[发明专利]恶意代码的识别方法、装置、设备及存储介质

权利要求书

1.一种恶意代码的识别方法，其特征在于，包括：

获取网站的待识别网络流量数据；

按照预设规则从所述待识别网络流量数据中获取可疑代码；

将所述可疑代码输入代码识别模型中获得所述可疑代码的识别结果；所述识别结果为恶意代码、正常代码或无法识别中的一种；

若所述识别结果为无法识别，则将所述可疑代码与备份代码进行比对，所述备份代码为所述网站的源码；

若所述备份代码中不存在所述可疑代码，则将所述可疑代码确定为恶意代码。

2.根据权利要求1所述的方法，其特征在于，所述按照预设规则从所述待识别网络流量数据中获取可疑代码，包括：

将所述待识别网络流量数据与恶意代码库进行比对，所述恶意代码库中包括预设的恶意代码样本；

若所述待识别网络流量数据的部分或全部与所述恶意代码库中的任意恶意代码样本匹配，则将所述待识别网络流量数据的部分或全部确定为可疑代码。

3.根据权利要求1所述的方法，其特征在于，所述按照预设规则从所述待识别网络流量数据中获取可疑代码，包括：

将所述待识别网络流量数据中的加密代码确定为可疑代码。

4.根据权利要求1所述的方法，其特征在于，所述将所述可疑代码输入代码识别模型中获得所述可疑代码的识别结果，包括：

对所述可疑代码中的特征词汇进行标记得到标记值；

将所述标记值输入代码识别模型中获得所述可疑代码的识别结果。

5.根据权利要求1所述的方法，其特征在于，所述将所述可疑代码与备份代码进行比对，包括：

确定所述可疑代码的文件名，按照所述备份代码的索引从所述备份代码中查找所述文件名对应的代码进行比对。

6.根据权利要求5所述的方法，其特征在于，当所述备份代码的索引中常用代码的排序在不常用代码之前时，所述按照所述备份代码的索引从所述备份代码中查找所述文件名对应的代码进行比对，包括：

将所述可疑代码的文件名输入代码分类模型，确定所述可疑代码的类型，所述类型包括常用代码或不常用代码；

根据所述可疑代码的类型以及所述备份代码的索引从所述备份代码中查找所述文件名对应的代码进行比对。

7.根据权利要求1所述的方法，其特征在于，所述获取网站的待识别网络流量数据，包括：

对所述网站的双向网络流量数据进行镜像，将镜像出的双向网络流量数据确定为待识别网络流量数据。

8.一种恶意代码的识别装置，其特征在于，包括：

第一获取模块，用于获取网站的待识别网络流量数据；

第二获取模块，用于按照预设规则从所述待识别网络流量数据中获取可疑代码；

识别模块，用于将所述可疑代码输入代码识别模型中获得所述可疑代码的识别结果；所述识别结果为恶意代码、正常代码或无法识别中的一种；

比对模块，用于若所述识别结果为无法识别，则将所述可疑代码与备份代码进行比对，所述备份代码为所述网站的源码；若所述备份代码中不存在所述可疑代码，则将所述可疑代码确定为恶意代码。

9.一种恶意代码的识别设备，其特征在于，包括存储器和处理器；所述存储器和所述处理器连接；

所述存储器，用于存储计算机程序；

所述处理器，用于在计算机程序被执行时，实现如上述权利要求1-7中任一项所述的恶意代码的识别方法。

10.一种存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时，实现如上述权利要求1-7中任一项所述的恶意代码的识别方法。