[发明专利]一种检测方法、装置及计算机可读存储介质

权利要求书

1.一种检测方法，其特征在于，所述方法包括：

根据策略库指定的特征提取策略，下载特定时间窗口对应的第一应用的文件，其中，所述第一应用由多个时间窗口的文件组成，多个时间窗口的文件进行了压缩编码；构造对应的核心目录及目录结束标识，并利用下载的特定时间窗口对应的文件，以及构造的核心目录及目录结束标识，形成还原文件；对所述还原文件进行解压缩处理，并从解压缩处理后的文件中提取特征信息；所述策略库包含签名证书文件、资源文件、支持库、配置文件、执行程序；下载的文件为所述策略库中的文件；

将提取的特征信息与特征信息库中的信息进行匹配，得到匹配结果；

利用匹配结果检测所述第一应用是否为恶意应用软件；

所述根据策略库指定的特征提取策略，下载特定时间窗口对应的第一应用的文件之前，所述方法还包括：

针对所述第一应用对应的每个时间窗口，利用文件头标识，判断时间窗口对应的数据是否是文件数据，当时间窗口对应的数据是文件数据时，确定对应的时间窗口为一个候选时间窗口，得到至少一个候选时间窗口；

相应地，所述根据策略库指定的特征提取策略，下载特定时间窗口对应的第一应用的文件，包括：

从所述至少一个候选时间窗口中确定时间窗口对应的文件包含所述策略库指定的策略文件的至少一个特定时间窗口；

针对确定的每个特定时间窗口，下载对应的第一应用的文件。

2.根据权利要求1所述的方法，其特征在于，所述从解压缩处理后的文件中提取特征信息，包括：

根据所述策略库中针对每个文件的特征提取策略，从对应的文件中提取特征信息。

3.根据权利要求1或2所述的方法，其特征在于，所述根据策略库指定的特征提取策略，下载特定时间窗口对应的第一应用的文件之前，所述方法还包括：

利用所述第一应用的文件头标识，确定需要检测所述第一应用是否为恶意应用软件。

4.根据权利要求1或2所述的方法，其特征在于，所述方法还包括：

依据应用的文件组成，创建所述策略库。

5.一种检测装置，其特征在于，所述装置包括：

下载及提取单元，用于根据策略库指定的特征提取策略，下载特定时间窗口对应的第一应用的文件，其中，所述第一应用由多个时间窗口的文件组成，多个时间窗口的文件进行了压缩编码；构造对应的核心目录及目录结束标识，并利用下载的特定时间窗口对应的文件，以及构造的核心目录及目录结束标识，形成还原文件；对所述还原文件进行解压缩处理，并从解压缩处理后的文件中提取特征信息；所述策略库包含签名证书文件、资源文件、支持库、配置文件、执行程序；下载的文件为所述策略库中的文件；

检测单元，用于将提取的特征信息与特征信息库中的信息进行匹配，得到匹配结果；以及利用匹配结果检测所述第一应用是否为恶意应用软件；

所述下载及提取单元，还用于：

针对所述第一应用对应的每个时间窗口，利用文件头标识，判断时间窗口对应的数据是否是文件数据，当时间窗口对应的数据是文件数据时，确定对应的时间窗口为一个候选时间窗口，得到至少一个候选时间窗口；

从所述至少一个候选时间窗口中确定时间窗口对应的文件包含所述策略库指定的策略文件的至少一个特定时间窗口；

针对确定的每个特定时间窗口，下载对应的第一应用的文件。

6.根据权利要求5所述的装置，其特征在于，所述下载及提取单元，还用于：

利用所述第一应用的文件头标识，确定需要检测所述第一应用是否为恶意应用软件。

7.根据权利要求5所述的装置，其特征在于，所述装置还包括：

创建单元，用于依据应用的文件组成，创建所述策略库。

8.一种检测装置，其特征在于，包括：处理器和用于存储能够在处理器上运行的计算机程序的存储器，

其中，所述处理器用于运行所述计算机程序时，执行权利要求1至4任一项所述方法的步骤。

9.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1至4任一项所述方法的步骤。