[发明专利]一种基于字符串调整权值的恶意代码检测方法及系统

权利要求书

1.一种基于字符串调整权值的恶意代码检测方法，其特征在于，包括：可疑程序检测及字符串库更新；

所述可疑程序检测包括：

建立字符串库，并设定每个字符串的权值；

检测可疑程序，将所述可疑程序与字符串库中的字符串比对，并累计字符串匹配数量；

判断字符串匹配数量是否超过预设值，如果是，则认为所述可疑程序为恶意，向用户报警，并将所述可疑程序的其他字符串添加到字符串库中，设定字符串权值；否则继续等待检测可疑程序；

所述字符串库更新包括：

根据预设时间间隔，将已知白名单中的字符串与字符串库中的字符串比对，将字符串库中与白名单相同字符串的权值减1； 

判断所述字符串权值是否低于预设值，如果是，则将所述字符串从字符串库中清除，否则进行黑名单比对；

根据预设时间间隔，将已知黑名单中的字符串与字符串库中的字符串比对，将字符串库中与黑名单相同字符串的权值加1；

判断黑名单中是否有新增字符串，如果是，则将所述字符串增加到字符串库中，并设定字符串权值，否则继续等待下一次比对。

2.如权利要求1所述的方法，其特征在于，所述设定每个字符串的权值根据字符串的威胁程度任意设定。

3.如权利要求1所述的方法，其特征在于，所述可疑程序的其他字符串为：可疑程序中除字符串库中已知字符串外的字符串。

4.一种基于字符串调整权值的恶意代码检测系统，其特征在于，包括：可疑程序检测模块及字符串库更新模块；

所述可疑程序检测模块包括：

字符串库模块，用于建立存储字符串库，并设定每个字符串的权值；

检测模块，用于检测可疑程序，将所述可疑程序与字符串库中的字符串比对，并累计字符串匹配数量；

判断模块，用于判断字符串匹配数量是否超过预设值，如果是，则认为所述可疑程序为恶意，向用户报警，并将所述可疑程序的其他字符串添加到字符串库模块的字符串库中，设定字符串权值；否则继续等待检测可疑程序；

所述字符串库更新模块包括：

白名单模块，用于根据预设时间间隔，将已知白名单中的字符串与字符串库中的字符串比对，将字符串库中与白名单相同字符串的权值减1； 

判断所述字符串权值是否低于预设值，如果是，则将所述字符串从字符串库中清除，否则进行黑名单比对；

黑名单模块，用于根据预设时间间隔，将已知黑名单中的字符串与字符串库中的字符串比对，将字符串库中与黑名单相同字符串的权值加1；

判断黑名单中是否有新增字符串，如果是，则将所述字符串增加到字符串库中，并设定字符串权值，否则继续等待下一次比对。

5.如权利要求4所述的系统，其特征在于，所述设定每个字符串的权值根据字符串的威胁程度任意设定。

6.如权利要求4所述的系统，其特征在于，所述可疑程序的其他字符串为：可疑程序中除字符串库中已知字符串外的字符串。