[发明专利]检测程序代码的方法及装置、服务器

权利要求书

1.一种检测程序代码的方法，其特征在于，所述方法包括：

将待检测程序代码输入模拟程序运行的环境中后，对待检测程序代码进行词法及语法解析，得到解析后的所述待检测程序代码；

提取所述解析后的待检测程序代码中的第一表达式特征；

将所述第一表达式特征与特征库中的第二表达式特征进行匹配，得到匹配结果，所述特征库用于记录已采集的恶意代码中出现的表达式特征；

根据所述匹配结果确定所述待检测程序代码是否为恶意代码。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

当根据所述匹配结果确定所述待检测程序代码为正常代码时，在所述虚拟机中跟踪所述解析后的待检测程序代码的执行行为；

根据所述执行行为确定所述待检测程序代码是否为恶意代码。

3.根据权利要求2所述的方法，其特征在于，所述根据所述执行行为确定所述待检测程序代码是否为恶意代码，包括：

确定所述执行行为是否命中预设的异常行为；

当所述执行行为命中所述预设的异常行为时，确定所述待检测程序代码为恶意代码；

当所述执行行为未命中所述预设的异常行为时，确定所述待检测程序代码为正常代码。

4.根据权利要求3所述的方法，其特征在于，所述方法还包括：

当确定所述待检测程序代码为恶意代码时，提取所述待检测程序代码中的表达式特征；

将所述待检测程序代码中的表达式特征更新到所述特征库中。

5.一种检测程序代码的方法，其特征在于，所述方法包括：

将待检测程序代码输入模拟程序运行的环境中；

在所述模拟程序运行的环境中跟踪所述待检测程序代码的执行行为；

根据所述执行行为确定所述待检测程序代码是否为恶意代码。

6.根据权利要求5所述的方法，其特征在于，所述根据所述执行行为确定所述待检测程序代码是否为恶意代码，包括：

确定所述执行行为是否命中预设的异常行为；

当所述执行行为命中所述预设的异常行为时，确定所述待检测程序代码为恶意代码；

当所述执行行为未命中所述预设的异常行为时，确定所述待检测程序代码为正常代码。

7.一种检测程序代码的装置，其特征在于，所述装置包括：

解析模块，用于将待检测程序代码输入模拟程序运行的环境中后，对待检测程序代码进行词法及语法解析，得到解析后的所述待检测程序代码；

第一提取模块，用于提取所述解析模块解析后的待检测程序代码中的第一表达式特征；

匹配模块，用于将所述第一提取模块提取到的所述第一表达式特征与特征库中的第二表达式特征进行匹配，得到匹配结果，所述特征库用于记录已采集的恶意代码中出现的表达式特征；

第一确定模块，用于根据所述匹配模块得到的所述匹配结果确定所述待检测程序代码是否为恶意代码。

8.根据权利要求7所述的装置，其特征在于，所述装置还包括：

第一跟踪模块，用于当所述第一确定模块根据所述匹配结果确定所述待检测程序代码为正常代码时，跟踪所述解析后的待检测程序代码的执行行为；

第二确定模块，用于根据所述第一跟踪模块得到的所述执行行为确定所述待检测程序代码是否为恶意代码。

9.根据权利要求8所述的装置，其特征在于，所述第二确定模块包括：

第一确定单元，用于确定所述执行行为是否命中预设的异常行为；

第二确定单元，用于当所述第一确定单元确定所述执行行为命中所述预设的异常行为时，确定所述待检测程序代码为恶意代码；

第三确定单元，用于当所述第一确定单元确定所述执行行为未命中所述预设的异常行为时，确定所述待检测程序代码为正常代码。

10.根据权利要求9所述的装置，其特征在于，所述装置还包括：

第二提取模块，用于当所述第二确定单元确定所述待检测程序代码为恶意代码时，提取所述待检测程序代码中的表达式特征；

更新模块，用于将所述第二提取模块提取到的所述待检测程序代码中的表达式特征更新到所述特征库中。