[发明专利]一种文件检测方法及装置

权利要求书

1.一种文件检测方法，其特征在于，所述方法应用于网络安全设备，包括：

接收文件；

计算所述文件的第一哈希值；

根据所述第一哈希值构造所述文件的第二哈希值；所述第二哈希值的字节数少于第一哈希值；所述根据所述第一哈希值构造所述文件的第二哈希值，包括：从所述第一哈希值中提取指定字节上的数值，作为所述文件的第二哈希值；

检查本地记录的第二哈希特征库是否包含所述文件的第二哈希值；所述第二哈希特征库中的第二哈希值是依据样本攻击文件的第一哈希值构造得到的；

如果本地记录的第二哈希特征库包含所述文件的第二哈希值，则确定所述文件的第一哈希值是否命中预设的第一哈希特征库；

若所述文件的第一哈希值命中预设的第一哈希特征库，确定所述文件为攻击文件；所述第一哈希特征库记录了样本攻击文件的第一哈希值。

2.根据权利要求1所述的方法，其特征在于，所述确定所述文件的第一哈希值是否命中预设的第一哈希特征库，包括：

检测所述文件的第一哈希值是否命中本地记录的第一哈希特征子库；所述第一哈希特征子库记录了命中第一哈希特征库且本设备已检测的文件的第一哈希值；

若所述文件的第一哈希值命中本地记录的第一哈希特征子库，则确定所述文件的第一哈希值命中所述第一哈希特征库。

3.根据权利要求2所述的方法，其特征在于，所述方法还包括：

如果所述文件的第一哈希值未命中所述第一哈希特征子库，则将所述文件的第一哈希值发送至云端服务器，以使所述云端服务器确定所述第一哈希值是否命中该云端服务器上记录的第一哈希特征库；

在接收到云端服务器返回的确定命中消息后，确定所述第一哈希值命中预设的第一哈希特征库。

4.根据权利要求3所述的方法，其特征在于，在接收到云端服务器返回的确定命中消息后，确定所述第一哈希值命中预设的第一哈希特征库之后，所述方法还包括：

将所述第一哈希值添加至所述第一哈希特征子库。

5.根据权利要求3所述的方法，其特征在于，所述方法还包括：

在接收到云端服务器返回的确定未命中消息后，确定所述文件为正常文件，放行所述文件。

6.根据权利要求1所述的方法，其特征在于，所述确定所述文件的第一哈希值是否命中预设的第一哈希特征库，包括：

将所述文件的第一哈希值发送至云端服务器，以使所述云端服务器确定所述第一哈希值是否命中该云端服务器上记录的第一哈希特征库；

在接收到云端服务器返回的确定命中消息后，确定所述第一哈希值命中预设的第一哈希特征库；

在接收到云端服务器返回的确定未命中消息后，确定所述第一哈希值未命中预设的第一哈希特征库。

7.根据权利要求1所述的方法，其特征在于，在所述确定所述文件为攻击文件之后，所述方法还包括：

依据与所述文件的第一哈希值对应的执行动作，对所述文件进行处理。

8.一种文件检测装置，其特征在于，所述装置应用于网络安全设备，包括：

接收单元，用于接收文件；

计算单元，用于计算所述文件的第一哈希值；

构造单元，用于根据所述第一哈希值构造所述文件的第二哈希值；所述第二哈希值的字节数少于第一哈希值；所述构造单元，具体用于从所述第一哈希值中提取指定字节上的数值，作为所述文件的第二哈希值；

检查单元，用于检查本地记录的第二哈希特征库是否包含所述文件的第二哈希值；所述第二哈希特征库中的第二哈希值是依据样本攻击文件的第一哈希值构造得到的；

确定单元，用于如果本地记录的第二哈希特征库包含所述文件的第二哈希值，则确定所述文件的第一哈希值是否命中预设的第一哈希特征库；若所述文件的第一哈希值命中预设的第一哈希特征库，确定所述文件为攻击文件；所述第一哈希特征库记录了样本攻击文件的第一哈希值。