[发明专利]一种脚本病毒识别方法、装置及系统

权利要求书

1.一种脚本病毒识别方法，其特征在于，所述方法包括：

加载脚本文件运行环境；

通过在所述脚本文件运行环境中加载并运行特征脚本，在所述脚本文件运行环境中设定特征函数捕获函数、所述特征函数捕获函数与特征函数的对应关系以及病毒特征；

通过在所述脚本文件运行环境中加载并运行待查脚本，查找所述待查脚本中的特征函数，利用所述特征函数捕获函数替换对应的特征函数，并获得所述特征函数中的可执行代码；

判断所述可执行代码是否符合所述病毒特征，如果是，报告所述待查脚本为脚本病毒。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：通过在所述脚本文件运行环境中加载并运行特征脚本，在所述脚本文件运行环境中设定初始化特征条件；

在查找所述待查脚本中的特征函数之前，通过在所述脚本文件运行环境中加载并运行待查脚本，判断所述待查脚本是否符合所述初始化特征条件；当所述待查脚本符合所述初始化特征条件时，查找所述待查脚本中的特征函数，利用所述特征函数捕获函数替换对应的特征函数，并获得所述特征函数中的可执行代码。

3.根据权利要求2所述的方法，其特征在于，所述设定初始化特征条件，包括：

声明特征初始化全局变量与特征初始化函数；设定利用所述特征初始化全局变量，调用所述特征初始化函数时的第一执行结果为初始化条件。

4.根据权利要求3所述的方法，其特征在于，所述判断所述待查脚本是否符合所述初始化特征条件，包括：

所述待查脚本利用所述特征初始化全局变量，调用所述特征初始化函数产生第二执行结果，判断所述第二执行结果是否与所述初始化特征条件相同，如果是，则所述待查脚本符合所述初始化特征条件，如果否，则所述待查脚本不符合所述初始化特征条件。

5.根据权利要求1所述的方法，其特征在于，所述获得所述特征函数中的可执行代码，包括：

当所述特征函数中的函数体为可执行代码时，直接获得所述特征函数中的可执行代码；

当所述特征函数中的函数体嵌套子函数时，通过运行所述特征函数中嵌套的子函数，获得所述特征函数中的可执行代码。

6.根据权利要求1所述的方法，其特征在于，在通过在所述脚本文件运行环境中运行待查脚本之前，所述方法还包括：

判断待查文件是否为脚本文件，当所述待查文件为脚本文件时，所述待查文件直接作为待查脚本，当所述待查文件不是脚本文件且所述待查文件中包含脚本文件时，提取所述待查文件中的脚本文件作为待查脚本。

7.根据权利要求1所述的方法，其特征在于，所述方法还包括：

特征病毒库中包括多个特征脚本，重复执行步骤在所述脚本文件运行环境中加载并运行特征脚本及后续步骤，直到报告所述待查脚本为脚本病毒或全部特征脚本完成在所述脚本文件运行环境中加载并运行。

8.一种脚本病毒识别装置，其特征在于，所述装置包括：

加载单元，用于加载脚本文件运行环境；

初始化单元，用于通过在所述脚本文件运行环境中加载并运行特征脚本，在所述脚本文件运行环境中设定特征函数捕获函数、所述特征函数捕获函数与特征函数的对应关系以及病毒特征；

获得单元，用于通过在所述脚本文件运行环境中加载并运行待查脚本，查找所述待查脚本中的特征函数，利用所述特征函数捕获函数替换对应的特征函数，并获得所述特征函数中的可执行代码；

第二判断单元，用于判断所述可执行代码是否符合所述病毒特征；

病毒报告单元，用于当所述可执行代码符合所述病毒特征时，报告所述待查脚本为脚本病毒。

9.根据权利要求8所述的装置，其特征在于，所述初始化单元还用于：通过在所述脚本文件运行环境中加载并运行特征脚本，在所述脚本文件运行环境中设定初始化特征条件；

所述装置还包括：

第一判断单元，用于通过在所述脚本文件运行环境中加载并运行待查脚本，判断所述待查脚本是否符合所述初始化特征条件；

所述获得单元，用于通过在所述脚本文件运行环境中加载并运行待查脚本，当所述待查脚本符合所述初始化特征条件时，查找所述待查脚本中的特征函数，利用所述特征函数捕获函数替换对应的特征函数，并获得所述特征函数中的可执行代码。