病毒識別方法及裝置的製作方法
2023-04-27 09:50:26 3
專利名稱：病毒識別方法及裝置的製作方法
技術領域：
本發明涉及一種識別計算機病毒的方法和實現這種方法的裝置，並且尤其涉及識別腳本類計算機病毒的方法和裝置。
背景技術：
計算機及網絡技術的迅猛發展極大地促進了信息交互。但是，與此同時，計算機病毒也伴隨技術的發展而不斷地演化更新，從初期的惡作劇遊戲發展到今日，計算機病毒已經嚴重威脅到了人們對計算機的正常使用。由此，如何防範病毒侵襲已然成為人們關注的一個焦點。
防範病毒侵襲的一個重要步驟是在病毒運行之前識別出帶有病毒的文件，即查毒，從而採取相應的措施遏制其侵害計算機系統。目前的殺毒軟體普遍使用的查毒方法為匹配特徵串方法。也就是說，利用從病毒樣本中提取出來的特徵串(一段或多段特定的二進位碼流)在被查文件中進行匹配搜索。這種方法能夠比較有效地識別出具有固定特徵串的病毒，但是對於那些特徵串易於變化的病毒，即易於變種的病毒而言，這種查毒方法則近乎虛設，不會起到預期的效果。
近期發展起來的腳本病毒正是這樣一種易於變種的病毒，其以破壞力大，感染力強，傳播範圍大，欺騙性強而成為現今計算機病毒的一個重要分支。腳本病毒以腳本語言編寫而成，通常伴隨其他文件一同傳送到計算機中，再由計算機作業系統自身帶有的針對腳本語言的解釋器加以解釋執行，從而侵害計算機系統。因而，腳本病毒的源碼非常易於獲取，且其原始碼可讀性非常強。通常，只需稍微改變一下腳本病毒源碼的結構，或者修改一下其特徵值就可生成具有不同特徵串的新病毒變種。這樣，腳本病毒的各種變種就可以輕易騙過常規的匹配特徵串的病毒檢查。此外，由於腳本病毒編寫簡單，現在甚至還出現了很多所謂的病毒生產機，其可以按照用戶的意願生成各種腳本病毒。由此，常規的匹配特徵串的查毒方法難以根據所生成的腳本病毒文本本身的特點(特徵串)來有效地識別出各種腳本病毒。
因此，迫切需要尋找一種病毒識別方法來快速準確地識別出這種易於變種且侵害力極強的病毒，例如腳本類病毒。
發明內容
本發明的目的在於提供一種快速高效地識別各種病毒及其變種的方法。
根據本發明的一個方面，提出了一種用於識別病毒的方法，包括以下步驟(a)對被查文件的文本進行預處理，以提取可執行文本；(b)對所述可執行文本進行語法分析，以得到所述可執行文本的語法特徵；(c)將所述得到的語法特徵與病毒特徵庫中病毒的語法特徵進行匹配，以判斷所述文件是否包含所述病毒。
本發明還提出了實現上述方法的硬體裝置以及包含該模塊的計算機系統。
由於本發明提出的方法可以根據病毒的行為特徵，而並非所生成病毒文本本身的特徵來識別病毒，因而能夠快速準確地識別出屬於同一家族的病毒。本發明提出的這種方法，尤其適用於識別採用解釋執行的諸如腳本類的病毒。
參考下面結合附圖的說明書及權利要求書，將更全面地了解本發明，而且本發明的這些及其他特點將變得更加顯而易見。
以下將結合附圖和具體實施例對本發明進行詳細描述，其中圖1是根據本發明一個實施例的用於實現腳本病毒識別的總體流程圖；圖2是根據本發明一個實施例的預處理步驟的具體流程圖；
圖3是根據本發明一個實施例的詞法分析步驟的具體流程圖；圖4是根據本發明一個實施例的語法分析步驟的具體流程圖；圖5是根據本發明一個實施例的識別病毒裝置的結構框圖。
具體實施例方式
