[发明专利]一种程序入口点OEP的确定方法及装置

权利要求书

1.一种程序入口点OEP的确定方法，其特征在于，包括：

记录加壳程序运行过程中产生的数据改写信息，所述数据改写信息包括数据改写地址和数据改写时间；

根据记录的数据改写信息确定所述加壳程序运行过程中进入后直到结束没有离开的内存区域；

获取记录每条数据改写信息后所述内存区域中每个内存地址的数据，并根据获取的数据计算在对应的数据改写信息中包括的数据改写时间的所述内存区域的熵值；

获取熵值开始大于等于设定阈值的数据改写时间对应的数据改写地址为所述加壳程序对应的原始程序的OEP。

2.如权利要求1所述的方法，其特征在于，所述数据改写信息还包括数据改写执行地址，根据记录的数据改写信息确定所述加壳程序运行过程中进入后直到结束没有离开的内存区域，具体包括：

遍历记录的数据改写信息，获取在连续的数据改写时间对应的时间长度内，数据改写地址连续且连续的数据改写地址对应的内存地址范围大于等于设定长度的内存地址范围作为待选内存区域；

根据所述数据改写信息中包括的数据改写执行地址，确定所述加壳程序运行过程中进入后直到结束没有离开的最后一个待选内存区域作为所述内存区域。

3.如权利要求1所述的方法，其特征在于，还包括：

记录所述加壳程序运行过程中产生的模块加载信息，所述模块加载信息包括所述加壳程序映射到内存中的基地址和结束地址；以及

根据记录的数据改写信息和模块加载信息确定所述加壳程序运行过程中进入后直到结束没有离开的内存区域。

4.如权利要求3所述的方法，其特征在于，根据记录的数据改写信息和模块加载信息确定所述加壳程序运行过程中进入后直到结束没有离开的内存区域，具体包括：

获取所述加壳程序运行过程中最后一条数据改写信息中包括的数据改写地址；

将所述基地址与获取的最后一条数据改写信息中包括的数据改写地址之间的内存地址范围作为所述内存区域。

5.如权利要求1所述的方法，其特征在于，根据记录的数据改写信息和模块加载信息确定所述加壳程序运行过程中进入后直到结束没有离开的内存区域，具体包括：

若所述模块加载信息中包括加壳程序对应的原始程序的资源节，确定所述资源节映射到内存中的最小内存地址；

将所述基地址与所述最小内存地址之间的内存地址范围作为所述内存区域。

6.如权利要求1-5任一所述的方法，其特征在于，根据获取的数据计算在对应的数据改写信息中包括的数据改写时间的所述内存区域的熵值，具体包括：

确定内存地址中的数据可能的种类；

根据获取的数据统计确定出的每种数据出现的次数，以及获取的数据的总个数；

用每种数据出现的次数除以获取的数据的总个数得到对应数据出现的频率，计算得到的频率的均值；

计算得到的频率的方差，所述方差作为在对应的数据改写信息中包括的数据改写时间的所述内存区域的熵值。

7.一种程序入口点OEP的确定装置，其特征在于，包括：

记录单元，用于记录加壳程序运行过程中产生的数据改写信息，所述数据改写信息包括数据改写地址和数据改写时间；

确定单元，用于根据记录的数据改写信息确定所述加壳程序运行过程中进入后直到结束没有离开的内存区域；

计算单元，用于获取记录每条数据改写信息后所述内存区域中每个内存地址的数据，并根据获取的数据计算在对应的数据改写信息中包括的数据改写时间的所述内存区域的熵值；

获取单元，用于获取熵值开始大于等于设定阈值的数据改写时间对应的数据改写地址为所述加壳程序对应的原始程序的OEP。

8.如权利要求7所述的装置，其特征在于，所述数据改写信息还包括数据改写执行地址，所述确定单元，具体用于：

遍历记录的数据改写信息，获取在连续的数据改写时间对应的时间长度内，数据改写地址连续且连续的数据改写地址对应的内存地址范围大于等于设定长度的内存地址范围作为待选内存区域；

根据所述数据改写信息中包括的数据改写执行地址，确定所述加壳程序运行过程中进入后直到结束没有离开的最后一个待选内存区域作为所述内存区域。