[发明专利]一种脚本病毒检测方法、系统及电子设备和存储介质

说明书

本申请公开了一种脚本病毒检测方法、系统及电子设备和可读存储介质，该方法包括：获取待检测脚本文件；对待检测脚本文件中执行语句进行词法分析，获得目标单词序列串；在脚本病毒特征库中查询是否存在与目标单词序列串匹配的病毒记录；脚本病毒特征库用于存储已知脚本病毒文件函数调用特征的单词序列串；若查询到与目标单词序列串匹配的病毒记录，则将待检测脚本文件判定为脚本病毒文件。本申请根据函数调用特征构造以序列串形式存储的轻量化病毒特征库，有效降低病毒库的维护成本，在病毒检测时不再采用字符串匹配的方式，主要提取文件中的函数调用特征，降低了病毒误报率，提高了杀毒引擎的效率。

技术领域

本申请涉及计算机技术领域，更具体地说，涉及一种脚本病毒检测方法、系统及一种电子设备和一种计算机可读存储介质。

背景技术

脚本语言是为了缩短传统的编写-编译-链接-运行过程而创建的计算机编程语言。早期的脚本语言经常被称为批量处理语言或工作控制语言。脚本语言语法、词法规则简单，具有明确的界定符。

脚本病毒是主要采用脚本语言设计的计算机病毒。由于脚本语言的易用性，且脚本文件在当前应用系统尤其是Internet应用中占据了重要地位，脚本病毒逐渐成为互联网病毒中危害最大、最为广泛的网络病毒，尤其是当其与一些传统的进行恶性破坏的病毒如CIH相结合时，其危害就变得更为严重。

业界针对脚本病毒的检测方案主要采用字符串匹配的方式，即通过提取已有病毒的字符串，构造相应的病毒库。在检测时，在脚本文件中进行字符串匹配，若匹配成功则为病毒文件。然而，这种方式需要手动去除文件中无关因素的干扰，且若匹配较大的文本文件，往往需要较大的时间和空间代价。另外，由于字符串匹配方式不能有效排除字符串中大小写、变量名替换等因素的干扰，若同种病毒采用修改字符串大小写、更换变量名的操作，都会造成漏报，对于同类型病毒的变种识别能力弱。而为了降低漏报率，需要在病毒库中增加漏报文件的特征字符串记录，对于变种数量较多的病毒种类，不能有效合并记录，导致病毒库记录数量快速增长，增加了病毒库的维护成本，同时降低了杀毒引擎的效率。

因此，如何解决上述问题是本领域技术人员需要重点关注的。

发明内容

本申请的目的在于提供一种脚本病毒检测方法、系统及一种电子设备和一种计算机可读存储介质，有效降低了病毒库的维护成本和病毒误报率，提高了杀毒引擎的查杀效率。

为实现上述目的，本申请提供了一种脚本病毒检测方法，包括：

获取待检测脚本文件；

对所述待检测脚本文件中的执行语句进行词法分析，获得目标单词序列串；

在预设的脚本病毒特征库中查询是否存在与所述目标单词序列串匹配的病毒记录；其中，所述脚本病毒特征库用于存储预先收集的已知脚本病毒文件函数调用特征的单词序列串；

若在所述脚本病毒特征库中查询到与所述目标单词序列串匹配的病毒记录，则将所述待检测脚本文件判定为脚本病毒文件。

可选的，所述对所述待检测脚本文件中的执行语句进行词法分析，获得目标单词序列串，包括：

对所述待检测脚本文件中的每一条执行语句进行词法分析，以获得所述待检测脚本文件中的函数调用特征；

根据所述函数调用特征生成目标单词序列串。

可选的，所述在预设的脚本病毒特征库中查询是否存在与所述目标单词序列串匹配的病毒记录，包括：

通过提取内容关键字和/或识别文件后缀名的方式，确定所述待检测脚本文件对应的当前文件类型；

在所述脚本病毒特征库中查找与所述当前文件类型对应的病毒特征记录表，并在所述病毒特征记录表中查询是否存在与所述目标单词序列串匹配的病毒记录。