[发明专利]一种脚本病毒的监控方法及装置有效
申请号: | 201310269085.9 | 申请日: | 2013-06-28 |
公开(公告)号: | CN104252596B | 公开(公告)日: | 2019-01-25 |
发明(设计)人: | 杨景杰;苏海峰;白彦庚;邹义鹏 | 申请(专利权)人: | 贝壳网际(北京)安全技术有限公司;北京金山网络科技有限公司;北京金山安全软件有限公司;珠海市君天电子科技有限公司;可牛网络技术(北京)有限公司 |
主分类号: | G06F21/56 | 分类号: | G06F21/56 |
代理公司: | 北京银龙知识产权代理有限公司 11243 | 代理人: | 许静;黄灿 |
地址: | 100041 北京市石景山区八*** | 国省代码: | 北京;11 |
权利要求书: | 查看更多 | 说明书: | 查看更多 |
摘要: | |||
搜索关键词: | 一种 脚本 病毒 监控 方法 装置 | ||
1.一种脚本病毒的监控方法,其特征在于,包括:
挂钩脚本程序运行时所必需的二进制文件内存映像的入口点函数;
利用解密函数对所述脚本程序进行解密得到真实命令序列;
分析所述真实命令序列对应的真实脚本动作,并根据所述真实脚本动作执行对应操作;
所述挂钩脚本程序运行时所必需的二进制文件内存映像的入口点函数,获得解密函数对脚本程序解密后得到的真实命令序列包括:
在脚本程序加载的二进制文件内存映像的虚拟内存空间中,搜索与解密函数的内存特征相匹配的入口点;
在所述入口点挂钩一伪造函数,通过所述伪造函数调用解密函数对脚本程序进行解密,并根据解密函数及其内部处理逻辑,从内存中读取解密后的真实命令序列。
2.根据权利要求1所述的方法,其特征在于,所述根据所述真实脚本动作执行对应操作包括:
根据所述真实脚本动作拦截或允许所述脚本程序的继续执行。
3.根据权利要求2所述的方法,其特征在于,所述根据所述真实脚本动作拦截或允许所述脚本程序的继续执行包括:
在所述真实脚本动作属于预先定义的脚本病毒动作时,拦截所述脚本程序的继续执行;否则,允许所述脚本程序的继续执行。
4.根据权利要求1所述的方法,其特征在于,在所述挂钩脚本程序运行时所必需的二进制文件内存映像的入口点函数之前,所述方法还包括:
若待监控程序加载的二进制文件内存映像为脚本支持相关的动态链接库文件,识别待监控程序为脚本程序。
5.一种脚本病毒的监控装置,其特征在于,包括:
挂钩处理模块,用于挂钩脚本程序运行时所必需的二进制文件内存映像的入口点函数,并利用解密函数对所述脚本程序进行解密得到真实命令序列;
分析模块,用于分析所述真实命令序列对应的真实脚本动作;
行为处理模块,用于并根据所述分析模块获得的真实脚本动作,执行对应操作;
所述挂钩处理模块包括:
搜索模块,用于在脚本程序加载的二进制文件内存映像的虚拟内存空间中,搜索与解密函数的内存特征相匹配的入口点;
解密模块,用于在所述入口点挂钩一伪造函数,通过所述伪造函数调用解密函数对脚本程序进行解密,并根据解密函数及其内部处理逻辑,从内存中读取解密后的真实命令序列。
6.根据权利要求5所述的装置,其特征在于,所述行为处理模块用于根据所述真实脚本动作拦截或允许所述脚本程序的继续执行。
7.根据权利要求6所述的装置,其特征在于,所述行为处理模块,进一步用于在所述真实脚本动作属于预先定义的脚本病毒动作时,拦截所述脚本程序的继续执行;否则,允许所述脚本程序的继续执行。
8.根据权利要求5所述的装置,其特征在于,还包括:
识别模块,用于在待监控程序加载的二进制文件内存映像为脚本支持相关的动态链接库文件,识别待监控程序为脚本程序。
该专利技术资料仅供研究查看技术是否侵权等信息,商用须获得专利权人授权。该专利全部权利属于贝壳网际(北京)安全技术有限公司;北京金山网络科技有限公司;北京金山安全软件有限公司;珠海市君天电子科技有限公司;可牛网络技术(北京)有限公司,未经贝壳网际(北京)安全技术有限公司;北京金山网络科技有限公司;北京金山安全软件有限公司;珠海市君天电子科技有限公司;可牛网络技术(北京)有限公司许可,擅自商用是侵权行为。如果您想购买此专利、获得商业授权和技术合作,请联系【客服】
本文链接:http://www.vipzhuanli.com/pat/books/201310269085.9/1.html,转载请声明来源钻瓜专利网。