[发明专利]虚拟机的模拟方法及装置、存储介质、计算机设备

权利要求书

1.一种虚拟机的模拟方法，其特征在于，包括：

获取真实系统中的可执行文件对应的可执行文件头；

根据所述可执行文件头导出所述可执行文件对应的函数；

利用所述可执行文件对应的函数以及所述可执行文件头，在虚拟机中建立虚拟可执行文件，其中，所述虚拟可执行文件包括与所述函数对应的桩函数ID、桩函数调用中断以及桩函数调用返回值；

当目标程序在所述虚拟机中执行时，调用所述虚拟可执行文件；

响应于所述目标程序对所述虚拟可执行文件中的目标桩函数调用，通过相应的所述桩函数调用中断实现所述目标程序对所述目标桩函数的调用，其中，通过目标桩函数ID确定相应的所述桩函数调用中断；

根据所述目标程序调用的所述目标桩函数以及所述桩函数调用返回值，输出所述目标程序的执行结果；

记录所述目标程序在所述虚拟机中执行时调用的所述桩函数ID；

根据所述目标程序所调用的所述桩函数ID，判断所述目标程序是否为恶意程序。

2.根据权利要求1所述的方法，其特征在于，所述根据所述目标程序所调用的所述桩函数ID，判断所述目标程序是否为恶意程序，具体包括：

根据所述目标程序所调用的所述桩函数ID，确定所述目标程序的执行序列，并从所述执行序列中解析出所述目标程序的执行特征；

查询所述目标程序的执行特征是否属于预设执行特征黑名单中包含的恶意执行特征；

若所述目标程序的执行特征属于所述恶意执行特征，则确定所述目标程序为恶意程序。

3.根据权利要求2所述的方法，其特征在于，所述从所述执行序列中解析出所述目标程序的执行特征之后，所述方法还包括：

查询所述目标程序的执行特征是否属于预设执行特征白名单中包含的安全执行特征；

若所述目标程序的执行特征属于所述安全执行特征，则确定所述目标程序为安全程序。

4.根据权利要求1至3中任一项所述的方法，其特征在于，所述桩函数调用返回值为空或者预设值。

5.一种虚拟机的模拟装置，其特征在于，包括：

文件头获取模块，用于获取真实系统中的可执行文件对应的可执行文件头；

函数导出模块，用于根据所述可执行文件头导出所述可执行文件对应的函数；

虚拟机建立模块，用于利用所述可执行文件对应的函数以及所述可执行文件头，在虚拟机中建立虚拟可执行文件，其中，所述虚拟可执行文件包括与所述函数对应的桩函数ID、桩函数调用中断以及桩函数调用返回值；

目标程序执行模块，用于在虚拟机中建立虚拟可执行文件之后，当目标程序在所述虚拟机中执行时，调用所述虚拟可执行文件；

桩函数调用模块，用于响应于所述目标程序对所述虚拟可执行文件中的目标桩函数调用，通过相应的所述桩函数调用中断实现所述目标程序对所述目标桩函数的调用，其中，通过目标桩函数ID确定相应的所述桩函数调用中断；

执行结果输出模块，用于根据所述目标程序调用的所述目标桩函数以及所述桩函数调用返回值，输出所述目标程序的执行结果；

调用记录模块，用于记录所述目标程序在所述虚拟机中执行时调用的所述桩函数ID；

恶意程序判断模块，用于根据所述目标程序所调用的所述桩函数ID，判断所述目标程序是否为恶意程序。

6.根据权利要求5所述的装置，其特征在于，所述恶意程序判断模块，具体包括：

执行特征解析单元，用于根据所述目标程序所调用的所述桩函数ID，确定所述目标程序的执行序列，并从所述执行序列中解析出所述目标程序的执行特征；

恶意特征查询单元，用于查询所述目标程序的执行特征是否属于预设执行特征黑名单中包含的恶意执行特征；

恶意程序判断单元，用于若所述目标程序的执行特征属于所述恶意执行特征，则确定所述目标程序为恶意程序。