[发明专利]一种目标程序处理方法、处理装置及云端服务设备

权利要求书

1.一种目标程序处理方法，其特征在于，包括：

获取第三方函数库的名称及所述第三方函数库所包含的函数的名称，所述第三方函数库为加载目标程序至内存时所要导入的第三方函数库；

构造空白函数库，根据所述第三方函数库的名称及其包含的函数的名称，将所述空白函数库伪造成所述第三方函数库；

导入伪造的第三方函数库并读取对应的函数名称，从而加载所述目标程序到内存，对所述目标程序进行脱壳并扫描所述目标程序，根据扫描结果对所述目标程序进行处理。

2.如权利要求1所述的处理方法，其特征在于，获取第三方函数库的名称及所述第三方函数库所包含的函数的名称，进一步包括：

通过比对所述目标程序的导入表及操作系统的系统函数库列表，解析出加载所述目标程序至内存时所要导入的第三方函数库的名称，还解析出所述第三方函数库所包含的函数的名称；

其中，所述导入表中记录加载所述目标程序至内存时所要导入的函数库，还记录有每所述函数库包含的函数，所述函数库包括系统函数库和第三方函数库；所述系统函数库列表中记录所述操作系统运行时所要导入的系统函数库。

3.如权利要求1或2所述的处理方法，其特征在于，根据所述第三方函数库的名称及其包含的函数的名称，将所述空白函数库伪造成对应的所述第三方函数库，进一步包括：

将所述空白函数库修改为对应的第三方函数库的名称，将所述第三方函数库包含的函数的名称登记到所述空白函数库。

4.如权利要求1-3中任一项所述的处理方法，其特征在于，将所述第三方函数库包含的函数的名称登记到所述空白函数库，进一步包括：

为所述空白函数库创建导出表，所述导出表中登记有所述空白函数库伪造的所述第三方函数库的名称，还登记有所述第三方函数库所包含的函数的名称。

5.如权利要求1-4中任一项所述的处理方法，其特征在于，

所述目标程序为支持脱壳的有壳程序；

所述空白函数库伪造的第三方函数库及其导出表，与所述目标程序位于同一目录内。

6.如权利要求1-5中任一项所述的处理方法，其特征在于，判断所述目标程序为支持脱壳的有壳文件的操作，包括：

构建特征库，所述特征库中保存有每种壳的一个或多个特征，还保存有每种壳是否适用脱壳；

获取所述目标程序的入口指令，根据所述入口指令的特征码分析得到所述目标程序的壳的一个或多个特征，根据所述一个或多个特征在所述特征库中进行匹配，在所述特征库中特征匹配数量最高且大于一门限值的壳，判定为所述目标程序的壳；

根据所述目标程序的壳，结合所述特征库获知能否对所述目标程序进行脱壳。

7.如权利要求1-6中任一项所述的处理方法，其特征在于，还包括：

如果所述目标程序不能脱壳，直接导入所述第三方函数库，并读取登记到所述第三方函数库的函数名称从而加载所述目标程序，并将所述目标程序转存到内存镜像进行处理。

8.一种目标程序处理装置，其特征在于，包括：获取模块、构造模块及处理模块，其中，

所述获取模块，用于获取第三方函数库的名称及所述第三方函数库所包含的函数的名称，所述第三方函数库为加载目标程序至内存时所要导入的第三方函数库；

所述构造模块，用于构造空白函数库，根据所述第三方函数库的名称及其包含的函数的名称，将所述空白函数库伪造成对应的所述第三方函数库；

所述处理模块，用于导入伪造的第三方函数库并读取对应的函数名称，从而加载所述目标程序到内存，对所述目标程序进行脱壳并扫描所述目标程序，根据扫描结果对所述目标程序进行处理。

9.如权利要求8所述的处理装置，其特征在于，所述获取模块，进一步包括：解析单元、第一获取单元及第二获取单元，其中，

所述第一获取单元，用于获取所述目标程序的导入表，所述导入表中记录加载所述目标程序至内存时所要导入的函数库，还记录有所述函数库包含的函数，所述函数库包括系统函数库和第三方函数库；

所述第二获取单元，用于获取操作系统的系统函数库列表，所述系统函数库列表中记录所述操作系统运行时所要导入的系统函数库；

所述解析单元，用于通过比对所述目标程序的导入表及操作系统的系统函数库列表，解析出加载所述目标程序至内存时所要导入的第三方函数库的名称，还解析出所述第三方函数库所包含的函数的名称。