根據以上對腳本類病毒的總體介紹可知，腳本病毒的一個重要特點在於源碼的可讀性非常強，並且通常是在目標計算機上對病毒的源碼加以解釋執行。鑑於腳本病毒解釋執行這一特點，本發明提出的識別這類病毒的方法，仿照編譯器的基本原理，對文件中的可執行文本進行語法分析，以便分析出該可執行文本所要實現的功能，即分析其行為特點。這種行為特點體現為語法分析所得到的語法特徵，例如循環次數，特定函數的調用等等。那些通過變種而生成的同一家族的腳本病毒，其行為特點，也就是語法特徵通常是固定不變的。因此，通過匹配被查文件的語法特徵可以有效地檢測出各種病毒的變種。
下面將參照附圖1-4，以識別腳本病毒為例詳細描述本發明提出的識別病毒的方法的具體步驟。這裡需要指出，本發明所提出的識別病毒的方法還可以應用於與腳本類病毒具有類似特點的其他病毒，而並不僅限於腳本病毒本身。
圖1示出了本發明一個實施例中用於識別腳本病毒的方法的總體流程圖。
如圖1所示，在步驟1001中，開始執行腳本病毒掃描程序。由於本實施例是以識別腳本病毒為例，因而這裡的病毒掃描程序僅對腳本類型文件進行掃描。倘若將本發明提出的方法用於識別其他解釋執行的病毒類型，則相應地對該類型文件進行掃描。
首先，在步驟1002中，對掃描到的腳本文件進行預處理，以提取其中的可執行文本。繼而，在步驟1003中，判斷是否成功提取出了可執行文本，若成功則繼續執行步驟1004中的詞法分析，否則執行步驟1009報告錯誤並結束此次病毒掃描。這裡的預處理操作可以包括為了提取可執行文本所需的所有步驟，例如對加密的文本進行解密等。該預處理步驟的具體描述將在後面結合附圖2詳細介紹。
在步驟1004中，對經過預處理而生成的可執行文本進行詞法分析，以提取單詞序列數組。依據編譯原理，詞法分析是從作為連續的字符串出現的可執行文本中提取出例如作為變量、函數名等的單詞，以便在語法分析中獲得這些單詞間的邏輯關係。在本發明中，詞法分析中對單詞的提取是根據腳本語言的特點而設計的。此外，為了能夠加快掃描速度和可靠性，在本發明中，詞法分析步驟還包括檢驗所提取的可執行文本中是否包含了能被病毒利用的系統調用(步驟1005)。如果不包含這些系統調用，則可放棄此次病毒掃描(行進到步驟1010)，認為該提取出的可執行文本不會造成對計算機系統的侵害。否則，繼續執行步驟1006中的語法分析。具體的詞法分析步驟將在後面結合附圖3詳細描述。
在步驟1006中，對詞法分析生成的單詞序列數組進行語法分析，生成語法樹，提取語法特徵。這裡所說的語法特徵，例如為最大循環次數、循環語句個數、條件語句層數、條件語句個數、函數調用次數、函數參數個數及類型、函數調用返回值、系統函數調用等等。這裡需要指出，由於本發明的目的在於根據可執行文本的行為特點快速識別出腳本病毒，因而本發明中的語法分析步驟不同於傳統的編譯過程中的處理，它更注重對更能夠體現行為特點的函數體的分析。此外，在本發明中為了加快語法分析的速度和準確度，在語法分析過程中採用了分類分析，分類建立語法分析表的思想，具體內容將在後面結合附圖4詳細介紹。
在獲得可執行文本的語法特徵之後，在步驟1007中，將提取出的語法特徵和病毒特徵庫中已知或未知病毒的語法特徵進行匹配，並且判斷二者是否匹配。如果匹配，則執行步驟1008，上報所查文件含有的病毒類型，病毒名稱，殺毒方法等特徵量；否則表示此文件不包含已知的腳本病毒，直接執行步驟1010。最後，在步驟1010中，結束本次掃描的工作。
在上述結合圖1描述的本發明提出的用於識別病毒的方法中，本發明的思想主要體現在預處理操作、詞法分析和語法分析三個部分。下面依次描述這三個部分的具體操作。
