[发明专利]文件可控执行的检测方法及虚拟机

权利要求书

1.一种文件可控执行的检测方法，其特征在于，包括：

建立虚拟操作系统环境；

在初始化后，将样本文件的执行切换至建立的虚拟操作系统环境；

调用处理器在设定范围内执行所述样本文件的指令，并记录所述样本文件的行为。

2.根据权利要求1所述的文件可控执行的检测方法，其特征在于，所述初始化包括：

虚拟操作系统环境的初始化、将样本文件初始化和/或样本文件的进程初始化。

3.根据权利要求1或2所述的文件可控执行的检测方法，其特征在于，所述建立虚拟操作系统环境的步骤包括：

初始化虚拟环境的全局描述符表或中断描述表、调试寄存器、控制寄存器、段寄存器以及快速系统调用相关的模式寄存器。

4.根据权利要求1或2所述的文件可控执行的检测方法，其特征在于，所述设定范围包括：

处理器的指令执行权限和/或主存储器或外存储器的读写范围。

5.根据权利要求3所述的文件可控执行的检测方法，其特征在于，所述通过处理器在设定范围内执行所述样本文件的指令的步骤之前还包括：

设定物理处理器的指令执行权限，以及创建内存的分级页表管理机制。

6.根据权利要求1或2所述的文件可控执行的检测方法，其特征在于，所述调用包括：

抓取样本文件的系统调用指令，并记录该次调用；在执行所述系统调用指令时，根据预设策略修改API的调用参数和返回值，控制API的执行。

7.一种文件可控执行的虚拟机，其特征在于，包括：

控制调用模块，用于建立虚拟操作系统环境；

执行切换模块，用于在初始化后，将样本文件的执行切换至建立的虚拟操作系统环境；

执行记录模块，用于调用处理器在设定范围内执行所述样本文件的指令，并记录所述样本文件的行为。

8.根据权利要求7所述的文件可控执行的虚拟机，其特征在于，所述初始化包括：

虚拟操作系统环境的初始化、将样本文件初始化和/或样本文件的进程初始化。

9.根据权利要求7或8所述的文件可控执行的虚拟机，其特征在于，所述控制调用模块还用于：

初始化虚拟环境的全局描述符表或中断描述表、调试寄存器、控制寄存器、段寄存器以及快速系统调用相关的模式寄存器。

10.根据权利要求7或8所述的文件可控执行的虚拟机，其特征在于，所述设定范围包括：

处理器的指令执行权限和/或主存储器或外存储器的读写范围。

11.根据权利要求10所述的文件可控执行的虚拟机，其特征在于，所述虚拟机还包括：

权限设定模块，用于设定物理处理器的指令执行权限，以及创建内存的分级页表管理机制。

12.根据权利要求7或8所述的文件可控执行的虚拟机，其特征在于，所述调用包括：

抓取样本文件的系统调用指令，并记录该次调用；在执行所述系统调用指令时，根据预设策略修改API的调用参数和返回值，控制API的执行。