[发明专利]一种染毒文件的处理方法和系统

权利要求书

1.一种染毒文件的处理方法，包括：

获取文件系统读取失败的文件，作为待处理文件；

获取所述待处理文件在磁盘上的簇分布信息；

依据所述簇分布信息，从磁盘上读取所述待处理文件的数据；

将读取出的数据写入临时文件；

分析所述临时文件的安全性，若所述临时文件不安全，则对所述临时文件及对应待处理文件执行清理操作；

其中，所述获取所述待处理文件在磁盘上的簇分布信息的步骤，包括：

以读属性打开所述待处理文件，得到相应的句柄；

基于设备驱动接口函数的磁盘驱动控制码功能，获取与所述句柄相应的所述待处理文件在磁盘上的簇分布信息。

2.如权利要求1所述的方法，所述依据所述簇分布信息，从磁盘上读取所述待处理文件的数据的步骤，包括：

依据所述待处理文件的路径，获取所述待处理文件对应的磁盘分区；

依据所述簇分布信息，得到所述待处理文件在对应的磁盘分区上的簇偏移；

在所述待处理文件对应的磁盘分区对应位置上读取与所述簇偏移相应的数据。

3.如权利要求1所述的方法，所述文件系统读取失败的文件包括ERROR_SHARING_VIOLATION32对应的文件和ERROR_LOCK_VIOLATION33对应的文件。

4.如权利要求1所述的方法，所述获取文件系统读取失败的文件，作为待处理文件的步骤，包括：

读取文件后缀名，通过文件后缀名来判定所述文件是否为PE文件，若是，则使用文件系统读取所述文件，若读取失败则将所述文件作为待处理文件；或者，

判定文件大小，若所述文件大于第一文件阈值，则使用文件系统读取所述文件，若读取失败则将所述文件作为待处理文件。

5.如权利要求1所述的方法，所述分析所述临时文件的安全性的步骤，包括：

计算所述临时文件的特征值；

根据白名单和所计算的所述临时文件的特征值，监测所述临时文件是否可信任；所述白名单至少包括可信任文件的特征值；

在监测结果为肯定的情况下，确定所述临时文件安全；

在监测结果为否定的情况下，利用杀毒引擎分析所述临时文件是否安全。

6.如权利要求1所述的方法，所述清理操作包括：禁用所述临时文件及对应待处理文件的启动项，或者，粉碎所述临时文件及对应待处理文件。

7.如权利要求6所述的方法，所述粉碎所述临时文件及对应待处理文件的步骤，包括：

依据所述临时文件及对应待处理文件的路径在对象管理器中查找对应的文件对象解析例程；

依据查找得到的文件对象解析例程生成I/O请求包，并发送至预置的文件系统下层设备的原始地址；

由文件系统下层设备依据所述I/O请求包对所述临时文件及对应待处理文件执行粉碎操作。

8.如权利要求5所述的方法，所述分析所述临时文件的安全性的步骤，还包括：

在监测结果为否定的情况下，判断所述临时文件的签名是否有效；

在所述临时文件的签名有效时，确定所述临时文件安全；

在所述临时文件的签名无效时，利用杀毒引擎分析所述临时文件是否安全。

9.一种处理系统，包括：

待处理文件获取模块，用于获取文件系统读取失败的文件，作为待处理文件；

簇分布获取模块，用于获取所述待处理文件在磁盘上的簇分布信息；

簇读取模块，用于依据所述簇分布信息，从磁盘上读取所述待处理文件的数据；

临时写入模块，用于将读取出的数据写入临时文件；

安全性分析模块，用于分析所述临时文件的安全性；

清理模块，用于在临时文件不安全时，对所述临时文件及对应待处理文件执行清理操作；

其中，所述簇分布获取模块包括：

打开子模块，用于以读属性打开所述待处理文件，得到相应的句柄；

控制码功能获取子模块，用于基于设备驱动接口函数的磁盘驱动控制码功能，获取与所述句柄相应的所述待处理文件在磁盘上的簇分布信息。