[发明专利]一种恶意代码混淆检测方法、系统、计算机设备、介质

权利要求书

1.一种恶意代码混淆检测方法，其特征在于，包括：

获取待检测代码；

对所述待检测代码进行入口点混淆检测、call指令后混淆数据检测、子程序返回地址被修改检测、条件跳转混淆检测中的任意两种以上组合。

2.根据权利要求1所述的恶意代码混淆检测方法，其特征在于，所述入口点混淆检测，包括：

判断所述待检测代码的每条指令是否为跳转指令；

如果是，则判断所述跳转指令的地址是否在所述待检测代码内，并判断所述跳转指令的跳转目标地址是否在所述待检测代码外；

如果所述跳转指令的地址在所述待检测代码内，且所述跳转指令的跳转目标地址在所述待检测代码外，则判定所述待检测代码为恶意代码。

3.根据权利要求1所述的恶意代码混淆检测方法，其特征在于，所述call指令后混淆数据检测，包括：

获取所述待检测代码中的call指令的目标地址，及所述call指令的下一条指令的第一地址；

判断所述目标地址的值减去所述第一地址的值之差是否大于零，并小于第一预设值；

如果是，则判断所述第一地址至所述目标地址之前一地址上的字节是否为ASCII字符；

如果是，则判断所述目标地址之前一地址上的字节是否为零；

如果是，则判断所述目标地址之后相邻的指令是否为call指令或赋值传递指令，如果是，则判定所述待检测代码为恶意代码。

4.根据权利要求1所述的恶意代码混淆检测方法，其特征在于，所述子程序返回地址被修改检测，包括：

获取所述待检测代码中的call指令的目标子代码；

判断所述待目标子代码的每条指令是否为RET变形指令；

如果是，则判定所述目标子代码为恶意代码；

获取所述call指令所在地址的下一地址，得到第三地址；

检索全局常量地址表中是否存在比所述第三地址大的最小第四地址；

如果是，则判断所述第四地址的值与所述第三地址的值之差是否小于预设值；

如果是，则提取混淆数据，并利用所述混淆数据清除所述目标子代码产生的错误信息。

5.根据权利要求1所述的恶意代码混淆检测方法，其特征在于，所述条件跳转混淆检测，包括：

获取所述待检测代码的第一条件跳转指令的第一信息与第二条件跳转指令的第二信息；

利用所述第一信息、所述第二信息，判断所述第一条件跳转指令与所述第二条件跳转指令是否为互补的条件跳转指令；

如果是，判断所述第一条件跳转指令的第一目的地址与所述第二条件跳转指令的第二目的地址是否为同一地址；

如果是，则判定所述待检测代码为恶意代码；

从所述同一地址处重新开始检测所述待检测代码。

6.一种恶意代码混淆检测系统，其特征在于，包括：

代码获取模块，用于获取待检测代码；

代码检测模块，用于对所述待检测代码进行入口点混淆检测、call指令后混淆数据检测、子程序返回地址被修改检测、条件跳转混淆检测中的任意两种以上组合。

7.根据权利要求1所述的恶意代码混淆检测系统，其特征在于，所述代码检测模块，包括：入口点混淆检测子模块；

所述入口点混淆检测子模块包括：

跳转判断单元，用于判断所述待检测代码的每条指令是否为跳转指令；

地址判断单元，用于如果所述待检测代码的每条指令为跳转指令，则判断所述跳转指令的地址是否在所述待检测代码内，并判断所述跳转指令的跳转目标地址是否在所述待检测代码外；

恶意代码判断单元，用于如果所述跳转指令的地址在所述待检测代码内，且所述跳转指令的跳转目标地址在所述待检测代码外，则判定所述待检测代码为恶意代码。