[发明专利]一种防御网购木马的方法及其装置

权利要求书

1.一种防御网购木马的方法，包括如下步骤：

步骤S11：当用户点击运行可执行文件，在加载模块之前，获取进程中可执行文件的原始文件名和加载模块的文件名；

步骤S12：以进程中可执行文件的原始文件名和加载模块的文件名为索引，在本地特征库中查找加载模块的特征信息；

步骤S13：选择是否检测加载模块的特征信息，若是，则进入步骤S14，若否，则进入步骤S16；

步骤S14：提取加载模块的特征信息；

步骤S15：将提取的加载模块的特征信息与本地特征库的特征信息进行比对，判断其是否为木马，若是，则进入步骤S18，若否，则进入步骤S16；

步骤S16：判断是否检测可执行文件所依赖的文件，若是，则进入步骤S17，若否，则允许其运行；

步骤S17：获得可执行文件所依赖的文件的全路径，并根据该全路径查找可执行文件所依赖文件的是否存在，若存在，则允许其运行，若不存在，则进入步骤S18。

步骤S18：查询加载模块的安全属性，若为黑，则关闭其运行，若为白，则允许其运行。

2.根据权利要求1所述的防御网购木马的方法，其特征在于：该步骤S15包括子步骤

步骤S151：判断文件的大小是否在阈值范围内，若是，则是正常的文件，若否，则进行下一步骤的判断；

步骤S152：判断是数字签名是否匹配，若是，则为正常安全文件，若否，则为木马；和/或

步骤S153：判断是版本信息是否匹配，若是，则为正常安全文件，若否，则为木马。

3.根据权利要求1或2所述的防御网购木马的方法，其特征在于：该步骤S17包括子步骤

步骤S171：以进程的原始文件名和加载模块的文件名为索引，在配置文件库中查找该可执行文件正常安装时要依赖文件及其相对路径信息；

步骤S172：根据当前运行的可执行文件的全路径和配置文件库中查找的要依赖文件的相对路径，获得要依赖文件的全路径；

步骤S173：根据获得的要依赖文件的全路径查找对应的文件是否存在，若存在，则允许其运行，若不存在，则进入步骤S18。

4.一种防御网购木马的装置，其特征在于：包括文件名获取模块、特征信息查找模块、特征信息检测选择模块、加载模块特征提取模块、特征信息比对模块、依赖文件检测选择模块、依赖文件查找模块、安全属性查询模块、本地特征库、配置文件库和安全属性数据库；当用户点击运行可执行文件，在加载模块之前，该文件名获取模块获取进程中可执行文件的原始文件名和加载模块的文件名；该特征信息查找模块以进程中可执行文件的原始文件名和加载模块的文件名为索引，在本地特征库中查找加载模块的特征信息；该特征信息检测选择模块选择是否检测加载模块的特征信息，若是，则发送指令至加载模块特征提取模块，若否，则发送指令至依赖文件检测选择模块；该加载模块特征提取模块提取加载模块的特征信息；该特征信息比对模块将提取的加载模块的特征信息与本地特征库的特征信息进行比对，判断其是否为木马，若是，则发送指令至安全属性查询模块，若否，则发送指令至依赖文件检测选择模块；该依赖文件检测选择模块判断是否检测可执行文件所依赖的文件，若是，则发送指令至依赖文件查找模块，若否，则允许其运行；依赖文件查找模块；该依赖文件查找模块获得可执行文件所依赖的文件全路径，并根据该全路径查找可执行文件所依赖文件的是否存在，若存在，则允许其运行，若不存在，则发送指令至安全属性查询模块；该安全属性查询模块查找安全属性数据库获得加载模块的安全属性，若为黑，则关闭其运行，若为白，则允许其运行。

5.根据权利要求4所述的防御网购木马的装置，其特征在于：该特征信息比对模块包括文件大小判断子模块、数字签名判断子模块和/或版本信息判断子模块；其首先判断文件的大小是否在阈值范围内，若是，则是正常的文件，若否，则发送指令至数字签名判断子模块或版本信息判断子模块进行下一步的判断；该数字签名判断子模块判断数字签名是否匹配，若是，则为正常安全文件，若否，则为木马；版本信息判断子模块判断版本信息是否匹配，若是，则为正常安全文件，若否，则为木马。

6.根据权利要求4或5所述的防御网购木马的装置，其特征在于：该依赖文件查找模块包括文件信息搜索子模块、文件全路径获得模块和查找模块；该文件信息搜索子模块以进程的原始文件名和加载模块的文件名为索引，在配置文件库中查找该可执行文件正常安装时要依赖文件及其相对路径信息；该文件全路径获得模块根据当前运行的可执行文件的全路径和配置文件库中要依赖文件的相对路径，获得要依赖文件的全路径；该查找模块根据获得的要依赖文件的全路径查找对应的文件是否存在，若存在，则允许其运行，若不存在，则关闭其运行。