[发明专利]一种脚本检测方法、装置及终端

权利要求书

1.一种脚本检测方法，其特征在于，包括：

在目标脚本于宿主进程中调用组件对象模型COM对象后，将所述目标脚本对COM接口函数的调用请求重定向到所述宿主进程的沙箱环境中；

在所述沙箱环境中处理所述调用请求，并根据对所述调用请求的处理结果控制所述目标脚本的执行；

记录所述目标脚本在执行过程中调用的各个COM对象的信息；

根据所述调用的各个COM对象的信息确定所述目标脚本的恶意行为；

其中，所述在所述沙箱环境中处理所述调用请求，并根据对所述调用请求的处理结果控制所述目标脚本的执行，包括：

利用所述沙箱环境中的钩子HOOK模块根据所述调用请求中携带的参数，判定允许对所述COM接口函数的调用请求后所述目标脚本的执行是否可控；

若所述目标脚本的执行可控，则允许所述目标脚本对所述COM接口函数的调用请求，获取所述目标脚本调用所述COM接口函数后将要调用的应用程序编程接口API函数；若调用所述API函数会对操作系统造成更改，则在不调用所述API函数的情况下向所述目标脚本返回对所述API函数调用成功的结果，以使得所述目标脚本执行；

若所述目标脚本的执行不可控，则不允许所述目标脚本对所述COM接口函数的调用请求，并向所述目标脚本返回调用失败的结果，以使得所述目标脚本中止执行。

2.根据权利要求1所述的方法，其特征在于，所述若调用所述API函数会对操作系统造成更改，则在不调用所述API函数的情况下向所述目标脚本返回对所述API函数调用成功的结果，以使得所述目标脚本执行，包括：

若调用所述API函数会对操作系统造成更改，则将所述目标脚本对所述API函数的调用重定向到所述沙箱环境中；

在不调用所述API函数的情况下利用所述HOOK模块向所述目标脚本返回对所述API函数调用成功的结果，以使得所述目标脚本执行。

3.根据权利要求1或2所述的方法，其特征在于，所述在目标脚本于宿主进程中调用组件对象模型COM对象后，将所述目标脚本对COM接口函数的调用请求重定向到所述宿主进程的沙箱环境中之前，所述方法还包括：

在目标脚本的开始处增加调用ActiveX控件的方法；

在所述目标脚本于宿主进程中开始执行时，调用所述ActiveX控件对COM接口函数和API函数进行HOOK操作，以在所述宿主进程中建立沙箱环境和HOOK模块；

其中，所述对COM接口函数进行HOOK操作用于使得所述目标脚本对所述COM接口函数的调用被重定向到所述沙箱环境中，对API函数进行HOOK操作用于使得所述目标脚本对所述API函数的调用被重定向到所述沙箱环境中。

4.根据权利要求3所述的方法，其特征在于，所述调用所述ActiveX控件对COM接口函数和API函数进行HOOK操作，包括：

通过调用所述ActiveX控件调用具有HOOK功能的DLL组件；

通过加载所述DLL组件执行对COM接口函数和API函数的HOOK操作。

5.根据权利要求1所述的方法，其特征在于，所述根据所述调用的各个COM对象的信息确定所述目标脚本的恶意行为，包括：

利用信息解析技术对所述调用的各个COM对象的信息进行解析，得到所述目标脚本的调用行为，所述信息解析技术包括自定义规则扫描、字符串比较和开发逻辑判断中的一种或多种；

根据所述调用行为确定所述目标脚本存在的恶意行为。

6.根据权利要求1所述的方法，其特征在于，

所述恶意行为包括下载文件、复制文件、删除文件、修改注册表启动项和创建新进程中的一种或多种。

7.根据权利要求1所述的方法，其特征在于，

所述宿主进程为wscript.exe或者cscript.exe。