[发明专利]文件外壳的脱壳方法及装置、存储介质、电子装置

说明书

本发明提供了一种文件外壳的脱壳方法及装置、存储介质、电子装置，其中，该方法包括：识别目标文件的外壳种类；根据所述外壳种类对所述目标文件进行脱壳，得到脱壳文件；对所述脱壳文件进行修复，得到原始文件。通过本发明，解决了相关技术中只能对单一类型的带壳文件进行还原的技术问题，提高了带壳文件的识别率和检测率，同时也降低了使用外壳伪装的病毒木马文件带来的网络风险。

技术领域

本发明涉及网络安全领域，具体而言，涉及一种文件外壳的脱壳方法及装置、存储介质、电子装置。

背景技术

相关技术中，外壳是文件的原程序之外程序段，一般用于文件变种，压缩，加密等，因为加壳会让病毒更小巧，方便传播同时也会扭曲病毒的代码，以躲避杀毒软件的识别。

外壳包括保护壳等多种，相关技术中保护壳是病毒用于保护自己不被反病毒软件识别的一种代码保护技术，如果想对被保护的病毒进行查杀一般分为两个步骤，1：识别壳2：脱壳。相关技术中的脱壳工具一般都是较为针对性的识别壳，只能查杀固定种类的外壳，这样会导致其他家族的壳无法识别，有一定几率识别错误等问题。

针对相关技术中存在的上述问题，目前尚未发现有效的解决方案。

发明内容

本发明实施例提供了一种文件外壳的脱壳方法及装置、存储介质、电子装置。

根据本发明的一个实施例，提供了一种文件外壳的脱壳方法，包括：识别目标文件的外壳种类；根据所述外壳种类对所述目标文件进行脱壳，得到脱壳文件；对所述脱壳文件进行修复，得到原始文件。

可选的，根据所述外壳种类对所述目标文件进行脱壳包括：在预设壳表数据中查找与所述外壳种类对应的加壳规则；根据所述加壳规则对所述目标文件进行反序列处理。

可选的，根据所述加壳规则对所述目标文件进行反序列处理包括：确定所述目标文件中壳数据段的起始位置和加壳算法，其中，所述加壳算法包括加密算法和压缩算法；基于所述起始位置在所述目标文件中定位壳代码，并通过脱壳算法对所述目标文件进行还原，其中，所述脱壳算法是所述加壳算法的逆向算法。

可选的，对所述脱壳文件进行修复包括：确定所述脱壳文件的缺失程序；从预设数据库中获取所述缺失程序，并采用所述缺失程序修复所述脱壳文件。

可选的，识别目标文件的外壳种类包括：检测目标文件的文件外壳的家族标识；在检测得到所述家族标识时，检测所述文件外壳的外壳代码；根据所述外壳代码识别所述文件外壳的外壳种类。

根据本发明的另一个实施例，提供了一种文件外壳的脱壳装置，包括：识别模块，用于识别目标文件的外壳种类；脱壳模块，用于根据所述外壳种类对所述目标文件进行脱壳，得到脱壳文件；修复模块，用于对所述脱壳文件进行修复，得到原始文件。

可选的，所述脱壳模块包括：查找单元，用于在预设壳表数据中查找与所述外壳种类对应的加壳规则；处理单元，用于根据所述加壳规则对所述目标文件进行反序列处理。

可选的，所述处理单元包括：确定子单元，用于确定所述目标文件中壳数据段的起始位置和加壳算法，其中，所述加壳算法包括加密算法和压缩算法；还原子单元，用于基于所述起始位置在所述目标文件中定位壳代码，并通过脱壳算法对所述目标文件进行还原，其中，所述脱壳算法是所述加壳算法的逆向算法。

可选的，所述修复模块包括：确定单元，用于确定所述脱壳文件的缺失程序；修复单元，用于从预设数据库中获取所述缺失程序，并采用所述缺失程序修复所述脱壳文件。

可选的，所述识别模块包括：第一检测单元，用于检测目标文件的文件外壳的家族标识；第二检测单元，用于在检测得到所述家族标识时，检测所述文件外壳的外壳代码；识别单元，用于根据所述外壳代码识别所述文件外壳的外壳种类。