[发明专利]文件检测方法和装置

权利要求书

1.一种文件检测方法，其特征在于，包括：

获取输入的非可执行文件；

在检测出所述非可执行文件中存在加密信息的情况下，检测所述加密信息是否符合可执行文件的文件特征，其中，所述可执行文件为当前终端的操作系统可执行的程序文件；

若所述加密信息符合所述可执行文件的文件特征，则检测出所述非可执行文件为非法文件；

其中，所述文件特征包括：文件标记、文件头标记、或、第一偏移量和预定字段信息；

检测所述加密信息是否符合可执行文件的文件特征包括：基于所述可执行文件的文件特征确定所述非可执行文件中加密信息的解密密钥；利用所述解密密钥校验所述加密信息是否符合所述可执行文件的文件特征。

2.根据权利要求1所述的方法，其特征在于，

其中，基于所述可执行文件的文件特征确定所述非可执行文件中加密信息的解密密钥包括：

获取所述可执行文件的文件特征中的标记信息，其中，所述标记信息用于标记所述可执行文件；

从所述加密信息的当前位置提取文件标记；

将所述标记信息作为明文数据，将所述文件标记作为密文数据；

对所述明文数据和所述密文数据作破解操作，得到所述解密密钥，其中，所述破解操作至少包括下述之一：异或操作、加减操作、循环移位操作、字节顺序交换操作以及等差数列操作。

3.根据权利要求2所述的方法，其特征在于，所述文件特征中至少记录有第一偏移量和预定字段信息，其中，利用所述解密密钥校验所述加密信息是否符合所述可执行文件的文件特征包括：

获取距离当前位置为所述第一偏移量的第一位置，其中，所述第一偏移量指向所述可执行文件的文件头的偏移指针；

从所述加密信息中的第二位置读取加密的偏移指针；

使用所述解密密钥解密所述加密的偏移指针，得到所述偏移指针；

获取所述加密信息中所述偏移指针所指向的加密字段信息；

使用所述解密密钥、所述加密字段信息以及所述文件特征中的预定字段信息校验所述加密信息是否符合所述可执行文件的文件特征。

4.根据权利要求3所述的方法，其特征在于，使用所述解密密钥、所述加密字段信息以及所述文件特征中的预定字段信息校验所述加密信息是否符合所述可执行文件的文件特征包括：

使用所述解密密钥对所述加密字段信息进行解密，得到解密的字段信息；

判断所述解密的字段信息与所述文件特征中记录的预定字段信息是否一致；

若所述解密的字段信息与所述文件特征中记录的预定字段信息一致，则校验出所述加密信息符合所述可执行文件的文件特征。

5.根据权利要求3所述的方法，其特征在于，使用所述解密密钥、所述加密字段信息以及所述文件特征中的预定字段信息校验所述加密信息是否符合所述可执行文件的文件特征包括：

将所述文件特征中记录的预定字段信息作为明文数据，将所述加密字段信息作为密文数据；

对所述明文数据和密文数据进行密钥破解操作，得到破解密钥，其中，所述密钥破解操作至少包括下述之一：异或操作、加减操作、循环移位操作以及字节顺序交换操作；

判断所述破解密钥是否与所述解密密钥一致；

若破解密钥与所述解密密钥一致，则校验出所述加密信息符合所述可执行文件的文件特征。

6.根据权利要求3所述的方法，其特征在于，所述预定字段信息包括：所述可执行文件的文件头标记的字段信息。

7.根据权利要求2所述的方法，其特征在于，所述文件特征中至少记录文件头标记，其中，利用所述解密密钥校验所述加密信息是否符合所述可执行文件的文件特征包括：

利用所述解密密钥解密所述加密信息，得到解密信息；

判断所述解密信息中是否存在所述文件头标记；

若存在，则校验出所述加密信息符合所述可执行文件的文件特征。