[发明专利]一种文件安全处理方法

权利要求书

1.一种文件安全处理方法，其特征在于，包括：

判断页面文件的入侵方式，根据入侵方式确定相应的特征提取和分类过程，通过特征提取和分类过程对移动终端页面文件进行安全检测；

所述方法还包括：在所述特征提取前，首先确定脚本代码在页面文件中的位置，从页面文件中将脚本代码提取出来，如果该脚本代码经过编码、压缩和模糊处理，则还原原始的脚本代码，最后根据特征提取算法提取特征向量集；

所述根据入侵方式确定相应的特征提取和分类过程，进一步包括，对于基于脚本代码入侵的页面文件，提取特征是基本单位为词；对于基于非脚本代码入侵方式实现的页面文件，提取特征时，将页面文件进行划分，然后进行特征提取；根据两种不同的特征提取方式，分别基于Bayes分类过程和判定树分类过程，建立两个不同的分类模型，然后采用并联的方式，将两个分类过程进行组合；

所述从页面文件中将脚本代码提取出来，进一步包括：

(1).打开页面文件；

(2).初始化内部数据结构；

(3).进行目录字典检索，寻找活动字典入口地址；

(4).对可能含有脚本代码的候选位置进行搜索，并检测字典条目的数据类型；

(5).如果其数据类型为预定义关键字集合中的元素，则此字典中便含有脚本代码，对脚本代码进行提取；

(6).对脚本代码进行解压；

对未知页面文件进行分类检测时，首先从页面文件中提取脚本代码，将该页面文件分为两个部分：一个为内嵌的脚本代码，另一个部分为除脚本代码以外剩余的页面文件数据；然后分别对页面文件的两个部分进行检测，利用Bayes算法构建的识别模型对脚本代码进行检测，利用判定树算法构建的识别模型对页面文件的剩余数据进行检测；最后，将检测结果在结果综合模块进行处理，得到对该页面文件的最终检测结果；具体流程为：

基于脚本代码入侵的特征向量集采用简单实用的Bayes分类过程作为分类过程；分别计算未知页面文件X属于安全样本集C_n的概率P_N和页面文件X属于恶意样本集的概率P_M，然后将P_N和P_M进行比较，得出页面文件X最趋近的类别，从而判断未知页面文件X的类别；如果P_M>P_N则表示该页面文件中含有恶意脚本代码，反之，则该页面文件中不含有恶意脚本代码；

基于非脚本代码入侵的页面文件检测前，其中Sample为训练样本集，Vector为基于非脚本代码入侵的特征向量集；

建立判定树root根节点；

若Sample都为正，返回label为+的单节点树root；

如果Sample都为反，返回label为_的单节点树root；

如果Vector为空，那么返回单节点root，label为Sample中最普遍的目标向量值；

否则，对于Vector的每个可能值v_i

在root下加一个新的分支v_i，令Sample_si为Sample_si满足Vector属性值为v_i的子集；

如果Sample_si为空，在这个新分支下加一个叶子节点，节点的label为Sample中最普遍的目标向量值；

否则在新分支下加一个子树：

(Sample_si，目标向量值，Vector)，结束。

2.根据权利要求1所述的方法，其特征在于，对于基于非脚本代码入侵方式实现的页面文件，提取训练样本集的特征向量，所述训练样本集分为两类，基于非脚本代码入侵的恶意文件样本集和不含脚本代码的安全文件样本集；在特征提取时，分别提取两个不同样本集的特征向量集，根据预定的特征选择算法，将两个特征向量集进行处理，以得到学习算法需要的特征向量集；然后根据学习算法和提取的特征向量集，采用判定树分类过程建立识别模型；最后对未知页面文件进行识别；在对页面文件进行识别时，提取未知页面文件的特征向量集，利用该特征向量集代替页面文件进行识别，然后将特征向量集作为识别器的输入，识别器根据己建立的识别，对特征向量集进行识别分类；最后得出未知页面文件的分类结果。