申请/专利权人：北京圣博润高新技术股份有限公司

申请日：2022-02-18

公开（公告）日：2024-06-28

公开（公告）号：CN114564720B

主分类号：G06F21/56

分类号：G06F21/56;H04L9/06

优先权：

专利状态码：有效-授权

法律状态：2024.06.28#授权;2022.06.17#实质审查的生效;2022.05.31#公开

摘要：本发明提供了一种程序文件审核方法、装置、电子设备及存储介质，所述审核方法通过文件过滤驱动监视程序文件访问操作；监视到所述文件访问操作后获取所述程序文件的内容并判断所述程序文件的类型；然后根据所述程序文件的类型判断所述程序文件是否需要进行合法性审核，若需要进行合法性审核则计算所述程序文件的特征值；最后根据所述特征值和预设白名单判断所述程序文件的合法性，若所述程序文件合法则允许对所述程序文件的访问，若所述程序文件不合法则终止对所述程序文件的访问；本发明对恶意程序的运行提供了详尽的日志功能，对用户开放了白名单编辑功能，本发明的系统支持度广、文件类型覆盖度广，可以极大的增加恶意程序规避白名单的难度。

主权项：1.一种程序文件审核方法，其特征在于，所述审核方法包括：通过文件过滤驱动监视程序文件访问操作；其中所述程序文件访问操作是指系统载入所述程序文件时对所述程序文件的打开操作；监视到所述文件访问操作后获取所述程序文件的内容并判断所述程序文件的类型；其中，所述程序文件的类型包括PE文件和脚本文件；根据所述程序文件的类型判断所述程序文件是否需要进行合法性审核，若需要进行合法性审核则计算所述程序文件的特征值；根据所述特征值和预设白名单判断所述程序文件的合法性，若所述程序文件合法则允许对所述程序文件的访问，若所述程序文件不合法则终止对所述程序文件的访问；采用MD5算法计算特征值；所述根据所述特征值和预设白名单判断所述程序文件的合法性包括：将所述白名单中的特征值从小到大排序形成样本集合；将目标值与样本集合中处于中间位置的值比较，相等则反馈所述程序文件合法，小于中间位置的值则取样本集合的前一半为新的样本集合，大于中间位置的值则取样本集合的后一半为新样本集合；其中，所述目标值为所述根据所述特征值和预设白名单判断所述程序文件的合法性，若所述程序文件合法则允许对所述程序文件的访问，若所述程序文件不合法则终止对所述程序文件的访问步骤；重复上一步，直至样本集合中特征值的数量为1或2个时再逐个与目标值比较，若存在与目标值相等的则反馈所述程序文件合法，若不存在与目标值相等的则反馈所述程序文件不合法；通过对FILE_EXECUTE标志的识别来判断所述程序文件的类型；若所述程序文件带有FILE_EXECUTE标志，则分析所述程序文件的PE类型；若所述PE类型为Exe，则判断是否是explore载入所述程序文件；若是explore载入所述程序文件，则判断是否是刷新图标；若是刷新图标，则允许文件操作，否则通过检查exe白名单判断所述程序文件是否合法；若通过检查exe白名单判断所述程序文件合法，则允许文件操作，否则阻止文件操作；若不是explore载入所述程序文件，则执行所述通过检查exe白名单判断所述程序文件是否合法的步骤；若所述PE类型为dll，则通过检查dll白名单判断所述程序文件是否合法；若通过检查dll白名单判断所述程序文件合法，则允许文件操作，否则阻止文件操作；若所述程序文件不带有FILE_EXECUTE标志，则获取当前进程名称，判断所述程序文件是否是脚本解释程序；若是脚本解释程序，则通过检查被打开的文件的内容和扩展名判断所述程序文件是否是脚本；若是脚本，则通过检查脚本白名单判断所述程序文件是否合法；若通过检查脚本白名单判断所述程序文件合法，则允许文件操作，否则阻止文件操作；若不是脚本，则允许文件操作；若不是脚本解释程序，则允许文件操作。

全文数据：

权利要求：

百度查询： 北京圣博润高新技术股份有限公司 程序文件审核方法、装置、电子设备及存储介质

免责声明
1、本报告根据公开、合法渠道获得相关数据和信息，力求客观、公正，但并不保证数据的最终完整性和准确性。
2、报告中的分析和结论仅反映本公司于发布本报告当日的职业理解，仅供参考使用，不能作为本公司承担任何法律责任的依据或者凭证。

阅读全文 双屏查看 官方信息 专利公告 收藏专利 下载PDF 下载WORD