[发明专利]可执行和可链接格式文件的检验方法、装置及存储介质

权利要求书

1.一种可执行和可链接格式文件的检验方法，其特征在于，所述可执行和可链接格式文件的检验方法包括以下步骤：

根据可执行和可链接格式ELF文件的文件属性，识别所述ELF文件所属的类别，其中，所述文件属性包括文件类型和/或所述ELF文件对应的来源平台类型，所述文件类型包括可重定位文件、可执行文件和可被共享文件；

提取所述ELF文件的文件特征，所述文件特征包括静态特征、动态特征和证书信息特征中的至少一个；

根据所述类别和所述文件特征，对所述ELF文件进行检验，得到检验结果，所述检验结果为所述ELF文件属于恶意ELF文件或正常ELF文件。

2.如权利要求1所述的可执行和可链接格式文件的检验方法，其特征在于，所述根据所述类别和所述文件特征，对所述ELF文件进行检验，得到检验结果的步骤包括：

将所述文件特征输入至所述类别对应的训练模型中得到检验结果；

其中，所述训练模型为根据所述类别对应的多组恶意ELF文件的文件特征，以及根据所述类别对应的多组正常ELF文件的文件特征训练得到。

3.如权利要求2所述的可执行和可链接格式文件的检验方法，其特征在于，所述恶意ELF文件包括所述类别下的所有种类的恶意ELF文件，其中，所述恶意ELF文件的活跃数大于对应的所述种类中其他恶意ELF文件的活跃数。

4.如权利要求1至3中任一项所述的可执行和可链接格式文件的检验方法，其特征在于，所述提取所述ELF文件的文件特征的步骤之后，还包括：

当所述ELF文件存在多个文件特征时，根据所述ELF文件的类别对应的特征融合算法，对所述ELF文件对应的多个文件特征进行特征融合；

将特征融合后的文件特征作为对所述ELF文件进行检验的文件特征。

5.如权利要求1至3中任一项所述的可执行和可链接格式文件的检验方法，其特征在于，所述根据所述类别和所述文件特征，对所述ELF文件进行检验，得到检验结果的步骤之后，还包括：

在根据所述检验结果判定所述ELF文件属于恶意ELF文件时，对所述ELF文件进行拦截，并将所述ELF文件加入黑名单中。

6.如权利要求5所述的可执行和可链接格式文件的检验方法，其特征在于，所述的可执行和可链接格式文件的检验方法还包括：

获取到待检验的ELF文件时，检测所述待检验的ETF文件是否属于所述黑名单；

若是，判定所述待检验的ELF文件属于恶意ELF文件，并对所述待检验的ELF文件进行拦截；

若否，执行所述根据ELF文件的文件属性识别所述ELF文件所属的类别的步骤。

7.如权利要求1至3中任一项所述的可执行和可链接格式文件的检验方法，其特征在于，所述根据所述类别和所述文件特征，对所述ELF文件进行检验，得到检验结果的步骤之后，还包括：

在根据所述检验结果判定所述ELF文件属于正常ELF文件时，将所述ELF文件加入白名单中。

8.一种可执行和可链接格式文件的检验装置，其特征在于，所述可执行和可链接格式文件的检验装置包括：

识别模块，用于根据可执行和可链接格式ELF文件的文件属性，识别所述ELF文件所属的类别，其中，所述文件属性包括文件类型和/或所述ELF文件对应的来源平台类型，所述文件类型包括可重定位文件、可执行文件和可被共享文件；

提取模块，用于提取所述ELF文件的文件特征，所述文件特征包括静态特征、动态特征和证书信息特征中的至少一个；

检验模块，用于根据所述类别和所述文件特征，对所述ELF文件进行检验，得到检验结果，所述检验结果为所述ELF文件属于恶意ELF文件或正常ELF文件。