[发明专利]一种脚本病毒识别方法、装置及系统

说明书

技术领域

本发明涉及信息安全技术领域，具体涉及一种脚本病毒识别方法、装置及系统。

背景技术

随着互联网时代的来临，脚本病毒的传播也在加剧。脚本病毒是通过脚本语言编写的病毒，例如JS脚本病毒(使用JavaScript脚本语言编写)或VBS脚本病毒(使用VBScript脚本语言编写)。脚本病毒具有传播范围大、感染力强、破坏力大等特点，对用户信息安全和用户财产安全造成极大的危害，如何对脚本病毒高效查杀成为信息安全领域的研究重点。

现有技术中杀毒引擎所采用的脚本病毒识别技术主要是全文搜索可疑脚本文件代码，如果匹配到病毒特征则提示为病毒。但是，脚本语言非常灵活，稍微改变一下病毒脚本文件代码的结构或内容，具有相同恶意行为的一类脚本病毒就可以有很多种变种。通过对病毒脚本文件代码本身进行扫描，一个病毒特征只能命中具有相同恶意行为的一类病毒的一个变种，因此，这种脚本病毒识别方法存在病毒识别命中率低的问题。

发明内容

有鉴于此，本发明实施例的主要目的是提供一种脚本病毒识别方法、装置及系统，以解决现有技术中脚本病毒识别率低的问题。

为解决上述问题，本发明实施例提供的技术方案如下：

一种脚本病毒识别方法，所述方法包括：

加载脚本文件运行环境；

通过在所述脚本文件运行环境中加载并运行特征脚本，在所述脚本文件运行环境中设定特征函数捕获函数、所述特征函数捕获函数与特征函数的对应关系以及病毒特征；

通过在所述脚本文件运行环境中加载并运行待查脚本，查找所述待查脚本中的特征函数，利用所述特征函数捕获函数替换对应的特征函数，并获得所述特征函数中的可执行代码；

判断所述可执行代码是否符合所述病毒特征，如果是，报告所述待查脚本为脚本病毒。

可选的，所述方法还包括：通过在所述脚本文件运行环境中加载并运行特征脚本，在所述脚本文件运行环境中设定初始化特征条件；

在查找所述待查脚本中的特征函数之前，通过在所述脚本文件运行环境中加载并运行待查脚本，判断所述待查脚本是否符合所述初始化特征条件；当所述待查脚本符合所述初始化特征条件时，查找所述待查脚本中的特征函数，利用所述特征函数捕获函数替换对应的特征函数，并获得所述特征函数中的可执行代码。

可选的，所述设定初始化特征条件，包括：

声明特征初始化全局变量与特征初始化函数；设定利用所述特征初始化全局变量，调用所述特征初始化函数时的第一执行结果为初始化条件。

可选的，所述判断所述待查脚本是否符合所述初始化特征条件，包括：

所述待查脚本利用所述特征初始化全局变量，调用所述特征初始化函数产生第二执行结果，判断所述第二执行结果是否与所述初始化特征条件相同，如果是，则所述待查脚本符合所述初始化特征条件，如果否，则所述待查脚本不符合所述初始化特征条件。

可选的，所述获得所述特征函数中的可执行代码，包括：

当所述特征函数中的函数体为可执行代码时，直接获得所述特征函数中的可执行代码；

当所述特征函数中的函数体嵌套子函数时，通过运行所述特征函数中嵌套的子函数，获得所述特征函数中的可执行代码。

可选的，在通过在所述脚本文件运行环境中运行待查脚本之前，所述方法还包括：

判断待查文件是否为脚本文件，当所述待查文件为脚本文件时，所述待查文件直接作为待查脚本，当所述待查文件不是脚本文件且所述待查文件中包含脚本文件时，提取所述待查文件中的脚本文件作为待查脚本。

可选的，所述方法还包括：

特征病毒库中包括多个特征脚本，重复执行步骤在所述脚本文件运行环境中加载并运行特征脚本及后续步骤，直到报告所述待查脚本为脚本病毒或全部特征脚本完成在所述脚本文件运行环境中加载并运行。

一种脚本病毒识别装置，所述装置包括：

加载单元，用于加载脚本文件运行环境；

初始化单元，用于通过在所述脚本文件运行环境中加载并运行特征脚本，在所述脚本文件运行环境中设定特征函数捕获函数、所述特征函数捕获函数与特征函数的对应关系以及病毒特征；

获得单元，用于通过在所述脚本文件运行环境中加载并运行待查脚本，查找所述待查脚本中的特征函数，利用所述特征函数捕获函数替换对应的特征函数，并获得所述特征函数中的可执行代码；

第二判断单元，用于判断所述可执行代码是否符合所述病毒特征；