[发明专利]一种内存中可执行文件获取方法、装置、设备及存储介质

权利要求书

1.一种内存中可执行文件获取方法，其特征在于，包括：

在任务文件库中选择一个待测任务文件，将选择的待测任务文件确定为目标任务文件；

在虚拟环境中，启动所述目标任务文件，所述虚拟环境的虚拟内存具有不可执行权限；

在所述目标任务文件运行过程中，如果监测到所述虚拟内存中有可执行文件被执行，则获取所述可执行文件；

对所述可执行文件进行分析。

2.根据权利要求1所述的方法，其特征在于，通过以下步骤确定所述虚拟内存中是否有可执行文件被执行：

在监测到所述虚拟环境的扩展页表发生故障时，确定所述虚拟内存中有可执行文件被执行。

3.根据权利要求2所述的方法，其特征在于，所述在监测到所述虚拟环境的扩展页表发生故障时，确定所述虚拟内存中有可执行文件被执行，包括：

在监测到所述虚拟环境的扩展页表发生故障时，获取发生所述故障的内存地址及所述内存地址所属内存块；

确定所述内存块中是否包含可执行文件头标记；

如果包含，则确定所述虚拟内存中有可执行文件被执行。

4.根据权利要求3所述的方法，其特征在于，所述获取发生所述故障的内存地址，包括：

在所述故障发生时，获取所述虚拟环境的客户机操作系统的全局段寄存器；

将所述全局段寄存器切换至所述客户机操作系统后，进一步切换到正在执行可执行文件的进程的地址空间；

读取所述进程所在的内存地址。

5.根据权利要求1所述的方法，其特征在于，所述获取所述可执行文件，包括：

保存所述可执行文件；

对所述可执行文件进行重建处理。

6.根据权利要求5所述的方法，其特征在于，所述对所述可执行文件进行重建处理，包括：

保存所述可执行文件的文件头；

对所述可执行文件进行节数据处理；

对所述可执行文件进行重建优化处理。

7.根据权利要求1所述的方法，其特征在于，在所述获取所述可执行文件之后，还包括：

将所述虚拟环境进行镜像还原处理。

8.根据权利要求1至7之中任一项所述的方法，其特征在于，所述对所述可执行文件进行分析，包括：

确定所述可执行文件是否为恶意文件；

如果是，则将所述可执行文件的指纹特征加入到病毒特征库中。

9.根据权利要求8所述的方法，其特征在于，还包括：

获取所述可执行文件的消息摘要；

基于所述消息摘要，确定所述可执行文件的关联恶意文件；

生成与所述可执行文件对应的威胁情报。

10.一种内存中可执行文件获取装置，其特征在于，包括：

文件确定单元，用于在任务文件库中选择一个待测任务文件，将选择的待测任务文件确定为目标任务文件；

文件启动单元，用于在虚拟环境中，启动所述目标任务文件，所述虚拟环境的虚拟内存具有不可执行权限；

文件获取单元，用于在所述目标任务文件运行过程中，如果监测到所述虚拟内存中有可执行文件被执行，则获取所述可执行文件；

文件分析单元，用于对所述可执行文件进行分析。

11.根据权利要求10所述的装置，其特征在于，还包括内存监测单元，用于通过以下步骤确定所述虚拟内存中是否有可执行文件被执行：

在监测到所述虚拟环境的扩展页表发生故障时，确定所述虚拟内存中有可执行文件被执行；

或者，在监测到所述虚拟环境的扩展页表发生故障时，获取发生所述故障的内存地址及所述内存地址所属内存块；

确定所述内存块中是否包含可执行文件头标记；

如果包含，则确定所述虚拟内存中有可执行文件被执行。