[发明专利]一种利用EBP判断恶意文件的方法

摘要

本发明涉及一种利用EBP判断恶意文件的方法，其基于恶意样本文件，建立一套函数栈帧信息数据库；然后，获取要判断的未知样本文件的函数栈帧信息，在数据库中进行匹配，根据匹配的结果和预制的规则判定获取的未知样本文件的安全性，其中，函数栈帧信息是基于EBP寄存器的值计算得到的；通过本发明，可以准确判断恶意文件。

主权项

一种利用EBP判断恶意文件的方法，其基于恶意样本文件，建立一套函数栈帧信息数据库；然后，获取要判断的未知样本文件的函数栈帧信息，在数据库中进行匹配，根据匹配的结果和预制的规则判定获取的未知样本文件的安全性，其特征在于，所述方法具体包括：函数栈帧信息数据库的建立步骤，其包括：步骤101，采集恶意样本文件；步骤102，恶意样本文件插桩执行或者调试运行，步骤103，获取A类型结点；步骤104，过滤系统函数；步骤105，计算B类型结点；步骤106，包含函数栈帧计算的C类型结点计算；步骤107，包含函数栈帧信息入数据库的C类型结点入库；未知样本的自动化判定步骤，其包括：步骤201，未知样本文件插桩执行或者调试运行；步骤202，获取A类型结点；步骤203，过滤系统函数；步骤204，计算B类型结点；步骤205，包含函数栈帧计算的C类型结点计算；步骤206，包含函数栈帧信息数据库查询的C类型结点数据库查询；步骤207，根据规则判定未知样本的恶意程度；其中，函数栈帧信息是基于EBP寄存器的值计算得到的，函数栈帧信息数据库存储了恶意样本文件运行时的函数调用路径上的所有函数的栈帧长度信息，并且把每个函数的栈帧长度作为一个结点，各个结点又组成了一个链表，结点的数值是此函数栈帧长度，几个相邻的结点表示这几个函数运行时相互间的调用关系，其表征了函数之间的联系。