[发明专利]恶意代码检测方法及网络设备

权利要求书

1.一种恶意代码检测方法，其特征在于，包括：

获取被检测数据块；

按照预设划分策略将所述被检测数据块划分为数据片段，获取每个所述数据片段的索引，将所述数据片段的索引和规则库中规则的特征串的基数进行匹配，其中，所述规则库是预先生成的；

当所述数据片段的索引与规则库中一条规则的所有特征串的基数均匹配中时，将被匹配中的索引对应的数据片段与被匹配中的基数对应的特征串进行字符匹配；

当所有字符匹配均成功时，判定所述被检测数据块为恶意代码。

2.根据权利要求1所述的恶意代码检测方法，其特征在于，所述特征串的基数通过以下步骤获得：

按照预设获取策略，获取规则库中每条规则中每个特征串的部分字符；

根据所述获取的特征串的部分字符生成所述特征串的基数。

3.根据权利要求1所述的恶意代码检测方法，其特征在于，所述按照预设划分策略将所述被检测数据块划分为数据片段，获取每个所述数据片段的索引包括：

将所述被检测数据块逐位进行偏移，将每次偏移的位置作为数据片段起点，获取与所述特征串具有相同长度的数据片段；

按照所述预设获取策略，获取所述数据片段的部分字符；

根据所述获取的每个数据片段的部分字符，获取所述数据片段的索引。

4.根据权利要求3所述的恶意代码检测方法，其特征在于，所述将被匹配中的索引对应的数据片段与被匹配中的基数对应的特征串进行字符匹配包括：

根据被匹配中的索引对应的偏移量，确定被匹配中的索引对应的数据片段在所述被检测数据块中的起点，从所述起点开始获取被匹配中的索引对应的数据片段；

将所述获取的被匹配中的索引对应的数据片段与被匹配中的基数对应的特征串进行字符匹配；

当所述获取的被匹配中的索引对应的数据片段与被匹配中的基数对应的特征串的所有字符相同时，确定字符匹配成功。

5.根据权利要求1-4任一项所述的恶意代码检测方法，其特征在于，还包括：

当所述数据片段的索引与规则库中任一条规则中的特征串的基数未匹配中时，或者当所有字符匹配中存在匹配不成功的字符匹配时，判定所述被检测数据块为非恶意代码。

6.一种网络设备，其特征在于，包括：

数据块获取模块，用于获取被检测数据块；

索引获取模块，用于按照预设划分策略将所述被检测数据块划分为数据片段，并获取每个所述数据片段的索引；

索引匹配模块，用于将所述数据片段的索引和规则库中规则的特征串的基数进行匹配，其中，所述规则库是预先生成的；

字符匹配模块，用于在所述数据片段的索引与规则库中一条规则的所有特征串的基数均匹配中时，将被匹配中的索引对应的数据片段与被匹配中的基数对应的特征串进行字符匹配；

第一判定模块，用于在所有字符匹配均成功时，判定所述被检测数据块为恶意代码。

7.根据权利要求6所述的网络设备，其特征在于，还包括：

字符获取模块，用于根据预设获取策略，获取规则库中每条规则中每个特征串的部分字符；

基数获取模块，用于根据所述获取的特征串的部分字符生成所述特征串的基数。

8.根据权利要求6所述的网络设备，其特征在于，所述索引获取模块包括：

第一片段获取单元，用于将所述被检测数据块逐位进行偏移，将每次偏移的位置作为数据片段起点，获取与所述特征串具有相同长度的数据片段；

字符获取单元，用于按照所述预设获取策略，获取所述数据片段的部分字符；

索引获取单元，用于根据所述获取的数据片段的部分字符，获取所述数据片段的索引。

9.根据权利要求8所述的网络设备，其特征在于，所述字符匹配模块包括：

第二片段获取单元，用于根据被匹配中的索引对应的偏移量，确定被匹配中的索引对应的数据片段在所述被检测数据块中的起点，从所述起点开始获取被匹配中的索引对应的数据片段；

字符匹配单元，用于将所述获取的被匹配中的索引对应的数据片段与被匹配中的基数对应的特征串进行字符匹配；

确定单元，用于在所述获取的被匹配中的索引对应的数据片段与被匹配中的基数对应的特征串的所有字符相同时，确定字符匹配成功。

10.根据权利要求6-9任一项所述的网络设备，其特征在于，还包括：

第二判定模块，用于在所述数据片段的索引与规则库中任一条规则中的特征串的基数未匹配中时，或者在所有字符匹配中存在匹配不成功的字符匹配时，判定所述被检测数据块为非恶意代码。