[发明专利]文件检测方法、装置、设备及计算机可读存储介质

权利要求书

1.一种文件检测方法，其特征在于，包括：

获取待测文件对应的模糊哈希值；

将所述模糊哈希值中的字符型数据进行数值化处理，得到数值型数据；

根据所述数值型数据在预设的恶意样本文件数据库中查询满足预设条件的目标恶意样本文件；所述恶意样本文件数据库中存储有各恶意样本文件与数值型数据的对应关系，每一所述恶意样本文件对应的数值型数据为将所述恶意样本文件对应的模糊哈希值中的字符型数据进行数值化处理所得到的数据；所述预设条件包括：恶意样本文件对应的数值型数据与所述待测文件对应的数值型数据之间存在至少N个相同的数值；所述N为大于等于1的整数；

根据查询结果判断所述待测文件是否为恶意文件。

2.如权利要求1所述的文件检测方法，其特征在于，所述恶意样本文件数据库中还存储有各恶意样本文件与分片参数的对应关系，所述恶意样本文件对应的模糊哈希值为基于所述恶意样本文件对应的分片参数计算得到的值；

所述获取待测文件对应的模糊哈希值包括：

确定所述待测文件对应的分片参数；

根据所述分片参数对所述待测文件分片，并计算每一分片对应的分片哈希值，根据各所述分片哈希值计算所述待测文件对应的模糊哈希值；

所述根据所述数值型数据在预设的恶意样本文件数据库中查询满足预设条件的目标恶意样本文件，包括：

根据所述待测文件对应的所述分片参数及所述待测文件对应的所述数值型数据在预设的恶意样本文件数据库中查询满足预设条件的目标恶意样本文件；所述预设条件还包括：所述恶意样本文件对应的分片参数与所述待测文件对应的所述分片参数之间满足预设倍数关系。

3.如权利要求2所述的文件检测方法，其特征在于，所述根据所述分片参数对所述待测文件分片，并计算所述待测文件在相应分片下对应的模糊哈希值，包括：

分别将所述待测文件分为n片和n/2片，并计算所述待测文件在被分为n片和n/2片时各自对应的模糊哈希值，n表示所述待测文件对应的分片参数；

所述恶意样本文件对应的模糊哈希值包括所述恶意样本文件在被分为m片和m/2片时各自对应的模糊哈希值，m表示所述恶意样本文件对应的分片参数；

所述预设倍数关系包括以下关系中的至少一种：

m＝n，m＝2n，m＝n/2。

4.如权利要求1所述的文件检测方法，其特征在于，当查询到与所述待测文件对应的所述目标恶意样本文件时，所述根据查询结果判断所述待测文件是否为恶意文件，包括：

计算所述待测文件与查询到的各所述目标恶意样本文件之间的文件相似度；

当某一所述文件相似度大于等于预设文件相似度阈值时，将所述待测文件确定为恶意文件。

5.如权利要求4所述的文件检测方法，其特征在于，所述计算所述待测文件与查询到的各所述目标恶意样本文件之间的相似度包括：计算所述待测文件对应的数值型数据与各所述目标恶意样本文件对应的数值型数据之间的数值型数据相似度，将所述数值型数据相似度作为所述文件相似度；

或，

所述恶意样本数据数据库中还存储有各恶意样本文件与模糊哈希值的对应关系，所述计算所述待测文件与查询到的各所述目标恶意样本文件之间的相似度，包括：计算所述待测文件对应的模糊哈希值与各所述目标恶意样本文件对应的模糊哈希值之间的哈希值相似度，将所述哈希值相似度作为所述文件相似度。

6.如权利要求4或5所述的文件检测方法，其特征在于，所述恶意样本文件数据库中还存储有各恶意样本文件与其所属的分类家族的对应关系，在确定所述待测文件为恶意文件之后，所述方法还包括：

从所述恶意样本文件数据库中确定各分类恶意样本文件对应的目标分类家族；所述分类恶意样本文件为所述目标恶意样本文件中与所述待测文件的文件相似度大于等于预设文件相似度阈值的文件；

从所述目标分类家族中确定出所述待测文件所属的分类家族。