[发明专利]一种病毒特征匹配方法、终端及计算机可读存储介质

说明书

本发明提供了一种病毒特征匹配方法，包括：将病毒库映射到包含若干个连续比特位的位图上；将从数据包中提取的文件内容复制到缓冲区；利用预设窗口在缓冲区中选取出匹配区域，计算匹配区域在位图上的映射位置，根据映射位置判断是否匹配，滑动预设窗口，直到文件内容匹配结束。基于上述病毒特征匹配方法，本发明还提供了一种终端及计算机可读存储介质，采用本发明的技术方案，能将海量病毒库装入尺寸有限的缓存中，同时采用计算算法代替现有技术中的比较算法，能进一步发挥X86 CPU计算性能好的特点，提升病毒检测的效率。

技术领域

本发明涉及病毒检测领域，特别涉及一种病毒特征匹配方法、终端及计算机可读存储介质。

背景技术

随着近几年恶意软件的泛滥，病毒样本的数量出现了爆炸式的增长，各个主流厂商的病毒样本库都达到了上百万。病毒库加载到内存中占用几百兆主内存。而主流的X86CPU的缓存有限，相对于过度肥胖的病毒库，缓存的体积太小了，这导致传统的病毒扫描引擎频繁的访问主内存，导致低下的扫描性能。

由于网关产品对于性能非常敏感，快速下降的病毒特征匹配性能，严重的限制了网关防病毒的应用场景，给基于X86 CPU的网关防病毒产品带来极大的挑战。

在解决海量病毒特征匹配这个问题时，由于X86 CPU的缓存有限，病毒扫描引擎不得不频繁访问系统内存，这导致随着病毒特征库数量的增长AC算法匹配性能快速下降。

发明内容

为了解决由于X86 CPU的缓存有限导致的AC算法匹配性能快速下降的问题，提升病毒检测的效率，本发明提供了一种病毒特征匹配方法、终端及计算机可读存储介质。

本发明提供的病毒特征匹配方法，包括以下步骤：

将病毒库映射到包含若干个连续比特位的位图上；

将从数据包中提取的文件内容复制到缓冲区；

利用预设窗口在所述缓冲区中选取出匹配区域，计算所述匹配区域在所述位图上的映射位置，根据映射位置判断是否匹配，滑动所述预设窗口，直到所述文件内容匹配结束。

可选的，在本发明所述的病毒特征匹配方法中，将病毒库映射到包含若干个连续比特位的位图上，包括：

读取所述病毒库中当前病毒特征码的头部；

对所述当前病毒特征码的头部采用不同的哈希函数进行若干次哈希计算，得到若干个散列值，对所述若干个散列值取模，得到所述当前病毒特征码在所述位图上的若干个映射位置；

遍历所述病毒库中所有的病毒特征码，得到所述病毒库在所述位图上的映射位置。

可选的，在本发明所述的病毒特征匹配方法中，所述预设窗口的长度与所述病毒特征码头部的读取长度相同。

可选的，在本发明所述的病毒特征匹配方法中，计算所述匹配区域在所述位图上的映射位置，根据映射位置判断是否匹配，包括：

采用哈希函数对所述匹配区域进行哈希计算，得到散列值，并对所述散列值取模，得到所述匹配区域在所述位图上的映射位置，其中，所述哈希函数为将病毒库映射到位图的过程中采用的不同的哈希函数中的一个；

判断所述映射位置在病毒库映射到位图的过程中是否被置位；

如果所述映射位置在病毒库映射到位图的过程中没有被置位，则滑动所述预设窗口，以在所述缓冲区中选取出下一个匹配区域；

如果所述映射位置在病毒库映射到位图的过程中被置位，则继续采用将病毒库映射到位图的过程中采用的不同的哈希函数中的下一个哈希函数对所述匹配区域进行哈希计算，直到将病毒库映射到位图的过程中采用的不同的哈希函数使用完毕。

可选的，在本发明所述的病毒特征匹配方法中，还包括：