[发明专利]一种恶意代码捕获方法有效
| 申请号： | 201110029135.7 | 申请日： | 2011-01-26 |
| 公开（公告）号： | CN102622536A | 公开（公告）日： | 2012-08-01 |
| 发明（设计）人： | 杨轶;冯登国;苏璞睿;应凌云 | 申请（专利权）人： | 中国科学院软件研究所 |
| 主分类号： | G06F21/00 | 分类号： | G06F21/00 |
| 代理公司： | 北京君尚知识产权代理事务所(普通合伙) 11200 | 代理人： | 冯艺东 |
| 地址： | 100190 *** | 国省代码： | 北京;11 |
| 权利要求书： | 查看更多 | 说明书： | 查看更多 |
| 摘要： | 本发明公开了一种恶意代码捕获方法，属于网络安全技术领域。本方法为：1)配置硬件模拟器，加载并启动目标操作系统；2)硬件模拟器读取目标操作系统的虚拟内存，识别所有进程及进程所加载的动态库中的导出表，获取所述导出表中所有API的地址并拦截网络接收API函数；3)根据网络接收API函数的返回值，将进程由网络接收到的数据包标记为污点数据包；4)硬件模拟器反汇编当前进程执行的指令，对其进行污点传播计算；5)判定污点传播过程中当前进程的状态是否发生异常行为，如果发生异常行为则判定当前进程为恶意代码，并从目标操作系统的内存中提取恶意代码镜像。本发明实现对恶意代码完全透明的分析，具有更高的效率和准确性。 | ||
| 搜索关键词： | 一种 恶意代码 捕获 方法 | ||
【主权项】：
一种恶意代码捕获方法，其步骤为：1)配置硬件模拟器，硬件模拟器加载并启动目标操作系统；2)硬件模拟器读取目标操作系统的虚拟内存，识别当前系统中执行的所有进程及进程所加载的动态库中的导出表，获取所述导出表中所有API的地址并拦截网络接收API函数；3)根据网络接收API函数的返回值，将进程由网络接收到的数据包标记为污点数据包；4)硬件模拟器反汇编当前进程执行的指令，如果该指令的源操作数偏移地址和长度在污点数据包范围内，则对该指令进行污点传播计算，如果该指令为API函数调用指令，则根据API地址获取该API名称并查询其传入参数的偏移和长度是否属于污点数据范围，如果属于污点数据范围则对该API调用进行污点传播计算；5)判定污点传播过程中当前进程的状态是否发生异常行为，如果发生异常行为则判定当前进程为恶意代码，并从目标操作系统的内存中提取恶意代码镜像。
下载完整专利技术内容需要扣除积分，VIP会员可以免费下载。
该专利技术资料仅供研究查看技术是否侵权等信息，商用须获得专利权人授权。该专利全部权利属于中国科学院软件研究所，未经中国科学院软件研究所许可，擅自商用是侵权行为。如果您想购买此专利、获得商业授权和技术合作，请联系【客服】
本文链接：http://www.vipzhuanli.com/patent/201110029135.7/，转载请声明来源钻瓜专利网。
