[发明专利]一种检测未知恶意代码和二进制漏洞的方法

权利要求书

1.一种检测未知恶意代码和二进制漏洞的方法，其特征在于，包括以下步骤：

S100基础搭建

即依次包括S101设置动态沙箱还原点；S102将代码载入动态沙箱；

S200检测

即依次包括S201利用路径执行技术在可疑代码中寻找所有的可执行路径；S202动态强制执行所有代码路径；S203内存监控单元介入，监控代码执行动作；S204分析系统状态，记录未知恶意代码和漏洞路径；S205输出报警；

S300系统还原，即重置沙箱，还原虚拟机；

其中，所述步骤S201即指将恶意程序全部拆分为树形结构，检测时不受程序逻辑关系限制，独立检测每一个拆分的分支程序，在遇到call指令生成子进程时，将子进程标记检测；如果判断为混淆程序则舍弃子进程，同时加强程序为恶意代码程序的可能性；将检测结果与路径树和拆分索引比对，定位恶意代码在程序中的位置，以便人工核实。

2.如权利要求1所述的检测未知恶意代码和二进制漏洞的方法，其特征在于：所述步骤S203即指将计算机操作系统在运行的过程中内容是完全一样的一部分空间作为虚拟机使用。

3.如权利要求1所述的检测未知恶意代码和二进制漏洞的方法，其特征在于：所述步骤S300即指在计算机中构造一个独立密闭的虚拟空间，空间中有真实计算机所有的全部环境，即可完整模拟一个计算机系统，使所有代码和程序的操作都在沙箱中运行，以避免真实机器受到损害；在真实环境中的计算机操作系统仍然正常运行的情况下，将所有运行在沙箱中的代码和程序对机器所做的所有操作都重定向到一部分特定的文件夹，模拟注册表、端口的修改；当检测完成后，虚拟的沙箱根据设置的还原点还原。