[发明专利]在虚拟机中形成用于进行文件的防病毒扫描的日志的系统和方法

权利要求书

1.一种用于生成用于进行文件的防病毒扫描的日志的方法，其中，所述方法包括：

在虚拟机中打开文件，其中，打开所述文件包括在所述虚拟机的虚拟处理器中执行具有第一线程的客户端进程；

在执行所述第一线程期间，识别涉及至少一个客户端物理存储页面的改变的第一事件；

基于所述日志的分析确定至少一个改变的客户端物理存储页面；

识别控制向所述至少一个改变的客户端物理存储页面的转移；

生成与所述文件的打开相关联的所述日志，其中，所述日志包括指示在所述第一线程的执行期间在所述改变的客户端物理存储页面中的发生的所述第一事件的信息、和正执行所述第一线程的所述虚拟处理器的上下文数据；以及

响应于检测到在执行所述第一线程期间不改变至少一个客户端物理存储页面的第二事件，制止将所述第二事件记录到所述日志。

2.如权利要求1所述的方法，还包括：

基于对生成的所述日志的分析，确定在所述虚拟机中打开的所述文件是有害的。

3.如权利要求1所述的方法，其中，识别所述控制向所述至少一个改变的客户端物理存储页面的转移还包括：

检测到第二线程正执行来自在所述改变的客户端物理存储页面上包含的虚拟地址的代码，其中，从与改变所述存储页面的线程相同的所述进程发起所述第二线程。

4.如权利要求1所述的方法，其中，识别所述控制向所述至少一个改变的客户端物理存储页面的转移还包括：

检测到第二线程正执行来自所述改变的客户端物理存储页面的代码，其中，从与改变所述存储页面的所述进程不同的进程发起所述第二线程。

5.如权利要求1所述的方法，其中，在执行所述第一线程期间识别涉及所述至少一个客户端物理存储页面的改变的所述第一事件包括：

检测由所述第一线程对应用程序接口API函数的系统调用。

6.如权利要求1所述的方法，其中，基于所述日志的分析确定所述至少一个改变的客户端物理存储页面还包括：

确定所述改变的客户端物理存储页面的标识符。

7.一种用于生成用于进行文件的防病毒扫描的日志的系统，其中，所述系统包括：

存储设备，所述存储设备配置成存储虚拟机的客户端物理存储页面；以及

处理器，所述处理器配置成：

在所述虚拟机中打开文件，其中，打开所述文件包括在所述虚拟机的虚拟处理器中执行具有第一线程的客户端进程；

在执行所述第一线程期间，识别涉及至少一个客户端物理存储页面的改变的第一事件；

基于所述日志的分析确定至少一个改变的客户端物理存储页面；

识别控制向所述至少一个改变的客户端物理存储页面的转移；

生成与所述文件的打开相关联的所述日志，其中，所述日志包括指示在所述第一线程的执行期间在所述改变的客户端物理存储页面中发生的所述第一事件的信息、和在正执行所述第一线程的所述虚拟处理器的上下文数据；以及

响应于检测到在执行所述第一线程期间不改变至少一个客户端物理存储页面的第二事件，制止将所述第二事件记录到所述日志。

8.如权利要求7所述的系统，其中，所述处理器还配置成：

基于对生成的所述日志的分析确定在所述虚拟机中打开的所述文件是有害的。

9.如权利要求7所述的系统，其中，配置成识别所述控制向所述至少一个改变的客户端物理存储页面的转移的所述处理器还配置成：

检测到第二线程正执行来自在所述改变的客户端物理存储页面上包含的虚拟地址的代码，其中，从与改变所述存储页面的线程相同的所述进程发起所述第二线程。

10.如权利要求7所述的系统，其中，配置成识别控制向所述至少一个改变的客户端物理存储页面的转移的所述处理器还配置成：

检测到第二线程正执行来自所述改变的客户端物理存储页面的代码，其中，从与改变所述存储页面的所述进程不同的进程发起所述第二线程。