[发明专利]一种恶意PDF文档检测方法及装置

说明书

本发明实施例公开了一种恶意PDF文档检测方法及装置，该方法包括：对待测试的PDF文档进行解析，获取待测试的PDF文档中的物理结构，以及定位待测试的PDF文档中的Javascript代码；提取物理结构中第一特征数据；以及提取Javascript代码中第二特征数据；将第一特征数据和第二特征数据构成特征向量；利用预获取的机器学习算法最优模型对特征向量进行测试，确定待测试的PDF文档是否为恶意PDF文档。通过对待测试的PDF文档的物理结构解析，以及对文档中的Javascript代码进行定位，然后分别提取二者中符合预设条件的特征数据，将二者中提取出的特征数据构成特征向量代入机器学习算法最优模型中进行测试。通过上述方式，可以提高对恶意PDF文档识别的准确率。

技术领域

本发明涉及计算机技术领域，具体涉及一种恶意PDF文档检测方法及装置。

背景技术

便携式文档格式(Portable Document Format，简称)，是由Adobe公司所开发的一种独特的跨平台的文件格式。随着办公自动化的迅速普及，PDF文档逐渐成为人们生活和工作不可或缺的应用文档软件。PDF文档凭借其方便易用的特点，克服了电子文档共享过程中常见的识别问题，使用户可以在网上自由地浏览文档，方便地交换文档，成为现代电子文档分发的理想格式。然而，用户在享受PDF文档带来的很多便利的同时，也受到了恶意性攻击的PDF文档所造成的危害和影响。日益严重的PDF文档漏洞不仅给用户造成了巨大的经济损失，同时也使整个安全环境面临严重的挑战和威胁。

而由于PDF文档结构自身的独特性，目前大部分杀毒软件采用的基于启发式或字符串匹配的方法，或者采用基于签名的方法都无法应对新的攻击，并且已经被证明在应对多态攻击方面存在一定的不足。现有的PDF文档检测方案普遍存在准确度低的问题。

发明内容

本发明实施例的目的在于提供一种恶意PDF文档检测方法及装置，用以解决现有PDF文档检测方案准确度低的问题。

为实现上述目的，本发明实施例提供一种恶意PDF文档检测方法，该方法包括：

对待测试的PDF文档进行解析，获取待测试的PDF文档中的物理结构，以及定位待测试的PDF文档中的Javascript代码；

提取物理结构中第一特征数据，以及Javascript代码中第二特征数据；

将第一特征数据和第二特征数据构成特征向量；

利用预获取的机器学习算法最优模型对特征向量进行测试，确定待测试的PDF文档是否为恶意PDF文档。

本发明实施例具有如下优点：通过对待测试的PDF文档的物理结构解析，以及对文档中的Javascript代码进行定位，然后分别提取二者中符合预设条件的特征数据，将二者中提取出的特征数据构成特征向量代入机器学习算法最优模型中进行测试。通过上述方式，可以提高对恶意PDF文档识别的准确率。

为实现上述目的，本发明实施例提供一种恶意PDF文档检测装置，该装置包括：

处理单元，用于对待测试的PDF文档进行解析，获取待测试的PDF文档中的物理结构，以及定位待测试的PDF文档中的Javascript代码；

提取物理结构中第一特征数据，以及Javascript代码中第二特征数据；

特征向量生成单元，用于将第一特征数据和第二特征数据构成特征向量；

测试单元，用于利用预获取的机器学习算法最优模型对特征向量进行测试，确定待测试的PDF文档是否为恶意PDF文档。