預處理圖2示出了圖1所示的預處理步驟的具體流程圖。如圖2所示，在步驟2001中，開始對腳本文件的預處理操作。在步驟2002中，過濾掉腳本文件中對可執行文本沒有任何影響的部分，例如注釋內容等。在步驟2003中，判斷剩下的可執行文本是否已經加密，若有加密則執行步驟2004，分析加密文本，採取相應的解密方法進行解密，否則執行步驟2006直接提取可執行文本。在步驟2004中，例如通過分析加密的文本，獲知其採用了公共加密算法，則採用相應的解密算法得到解密後的文本。或者，如果加密文本本身包含了解密步驟，那麼可通過分析而獲得相應的解密算法。再者，還可以採用虛擬執行的方式，在內存中生成解密後的臨時可執行文本，從而獲得解密後的文本。解密後，在步驟2005中，判斷解密是否成功，若成功則執行步驟2006提取可執行的文本，否則執行步驟2007報告預處理失敗。在步驟2006中，提取出可執行的文本，供後續詞法分析使用。最後，在步驟2008中，結束本次腳本文件預處理操作。
詞法分析在獲得可執行文本後，進行詞法分析。圖3示出了這一步驟的具體流程圖。
在步驟3001中，開始詞法分析。在步驟3002中，採用正則式文法分析，通過本發明中一套算符操作碼和複合語句操作碼，提取單詞。該套算符操作碼和複合語句操作碼是根據腳本語言的特點而設計的，便於從腳本文本中提取特徵串，每次調用該算符操作碼和複合語句操作碼就會得到一個記號(token)特徵串(這裡需要指明，算符操作碼和複合語句操作碼可根據token特徵串的特點加以設計)。繼而，在步驟3003中，累計步驟3002中生成的token特徵串，以形成單詞序列數組。在本發明中，提取出的token特徵串，都要在步驟3004中判斷該token特徵串是否與某一系統調用相匹配，即，判斷是否屬於系統調用。若是，則執行步驟3005統計其校驗和，否則執行步驟3006。在步驟3005中，參照系統中的關鍵字列表，獲得該系統調用的校驗和並與之前獲得的其他系統調用校驗和累計，從而得到一個統計校驗和。繼而，在步驟3006中，判斷文本是否讀完，若未讀完則重複執行步驟3002得到下一個token特徵串，如此循環，直到讀完所有文本。
在讀完所有可執行文本後，在步驟3007中，進行系統調用匹配。在本實施例中，預先通過分析系統特點，得出可能被病毒利用的系統調用，換言之，病毒必須至少包括這些系統調用，才有可能侵害系統。然後，計算出這些系統調用的統計校驗和，以備在步驟3007中進行系統調用匹配。在詞法分析的步驟3007中，將在步驟3005中獲得的統計校驗和與預先計算出的可能被病毒利用的系統調用的校驗和進行匹配，並繼而判斷是否匹配(步驟3008)。在本實施例中，如果經過詞法分析得到的當前文本所包含的系統調用校驗和大於該預先計算得到的校驗和，則表明系統調用是匹配的，即當前文本包含可被病毒利用的系統調用。此時報告詞法分析成功，需要對當前的可執行文本進行進一步的語法分析。如果不匹配，則報告詞法分析失敗，從而退出本次掃描過程，即認為當前文件不帶有病毒(步驟3009)。這樣做的優勢在於，不會將未進行任何系統調用的腳本誤認作攜帶病毒的文件，從而可提高查毒的準確度，減少誤報的機率，同時還能加快病毒掃描速度。最後，在步驟3010中，結束本次詞法分析操作。
在本實施例中，僅給出了以上一種判斷可執行文本是否包含可被病毒利用的系統調用的方法。在實際應用中，還可以採用多種方法來實現這種判斷，並不限於此。此外，根據實際應用的需要，該系統調用匹配的判斷步驟也不都是必須的。
以上結合附圖3描述的詞法分析過程，對於大多數由程序語言編寫的可執行文本而言，通常是必須的。但是也不排除某些特定類型的語言採用極其簡單的定義和結構，因而可以僅僅通過簡單的處理而直接進行語法分析，這要視實際應用而定。
