[发明专利]一种在沙箱中提取程序衍生物的方法、装置、设备及可读介质

权利要求书

1.一种在沙箱中提取程序衍生物的方法，其特征在于，该方法包括：

关联步骤：在沙箱中建立第一文件和第一备份文件之间的关联关系，所述关联关系表征为沙箱中创建一个数据结构，所述数据结构的一个节点用于记录第一文件的路径、第一备份文件的路径及第一文件引用计数；

记录步骤：根据对第一文件的操作类型在第一备份文件进行记录，并修改所述第一文件的引用计数；

程序衍生物提取步骤，通过对第一备份文件进行解析，以还原出每次程序写入前后的文件内容以及写入顺序，分析程序对第一文件进行操作过程，并获取其衍生物。

2.根据权利要求1的方法，其特征在于，所述数据结构是单链表或双链表。

3.根据权利要求2的方法，其特征在于，在所述关联步骤中，当创建或打开所述第一文件时，如果应用程序具有写权限，且所述第一文件打开或创建文件成功，将所述第一文件的路径保存在数据结构的节点中，同时创建该第一文件对应的第一备份文件，并将所述引用计数加1，并将所述数据结构加入到监控队列中。

4.根据权利要求3的方法，其特征在于，所述记录步骤的操作为：

判断所操作的文件对象是否在所述监控队列中，如果是，对所述操作类型进行判断，如果所述操作类型是写操作，将数据写入所述第一文件，在写入操作完成后，将当前进程PID、线程TID、写入前的文件指针、写入长度、写入的数据记录到第一备份文件，如果所述操作类型为复制或重复打开操作，将所述引用计数加1，如果所述操作类型为文件关闭操作，将所述引用计数减1，如果引用计数为0，则从单链表或双链表中移除并释放第一文件对应的数据结构节点。

5.根据权利要求1的方法，其特征在于，所述方法还包括：

分析步骤，通过对程序衍生物进行分析，判断所述程序是否为恶意程序。

6.一种在沙箱中提取程序衍生物的装置，其特征在于，该装置包括：

关联单元：在沙箱中建立第一文件和第一备份文件之间的关联关系，所述关联关系表征为沙箱中创建一个数据结构，所述数据结构的一个节点用于记录第一文件的路径、第一备份文件的路径及第一文件引用计数；

记录单元：根据对第一文件的操作类型在第一备份文件进行记录，并修改所述第一文件的引用计数；

程序衍生物提取单元，通过对第一备份文件进行解析，以还原出每次程序写入前后的文件内容以及写入顺序，分析程序对第一文件进行操作过程，并获取其衍生物。

7.根据权利要求6的装置，其特征在于，所述数据结构是单链表或双链表。

8.根据权利要求7的装置，其特征在于，在所述关联步骤中，当创建或打开所述第一文件时，如果应用程序具有写权限，且所述第一文件打开或创建文件成功，将所述第一文件的路径保存在数据结构的节点中，同时创建该第一文件对应的第一备份文件，并将所述引用计数加1，并将所述数据结构加入到监控队列中。

9.根据权利要求8的装置，其特征在于，所述记录单元执行的操作为：

判断所操作的文件对象是否在所述监控队列中，如果是，对所述操作类型进行判断，如果所述操作类型是写操作，将数据写入所述第一文件，在写入操作完成后，将当前进程PID、线程TID、写入前的文件指针、写入长度、写入的数据记录到第一备份文件，如果所述操作类型为复制或重复打开操作，将所述引用计数加1，如果所述操作类型为文件关闭操作，将所述引用计数减1，如果引用计数为0，则从单链表或双链表中移除并释放第一文件对应的数据结构节点。

10.根据权利要求6的装置，其特征在于，所述装置还包括：

分析单元，通过对程序衍生物进行分析，判断所述程序是否为恶意程序。