[发明专利]一种发现未知USB病毒的方法及系统

权利要求书

1.一种发现未知USB病毒的方法，其特征在于，包括：

步骤1，创建动态链接库文件；在执行所述动态链接库文件查询驱动盘的类型时，判断被查询的驱动盘是否存在，若是则返回所述被查询的驱动盘的类型；否则回复被查询的驱动盘的类型为可移动；在执行所述动态链接库文件复制文件时，判断复制文件的目标路径是否存在，若是，则将文件复制到所述目标路径下；否则将所述文件复制到指定路径下；

步骤2，将所述动态链接库文件注入到操作系统中正在运行的进程中，使USB病毒通过所述动态链接库文件进行驱动盘的类型的查询和病毒文件的复制。

2.如权利要求1所述的发现未知USB病毒的方法，其特征在于，

所述步骤1中在执行所述动态链接库文件查询驱动盘的类型时，如果被查询的驱动盘不存在，则回复被查询的驱动盘的类型为可移动进一步包括：

步骤21，调用所述操作系统中用于获得驱动盘类型的函数以获得被查询驱动盘的类型。

3.如权利要求2所述的发现未知USB病毒的方法，其特征在于，

所述操作系统为Windows操作系统，

所述步骤21中操作系统中用于获得驱动盘类型的函数为GetDriveType函数。

4.如权利要求1所述的发现未知USB病毒的方法，其特征在于，

所述步骤1中在执行所述动态链接库文件复制文件时，如果复制文件的目标路径不存在，则将所述文件复制到指定路径下进一步为：

步骤41，判断所述复制文件的目标路径是否不存在，如果是，则将所述目标路径重定向为所述指定路径，执行步骤42，否则，执行步骤42；

步骤42，调用所述操作系统中的用于复制文件的函数，将所述文件复制到所述目标路径下。

5.如权利要求4所述的发现未知USB病毒的方法，其特征在于，

所述操作系统为Windows操作系统，

所述步骤42中操作系统中的用于复制文件的函数为CopyFile函数。

6.如权利要求1所述的发现未知USB病毒的方法，其特征在于，

所述步骤1还包括，在执行所述动态链接库文件创建文件时，如果创建文件的目标路径不存在，则将所述文件创建到指定路径下；

所述步骤2还包括，进行所述将所述动态链接库文件注入到操作系统中正在运行的进程中，使USB病毒通过所述动态链接库文件进行文件的创建。

7.如权利要求6所述的发现未知USB病毒的方法，其特征在于，

所述步骤1中在执行所述动态链接库文件创建文件时，如果创建文件的目标路径不存在，则将所述文件创建到指定路径下进一步为：

步骤71，判断所述创建文件的目标路径是否不存在，如果是，则将所述目标路径重定向为所述指定路径，执行步骤72，否则，执行步骤72；

步骤72，调用所述操作系统中用于创建文件的函数，在所述目标路径下创建文件。

8.如权利要求7所述的发现未知USB病毒的方法，其特征在于，

所述操作系统为Windows操作系统，

所述步骤72中操作系统中用于创建文件的函数为CreateFile函数或NtCreateFile函数。

9.如权利要求1至8中任一所述的发现未知USB病毒的方法，其特征在于，

所述步骤2进一步为：

步骤91，创建一进程状态表，用以记录所述操作系统中正在运行的每个进程是否已加载所述动态链接库文件；

步骤92，对操作系统中正在运行的进程进行枚举，并更新所述进程状态表；

步骤93，向所述进程状态表中未加载所述动态链接库文件的进程中加载所述动态链接库文件。

10.如权利要求9所述的发现未知USB病毒的方法，其特征在于，

所述进程状态表中每个表项对应一个所述操作系统中正在运行的进程，所述表项包括对应进程的进程标识和对应进程的挂接状态；

所述挂接状态包括已挂接和未挂接，所述已挂接表示所述表项对应进程已加载所述动态链接库文件，所述未挂接表示所述表项对应进程未加载所述动态链接库文件。

11.如权利要求10所述的发现未知USB病毒的方法，其特征在于，

所述进程标识包括进程ID、进程句柄和进程全路径。