[发明专利]一种office文档检测方法、装置、设备及介质

权利要求书

1.一种office文档检测方法，其特征在于，所述方法包括：

提取office文档的宏；

通过解析所述office文档的宏，确定所述office文档的模板特征参数；

将确定出的所述office文档的模板特征参数与预先保存的黑白名单库中的模板特征参数进行匹配，检测所述office文档是否为恶意文档。

2.如权利要求1所述的方法，其特征在于，所述通过解析所述office文档的宏，确定所述office文档的模板特征参数包括：

通过解析所述office文档的宏，确定所述office文档的调用函数列表和关键字列表；根据所述调用函数列表和关键字列表确定函数调用矩阵；所述模板特征参数包括调用函数列表、关键字列表和函数调用矩阵；

所述将确定出的所述office文档的模板特征参数与预先保存的黑白名单库中的模板特征参数进行匹配，检测所述office文档是否为恶意文档包括：

将确定出的所述office文档的调用函数列表、关键字列表和函数调用矩阵与预先保存的黑白名单库中的调用函数列表、关键字列表和函数调用矩阵进行匹配，检测所述office文档是否为恶意文档。

3.如权利要求2所述的方法，其特征在于，所述根据所述调用函数列表和关键字列表确定函数调用矩阵包括：

根据所述调用函数列表，确定函数调用关系子矩阵；

根据所述调用函数列表、关键字列表和预设的关键字库，确定函数命中关键字子矩阵；

所述函数调用矩阵包括所述函数调用关系子矩阵和所述函数命中关键字子矩阵。

4.如权利要求2所述的方法，其特征在于，所述将确定出的所述office文档的调用函数列表、关键字列表和函数调用矩阵与预先保存的黑白名单库中的调用函数列表、关键字列表和函数调用矩阵进行匹配包括：

判断预先保存的黑白名单库中是否存在与所述office文档的调用函数列表、关键字列表相同的列表，与所述office文档的函数调用矩阵匹配的矩阵，如果是，确定匹配成功，否则，确定未匹配成功。

5.如权利要求4所述的方法，其特征在于，判断预先保存的黑白名单库中是否存在与所述office文档的函数调用矩阵匹配的矩阵包括：

选取预先保存的黑白名单库中与所述函数调用矩阵规模相同的候选矩阵；

针对每个候选矩阵，确定该候选矩阵与所述函数调用矩阵每个对应位置的元素的差值；判断确定出的每个差值是否均小于预设的阈值；如果是，确定该候选矩阵与所述函数调用矩阵匹配，如果否，确定该候选矩阵与所述函数调用矩阵不匹配。

6.一种office文档检测装置，其特征在于，所述装置包括：

提取模块，用于提取office文档的宏；

确定模块，用于通过解析所述office文档的宏，确定所述office文档的模板特征参数；

检测模块，用于将确定出的所述office文档的模板特征参数与预先保存的黑白名单库中的模板特征参数进行匹配，检测所述office文档是否为恶意文档。

7.如权利要求6所述的装置，其特征在于，所述确定模块，具体用于通过解析所述office文档的宏，确定所述office文档的调用函数列表和关键字列表；根据所述调用函数列表和关键字列表确定函数调用矩阵；所述模板特征参数包括调用函数列表、关键字列表和函数调用矩阵；

所述检测模块，具体用于将确定出的所述office文档的调用函数列表、关键字列表和函数调用矩阵与预先保存的黑白名单库中的调用函数列表、关键字列表和函数调用矩阵进行匹配，检测所述office文档是否为恶意文档。

8.如权利要求7所述的装置，其特征在于，所述确定模块，具体用于根据所述调用函数列表，确定函数调用关系子矩阵；根据所述调用函数列表、关键字列表和预设的关键字库，确定函数命中关键字子矩阵；所述函数调用矩阵包括所述函数调用关系子矩阵和所述函数命中关键字子矩阵。