語法分析在以上詞法分析成功完成之後，本發明要進行最關鍵也是最複雜的語法分析過程。
本發明根據腳本病毒的特點將語法分析作了以下的拆分1、將整個詞法分析後的源程序看作一個定義鏈，這一部分稱為全局變量與函數定義的分析。2、在函數定義中將參數定義與函數體的定義分出來分別進行語法分析。3、在函數體的分析中再將參數定義與表達式的定義分離出來單獨分析。
整個語法分析過程採用SLR(1)分析加上移進規約衝突分析，在表達式分析時採用了算符優先分析法。
圖4是這一步驟的流程圖。在步驟4001中，開始語法分析。在步驟4002中，確定當前要執行的語法分析的類型，即定義語法分析的類型。在本實施例中，根據腳本語言的特點，將語法分析分為五種類型表達式、函數、參數、全局變量和系統函數分析。例如，在剛剛開始對可執行文本進行語法分析時，通過分析可將其類型定義為全局變量分析。繼而，在步驟4003中，判斷語法分析的種類以進行相應操作若是全局變量，則在步驟4007中，將全局變量添加到符號表。當然，在語法分析之初，該類型定義還可能是其他類型，或者隨著語法分析的逐步深入，該類型定義也會為其他類型。例如若為表達式，則進入步驟4004中，進行表達式分析，其中採用的是算符優先分析法；若為函數，則在步驟4005中，對函數的參數進行函數參數分析；而在步驟4006中，對函數體本身進行函數體分析；若為系統函數，則在步驟4008中，將系統函數添加到符號表。
然後在各個語法分析類中，分別繼續進行進一步的分析。例如，在表達式分析之後(步驟4004)，在步驟4009中，進一步對表達式中的函數調用進行分析；而函數體分析(步驟4006)之後的步驟4010中，進一步對函數體內局部變量進行分析；並在步驟4011中，將局部變量添加到符號表中。
無論是上述例舉的哪一類語法分析，其都要進入步驟4012中，根據語法規定，判斷分析操作是否正確，若正確則執行步驟4013，否則執行步驟4014錯誤出口。隨後在步驟4013中，判斷分析是否完成，若已經完成則執行步驟4015結束分析，否則執行步驟4002繼續分析。例如，在函數體類的分支中，當步驟4012判斷出局部變量分析正確後，在步驟4013中發現分析尚未完成。例如，繼而需要分析函數體中的表達式，則流程循環至步驟4002，確定下一次語法分析的類型為表達式分析，然後經步驟4003的判別，流程行進到表達式分析的分支繼續進行。按照這種方法循環執行圖4的流程直到完成所有的分析操作(步驟4015)。
由於本發明的目的在於分析腳本文件的行為特點，因而函數體的分析是本發明的關鍵。通常函數體的語法分析是非常複雜的，因而在本發明中，將函數體分析與其他類型的語法分析分開進行，並且單獨構造一個語法分析表，這樣，可便於升級和更新。
在圖4所示的語法分析結束後，可以得到語法樹，其反映了各個變量、表達式等之間的邏輯關係。下面回到圖1，在圖1所示的流程中，根據得到的語法樹得到可執行文本中最大循環次數，循環語句個數，條件語句層數，條件語句個數，函數調用次數，函數參數個數及類型，函數調用返回值，系統函數調用特徵等一系列的語法特徵。接下來就是和病毒特徵庫中病毒的語法特徵進行匹配，判斷是否含有病毒。例如，掃描得到的語法特徵中，系統函數調用，循環跳轉次數，函數調用次數以及函數調用的返回值恰好與某個腳本病毒這些語法特徵相匹配，則表明該腳本可能含有病毒，因此報告病毒並提供相應的殺毒方法。
