[发明专利]一种可执行文件处理方法以及可执行文件监控方法

权利要求书

1.一种可执行文件查杀加速方法，其特征在于，该方法包括：

收集可执行文件列表；

根据所述列表采样可执行文件的信息，并利用所述信息建立白名单文件，其中，所述根据所述列表采用可执行文件的信息包括：一次性运行所述列表中的可执行文件，监控每个所述可执行文件在操作系统中加载到内存的内存区间数据；根据所述内存区间数据采样可执行文件的信息；所述根据所述内存区间数据采样可执行文件的信息，包括：将所有的内存区间数据进行合并；将合并后的内存区间数据与可执行文件进行映射，获得可执行文件的文件区间、映射文件内容以及基本信息；

根据所述列表和所述可执行文件的信息验证所述白名单文件是否组建成功；

客户端查找引擎利用所述组建成功的白名单文件直接获取一正在执行文件的查杀结果。

2.如权利要求1所述的可执行文件查杀加速方法，其特征还在于，该方法还包括：

将可执行文件的文件区间、映射文件内容以及基本信息以key-value方式存储到数据库中，其中key为文件全内容hash值，value为映射文件内容hash值和文件区间数据。

3.如权利要求1或2所述的可执行文件查杀加速方法，其特征还在于，收集可执行文件列表进一步包括：

统计出操作系统常用核心进程文件和动态链接库文件；

收集与运行软件相关的加载进程文件和其动态链接文件；

根据所述核心进程文件、所述动态链接库文件、所述加载进程文件及所述动态链接文件建立可执行文件列表。

4.如权利要求2所述的可执行文件查杀加速方法，其特征还在于，根据所述列表和所述可执行文件的信息验证所述白名单文件是否组建成功进一步包括：

计算所述列表中任一文件的全内容hash，根据所述全内容hash在所述数据库中查找相关文件内存区间数据；

根据内存区间数据，计算相关区间的内存映射数据hash；

将所述内存映射数据hash与数据库中相应的hash进行比较，以判断所述内存映射hash是否完整。

5.如权利要求1所述的可执行文件查杀加速方法，其特征还在于，所述客户端查找引擎利用所述组建成功的白名单文件直接获取一正在执行文件的查杀结果进一步包括：

文件监控装置监控可执行文件的运行；

当监控到可执行文件运行后，检查本地缓存中是否有当前运行的可执行文件；

如果有，则直接利用本地缓存中的结果，如果没有，则检查是否在所述验证组建成功的白名单文件中，如果是，则将相关的结果写入本地缓存中，如果否，则中止可执行文件的运行流程并进行查杀。

6.一种可执行文件查杀加速装置，其特征在于，该装置包括：

收集单元，用于收集可执行文件列表；

采样单元，用于根据所述列表采样可执行文件的信息，并利用所述信息建立白名单文件，其中，所述采样单元进一步包括：监控子单元，用于在一次性运行所述列表中的可执行文件时监控每个所述可执行文件在操作系统中加载到内存的内存区间数据；采样子单元，用于根据所述内存区间数据采样可执行文件的信息，所述采样子单元进一步包括：合并单元，用于将所有的内存区间数据进行合并；映射单元，用于将合并后的内存区间数据与可执行文件进行映射，并获得可执行文件的文件区间、文件内容以及基本信息；

验证单元，用于根据所述列表和所述可执行文件的信息验证所述白名单文件是否组建成功；

其中所述组建成功的白名单文件应用于查找引擎以直接获取一正在执行文件的查杀结果。

7.如权利要求6所述的可执行文件查杀加速装置，其特征还在于，该装置还包括存储单元，用于将可执行文件的文件区间、映射文件内容以及基本信息以key-value方式存储到数据库中，其中key为文件全内容hash，value为内存映射数据hash和内存区间数据，所述内存映射数据是内存区间数据映射到文件上的数据。

8.如权利要求6所述的可执行文件查杀加速装置，其特征还在于，所述收集单元进一步包括：

统计单元，用于统计出操作系统常用核心进程文件和动态链接库文件；

收集子单元，用于收集与运行软件相关的加载进程文件和其动态链接文件；

列表产生单元，用于根据所述核心进程文件、所述动态链接库文件、所述加载进程文件及所述动态链接文件建立可执行文件列表。