[发明专利]一种未知病毒检测方法

权利要求书

1.一种未知病毒检测方法，其特征在于，包括：

步骤a、捕获网络数据包并进行协议解码，得到所述数据包的数据报文；

步骤b、分析所述数据报文的传输方向，如果所述传输方向不是从服务器到客户端，转到步骤c；否则转到步骤e；

步骤c、分离出所述数据报文中的URL的请求数据报文并进行协议解码，提取所述数据报文中请求的URL中包含的文件名；

步骤d、判断所述文件名的扩展名是否存储在于文件扩展名列表中，如果是则记录为所述URL的有效扩展名并与当前连接相关联，然后转入步骤a继续获取下一个数据包；否则结束当前连接的检测；所述文件扩展名列表存储了已知文件类型的文件头特征和对应的文件扩展名；所述当前连接是指所述数据包的TCP连接；

步骤e、判断当前连接是否已经关联有效扩展名，如果是则保存为第一扩展名；否则转入步骤a继续获取下一个数据包；

步骤f、对所述数据报文进行协议解码，从所述数据报文的文件数据的起始位置进行搜索，与文件扩展名列表中的文件头特征进行匹配，如果匹配成功则记录所述文件头特征对应的文件扩展名为第二节扩展名，否则结束检测；

步骤g、对比所述第一扩展名和第二扩展名如果不同则判断所述数据包传输的文件为威胁文件，否则结束当前连接的检测。

2.如权利要求1所述的方法，其特征在于，所述文件扩展名列表中的文件头特征包括：查看已知文件类型的文件的开始部位内容，如果同一文件类型的两个以上文件中有长度大于1个字符的相同二进制字符串，则提取不大于8个字节长度的相同二进制字符串作为文件头特征串。

3.如权利要求2所述的方法，其特征在于，如果所述文件类型为明文文件，则使用空的文件头特征。

4.如权利要求1所述的方法，其特征在于，步骤a包括：捕获网络数据包并进行协议解码，分离出FTP协议和HTTP协议的数据报文。

5.如权利要求1所述的方法，其特征在于，所述分析所述数据报文的传输方向包括，跟踪当前TCP连接的握手数据报，SYN报文的目标IP地址或者ACK-SYN报文的源IP地址为服务器IP地址，根据服务器IP地址判断所述数据报文的传输方向。