[发明专利]基于静态特征的PE文件加壳检测方法

权利要求书

1.一种基于静态特征的PE文件加壳检测方法，其特征是：按以下步骤进行：

针对每一个待检测的PE文件，首先对其进行静态文件分析，提取出该PE文件的9个特征值，然后使用PE文件分类器来进行加壳检测；检测为加壳的PE文件就用通用解壳工具来进行解壳，然后再使用基于签名的反病毒软件来检测其是否为病毒；检测为未加壳的PE文件则跳过通用解壳工具的处理，直接使用基于签名的反病毒软件来进行病毒检测；

上述PE文件的9个特征值定义如下：

1)标准节的个数；

2)非标准节的个数；

3)具有可执行属性的节的个数；

4)同时具有可读/可写/可执行属性的节的个数；

5)IAT表中所含表项的个数；没有IAT表时取值-1；

6)PE文件头的熵；取值0～8；

7)代码节的熵；取值0～8；没有代码节时取值-1；

8)数据节的熵；取值0～8；没有数据节时取值-1；

9)PE文件的熵；取值0～8；

上述分类器选用以下四种之一：

a、贝叶斯分类器；

b、Weka开发的基于C4.5决策树分类算法的J48决策树分类器；

c、Weka开发的基于K最近邻居分类算法的IBk分类器；

d、Multi Layer Perceptron分类器。

2.根据权利要求1所述的基于静态特征的PE文件加壳检测方法，其特征是：所述分类器优选为Multi Layer Perceptron分类器。

3.根据权利要求1或2所述的基于静态特征的PE文件加壳检测方法，其特征是：分类器应经过如下训练步骤：

以足够多的PE文件为基础，提取每一PE文件的9个特征值，得到一个训练集，该训练集包含未加壳的正常PE文件的特征值，又包含加了壳的PE文件的特征值；然后，使用上述训练集来对分类器进行训练。