[发明专利]基于虚拟执行的攻击代码检测方法

权利要求书

1.基于虚拟执行的攻击代码检测方法，其特征在于，所述检测方法将网络字节流放到虚拟机中受控执行，监测其执行过程，根据执行过程中出现的特征判断是否存在攻击代码。

2.根据权利要求1所述的基于虚拟执行的攻击代码检测方法，其特征在于，所述检测方法的具体步骤如下：

(1)对网络字节流进行扫描并判断是否存在重定位指令；

(2)扫描到重定位指令后，初始化虚拟机，从重定位指令开始将网络字节流放入虚拟机中受控执行；

(3)虚拟执行过程中，动态地监测虚拟执行的状态，根据判决条件判断是否存在攻击代码。

3.根据权利要求2所述的基于虚拟执行的攻击代码检测方法，其特征在于，所述虚拟机是一个填充了nop指令的进程，加载地址可配置。

4.根据权利要求2所述的基于虚拟执行的攻击代码检测方法，其特征在于，所述步骤(3)通过以下判决条件进行判断：

(1)虚拟执行步长是否达到阈值；

(2)网络字节流自身改变量是否达到阈值；

(3)虚拟执行过程中是否出现访问kernel32基地址的指令。