[发明专利]一种基于病毒样本特征的检测方法、检测装置及检测系统

说明书

技术领域

本发明涉及计算机技术领域，具体涉及一种基于病毒样本特征的检测方法、检测装置及检测系统。

背景技术

随着互联网时代的来临，脚本病毒的传播也在加剧。脚本病毒是通过脚本语言编写的病毒，例如JS脚本病毒(使用JavaScript脚本语言编写)或VBS脚本病毒(使用VBScript脚本语言编写)。脚本病毒具有传播范围大、感染力强、破坏力大等特点。

现有技术中对于脚本病毒的检测，是通过对网页代码全文进行线性搜索，将网页代码与样本病毒特征进行比对，如果发现网页代码中包括样本病毒的特征时，确认网页代码为病毒脚本。

然而，恶意代码往往通过变形的方式隐藏在脚本中，以避免杀毒引擎的检测。如果仅仅对脚本代码进行线性搜索，会难以发现这种通过各种变形方式隐藏在脚本中的恶意代码，带来网络安全隐患。

发明内容

鉴于上述对脚本代码进行线性搜索时，难以发现隐藏在脚本中的恶意代码的技术问题，提出了本发明以便提供克服上述问题或者至少部分地解决上述问题的一种基于病毒样本特征的检测方法和相应的检测装置、检测系统。

根据本发明的第一方面，提供了一种基于病毒样本特征的检测方法，其包括：

对实际脚本进行词法分析，确定实际脚本中每个词语单元的单词类型集合；单词类型集合包括词语单元所对应的至少一个单词类型元素；

对实际脚本进行语法分析，确定实际脚本中每个语句单元的语句类型集合；语句类型集合包括语句单元所对应的至少一个语句类型元素；

根据单词类型集合和语句类型集合，获取实际脚本的虚拟脚本集合，对虚拟脚本集合中的每个虚拟脚本进行虚拟执行；

检测虚拟执行的结果，当虚拟执行的结果符合病毒样本特征时，确定实际脚本为脚本病毒并且将脚本病毒的检测结果保存至病毒特征库。

根据本发明的第二方面，提供了一种基于病毒样本特征的检测装置，其包括：

词法分析模块，用于对实际脚本进行词法分析，确定实际脚本中每个词语单元的单词类型集合；单词类型集合包括词语单元所对应的至少一个单词类型元素；

语法分析模块，用于对实际脚本进行语法分析，确定实际脚本中每个语句单元的语句类型集合；语句类型集合包括语句单元所对应的至少一个语句类型元素；

虚拟执行模块，用于根据单词类型集合和语句类型集合，获取实际脚本的虚拟脚本集合，对虚拟脚本集合中的每个虚拟脚本进行虚拟执行；

检测模块，用于检测虚拟执行的结果，当虚拟执行的结果符合病毒样本特征时，确定实际脚本为脚本病毒并且将脚本病毒的检测结果保存至病毒特征库。

根据本发明的第三方面，提供一种基于病毒样本特征的检测系统，其包括：根据本发明提供的检测装置，还包括：

升级模块，用于使云服务器根据脚本病毒的检测结果对云端鉴别条件升级；

发送模块，用于使客户端将本地的待检测文件的特征信息发送至云服务器；

匹配反馈模块，用于使云服务器判断待检测文件的特征信息与云端鉴别条件是否匹配，当待检测文件的特征信息与云端鉴别条件匹配时，云服务器向客户端发送与云端鉴别条件相对应的需要检测的脚本文件信息；

判断模块，客户端根据需要检测的脚本文件信息进行检测，判断待检测文件是否为脚本病毒。

根据本发明的基于病毒样本特征的检测方法、检测装置及检测系统可以对实际脚本进行词法分析和语法分析，从而根据实际脚本解析获得多个虚拟脚本，然后对虚拟脚本进行虚拟执行，并对虚拟执行的结果进行检测以检测出隐藏于实际脚本中的恶意代码，由此解决了现有技术中对脚本代码进行线性搜索时，难以发现隐藏在脚本中的恶意代码的技术问题，取得了进一步增强网络安全的有益效果。

上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。

附图说明

通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：

图1示出了根据发明实施例一的基于病毒样本特征的检测方法流程图；

图2示出了根据发明实施例二的基于病毒样本特征的检测方法流程图；

图3示出了根据发明实施例三的基于病毒样本特征的检测方法流程图；

图4示出了根据发明实施例四的基于病毒样本特征的检测方法流程图