[发明专利]flash恶意文件检测方法及装置

权利要求书

1.一种f1ash恶意文件检测方法，其特征在于，包括以下步骤：

对flash文件进行解析，提取其中的虚拟机字节码；

将所述虚拟机字节码与特征字节码进行匹配，若能够匹配，则统计所述虚拟机字节码出现的次数，若次数超过阈值，则确定所述flash文件为恶意文件。

2.如权利要求1所述的flash恶意文件检测方法，其特征在于，对flash文件进行解析，提取其中的虚拟机字节码包括：

解析flash文件中的ActionScript相关的关键标签段；

分析关键标签段的数据结构，逆向提取出其中的虚拟机字节码。

3.如权利要求1所述的flash恶意文件检测方法，其特征在于，所述方法还包括确定特征字节码，具体过程包括：

基于flash文件的数据结构对恶意flash文件和正常flash文件进行逆向解析，提取其中的虚拟机字节码；

统计在恶意flash文件中出现概率大于或者等于正常值，但正常flash文件中不存在或出现概率小于正常值的虚拟机字节码；

将所述统计的虚拟机字节码确定为特征字节码。

4.如权利要求1所述的flash恶意文件检测方法，其特征在于，所述将所述虚拟机字节码与特征字节码进行匹配，若能够匹配，则统计所述虚拟机字节码出现的次数包括：

若虚拟机字节码与其中一个特征字节码匹配，且出现的次数超过阈值，则停止后续与其他特征字节码的匹配；或

若虚拟机字节码与其中一个特征字节码匹配，且出现的次数超过阈值，仍将虚拟机字节码与其余特征字节码继续匹配。

5.如权利要求1所述的flash恶意文件检测方法，其特征在于，所述将flash文件确定为恶意文件之后还包括返回检测结果和/或对所述flash文件进行处理。

6.如权利要求5所述的flash恶意文件检测方法，其特征在于，所述对所述flash文件进行处理包括以下一种或几种：

删除所述flash文件；

隔离所述flash文件；

将所述flash文件标注为可疑文件；

为所述flash文件设定安全等级。

7.如权利要求1至6任一项所述的flash恶意文件检测方法，其特征在于，所述将虚拟机字节码与特征字节码进行匹配以及统计虚拟机字节码出现的次通过判断函数实现，所述判断函数的参数为特征字节码，所述判断过程为：将所述虚拟机字节码代入不同的判断函数，并与各判断函数中的参数进行匹配以及出现次数的统计。

8.如权利要求7所述的flash恶意文件检测方法，其特征在于，所述虚拟机字节码包括字符串或整形串，所述特征字节码包括字符串或整形串，在提取所述虚拟机字节码后，将其中所有的字符串组成为一个数组，所有的整形串组成一个数组，将所述两个数组分别采用将字符串作为参数的判断函数以及采用整形串作为参数的判断函数进行判断。

9.一种flash恶意文件检测装置，其特征在于，包括：

虚拟机字节码提取模块，用于对flash文件进行解析，提取其中的虚拟机字节码；

判断模块，用于将所述虚拟机字节码与特征字节码进行匹配，若能够匹配，则统计所述虚拟机字节码出现的次数，若次数超过阈值，则确定所述flash文件为恶意文件。

10.如权利要求9所述的flash恶意文件检测装置，其特征在于，所述虚拟机字节码提取模块包括：

解析单元，用于解析flash文件中的ActionScript相关的关键标签段；

分析单元，用于分析关键标签段的数据结构，逆向提取出其中的虚拟机字节码。

11.如权利要求9所述的flash恶意文件检测装置，其特征在于，所述装置还包括特征字节码确定模块，用于确定特征字节码，所述特征字节码确定模块包括：

解析单元，用于基于flash文件的数据结构对恶意flash文件和正常flash文件进行逆向解析，提取其中的虚拟机字节码；

统计单元，用于统计在恶意flash文件中出现概率大于或者等于正常值，但正常flash文件中不存在或出现概率小于正常值的虚拟机字节码，并将所述统计的虚拟机字节码确定为特征字节码。