[发明专利]一种APK病毒特征码的提取方法及装置

权利要求书

1.一种APK病毒特征码的提取方法，其特征在于，包括：

扫描Android安装包APK中的指定文件；

提取所述指定文件中的操作指令，判断所述操作指令是否包含病毒信息；

若是，则根据所述操作指令生成病毒特征码。

2.如权利要求1所述的方法，其特征在于，所述指定文件包括可执行文件，所述可执行文件包括Dex文件，所述Dex文件包括classes.dex文件，扩展名为.jar的文件，以及，Dex格式的文件。

3.如权利要求2所述的方法，其特征在于，还包括：

提取所述可执行文件的常量池中的常量，判断所述常量中是否包含病毒信息；

若是，则根据所述常量生成病毒特征码。

4.如权利要求3所述的方法，其特征在于，还包括：

提取所述可执行文件的头部信息，判断所述头部信息中是否包含病毒信息；

若是，则根据所述头部信息生成病毒特征码。

5.如权利要求1、2、3或4所述的方法，其特征在于，所述操作指令包括操作码和操作数，所述判断操作指令是否包含病毒信息的步骤包括：

判断所述操作数中是否包含预定义的非法操作数；

和/或，

判断所述操作码和操作数的组合是否符合预定义的非法组合规则。

6.如权利要求5所述的方法，其特征在于，所述根据操作指令生成病毒特征码的步骤包括：

将所述操作指令本身作为病毒特征码；

和/或，

将所述操作指令的操作码，以及，操作数的字符串或通配符作为病毒特征码。

7.如权利要求3所述的方法，其特征在于，所述可执行文件的常量池中的常量包括字符串strings、类型types、域fields和方法methods中的常量，所述判断常量中是否包含病毒信息的步骤包括：

判断所述字符串strings中的常量是否包含预定义的恶意网址信息、恶意文件名或恶意号码信息；

和/或，

判断所述类型types、域fields和方法methods中的常量是否有调用自定义的类名、自定义的函数名或Android系统SDK类名、Android系统函数名；

所述根据常量生成病毒特征码的步骤为，将所述常量中的病毒信息作为病毒特征码。

8.如权利要求4所述的方法，其特征在于，所述可执行文件的头部信息中包括摘要信息checksum和签名信息Signature，所述判断头部信息中是否包含病毒信息的步骤包括：

判断所述摘要信息checksum和/或签名信息Signature中是否包含预定义的非法字符串；

所述根据头部信息生成病毒特征码的步骤为，将所述摘要信息checksum和/或签名信息Signature作为病毒特征码。

9.如权利要求1所述的方法，其特征在于，所述指定文件还包括文本文件，所述操作指令为linux命令，

所述判断操作指令是否包含病毒信息的步骤为，判断所述linux命令是否符合预置的恶意linux命令；

所述根据操作指令生成病毒特征码的步骤为，将所述linux命令作为病毒特征码。

10.如权利要求1、2、3、4、6、7、8、9或10所述的方法，其特征在于，还包括：

将所述病毒特征码保存至数据库中。

11.如权利要求10所述的方法，其特征在于，所述病毒特征码包括：头部信息特征码、常量特征码、操作数特征码、指令特征码、指令特征码序列、类名函数名特征码；所述将病毒特征码保存至数据库中的步骤包括：

将所述头部信息特征码、常量特征码、操作数特征码、指令特征码、指令特征码序列、类名函数名特征码分别保存在数据库中不同的存储区域；

或者，

将所述头部信息特征码、常量特征码、操作数特征码、指令特征码、指令特征码序列、类名函数名特征码保存在数据库中，并分别标记分类标签。