[发明专利]一种基于程序逻辑识别同源攻击的方法、装置及存储设备

权利要求书

1.一种基于程序逻辑识别同源攻击的方法，其特征在于：

采集恶意代码；

对恶意代码进行静态分析，构建恶意代码调用系统API的第一有向图；

将恶意代码调用系统API的第一有向图转化成n维向量，并存储；

与已知恶意代码样本的n维向量进行对比，计算相似度，判断恶意代码编写者身份。

2.如权利要求1所述的方法，其特征在于，对恶意代码进行静态分析，构建恶意代码调用系统API的第一有向图，具体为：

判断恶意代码编程语言，得到若干个单一编程语言的恶意代码块；

构建若干个恶意代码块调用系统API的第二有向图；

将若干个恶意代码块调用系统API的第二有向图拼接，得到完整的恶意代码调用系统API的第一有向图。

3.如权利要求2所述的方法，其特征在于，构建若干个恶意代码块调用系统API的第二有向图，具体为：

提取恶意代码块中每个代码自定义函数的逻辑结构，并进行分析；

构建每个代码自定义函数的第一数据流转图；

将每个代码自定义函数的第一数据流转图拼接，得到完整的恶意代码块运行时的第二数据流转图；

利用系统API替换第二数据流转图中的函数节点，将一条链路中相邻的变量节点合并，得到一个恶意代码块调用系统API的第二有向图；

其中，数据流转图用以表述代码自定义函数对变量及函数的利用情况。

4.如权利要求3所述的方法，其特征在于：构建每个代码自定义函数的第一数据流转图，具体为：

将分析出的语句中的变量及语句中的调用函数作为节点，以逻辑结构为边，构建每个代码自定义函数的第一数据流转图。

5.如权利要求3所述的方法，其特征在于，将每个代码自定义函数的第一数据流转图拼接，具体为：

构建恶意代码块中的最外层自定义函数的第一数据流转图，根据最外层自定义函数对其他函数的调用关系，用其他函数的第一数据流转图替换最外层自定义函数的第一数据流转图中其他函数的节点。

6.如权利要求3所述的方法，其特征在于，利用系统API替换第二数据流转图中的函数节点之前，还包括：

建立函数-系统API映射表。

7.一种基于程序逻辑识别同源攻击的装置，其特征在于：所述装置包括存储器和处理器，所述存储器用于存储多条指令，所述处理器用于加载所述存储器中存储的指令以执行：

采集恶意代码；

对恶意代码进行静态分析，构建恶意代码调用系统API的第一有向图；

将恶意代码调用系统API的第一有向图转化成n维向量，并存储；

与已知恶意代码样本的n维向量进行对比，计算相似度，判断恶意代码编写者身份。

8.如权利要求7所述的装置，其特征在于，所述处理器还用于加载所述存储器中存储的指令以执行：

对恶意代码进行静态分析，构建恶意代码调用系统API的第一有向图，具体为：

判断恶意代码编程语言，得到若干个单一编程语言的恶意代码块；

构建若干个恶意代码块调用系统API的第二有向图；

将若干个恶意代码块调用系统API的第二有向图拼接，得到完整的恶意代码调用系统API的第一有向图。

9.如权利要求8所述的装置，其特征在于，所述处理器还用于加载所述存储器中存储的指令以执行：

构建若干个恶意代码块调用系统API的第二有向图，具体为：

提取恶意代码块中每个代码自定义函数的逻辑结构，并进行分析；

构建每个代码自定义函数的第一数据流转图；

将每个代码自定义函数的第一数据流转图拼接，得到完整的恶意代码块运行时的第二数据流转图；

利用系统API替换第二数据流转图中的函数节点，将一条链路中相邻的变量节点合并，得到一个恶意代码块调用系统API的第二有向图；

其中，数据流转图用以表述代码自定义函数对变量及函数的利用情况。