[发明专利]一种病毒检测方法及装置

权利要求书

1.一种病毒检测方法，其特征在于，所述方法包括：

确定待检测文件的微特征信息，所述待检测文件的微特征信息为：待检测文件的特征代码对应的特征信息，其中，所述待检测文件的特征代码为：待检测文件源代码中修改后会导致文件运行错误的代码段；

将所述微特征信息与预设的微特征病毒库中的特征进行匹配，获得第一匹配结果；

根据第一匹配结果生成病毒检测报告。

2.根据权利要求1所述的方法，其特征在于，在确定所述待检测文件的微特征信息之前，还包括：

确定待检测文件的全文hash特征；

将所述全文hash特征与预设的全文hash特征病毒库中的特征进行匹配，获得第二匹配结果；

若匹配未命中，则进一步确定待检测文件的微特征信息。

3.根据权利要求1或2所述的方法，其特征在于，所述根据第一匹配结果生成病毒检测报告，包括：

若所述第一匹配结果中显示所述待检测文件的微特征信息与预设的微特征病毒库中的某一特征相匹配，则将所述微特征信息与预设的防误报特征库中的特征进行匹配，获得第三匹配结果；根据所述第一匹配结果和第三匹配结果生成病毒检测报告；

若所述第一匹配结果中显示所述待检测文件的微特征信息与预设的微特征病毒库中的所有特征均不匹配，则根据第一匹配结果生成病毒检测报告。

4.根据权利要求1所述的方法，其特征在于，所述待检测文件，包括：待检测PE文件。

5.根据权利要求4所述的方法，其特征在于，所述预设的微特征病毒库，由各个目标样本文件的微特征信息构成；

在所述目标样本文件为PE文件时，所述目标样本文件的微特征信息，通过以下方式获得：

对目标样本文件的源代码进行分析，获得所述目标样本文件的特征代码；

提取所述特征代码的hash特征；

根据所述特征代码的hash特征生成目标样本文件的微特征。

6.根据权利要求5所述的方法，其特征在于，所述目标样本文件的特征代码，包括：

以下几种中任意一种或几种的组合，目标样本文件的代码节、目标样本文件的附加数据或目标样本文件的资源节。

7.根据权利要求5或6所述的方法，其特征在于，所述提取目标样本文件的特征代码的hash特征，包括：

根据预设规则对目标样本文件的特征代码进行分段；

提取分段后各个代码段预设位置对应的子代码段；

提取各个子代码段的hash特征；

根据各个子代码段的hash特征生成目标样本文件的特征代码的hash特征。

8.根据权利要求7所述的方法，其特征在于，所述预设位置，包括：

从代码段的开始位置，向后，长度为预设的第一阈值的代码区间；或

从代码段的结束位置，向前，长度为预设的第二阈值的代码区间；或

从代码段的中间位置，向前和向后，长度均为预设的第三阈值的代码区间。

9.根据权利要求6所述的方法，其特征在于，在分析得知所述目标样本文件的源代码中包括多个代码节的情况下，

所述获得所述目标样本文件的源代码中的特征代码，包括：

获得所述目标样本文件的源代码中的一个或多个代码节。

10.根据权利要求9所述的方法，其特征在于，

所述获得所述目标样本文件的源代码中的一个代码节，包括：

获得所述目标样本文件的源代码中长度最长的代码节；或

获得所述目标样本文件的源代码中包含入口代码的代码节。

11.一种病毒检测装置，其特征在于，所述装置包括：

微特征确定模块，用于确定待检测文件的微特征信息，所述待检测文件的微特征信息为：待检测文件的特征代码对应的特征信息，其中，所述待检测文件的特征代码为：待检测文件源代码中修改后会导致文件运行错误的代码段；

微特征匹配模块，用于将所述微特征信息与预设的微特征病毒库中的特征进行匹配，获得第一匹配结果；

检测报告生成模块，用于根据第一匹配结果生成病毒检测报告。