這裡需要說明，病毒特徵庫中可以存儲已知病毒的語法特徵和/或未知病毒的語法特徵。其中，已知病毒是指在當前病毒庫中已經記錄有明確的名稱、標識等信息的病毒，而未知病毒則是指尚未記錄有明確的名稱或標識的病毒。通常，未知病毒的語法特徵是根據已知病毒的行為特點，推斷出的足以構成病毒行為的語法特徵。這種自行定義的未知病毒的語法特徵可以通過殺毒軟體的學習功能來獲得，從而能夠在一定程度上實現預防病毒的目的。
以上結合附圖1-4描述了本發明提出的識別病毒的方法。本發明提出的方法可以由計算機軟體來實現，也可以由硬體來實現，或者採用軟硬體相結合的方式實現。
以下示例性地給出一種實現本發明提出的方法的硬體結構，如圖5所示。
如圖5所示，用於實現本發明提出的識別病毒方法的裝置500，包括預處理單元510、分析處理單元520、識別單元530，其中分析處理單元510包括詞法分析單元522和語法分析單元526。
具體而言，預處理單元510用於對被查文件的文本進行預處理(解密)以提取可執行文本。分析處理單元520用於對所述可執行文本進行語法分析，以得到所述可執行文本的語法特徵。該分析處理單元520具體包括用於對所述可執行文本進行詞法分析以提取單詞序列的詞法分析單元522，以及用於對所述詞法分析單元提取出的所述單詞序列進行語法分析的語法分析單元526。識別單元530將由語法分析單元得到的語法特徵與病毒特徵庫中病毒的語法特徵進行匹配，以判斷所述文件是否包含病毒。所述詞法分析單元522還包括一個判斷單元523用於根據提取出的所述單詞序列，判斷是否包含可被病毒利用的系統調用(判斷方法與圖3所示相同)；且若不包含可被腳本病毒利用的系統調用，則判斷所述文件不包含病毒。
以上結合附圖1-5以腳本病毒為例詳細描述了本發明提出的通過分析被查文件的行為特點來識別病毒的方法。該方法不僅可以適用於腳本病毒，還可以用於對其他源碼文件的分析查毒。
有益數果以上結合本發明實施例對於本發明提出的識別病毒的方法進行了詳細的描述。本發明提出的方法，通過語法分析獲得被查文件的語法特徵，再利用該得到的語法特徵與病毒的語法特徵的匹配結果，來確定該被查文件是否包含該病毒。
與單純根據病毒樣本中提取的字符串來進行搜索匹配的方法相比，由於本發明提出的方法是以病毒的行為特點為基礎來進行查毒，因而大大提高了病毒掃描的準確度，並且可加快掃描速度，避免資源浪費。由於病毒的多種變種體通常具有固定的行為特點，即語法特徵，因而採用本發明提出的方法能有效的對付同一病毒家族的不同變種。此外，本發明提出的方法具有很強的靈活性，例如通過將語法分析的拆分，使得將來對語法分析的擴展和升級只需要更改函數體的語法分析部分就可以完成。再者，本發明通過預處理和詞法分析將無格式的文件進行了格式化，支持病毒的排序，能夠顯著提高查殺毒速度。
本領域技術人員應當理解，對上述本發明所公開的用於識別病毒的方法和裝置，還可以在不脫離本發明內容的基礎上做出各種改進。因此，本發明的保護範圍應當由所附的權利要求書的內容確定。
權利要求
1.一種用於識別病毒的方法，包括以下步驟(a)對被查文件的文本進行預處理，以提取可執行文本；(b)對提取出的所述可執行文本進行語法分析，以得到所述可執行文本的語法特徵；(c)將所述得到的語法特徵與病毒特徵庫中病毒的語法特徵進行匹配，以判斷所述文件是否包含病毒。
2.如權利要求1所述的方法，其中步驟(b)還包括(b1)對所述可執行文本進行詞法分析，以提取單詞序列。
3.如權利要求2所述的方法，其中步驟(b)還包括(b2)對所述提取出的所述單詞序列進行語法分析，以得到所述可執行文本的語法樹，從而獲得所述可執行文本的所述語法特徵。
