[发明专利]一种检测方法和装置

权利要求书

1.一种检测方法，其特征在于，包括：

当获取的目标文件为办公office文件时，提取所述目标文件中具有二进制形式的宏代码；

将所述具有二进制形式的宏代码解码成具有字符串形式的宏代码；

判断所述具有字符串形式的宏代码中是否包含有预设的恶意特征中的至少一个恶意特征；

当判断出所述具有字符串形式的宏代码中包含有所述预设的恶意特征中的至少一个恶意特征，分析所述具有字符串形式的宏代码中包含的每一个恶意特征的内容，得到与所述每一个恶意特征对应的、能够表示该恶意特征的恶意程度的数值；

根据与所述每一个恶意特征对应的、能够表示该恶意特征的恶意程度的数值，计算得到所述目标文件为恶意文件的概率；

根据所述概率，判断所述目标文件是否是恶意文件。

2.根据权利要求1所述的检测方法，其特征在于，所述提取所述目标文件中具有二进制形式的宏代码，包括：

查找所述目标文件中的对象连接与嵌入OLE对象；

提取所述OLE对象中包含的所述具有二进制形式的宏代码。

3.根据权利要求1所述的检测方法，其特征在于，所述将所述具有二进制形式的宏代码解码成具有字符串形式的宏代码后，还包括：

删除所述具有字符串形式的宏代码中包含的注释，得到不含注释的宏代码；

相应的，所述判断所述具有字符串形式的宏代码中是否包含有预设的恶意特征中的至少一个恶意特征；

当判断出所述具有字符串形式的宏代码中包含有所述预设的恶意特征中的至少一个恶意特征，分析所述具有字符串形式的宏代码中包含的每一个恶意特征的内容，得到与所述每一个恶意特征对应的、能够表示该恶意特征的恶意程度的数值，包括：

判断所述不含注释的宏代码中是否包含有预设的恶意特征中的至少一个恶意特征；

当判断出所述不含注释的宏代码中包含有所述预设的恶意特征中的至少一个恶意特征，分析所述不含注释的宏代码中包含的每一个恶意特征的内容，得到与所述每一个恶意特征对应的、能够表示该恶意特征的恶意程度的数值。

4.根据权利要求1所述的检测方法，其特征在于，所述预设的恶意特征包括名称特征、恶意行为特征或数据加密特征；

相应的，所述分析所述具有字符串形式的宏代码中包含的每一个恶意特征的内容，得到与所述每一个恶意特征对应的、能够表示该恶意特征的恶意程度的数值，包括：

当所述具有字符串形式的宏代码中包含所述名称特征时，根据与所述具有字符串形式的宏代码中包含的所述名称特征中的每一个名称相匹配的字符串为正常字符串的概率，得到与所述名称特征对应的、能够表示所述名称特征的恶意程度的数值；

当所述具有字符串形式的宏代码中包含所述恶意行为特征时，根据所述具有字符串形式的宏代码中包含的所述恶意行为特征中的每个特征出现的次数，得到与所述恶意行为特征对应的、能够表示所述恶意行为特征的恶意程度的数值；

当所述具有字符串形式的宏代码中包含所述数据加密特征时，根据所述具有字符串形式的宏代码中包含的所述数据加密特征中的每个特征出现的次数，得到与所述数据加密特征对应的、能够表示所述数据加密特征的恶意程度的数值。

5.根据权利要求1所述的检测方法，其特征在于，所述根据与所述每一个恶意特征对应的、能够表示该恶意特征的恶意程度的数值，计算得到所述目标文件为恶意文件的概率，包括：

根据与所述每一个恶意特征对应的、能够表示该恶意特征的恶意程度的数值，采用支持向量机算法，计算得到所述目标文件为恶意文件的概率。