[发明专利]一种恶意代码混淆检测方法、系统、计算机设备、介质

说明书

本发明提供一种恶意代码混淆检测方法，包括：获取待检测代码；对所述待检测代码进行入口点混淆检测、call指令后混淆数据检测、子程序返回地址被修改检测、条件跳转混淆检测中的任意两种以上组合。本发明对恶意代码混淆检测的方法进行归纳总结，得出常见的恶意代码混淆的实际情况，根据实际情况，制定出针对各种恶意代码混淆情形的具体方法，对恶意代码进行更加全面的检测，从而提供更加全面的恶意代码检测识别信息。本发明提供的一种恶意代码混淆检测系统、计算机设备、介质，也具有上述有益效果，在此不再赘述。

技术领域

本发明涉及计算机软件技术领域，特别涉及一种恶意代码混淆检测方法、系统、计算机设备、介质。

背景技术

代码混淆是恶意代码隐藏自身的主要手段之一，当前，对恶意代码反检测分析技术层面主要存在以下问题：检测技术较为单一，难以准确地分析恶意代码混淆反检测能力。传统恶意代码混淆反检测分析主要根据恶意代码的动态运行效果或者实际调试状态，这样的测试存在环境准备、状态分析等多种情况，会导致检测效率低下，检测时间过长。恶意代码混淆反检测能力往往不是由单一的技术构成，例如其抗虚拟机技术有多种实现方式，但是实现技术之间并不冲突，如果采用传统的状态评估，评估结果对当前的环境准备有很大的依赖。传统恶意代码混淆检测技术只是对其中的某一种功能进行检测，例如异常返回等，恶意代码混淆反检测需要多方面的评估和分析，仅仅对某一方面的检测是不合理也是不完整的。

因此，如何提供一种对恶意代码混淆进行检测的技术方案，能够对恶意代码的检测更加全面，是本领域技术人员亟待解决的技术问题。

发明内容

有鉴于此，本发明的目的在于提供一种恶意代码混淆检测方法、系统、计算机设备、介质，能够对恶意代码的检测更加全面。其具体方案如下：

第一方面，本发明提供一种恶意代码混淆检测方法，包括：

获取待检测代码；

对所述待检测代码进行入口点混淆检测、call指令后混淆数据检测、子程序返回地址被修改检测、条件跳转混淆检测中的任意两种以上组合。

优选地，所述入口点混淆检测，包括：

判断所述待检测代码的每条指令是否为跳转指令；

如果是，则判断所述跳转指令的地址是否在所述待检测代码内，并判断所述跳转指令的跳转目标地址是否在所述待检测代码外；

如果所述跳转指令的地址在所述待检测代码内，且所述跳转指令的跳转目标地址在所述待检测代码外，则判定所述待检测代码为恶意代码；

优选地，所述call指令后混淆数据检测，包括：

获取所述待检测代码中的call指令的目标地址，及所述call指令的下一条指令的第一地址；

判断所述目标地址的值减去所述第一地址的值之差是否大于零，并小于第一预设值；

如果是，则判断所述第一地址至所述目标地址之前一地址上的字节是否为ASCII字符；

如果是，则判断所述目标地址之前一地址上的字节是否为零；

如果是，则判断所述目标地址之后相邻的指令是否为call指令或赋值传递指令，如果是，则判定所述待检测代码为恶意代码；

优选地，所述子程序返回地址被修改检测，包括：

获取所述待检测代码中的call指令的目标子代码；

判断所述待目标子代码的每条指令是否为RET变形指令；

如果是，则判定所述目标子代码为恶意代码；

获取所述call指令所在地址的下一地址，得到第三地址；