4.如權利要求3所述的方法，其中，所述語法特徵包括所述可執行文本中最大循環次數、循環語句個數、條件語句層數、條件語句個數、函數調用次數、函數參數個數及類型、函數調用返回值、系統函數調用中的一個或多個。
5.如權利要求2所述的方法，其中步驟(b1)還包括(b11)根據提取出的所述單詞序列，判斷是否包含可被病毒利用的系統調用；(b12)若不包含可被腳本病毒利用的系統調用，則判斷所述文件不包含病毒。
6.如權利要求5所述的方法，其中步驟(b11)包括根據提出的所述單詞序列，判斷是否包含系統調用；若包含系統調用，則計算系統調用的校驗和；將所述計算出的系統調用校驗和與可被病毒利用的系統調用校驗和進行比較，以判斷是否包含所述病毒可利用的系統調用。
7.如權利要求1所述的方法，其中所述預處理還包括對加密的可執行文本進行解密，以獲取解密後的可執行文本。
8.如權利要求1所述的方法，其中所示病毒為腳本病毒，所述可執行文本為腳本文本。
9.如權利要求1所述的方法，其中所述病毒特徵庫存儲有已知病毒的語法特徵和/或未知病毒的語法特徵。
10.一種識別病毒的裝置，包括預處理單元，用於對被查文件的文本進行預處理，以提取可執行文本；分析處理單元，用於對所述可執行文本進行語法分析，以得到所述可執行文本的語法特徵；識別單元，用於將所述得到的語法特徵與病毒特徵庫中病毒的語法特徵進行匹配，以判斷所述文件是否包含病毒。
11.如權利要求10所述的裝置，其中所述分析處理單元還包括詞法分析單元，用於對所述可執行文本進行詞法分析，以提取單詞序列；且語法分析單元，用於對所述詞法分析單元提取出的所述單詞序列進行語法分析，以得到所述可執行文本的語法樹，從而獲得所述可執行文本的所述語法特徵。
12.如權利要求11所述的裝置，其中所述語法分析單元對全局變量、函數定義、參數定義和函數體定義分別進行語法分析。
13.如權利要求11所述的裝置，其中所述詞法分析單元還包括判斷單元，用於根據提取出的所述單詞序列，判斷是否包含可被病毒利用的系統調用；且若不包含可被腳本病毒利用的系統調用，則判斷所述文件不包含病毒。
14.如權利要求13所述的裝置，其中所述判斷單元根據提出的所述單詞序列，判斷是否包含系統調用；若包含系統調用，則計算系統調用的校驗和；將所述計算出的系統調用校驗和與可被病毒利用的系統調用校驗和進行比較，以判斷是否包含所述病毒可利用的系統調用。
15.一種計算機系統，包括如權利要求10-14所述的識別病毒的裝置。
16.一種電腦程式產品，包括用於實現如權利要求1-9所述方法的計算機可讀代碼。
全文摘要
一種快速識別已知或未知病毒及其變種的方法，包括對被查文件進行預處理，提取可執行文本；對可執行文本進行詞法分析，得出文本的單詞序列數組；對生成的單詞序列進行語法分析得出語法樹，並提取其語法特徵；匹配已知病毒或未知病毒特徵庫的語法特徵進行病毒判定。其中，在詞法分析中還包括判斷可執行文本中是否包含可被病毒利用的系統調用，若不包含則認為此文件不含有病毒，從而降低誤報率。由於本發明提出的方法，通過語法分析將可執行文本的行為特點，即語法特徵，與病毒的語法特徵相匹配，因而能夠識別各種變種的病毒，而且速度快，查毒準確。
文檔編號G06F21/00GK1983295SQ20061010597
公開日2007年6月20日 申請日期2006年7月21日 優先權日2005年12月12日
發明者張暢 申請人:北京瑞星國際軟體有限公司