[發(fā)明專利]一種病毒查殺方法、裝置及計算機可讀存儲介質(zhì)

在審

• 申請?zhí)枺?/td>: 202010578310.7
• 申請日: 2020-06-22
• 公開（公告）號: CN111723372A
• 公開（公告）日: 2020-09-29
• 發(fā)明（設計）人: 范楷朋
• 申請（專利權(quán)）人: 深信服科技股份有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 深圳市世紀恒程知識產(chǎn)權(quán)代理事務所 44287
• 代理人: 張婷

本發(fā)明公開了一種病毒查殺方法、裝置及計算機可讀存儲介質(zhì)，其中，所述病毒查殺方法包括以下步驟：獲取待檢測設備中的待檢測對象集合；將待檢測對象集合與第一特征項集合進行匹配，獲得第一匹配結(jié)果，第一特征項集合為基于病毒對應的樣本shell腳本生成；當?shù)谝黄ヅ浣Y(jié)果為匹配成功時，認定所述待檢測設備中存在病毒，并對待檢測設備中的病毒進行清除。本發(fā)明通過將待檢測對象集合與基于病毒對應的樣本shell腳本生成的第一特征項集合進行匹配，當匹配成功時，對所述待檢測設備中的病毒進行清除，通過使用本發(fā)明的方法能夠較為快速和全面地查找出病毒，實現(xiàn)對于病毒的精準查殺，有效解決了病毒反復感染、無法徹底查殺干凈的技術(shù)問題。

技術(shù)領(lǐng)域

本發(fā)明涉及病毒查殺領(lǐng)域，尤其涉及一種病毒查殺方法、裝置及計算機可讀存儲介質(zhì)。

背景技術(shù)

業(yè)界目前查殺Linux病毒使用的方法是靜態(tài)文件掃描查殺，這種方法主要是對待檢測設備系統(tǒng)中的ELF文件及shell腳本進行特征掃描，若為惡意，則對文件及進程進行隔離。但Linux病毒大多為shell腳本，混淆度高，殺毒引擎對其都較難檢出，而且隨著無文件方式的興起，病毒會使用其他方式進行持久化攻擊，這樣，即使殺毒引擎能查殺病毒文件，也經(jīng)常會出現(xiàn)病毒反復感染的現(xiàn)象，無法徹底查殺干凈。

上述內(nèi)容僅用于輔助理解本發(fā)明的技術(shù)方案，并不代表承認上述內(nèi)容是現(xiàn)有技術(shù)。

發(fā)明內(nèi)容

本發(fā)明的主要目的在于提供一種病毒查殺方法、裝置及計算機可讀存儲介質(zhì)，旨在解決現(xiàn)有技術(shù)中較難檢測出病毒、病毒持久化攻擊，導致病毒反復感染、無法徹底查殺干凈的技術(shù)問題。

為實現(xiàn)上述目的，本發(fā)明提供一種病毒查殺方法，所述病毒查殺方法包括以下步驟：

獲取待檢測設備中的待檢測對象集合；

將所述待檢測對象集合與第一特征項集合進行匹配，獲得第一匹配結(jié)果，所述第一特征項集合為基于病毒對應的樣本shell腳本生成；

當所述第一匹配結(jié)果為匹配成功時，認定所述待檢測設備中存在病毒，并對所述待檢測設備中的病毒進行清除。

優(yōu)選地，所述第一特征項集合包括：病毒文件路徑特征；

其中，在所述獲取待檢測設備中的待檢測對象集合之前，所述病毒查殺方法還包括：

對樣本shell腳本進行遍歷，并將遍歷到的樣本shell腳本作為當前樣本shell腳本；

通過第一正則表達式從所述當前樣本shell腳本中查找存在病毒文件路徑特征的第一代碼段；

從所述第一代碼段中提取位于第一預設標識后的第一字符串；

基于所述第一字符串得到病毒文件路徑特征，并將所述病毒文件路徑特征添加至第一特征項集合中。

優(yōu)選地，所述基于所述第一字符串得到病毒文件路徑特征，包括，

判斷所述第一字符串是否含有預設字符；

若含有預設字符，則將所述第一字符串作為病毒文件路徑特征；

若不含有預設字符，則將第一字符串進行轉(zhuǎn)換，得到轉(zhuǎn)換后的第一字符串，將所述轉(zhuǎn)換后的第一字符串作為病毒文件路徑特征。

優(yōu)選地，所述第一特征項集合包括：病毒進程名特征；

其中，在所述獲取待檢測設備中的待檢測對象集合之前，所述病毒查殺方法還包括：

對樣本shell腳本進行遍歷，并將遍歷到的樣本shell腳本作為當前樣本shell腳本；

通過第二正則表達式從所述當前樣本shell腳本中查找存在病毒進程名特征的第二代碼段；