[发明专利]一种宏病毒查杀的方法和装置

说明书

技术领域

本发明涉及数据安全技术领域，具体涉及一种宏病毒查杀的方法和装置。

背景技术

随着计算机的普及和移动互联网的发展，网络信息时代已经来临。病毒作为信息的一种形式，具有繁殖、感染、破坏等特性，威胁着用户的信息安全。计算机文档，即WORD，EXCEL、PPT等文字编辑软件产生的文件，被人们广泛使用，而宏病毒作为专用于破坏计算机文档信息安全的新型病毒，逐渐走进人们的视线。

由于宏病毒藏于数据文件内，且其使用的脚本语法灵活多变，完成一个功能有很多种写法，故识别一个文件是否有宏病毒非常困难。

现有的反病毒软件所采用的反病毒方法几乎都是依赖于病毒特征码。由于计算机病毒通常都具有各自的身份等特征，当一种计算机病毒出现后，首先找到该病毒具有的特征，依据该特征对该特征所表征的病毒进行搜寻和处理；即现有技术对于已知宏病毒有一定的查杀能力。

但是，由于宏病毒感染、发作在先，反毒在后；而宏语言是一种脚本，稍作修改即可产生变种，甚至可以传播过程中修改自身，每传播一次就变化一次；故现有技术很难跟上宏病毒变化的速度，对未知宏病毒基本无查杀能力，反病毒效果较差。

发明内容

鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分地解决上述问题的一种宏病毒查杀的方法和装置。

依据本发明的一个方面，提供了一种宏病毒查杀的方法，包括：

安全设备通过计算设备的处理器解析待查杀文档的文档结构；所述文档结构包括文档的数据流对应的目录结构；

依据解析得到的文档结构从所述待查杀文档中提取宏代码；

将处理器提取的宏代码与行为代码库中的行为代码进行匹配；其中，所述行为代码用于表示实现固定的宏病毒行为所需的宏代码；

依据匹配结果判别所述待查杀文档是否感染宏病毒；

依据解析得到的文档结构对感染宏病毒的待查杀文档进行修复处理。

可选地，所述待查杀文档为复合文档、WORD文档或者EXCEL文档；

则所述解析待查杀文档的文档结构的步骤，包括：解析得到待查杀文档的树形目录结构；

则所述依据解析得到的文档结构从所述待查杀文档中提取宏代码的步骤，包括：

遍历所述树形目录结构中的每一个目录项；

将每一个目录项的名称与特定宏目录的名称进行匹配；

针对匹配成功的目录项，读取其子目录项的流数据，并从中解压缩出对应的宏代码；

所述依据解析得到的文档结构对感染宏病毒的待查杀文档进行修复处理的步骤，包括：

修改所述感染宏病毒的待查杀文档中宏病毒对应匹配成功的目录项的名称；

针对所述匹配成功的目录项，将其宏代码清除；

针对所述匹配成功的目录项，将其删除或改名。

可选地，所述待查杀文档为EXCEL文档；

则所述依据解析得到的文档结构对感染宏病毒的待查杀文档进行修复处理的步骤，还包括：

在所述EXCEL文档感染宏病毒时，修改其workbook目录项的流数据中的描述字段，以不影响所述EXCEL文档的正常打开。。

可选地，所述待查杀文档为PPT文档；

则所述解析待查杀文档的文档结构的步骤，包括：

解析得到PPT文档的目录结构；所述PPT文档的目录结构包括POWERPOINT DOCUMENT目录项；

解析所述POWERPOINT DOCUMENT目录项下的流数据，并从解析结果中查找复合对象结构；

对所述复合对象结构中存放的数据进行解压缩，得到相应的解压缩数据；所述解压缩后数据对应的文档包括如下文档中的一项或多项：PPT文档和PPT内嵌文档，所述PPT内嵌文档包括复合文档、WORD文档和EXCEL文档中的一项或多项；

以所述解压缩后数据对应的文档作为待查杀文档，解析得到相应的目录结构；

所述依据解析得到的文档结构从所述待查杀文档中提取宏代码的步骤，包括：

遍历所述待查杀文档的目录结构中的每一个目录项；

将每一个目录项的名称与特定宏目录的名称进行匹配；

针对匹配成功的目录项，读取其子目录项的流数据，并从中解压缩出对应的宏代码；

所述依据解析得到的文档结构对感染宏病毒的待查杀文档进行修复处理的步骤，包括：