[发明专利]基于API名称和立即数的启发式样本检测方法及系统有效
| 申请号： | 201510985230.2 | 申请日： | 2015-12-25 |
| 公开（公告）号： | CN105740706B | 公开（公告）日： | 2019-05-07 |
| 发明（设计）人： | 童志明;刘爽;何公道 | 申请（专利权）人： | 哈尔滨安天科技股份有限公司 |
| 主分类号： | G06F21/56 | 分类号： | G06F21/56 |
| 代理公司： | 暂无信息 | 代理人： | 暂无信息 |
| 地址： | 150028 黑龙江省哈尔滨*** | 国省代码： | 黑龙江;23 |
| 权利要求书： | 查看更多 | 说明书： | 查看更多 |
| 摘要： | 本发明提出一种基于API名称和立即数的启发式样本检测方法及系统，包括：获取系统文件的全部导出函数名称，并计算各导出函数名称的散列值；将所有导出函数名称的散列值形成散列匹配库；遍历待检测样本的全部指令中所包含的立即数；将所述立即数与散列匹配库中的散列值匹配，并计算匹配成功的立即数个数；判断所述匹配成功的立即数个数是否超过阈值，如果是，则所述待检测样本为恶意文件，否则所述待检测样本为普通文件。本发明通过对API名称进行散列计算与待检测样本的立即数匹配，能够快速发现存在隐藏自身API调用的恶意代码样本。 | ||
| 搜索关键词： | 基于 api 名称 立即 启发式 样本 检测 方法 系统 | ||
【主权项】：
1.一种基于API名称和立即数的启发式样本检测方法，其特征在于，包括：获取系统文件的全部导出函数名称，并计算各导出函数名称的散列值；将所有导出函数名称的散列值形成散列匹配库；遍历待检测样本的全部指令中所包含的立即数；将所述立即数与散列匹配库中的散列值匹配，并计算匹配成功的立即数个数；判断所述匹配成功的立即数个数是否超过阈值，如果是，则所述待检测样本为恶意文件，否则所述待检测样本为普通文件；其中，将所述立即数与散列匹配库中的散列值匹配，具体为：若待检测样本存在恶意代码，恶意代码会将API的名称进行散列计算，并在指令中使用散列计算数值作为指令的立即数来进行API的隐式调用的行为，即所述立即数与散列值存在匹配情况。
下载完整专利技术内容需要扣除积分，VIP会员可以免费下载。
该专利技术资料仅供研究查看技术是否侵权等信息，商用须获得专利权人授权。该专利全部权利属于哈尔滨安天科技股份有限公司，未经哈尔滨安天科技股份有限公司许可，擅自商用是侵权行为。如果您想购买此专利、获得商业授权和技术合作，请联系【客服】
本文链接：http://www.vipzhuanli.com/patent/201510985230.2/，转载请声明来源钻瓜专利网。
