[发明专利]一种shellcode的检测方法和装置

权利要求书

1.一种shellcode的检测方法，其特征在于，包括：

获取待检测的shellcode的指令信息；

采用所述指令信息，生成所述待检测的shellcode的特征数据；

依据所述特征数据，分别计算所述待检测的shellcode与预置的shellcode样本库中的每个shellcode类别的相似度；

依据所述相似度，确定所述待检测的shellcode的类别。

2.如权利要求1所述的方法，其特征在于，所述获取待检测的shellcode的指令信息的步骤包括：

获取待检测的shellcode的文本信息，所述文本信息包括shellcode代码段；

提取所述shellcode代码段中的多个指令信息。

3.如权利要求2所述的方法，其特征在于，所述采用所述指令信息，生成所述待检测的shellcode的特征数据的步骤包括：

从所述多个指令信息中依次提取出预设长度的子指令信息；

统计每个子指令信息出现的次数；

采用所述出现的次数超过预设阈值的多个目标子指令信息，生成所述待检测的shellcode的特征数据。

4.如权利要求3所述的方法，其特征在于，所述采用所述出现的次数超过预设阈值的多个目标子指令信息，生成所述待检测的shellcode的特征数据的步骤包括：

计算所述多个目标子指令信息的出现总次数；

依据所述出现总次数，对所述多个目标子指令信息进行归一化处理，以生成所述待检测的shellcode的特征向量。

5.如权利要求1所述的方法，其特征在于，所述预置的shellcode样本库通过如下方式生成：

分别获取多个shellcode样本的指令信息；

采用所述指令信息，生成每个shellcode样本的特征数据；

依据所述特征数据，对所述多个shellcode样本进行聚类，以生成所述shellcode样本库。

6.如权利要求5所述的方法，其特征在于，所述分别获取多个shellcode样本的指令信息的步骤包括：

分别获取每个shellcode样本的文本信息，所述文本信息包括shellcode代码段；

提取所述shellcode代码段中的多个指令信息。

7.如权利要求6所述的方法，其特征在于，所述采用所述指令信息，生成每个shellcode样本的特征数据的步骤包括：

从所述多个指令信息中依次提取出预设长度的子指令信息；

统计每个子指令信息出现的次数；

采用所述出现的次数超过预设阈值的多个目标子指令信息，生成所述每个shellcode样本的特征数据。

8.一种shellcode样本库的生成方法，其特征在于，包括：

分别获取多个shellcode样本的指令信息；

采用所述指令信息，生成每个shellcode样本的特征数据；

依据所述特征数据，对所述多个shellcode样本进行聚类，以生成所述shellcode样本库。

9.一种shellcode的检测装置，其特征在于，包括：

获取模块，用于获取待检测的shellcode的指令信息；

生成模块，用于采用所述指令信息，生成所述待检测的shellcode的特征数据；

计算模块，用于依据所述特征数据，分别计算所述待检测的shellcode与预置的shellcode样本库中的每个shellcode类别的相似度；

确定模块，用于依据所述相似度，确定所述待检测的shellcode的类别。

10.一种shellcode样本库的生成装置，其特征在于，包括：

指令信息获取模块，用于分别获取多个shellcode样本的指令信息；

特征数据生成模块，用于采用所述指令信息，生成每个shellcode样本的特征数据；

样本聚类模块，用于依据所述特征数据，对所述多个shellcode样本进行聚类，以生成所述shellcode样本库。