[发明专利]固件木马检测定位方法、装置、电子设备及存储介质

权利要求书

1.一种固件木马检测定位方法，其特征在于，包括：

获取待检测固件文件的长度数据；

判断所述待检测固件文件的长度与对应的初始固件文件的长度是否一致；

若是，获取所述待检测固件文件的第一层级的待检测文件片段；

基于第一检测点将所述第一层级的待检测文件片段分为两个待检测片段；所述第一检测点基于所述第一层级的待检测文件片段的长度确定；

分别计算所述第一层级的两个待检测片段的hash值，根据初始固件文件的校验值信息表判断所述第一层级的两个待检测片段的hash值与所述初始固件文件的校验值信息表中的hash值是否一致；

若判断不一致的结果出现的次数为一次，获取第二层级的待检测文件片段；所述第二层级的待检测文件片段包括所述第一层级的待检测文件片段中判断结果为不一致的文件片段；

基于第二检测点将所述第二层级的待检测文件片段分为两个待检测片段；所述第二检测点基于所述第二层级的待检测文件片段的长度确定；

分别计算所述第二层级的两个待检测片段的hash值，根据初始固件文件的校验值信息表判断所述第二层级的两个待检测片段的hash值与所述初始固件文件的校验值信息表中的hash值是否一致；

重复上述过程，直至判断不一致的结果出现的次数为两次时，将对应的文件片段进行标识，作为木马检测定位结果。

2.根据权利要求1所述的方法，其特征在于，所述初始固件文件的校验值信息表的生成，包括：

获取所述初始固件文件的长度信息；其中，所述初始固件文件为二进制固件文件；

根据所述长度信息生成校验点个数和校验层级数；

根据所述校验点个数对所述初始固件文件进行各层级校验定位，得到各个校验点；

基于所述各个校验点，得到所述初始固件文件的各个文件片段；

分别计算所述初始固件文件的各个文件片段的hash值；

将所有hash值保存至所述初始固件文件的校验值信息表中，并按照层级排序和罗列。

3.根据权利要求2所述的方法，其特征在于，所述基于所述各个校验点，得到所述初始固件文件的各个文件片段，包括：

确定所述初始固件文件的第一层级的校验点，所述第一层级的校验点包括第一校验点；将所述初始固件文件的开始位置到所述第一校验点的文件数据作为第一层级的第一文件片段；将所述第一校验点到所述初始固件文件的末尾位置的文件数据作为第一层级的第二文件片段；

确定所述初始固件文件的第二层级的校验点，所述第二层级的校验点包括第二校验点和第三校验点，将所述初始固件文件的开始位置到所述第二校验点的文件数据作为第二层级的第一文件片段；将所述第二校验点到所述第一校验点的文件数据作为第二层级的第二文件片段；将所述第一校验点到所述第三校验点的文件数据作为第二层级的第三文件片段；将所述第三校验点到所述初始固件文件的末尾位置的文件数据作为第二层级的第四文件片段；

重复上述过程，直至达到所述校验层级数时，输出对应层级的各个文件片段。

4.根据权利要求1所述的方法，其特征在于，在所述获取所述待检测固件文件的第一层级的待检测文件片段之前，包括：

获取所述待检测固件文件的hash值；所述待检测固件文件的hash值包括所述待检测固件文件的开始位置到末尾位置的文件数据的hash值；

基于所述待检测固件文件的hash值与对应的初始固件文件的校验值信息表判断所述待检测固件文件是否发生篡改；

若是，继续进行检测；

若否，则停止检测。

5.根据权利要求1所述的方法，其特征在于，在所述分别计算所述第一层级的两个待检测片段的hash值，根据初始固件文件的校验值信息表判断所述第一层级的两个待检测片段的hash值与所述初始固件文件的校验值信息表中的hash值是否一致之后，包括：

若所述待检测固件文件的第一层级的两个待检测片段的判断结果均为不一致，则构建所述待检测固件文件的检测值信息表；

将所述待检测固件文件的检测值信息表与对应的初始固件文件的校验值信息表进行对比；

根据对比结果定位篡改位置。