[发明专利]一种ShellCode检测方法和装置

权利要求书

1.一种ShellCode检测方法，其特征在于，包括：

建立包含ShellCode特征序列的ShellCode指令序列特征库；

载入待检测文件，对所述待检测文件进行解析，形成解析文件；

对所述解析文件进行指令的模拟执行和分析，记录可疑指令序列并与所述ShellCode指令序列特征库中的ShellCode特征序列进行对比，判断所述解析文件中是否包含ShellCode；

输出检测结果。

2.根据权利要求1所述的ShellCode检测方法，其特征在于，所述对所述待检测文件进行解析，形成解析文件包括：

根据待检测文件的类型进行解析，转换为统一格式的解析文件。

3.根据权利要求2所述的ShellCode检测方法，其特征在于，所述文档类型包括：

DOC、DOCX、XLS、XLSX、PPT、PPTX、PDF中的一种或多种。

4.根据权利要求1所述的ShellCode检测方法，其特征在于，所述对所述解析文件进行指令的模拟执行和分析，记录可疑指令序列并与所述ShellCode指令序列特征库中的ShellCode特征序列进行对比，判断所述解析文件中是否包含ShellCode，包括：

步骤S1：初始化可疑指令序列步长；

步骤S2：将所述解析文件作为二进制串进行指令的模拟执行和分析，当检测到可疑指令时，执行步骤S3，否则，执行步骤S6；

步骤S3：将所述可疑指令序列步长加1；

步骤S4：比较所述可疑指令序列步长是否达到所述ShellCode指令序列特征库中的ShellCode特征序列的阀值，如果达到阀值，执行步骤S5，否则，执行步骤S6；

步骤S5：判定所述解析文件数据中包含ShellCode，记录告警信息；

步骤S6：判断是否对所述解析文件中的所有数据完成检测，如果完成了所有数据检测，判定所述解析文件中不包含ShellCode，否则，回到步骤S2。

5.根据权利要求1至4中任一项所述的ShellCode检测方法，其特征在于，所述方法还包括：

利用ShellCode检测结果对所述ShellCode指令序列特征库中的ShellCode特征序列进行更新。

6.一种ShellCode检测装置，其特征在于，包括：特征库模块、调度模块、文件解析模块、模拟分析模块和结果输出模块，所述调度模块与所述文件解析模块相连，所述模拟分析模块分别与所述特征库模块、文件解析模块和结果输出模块相连，其中：

特征库模块，用于建立包含ShellCode特征序列的ShellCode指令序列特征库；

调度模块，用于载入待检测文件；

文件解析模块，用于对所述待检测文件进行解析，形成解析文件；

模拟分析模块，用于对所述解析文件进行指令的模拟执行和分析，记录可疑指令序列并与所述ShellCode指令序列特征库中的ShellCode特征序列进行对比，判断所述解析文件中是否包含ShellCode；

结果输出模块，用于输出检测结果。

7.根据权利要求6所述的ShellCode检测装置，其特征在于，所述文件解析模块还用于：

根据待检测文件的类型进行解析，转换为统一格式的解析文件。

8.根据权利要求6所述的ShellCode检测装置，其特征在于，所述模拟分析模块还用于执行以下步骤：

步骤S1：初始化可疑指令序列步长；

步骤S2：将所述解析文件作为二进制串进行指令的模拟执行和分析，当检测到可疑指令时，执行步骤S3，否则，执行步骤S6；

步骤S3：将所述可疑指令序列步长加1；

步骤S4：比较所述可疑指令序列步长是否达到所述ShellCode指令序列特征库中的ShellCode特征序列的阀值，如果是，执行步骤S5，否则，执行步骤S6；

步骤S5：判定所述解析文件数据中包含ShellCode，记录告警信息；

步骤S6：判断是否对所述解析文件中的所有数据完成检测，如果完成了所有数据检测，判定所述解析文件中不包含ShellCode，否则，回到步骤S2。