[發明專利]一種PowerShell惡意腳本的檢測方法及裝置

在審

• 申請號: 202010170489.2
• 申請日: 2020-03-12
• 公開（公告）號: CN111368303A
• 公開（公告）日: 2020-07-03
• 發明（設計）人: 范楷朋
• 申請（專利權）人: 深信服科技股份有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 深圳市深佳知識產權代理事務所(普通合伙) 44285
• 代理人: 王兆林

1.一種PowerShell惡意腳本的檢測方法，其特征在于，包括：

確定待檢測PowerShell腳本中的腳本執行命令；

將所述腳本執行命令替換為輸出命令得到目標PowerShell腳本；

通過執行所述目標PowerShell腳本輸出目標腳本代碼，并對所述目標腳本代碼執行惡意腳本檢測操作。

2.根據權利要求1所述檢測方法，其特征在于，確定待檢測PowerShell腳本中的腳本執行命令包括：

利用第一特征庫中的正則表達式確定所述待檢測PowerShell腳本中的腳本執行命令；

其中，所述第一特征庫中的正則表達式包括大小寫混淆正則表達式和/或全拼混淆正則表達式。

3.根據權利要求2所述檢測方法，其特征在于，所述第一特征庫中的正則表達式的生成過程包括：

獲取所述腳本執行命令對應的所有字符大小寫組合的命令簡寫字符串，根據所述命令簡寫字符串生成所述大小寫混淆正則表達式；

和/或，獲取所述腳本執行命令對應的所有字符大小寫組合的命令全拼字符串，根據所述命令全拼字符串生成所述全拼混淆正則表達式。

4.根據權利要求1所述檢測方法，其特征在于，確定待檢測PowerShell腳本中的腳本執行命令包括：

利用第二特征庫中確定所述待檢測PowerShell腳本中的腳本執行命令；

其中，所述第二特征庫包括字符拼接混淆樣本字符串和/或字符拼接混淆正則表達式。

5.根據權利要求4所述檢測方法，其特征在于，構建所述第二特征庫的過程包括：

確定樣本PowerShell惡意腳本中長度小于預設長度的待檢字符串樣本；其中，所述待檢字符串樣本為同一括號內的全部字符串；

利用所述輸出命令模擬執行所述待檢字符串得到輸出結果；

若所述輸出結果為所述腳本執行命令對應的字符串，則判定所述待檢字符串為字符拼接混淆樣本字符串，并將所述字符拼接混淆樣本字符串添加至所述第二特征庫。

6.根據權利要求4所述檢測方法，其特征在于，構建所述第二特征庫的過程包括：

根據所述第二特征庫中字符串相似度對所述字符拼接混淆樣本字符串執行聚類操作得到字符串集合；

判斷所述字符串集合中的字符串數量是否大于預設值；

若否，則生成所述字符串集合中的字符拼接混淆樣本字符串對應的字符拼接混淆正則表達式，并將所述字符拼接混淆正則表達式添加至所述第二特征庫。

7.根據權利要求2至6任一項所述檢測方法，其特征在于，在確定待檢測PowerShell腳本中的腳本執行命令之后，還包括：

利用所述輸出命令模擬執行所述腳本執行命令對應的字符串，得到校驗結果；

若所述校驗結果為預設結果，則判定校驗通過；其中，所述預設結果為標準腳本執行命令對應的字符串；

若所述校驗結果不為預設結果，則判定校驗不通過，并移除檢測到所述腳本執行命令的正則表達式。

8.根據權利要求1所述檢測方法，其特征在于，所述確定待檢測PowerShell腳本中的腳本執行命令包括：

確定所述待檢測PowerShell腳本中長度小于預設長度的待檢字符串；其中，所述待檢字符串為同一括號內的全部字符串；

利用所述輸出命令模擬執行所述待檢字符串得到輸出結果；

若所述輸出結果為所述腳本執行命令對應的字符串，則判定檢測到所述腳本執行命令，并對所述腳本執行命令對應的字符串添加標記；

相應的，將所述腳本執行命令替換為輸出命令得到目標PowerShell腳本包括：

將添加有所述標記的字符串替換為所述輸出命令對應的字符串得到所述目標PowerShell腳本。