[发明专利]一种检测方法和装置

说明书

技术领域

本发明涉及通信领域，更具体的说，涉及一种检测方法和装置。

背景技术

随着信息化的发展，办公软件的使用率越来越高，尤其是办公室office软件。由于office软件使用的普遍性，黑客常常将恶意的宏代码嵌入到office文件中，然后通过邮件等方式传播恶意的宏代码，此种方法攻击性强，已经对我国的金融行业、能源行业、政府、电力行业等造成了一定的恶劣影响，所以检测office文件中是否携带有恶意的宏代码变得至关重要。

现有技术中，采用特征码和人工规则的识别方法来检测office文件中是否携带有恶意的宏代码，特征码和人工规则的识别方法是指人工规定一些特定的恶意的字节，然后在office文件中的特定位置，查看是否包含有人工规定的那些恶意的字节，如果包含有人工规定的那些恶意的字节，就证明包含有恶意的宏代码，即该office文件是恶意文件。

在计算机中存储宏代码时，存储的是其二进制的形式，即恶意的字节是恶意的宏代码的二进制的形式。黑客常常在保证该恶意的字节对应的具有字符串形式的宏代码不变的前提下，通过修改恶意的字节的形式，如采用加一减一法修改恶意的字节的形式，来使形式改变后的恶意的字节不被检测到。此时，由于恶意的字节的形式已经被改变，采用特征码和人工规则的识别方法，来检测人工规定的那些恶意的字节时，就不会检测到形式改变后的恶意的字节，进而就不能判断office文件是否是恶意文件。

因此，亟需一种能够在恶意的字节的形式改变后，仍能够判断office文件是否是恶意文件的方法。

发明内容

有鉴于此，本发明提供一种检测方法和装置，以解决采用特征码和人工规则的识别方法来检测office文件中是否携带有恶意的宏代码时，在恶意的字节的形式改变时，不能判断office文件是否是恶意文件的问题。

为解决上述技术问题，本发明采用了如下技术方案：

一种检测方法，包括：

当获取的目标文件为办公office文件时，提取所述目标文件中具有二进制形式的宏代码；

将所述具有二进制形式的宏代码解码成具有字符串形式的宏代码；

判断所述具有字符串形式的宏代码中是否包含有预设的恶意特征中的至少一个恶意特征；

当判断出所述具有字符串形式的宏代码中包含有所述预设的恶意特征中的至少一个恶意特征，分析所述具有字符串形式的宏代码中包含的每一个恶意特征的内容，得到与所述每一个恶意特征对应的、能够表示该恶意特征的恶意程度的数值；

根据与所述每一个恶意特征对应的、能够表示该恶意特征的恶意程度的数值，计算得到所述目标文件为恶意文件的概率；

根据所述概率，判断所述目标文件是否是恶意文件。

优选地，所述提取所述目标文件中具有二进制形式的宏代码，包括：

查找所述目标文件中的对象连接与嵌入OLE对象；

提取所述OLE对象中包含的所述具有二进制形式的宏代码。

优选地，所述将所述具有二进制形式的宏代码解码成具有字符串形式的宏代码后，还包括：

删除所述具有字符串形式的宏代码中包含的注释，得到不含注释的宏代码；

相应的，所述判断所述具有字符串形式的宏代码中是否包含有预设的恶意特征中的至少一个恶意特征；

当判断出所述具有字符串形式的宏代码中包含有所述预设的恶意特征中的至少一个恶意特征，分析所述具有字符串形式的宏代码中包含的每一个恶意特征的内容，得到与所述每一个恶意特征对应的、能够表示该恶意特征的恶意程度的数值，包括：

判断所述不含注释的宏代码中是否包含有预设的恶意特征中的至少一个恶意特征；

当判断出所述不含注释的宏代码中包含有所述预设的恶意特征中的至少一个恶意特征，分析所述不含注释的宏代码中包含的每一个恶意特征的内容，得到与所述每一个恶意特征对应的、能够表示该恶意特征的恶意程度的数值。

优选地，所述预设的恶意特征包括名称特征、恶意行为特征或数据加密特征；

相应的，所述分析所述具有字符串形式的宏代码中包含的每一个恶意特征的内容，得到与所述每一个恶意特征对应的、能够表示该恶意特征的恶意程度的数值，包括：

当所述具有字符串形式的宏代码中包含所述名称特征时，根据与所述具有字符串形式的宏代码中包含的所述名称特征中的每一个名称相匹配的字符串为正常字符串的概率，得到与所述名称特征对应的、能够表示所述名称特征的恶意程度的数值；