[发明专利]一种office文档检测方法、装置、设备及介质

说明书

本发明公开了一种office文档检测方法、装置、设备及介质，所述方法包括：提取office文档的宏；通过解析所述office文档的宏，确定所述office文档的模板特征参数；将确定出的所述office文档的模板特征参数与预先保存的黑白名单库中的模板特征参数进行匹配，检测所述office文档是否为恶意文档。基于同一个office文档模板，用户即使根据需要删减或增加相应内容，office文档的宏是不变的，因此，根据office文档的宏确定office文档的模板特征参数，然后基于模板特征参数检测office文档是否为恶意文档，解决了现有技术检测office文档的局限性较大的问题。

技术领域

本发明涉及恶意文件检测技术领域，尤其涉及一种office文档检测方法、装置、设备及介质。

背景技术

某些公司或办事处会有内部的office文档模板，office文档模板中有的为恶意模板，基于恶意模板生成的office文档为恶意office文档，office文档检测也就是检测office文档是否为恶意的。现有技术中，利用消息摘要算法MD5计算office文档模板的签名信息，然后基于签名信息检测office文档模板是否为恶意模板。然后将恶意模板的签名信息加入黑名单，将正常模板的签名信息加入白名单，在检测office文档时，利用MD5算法计算office文档的签名信息，再与黑白名单中的签名信息匹配，来检测office文档是否为恶意文档。但是基于同一个office文档模板，用户可能根据需要会删减或增加相应内容，这样有可能产生成百上千个不同的office文档，利用消息摘要算法MD5计算出的这些百上千个不同的office文档的签名信息各不相同，因此，通过与黑白名单中的签名信息匹配并不能有效的检测office文档是否为恶意文档，office文档检测的局限性较大。

发明内容

本发明实施例提供了一种office文档检测方法、装置、设备及介质，用以解决现有技术中office文档检测的局限性较大的问题。

本发明实施例提供了一种office文档检测方法，所述方法包括：

提取office文档的宏；

通过解析所述office文档的宏，确定所述office文档的模板特征参数；

将确定出的所述office文档的模板特征参数与预先保存的黑白名单库中的模板特征参数进行匹配，检测所述office文档是否为恶意文档。

进一步地，所述通过解析所述office文档的宏，确定所述office文档的模板特征参数包括：

通过解析所述office文档的宏，确定所述office文档的调用函数列表和关键字列表；根据所述调用函数列表和关键字列表确定函数调用矩阵；所述模板特征参数包括调用函数列表、关键字列表和函数调用矩阵；

所述将确定出的所述office文档的模板特征参数与预先保存的黑白名单库中的模板特征参数进行匹配，检测所述office文档是否为恶意文档包括：

将确定出的所述office文档的调用函数列表、关键字列表和函数调用矩阵与预先保存的黑白名单库中的调用函数列表、关键字列表和函数调用矩阵进行匹配，检测所述office文档是否为恶意文档。

进一步地，所述根据所述调用函数列表和关键字列表确定函数调用矩阵包括：

根据所述调用函数列表，确定函数调用关系子矩阵；

根据所述调用函数列表、关键字列表和预设的关键字库，确定函数命中关键字子矩阵；

所述函数调用矩阵包括所述函数调用关系子矩阵和所述函数命中关键字子矩阵。

进一步地，所述将确定出的所述office文档的调用函数列表、关键字列表和函数调用矩阵与预先保存的黑白名单库中的调用函数列表、关键字列表和函数调用矩阵进行匹配包括：