[发明专利]一种检测恶意flash文件的方法和装置

权利要求书

1.一种检测恶意flash文件的方法，其特征在于，该方法包括由以下步骤构成的动态检测流程：

A1、通过挂函数钩子针对待检测flash文件收集产生shellcode的操作信息，其中shellcode为利用特定漏洞的代码或填充数据；

A2、判断收集到的产生shellcode的操作信息，如果是产生读内存操作的函数操作信息，则执行步骤A3；如果是产生写内存操作的函数操作信息，则执行步骤A4；

A3、对产生读内存操作的函数操作信息进行参数调用的合法性检测，如果不合法，则确定所述待检测flash文件为恶意flash文件，结束对所述待检测flash文件的检测流程；

A4、对产生写内存操作的函数的有效存储空间进行喷射攻击检测，如果检测到的喷射攻击特性满足预设的喷射攻击特性要求，则确定所述待检测flash文件为恶意flash文件。

2.根据权利要求1所述的方法，其特征在于，在所述步骤A1之前还包括：A0：新建浏览器IE控件进程，对可能产生shellcode的操作的函数挂函数钩子，并获取对待检测flash文件进行反编译后得到的源码；

所述步骤A1包括：读取所述源码，通过已挂的函数钩子收集产生shellcode的操作信息。

3.根据权利要求1或2所述的方法，其特征在于，所述产生读内存操作的函数操作信息包括：Date对象创建信息或者Number对象创建信息；

所述产生写内存操作的函数操作信息包括：ByteArray对象操作信息或者String对象操作信息。

4.根据权利要求1所述的方法，其特征在于，在步骤A3中所述对产生读内存操作的函数操作信息进行参数调用的合法性检测包括：

判断产生读内存操作的参数和返回值是否存在内存地址与内存地址所存储值的关系，如果是，则确定参数调用不合法。

5.根据权利要求1或4所述的方法，其特征在于，在所述步骤A3中如果所述合法性检测的结果为合法，则转至所述步骤A1针对待检测flash文件继续收集产生shellcode的操作信息。

6.根据权利要求1所述的方法，其特征在于，在步骤A4中所述对产生写内存操作的函数的有效存储空间进行喷射攻击检测具体包括：

判断所述产生写内存操作的函数的有效存储空间长度是否超过预设的阈值，如果是，对所述产生写内存操作的函数的有效存储空间进行喷射攻击检测；否则，转至所述步骤A1针对待检测flash文件继续收集产生shellcode的操作信息。

7.根据权利要求1或6所述的方法，其特征在于，所述喷射攻击检测具体包括：

反编译所述产生写内存操作的函数的有效存储空间并模拟执行，如果顺利执行，或者执行过程中不操作高地址内存，或者所述有效存储空间内容的重复性满足预设重复性要求，则确定检测到喷射攻击特性。

8.根据权利要求1或6所述的方法，其特征在于，步骤A4中所述如果检测到的喷射攻击特性满足预设的喷射攻击特性要求，则确定所述待检测flash文件为恶意flash文件为：

一旦检测到喷射攻击特性，则确定所述待检测flash文件为恶意flash文件。

9.根据权利要求1或6所述的方法，其特征在于，在所述步骤A1之前还包括：初始化喷射计数值；

步骤A4中所述如果检测到的喷射攻击特性满足预设的喷射攻击特性要求，则确定所述待检测flash文件为恶意flash文件为：

如果检测到喷射攻击特性则将所述喷射计数值自加，如果喷射计数值达到预设的计数值阈值，则确定所述待检测flash文件为恶意flash文件，否则转至所述步骤A1针对待检测flash文件继续收集产生shellcode的操作信息。

10.根据权利要求1所述的方法，其特征在于，在所述步骤A1之前还包括静态检测流程：

B1、将所述待检测flash文件与病毒库进行匹配，如果匹配上，则直接确定所述待检测flash文件为恶意flash文件，结束对所述待检测flash文件的检测流程；否则，继续执行所述动态检测流程。