[发明专利]基于PE文件中未使用字段的恶意代码检测方法及系统

说明书

技术领域

本发明涉及计算机网络安全领域，特别涉及一种基于PE文件中未使用字段的恶意代码检测方法及系统。

背景技术

PE文件格式（PortableExecutable，可移植的可执行文件）是PortableExecutable，意为可移植的可执行文件，是微软WindowsNT、Windows95和Win32子集中的可执行的二进制文件格式，该文件格式由微软设计，并于1993年被TIS（ToolInterfaceStandard，工具接口标准）委员会所批准。

PE文件格式中有部分字段未被使用，例如：PE文件格式中的DOS结构、PE结构、DOS-Stub字段等等，这就给了病毒作者和壳作者利用的空间，他们会利用这些未使用的结构和字段，将病毒体、感染标记、壳代码、壳信息等等，写入到这些结构和字段中，来对抗反病毒软件的检测。

发明内容

基于上述问题，本发明提出了一种基于PE文件中未使用字段的恶意代码检测方法及系统，能够针对PE文件中未使用的字段进行检测，并能提高检测效率。

一种基于PE文件中未使用字段的恶意代码检测方法，包括：

加载特征码库；

获取待检测PE文件，并解析待检测PE文件格式，判断是否为PE文件，如果是，则继续检测，否则结束检测；

提取所述待检测PE文件的全部未使用字段；

将所述未使用字段逐一与特征码库中的特征匹配，若匹配成功，则所述待检测PE文件为恶意，否则所述待检测PE文件非恶意。

所述的方法中，所述特征码库包括：壳特征码库和病毒特征码库。

所述的方法中，所述未使用字段包括：DOS结构、PE结构及DOS-Stub字段。

所述的方法中，所述的将所述未使用字段逐一与特征码库中的特征匹配，具体为：通过启发式检测或特征码检测进行匹配。

一种基于PE文件中未使用字段的恶意代码检测系统，包括：

特征加载模块，用于加载特征码库；

格式解析模块，用于获取待检测PE文件，并解析待检测PE文件格式，判断是否为PE文件，如果是，则继续检测，否则结束检测；

字段提取模块，用于提取所述待检测PE文件的全部未使用字段；

特征检测模块，用于将所述未使用字段逐一与特征码库中的特征匹配，若匹配成功，则所述待检测PE文件为恶意，否则所述待检测PE文件非恶意。

所述的系统中，所述特征码库包括：壳特征码库和病毒特征码库。

所述的系统中，所述未使用字段包括：DOS结构、PE结构及DOS-Stub字段。

所述的系统中，所述的将所述未使用字段逐一与特征码库中的特征匹配，具体为：通过启发式检测或特征码检测进行匹配。

本发明的优势在于，只针对PE文件中的一些特定字段进行检测，检测过程中只需要载入这些特定的字段即可，不需要将整个文件载入到内存中，减少了内存的使用，提高了检测速度。同时针对这些特定字段的检测，能够对利用这些字段的恶意代码具有很好的检测效果。

本发明提出了一种基于PE文件中未使用字段的恶意代码检测方法及系统，包括：加载特征码库；获取待检测PE文件，并解析待检测PE文件格式，判断是否为PE文件，如果是，则继续检测，否则结束检测；提取所述待检测PE文件的全部未使用字段；将所述未使用字段逐一与特征码库中的特征匹配，若匹配成功，则所述待检测PE文件为恶意，否则所述待检测PE文件非恶意。本发明通过对PE文件的格式进行解析，获取一些特定的字段进行检测，加快了检测的速度，减小了内存使用，并且对于利用这些字段进行反抗检测软件的行为能够有效检出。

附图说明

为了更清楚地说明本发明或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明中记载的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明一种基于PE文件中未使用字段的恶意代码检测方法实施例流程图；

图2为本发明一种基于PE文件中未使用字段的恶意代码检测系统实施例结构示意图。

具体实施方式

为了使本技术领域的人员更好地理解本发明实施例中的技术方案，并使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图对本发明中技术方案作进一步详细的说明。