[发明专利]一种加载器Loader病毒的查杀方法、装置及终端

权利要求书

1.一种加载器Loader病毒的查杀方法，其特征在于，所述方法包括：

获取目标检测程序的动态链接库DLL文件；

提取所述目标检测程序的DLL文件的多个导出函数；

判断在所述DLL文件的多个导出函数中是否有且仅有一个所述导出函数具有逻辑功能，若是，则确定所述目标检测程序的DLL文件是所述Loader病毒；

清除或隔离所述目标检测程序。

2.如权利要求1所述的方法，其特征在于，所述获取目标检测程序的动态链接库DLL文件，包括：

确定所述目标检测程序所在的文件目录；

获取所述文件目录下的非资源类的DLL文件。

3.如权利要求1所述的方法，其特征在于，所述提取所述目标检测程序的DLL文件的多个导出函数，包括：

获取所述目标检测程序的DLL文件中的多个函数地址；

提取所述多个函数地址分别对应的多个所述导出函数。

4.如权利要求1所述的方法，其特征在于，所述判断在所述DLL文件的多个导出函数中是否有且仅有一个所述导出函数具有逻辑功能，包括：

基于反汇编引擎，将所述DLL文件的导出函数由字节码转换为源代码；

通过对转换为源代码的导出函数进行逻辑分析，判断在所述DLL文件的多个导出函数中是否有且仅有一个所述导出函数的源代码具有逻辑功能。

5.如权利要求4所述的方法，其特征在于，所述通过对转换为源代码的导出函数进行逻辑分析，判断在所述DLL文件的多个导出函数中是否有且仅有一个所述导出函数的源代码具有逻辑功能，包括：

获取所述源代码的长度大于预设长度阈值的导出函数；

通过对所述源代码的长度大于预设长度阈值的导出函数进行逻辑分析，判断在所述DLL文件的多个导出函数中是否有且仅有一个所述导出函数的源代码具有逻辑功能。

6.如权利要求4所述的方法，其特征在于，所述源代码具有逻辑功能包括：

所述源代码对应用程序编程接口API进行调用。

7.如权利要求1所述的方法，其特征在于，所述判断在所述DLL文件的多个导出函数中是否有且仅有一个所述导出函数具有逻辑功能之前，还包括：

确定所述DLL文件的导出函数的个数大于预设个数阈值。

8.如权利要求7所述的方法，其特征在于，所述预设个数阈值是2。

9.如权利要求1-8任一项所述的方法，其特征在于，所述清除或隔离所述目标检测程序之后，还包括：

针对所述目标检测程序更新病毒数据库；

当检测到出现所述目标检测程序时，向用户发出危险警报。

10.一种加载器Loader病毒的查杀装置，其特征在于，所述查杀装置包括：

文件获取模块，用于获取目标检测程序的动态链接库DLL文件；

函数提取模块，用于提取所述目标检测程序的DLL文件的多个导出函数；

病毒确定模块，用于判断在所述DLL文件的多个导出函数中是否有且仅有一个所述导出函数具有逻辑功能，若是，则确定所述目标检测程序的DLL文件是所述Loader病毒；

病毒处理模块，用于清除或隔离所述目标检测程序。

11.如权利要求10所述的查杀装置，其特征在于，所述文件获取模块，包括：

目录确定单元，用于确定所述目标检测程序所在的文件目录；

文件获取单元，用于获取所述文件目录下的非资源类的DLL文件。

12.如权利要求10所述的查杀装置，其特征在于，所述函数提取模块，包括：

地址获取单元，用于获取所述目标检测程序的DLL文件中的多个函数地址；

函数提取单元，用于提取所述多个函数地址分别对应的多个所述导出函数。

13.如权利要求10所述的查杀装置，其特征在于，所述查杀装置还包括：

代码转换模块，用于基于反汇编引擎，将所述DLL文件的导出函数由字节码转换为源代码；

所述病毒确定模块，具体用于通过对转换为源代码的导出函数进行逻辑分析，判断在所述DLL文件的多个导出函数中是否有且仅有一个所述导出函数的源代码具有逻辑功能。