[发明专利]一种检测方法和装置

说明书

本申请提供了一种检测方法和装置，本发明中没有像现有技术中一样，直接查找是否具有恶意的字节，即没有直接对二进制形式的代码进行分析，而是将具有二进制形式的代码的格式转换成具有字符串形式的代码，进而对具有字符串形式的代码进行特征分析，由于现有技术中形式改变后的恶意的字节对应的具有字符串形式的代码是不变的，采用本发明中的方案就能够避免恶意的字节的形式改变后，采用特征码和人工规则的识别方法来检测flash文件中是否携带有恶意代码时，不能判断flash文件是否是恶意文件的问题。

技术领域

本发明涉及通信领域，更具体的说，涉及一种检测方法和装置。

背景技术

随着计算机技术的快速发展和互联网的应用范围的不断扩大，多媒体信息的传播成为了文化传播的重要形式，大量视频、音频、动画等多媒体文件的编码和播放成为了技术人员研究的热点。由于固态存储器与动画编辑器flash动画能够实现较好的动画效果，且其文件占用空间较小，经常使用互联网传播flash文件。

当flash文件通过互联网传播时，黑客常常将恶意代码嵌入到flash文件中，然后通过互联网传播该恶意代码，此种方法攻击性强，已经对我国的金融行业、能源行业、政府、电力行业等造成了一定的恶劣影响，所以检测flash文件中是否携带有恶意代码就变得至关重要。

现有技术中，采用特征码和人工规则的识别方法来检测flash文件中是否携带有恶意代码，特征码和人工规则的识别方法是指人工规定一些特定的恶意的字节，然后在flash文件中的特定位置，查看是否包含有人工规定的那些恶意的字节，如果包含有人工规定的那些恶意的字节，就证明包含有恶意代码，即该flash文件是恶意文件。

在计算机中存储代码时，存储的是其二进制的形式，即恶意的字节是恶意代码的二进制的形式。黑客常常在保证该恶意的字节对应的具有字符串形式的代码不变的前提下，通过修改恶意的字节的形式，如采用加一减一法修改恶意的字节的形式，来使形式改变后的恶意的字节不被检测到。此时，由于恶意的字节的形式已经被改变，采用特征码和人工规则的识别方法，来检测人工规定的那些恶意的字节时，就不会检测到形式改变后的恶意的字节，进而就不能判断flash文件是否是恶意文件。

因此，亟需一种能够在恶意的字节的形式改变后，仍能够判断flash文件是否是恶意文件的方法。

发明内容

有鉴于此，本发明提供一种检测方法和装置，以解决采用特征码和人工规则的识别方法来检测flash文件中是否携带有恶意代码时，在恶意的字节的形式改变时，不能判断flash文件是否是恶意文件的问题。

为解决上述技术问题，本发明采用了如下技术方案：

一种检测方法，包括：

判断获取的目标文件是否是固态存储器与动画编辑器flash文件；

当判断出所述获取的目标文件是flash文件，将所述目标文件中包含的具有二进制形式的代码的格式进行转换，转换成具有字符串形式的代码；

将位于所述具有字符串形式的代码中的预设位置的代码提取出来，得到待解析代码；

判断所述待解析代码中是否包含有预设的恶意特征中的至少一个恶意特征；

当判断出所述待解析代码中包含有预设的恶意特征中的至少一个恶意特征，根据所述待解析代码中包含的每一个恶意特征中的待解析字符串，得到与所述每一个恶意特征对应的、能够表示该恶意特征的恶意程度的数值；

根据与所述每一个恶意特征对应的、能够表示该恶意特征的恶意程度的数值，采用机器学习算法，判断所述目标文件是否是恶意文件。

优选地，所述判断获取的目标文件是否是固态存储器与动画编辑器flash文件，包括：