[发明专利]一种未知病毒检测方法

摘要

本发明公开了一种未知病毒检测方法，针对文件格式化存储的特点和网络文件传输的特点，系统通过捕获同一连接的双向网络流量，分别提取客户端向服务器发送请求中的文件扩展名，和分析服务器向客户端应答数据中的文件头内容：对比两者的文件类型是否相匹配。如果匹配，认为正常；否则认为异常，可以发送报警。这样可以在常规反病毒软件无法有效应对未知病毒的情况下，阻断这类利用伪装传播病毒的途径。

主权项

一种未知病毒检测方法，其特征在于，包括：步骤a、捕获网络数据包并进行协议解码，得到所述数据包的数据报文；步骤b、分析所述数据报文的传输方向，如果所述传输方向不是从服务器到客户端，转到步骤c；否则转到步骤e；步骤c、分离出所述数据报文中的URL的请求数据报文并进行协议解码，提取所述数据报文中请求的URL中包含的文件名；步骤d、判断所述文件名的扩展名是否存储在于文件扩展名列表中，如果是则记录为所述URL的有效扩展名并与当前连接相关联，然后转入步骤a继续获取下一个数据包；否则结束当前连接的检测；所述文件扩展名列表存储了已知文件类型的文件头特征和对应的文件扩展名；所述当前连接是指所述数据包的TCP连接；步骤e、判断当前连接是否已经关联有效扩展名，如果是则保存为第一扩展名；否则转入步骤a继续获取下一个数据包；步骤f、对所述数据报文进行协议解码，从所述数据报文的文件数据的起始位置进行搜索，与文件扩展名列表中的文件头特征进行匹配，如果匹配成功则记录所述文件头特征对应的文件扩展名为第二节扩展名，否则结束检测；步骤g、对比所述第一扩展名和第二扩展名如果不同则判断所述数据包传输的文件为威胁文件，否则结束当前连接的检测。