[发明专利]一种基于知识驱动的加壳代码回归检测方法及系统

权利要求书

1.一种基于知识驱动的加壳代码回归检测方法，其特征在于，包括：

建立特征综合数据库，获取待检测加壳样本；

将待检测加壳样本的解压代码放入样本解释器中进行短特征匹配，如果匹配成功，则根据短特征在推理机中对应的解密算法，对待检测加壳样本进行解密，并将解密后的数据提取短特征，录入明文知识库；

否则，通过推理机直接对待检测加壳样本提取特征，录入密文知识库。

2.如权利要求1所述的方法，其特征在于，所述特征综合数据库由明文知识库和密文知识库组成。

3.如权利要求1所述的方法，其特征在于，所述短特征包括特征内容及算法关键位置信息。

4.如权利要求3所述的方法，其特征在于，所述根据短特征在推理机中对应的解密算法，对待检测加壳样本进行解密，具体为，根据短特征中的特征内容及算法关键位置信息，匹配对应解密算法进行解密。

5.如权利要求1所述的方法，其特征在于，通过推理机直接对待检测加壳样本提取特征，具体为：

根据已知动态特征及静态特征，在待检测加壳样本获取相应数据，并设定各特征的分值；

根据熵权信息法，分别计算动态特征和静态特征的总体评分；

采用基于poicare度量的复分析法，对动态特征和静态特征的总体评分进行综合评估，确定选取动态特征或静态特征；

将选取的动态特征或静态特征作为待检测加壳样本的特征，录入密文知识库。

6.如权利要求1所述的方法，其特征在于，在获取待检测加壳样本之后，还包括：提取待检测加壳样本的代码段特征，将所述特征的哈希值与特征综合数据库中已有的特征进行匹配，如果匹配成功则直接输出判定结果。

7.一种基于知识驱动的加壳代码回归检测系统，其特征在于，包括：

数据库模块，建立特征综合数据库；

获取模块，获取待检测加壳样本；

样本解释器模块，用于将待检测加壳样本的解压代码放入样本解释器中进行短特征匹配，如果匹配成功，则进入推理机模块；

推理机模块，用于根据短特征在推理机中对应的解密算法，对待检测加壳样本进行解密，并将解密后的数据提取短特征，录入明文知识库；否则，推理机直接对待检测加壳样本提取特征，录入密文知识库。

8.如权利要求7所述的系统，其特征在于，所述特征综合数据库由明文知识库和密文知识库组成。

9.如权利要求7所述的系统，其特征在于，所述短特征包括特征内容及算法关键位置信息。

10.如权利要求9所述的系统，其特征在于，所述根据短特征在推理机中对应的解密算法，对待检测加壳样本进行解密，具体为，根据短特征中的特征内容及算法关键位置信息，匹配对应解密算法进行解密。

11.如权利要求7所述的系统，其特征在于，通过推理机直接对待检测加壳样本提取特征，具体为：

根据已知动态特征及静态特征，在待检测加壳样本获取相应数据，并设定各特征的分值；

根据熵权信息法，分别计算动态特征和静态特征的总体评分；

采用基于poicare度量的复分析法，对动态特征和静态特征的总体评分进行综合评估，确定选取动态特征或静态特征；

将选取的动态特征或静态特征作为待检测加壳样本的特征，录入密文知识库。

12.如权利要求7所述的系统，其特征在于，在获取待检测加壳样本之后，还包括：提取待检测加壳样本的代码段特征，将所述特征的哈希值与特征综合数据库中已有的特征进行匹配，如果匹配成功则直接输出判定结果。

13.一种非临时性计算机可读存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现如权利要求1-6中任一所述的加壳代码回归检测方法。

14.一种电子设备，其特征在于，所述电子设备包括：壳体、处理器、存储器、电路板和电源，其中，电路板安置在壳体围成的空间内部，处理器和存储器设置在电路板上；电源电路，用于为上述电子设备的各个电路或器件供电；存储器用于存储可执行程序代码；处理器通过读取存储器中存储的可执行程序代码来运行与可执行程序代码对应的程序，执行如权利要求1-6中任一所述的加壳代码回归检测方法。