[发明专利]异常文件识别方法及装置

说明书

本发明公开了一种异常文件识别方法及装置，属于网络技术领域。方法包括：获取多个样本异常文件的特征集合以及公共数据串，样本异常文件的特征集合由样本异常文件的多个数据层的特征确定，多个样本异常文件通过同一加密变形算法加密变形得到，公共数据串为至少两个样本异常文件的指定数据层均包括的数据串；获取待识别的目标文件；根据目标文件的多个数据层的特征，获取目标文件的特征集合；当特征集合与任一样本异常文件的特征集合匹配，且目标文件与任一样本异常文件的指定数据层均包括公共数据串，确定目标文件为异常文件。本发明扩展了一种异常文件识别方法，解决了异常文件加密变形后无法识别的问题，提升了灵活性。

技术领域

本发明涉及网络技术领域，特别涉及一种异常文件识别方法及装置。

背景技术

随着网络技术的发展以及网络信息的广泛传播，网络中存在着多个类型的文件，例如脚本、文档、页面等，这些文件中很可能包括异常文件。通常情况下，异常文件会影响系统的正常运行，导致用户信息泄露，为用户带来损失。因此，识别异常文件成为一个亟需解决的问题。

相关技术中，异常特征码可以认为是导致文件出现异常的根源，一旦某一文件中包括异常特征码，即可认为该文件为异常文件，在该文件的运行过程中该异常特征码会影响系统的正常运行，因此识别异常文件的过程可以通过识别异常特征码实现。通常情况下，首先会获取已知的异常特征码，而对于待识别的文件，可以将文件中的数据与该异常特征码进行匹配，以判断该文件是否包括该异常特征码，当确定该文件包括该异常特征码时，可以确定该文件为异常文件。

然而，当采用加密变形算法对异常文件进行加密变形后，异常文件中的异常特征码也会被加密变形，导致异常文件中包括异常特征码加密变形后的数据，而不包括原始的异常特征码，此时将无法识别出该异常文件，存在局限性。

发明内容

为了解决相关技术的问题，本发明实施例提供了一种异常文件识别方法及装置。所述技术方案如下：

第一方面，提供了一种异常文件识别方法，所述方法包括：

获取多个样本异常文件中每个样本异常文件的特征集合以及根据所述多个样本异常文件确定的公共数据串，所述样本异常文件的特征集合由所述样本异常文件的多个数据层的特征确定，所述多个样本异常文件通过采用同一加密变形算法对多个异常文件进行加密变形后得到，所述公共数据串为至少两个样本异常文件的指定数据层均包括的数据串；

获取待识别的目标文件；

根据所述目标文件的多个数据层的特征，获取所述目标文件的特征集合；

当所述特征集合与任一样本异常文件的特征集合匹配，且所述目标文件与所述任一样本异常文件的指定数据层均包括所述公共数据串时，确定所述目标文件为异常文件。

第二方面，提供了一种异常文件识别装置，所述装置包括：

特征集合获取模块，用于获取多个样本异常文件中每个样本异常文件的特征集合，所述样本异常文件的特征集合由所述样本异常文件的多个数据层的特征确定，所述多个样本异常文件通过采用同一加密变形算法对多个异常文件进行加密变形后得到，

公共数据串获取模块，用于获取根据所述多个样本异常文件确定的公共数据串，所述公共数据串为至少两个样本异常文件的指定数据层均包括的数据串；

目标文件获取模块，用于获取待识别的目标文件；

所述特征集合获取模块，还用于根据所述目标文件的多个数据层的特征，获取所述目标文件的特征集合；

异常文件确定模块，用于当所述特征集合与任一样本异常文件的特征集合匹配，且所述目标文件与所述任一样本异常文件的指定数据层均包括所述公共数据串时，确定所述目标文件为异常文件。

本发明实施例提供的技术方案带来的有益效果是：