函數(shù)；

提取模塊，用于提取所述待檢測代碼的特征信息；

計算模塊，用于計算所述待檢測代碼的特征信息與典型惡意代碼的特征信息的相似度；以及

確定模塊，用于當(dāng)所述相似度大于預(yù)設(shè)的相似度閾值時，確定所述待檢測代碼為惡意代碼。

9.一種計算機可讀存儲介質(zhì)，所述存儲介質(zhì)存儲有計算機程序，所述計算機程序用于執(zhí)行上述權(quán)利要求1-7任一所述的檢測方法。

10.一種電子設(shè)備，所述電子設(shè)備包括：

處理器；

用于存儲所述處理器可執(zhí)行指令的存儲器；

所述處理器，用于執(zhí)行上述權(quán)利要求1-7任一所述的檢測方法。