CN102375735A - 插件扫描方法和系统 - Google Patents

Abstract

一种插件扫描方法，包括以下步骤：读取预先存储的已知插件信息并分析所述已知插件信息确定已知插件的位置及属性；根据所述已知插件信息确定的位置进行检测判断该位置是否具有该属性的插件；输出检测结果。通过预先存储已知插件信息，根据该已知插件信息进行扫描，从而能有针对性的检索到已知插件，提高了扫描速度和准确度。此外，还提供了一种插件扫描系统。

Description

插件扫描方法和系统

【技术领域】

本发明涉及计算机技术，特别是涉及一种插件扫描方法和系统。

【背景技术】

如今，随着计算机网络的普及，极大的提高了人们工作生活的便利性。在安装一些程序、通过浏览器访问网络等过程中，为了实现一些特定的功能，往往需要安装插件。插件的开发发展，增加或改善了程序原有的功能，因而被越来越广泛的使用。

然而，插件也被一些软件开发者恶意使用，例如在用户不知情的情况下后台安装该插件并搜集用户的隐私、或是弹出广告页面、修改浏览器首页等有损用户利益的行为。因此，插件的检测与清理已经成为系统安全软件中必不可少的功能。通过插件检测，能使用户知道当前计算机的插件安装情况，哪些是用户自己安装，哪些是用户不知情的情况下安装的。因此，如何精确的检测出用户电脑上的插件，就显得格外重要。

在当前市面上的系统安全软件中，一般都实现了插件检测的功能，即用户点击扫描插件的操作按钮后，软件的插件扫描模块会遍历插件可能相关的注册表项，找到存在的插件的全球唯一标识符(CLSID)，然后通过CLSID获取插件的文件路径，完成了插件的检测过程。

由于现在插件技术发展越来越完善，由最早注册为windows插件才能起作用，发展到不用注册为windows插件都会起作用。而后者有可能是完全不写注册表的。运用该技术方案检测到的插件不准确，甚至有漏检、误检等可能。因此，上述技术方案的缺点在于检测的精确度不高、识别率非常低，已经不适应当前插件检测技术发展。

【发明内容】

基于此，有必要提供一种插件检测更准确的插件扫描方法。

一种插件扫描方法，包括以下步骤：读取预先存储的已知插件信息并分析所述已知插件信息确定已知插件的位置及属性；根据所述已知插件信息确定的位置进行检测判断该位置是否具有该属性的插件；输出检测结果。

在优选的实施例中，所述位置为文件路径、注册表路径、进程、服务、内存中的一种或两种以上，所述判断该位置是否具有该属性的插件的步骤包括判断所述文件路径下是否有已知插件文件、判断所述注册表路径下是否具有已知插件注册表项、判断所述进程中是否有已知插件进程、判断所述服务中是否有已知插件服务、判断所述内存中是否有已知插件特征代码中的一种或两种以上。

在优选的实施例中，还包括判断是否检测到插件的步骤，如果检测到插件，则所述输出检测结果的步骤为显示检测到的插件，再搜索对所述检测到的插件的评价，并显示该评价；如果未检测到插件，则所述输出检测结果的步骤为显示未检测到插件。

在优选的实施例中，还包括提供删除检测到的插件的选项、并在接收到删除插件的指令时删除该插件的步骤。

在优选的实施例中，还包括存储扫描状态的步骤，所述扫描状态记录本次扫描结束并未被用户删除的插件，所述根据所述已知插件信息确定的位置进行检测步骤中忽略对所述未被用户删除的插件的检测。

在优选的实施例中，还包括升级更新所述已知插件信息的步骤或读取预先存储的插件特征信息并根据所述插件特征信息进行检测的步骤。

此外，还有必要提供一种插件检测更准确的插件扫描系统。

一种插件扫描系统，包括：

存储模块，存储已知插件信息；

分析模块，与所述存储模块相连，读取所述已知插件信息并分析所述已知插件信息确定已知插件的位置及属性；

检测模块，与所述分析模块相连，根据所述已知插件信息确定的位置进行检测判断该位置是否具有该属性的插件；

交互模块，与所述检测模块相连，输出所述检测模块的检测结果。

在优选的实施例中，所述位置为文件路径、注册表路径、进程、服务、内存中的一种或两种以上，所述检测模块包括判断所述文件路径下是否有已知插件文件的文件检测单元、判断所述注册表路径下是否具有已知插件注册表项的注册表检测单元、判断所述进程中是否有已知插件进程的进程检测单元、判断所述服务中是否有已知插件服务的服务检测单元、判断所述内存中是否有已知插件特征代码的内存检测单元中的一种或两种以上。

在优选的实施例中，还包括搜索模块，所述搜索模块与所述检测模块相连及交互模块相连，接收所述检测模块的检测结果并搜索对检测到的插件的评价，并将该评价发送到所述交互模块进行显示。

在优选的实施例中，其特征在于，所述插件扫描系统还包括处理模块，所述交互模块还用于提供删除检测到的插件的选项并在接收到删除插件的指令时将该指令发送至处理模块，所述处理模块用于根据该指令删除相应的插件。

在优选的实施例中，所述存储模块还与所述处理模块相连，用于存储扫描状态，所述扫描状态记录本次扫描结束并未被用户删除的插件，所述检测模块根据所述已知插件信息确定的位置进行检测时忽略对所述未被用户删除的插件的检测。

在优选的实施例中，所述插件扫描系统还包括升级模块，与所述存储模块相连，所述升级模块用于通过网络更新所述存储模块中的已知插件信息。

上述插件扫描方法和系统，通过预先存储已知插件信息，根据该已知插件信息进行扫描，从而能有针对性的检索到已知插件，提高扫描速度和准确度。

【附图说明】

图1为一实施例的插件扫描方法的流程图；

图2为一实施例的插件扫描系统的模块图；

图3为一实施例的插件扫描系统的模块图；

图4为一实施例的插件扫描系统的模块图；

图5为一实施例的插件扫描系统的模块图；

图6为一实施例的插件扫描系统的模块图。

【具体实施方式】

如图1所示，一实施方式的插件扫描方法，包括以下步骤：

步骤S110，读取预先存储的已知插件信息并分析所述已知插件信息确定已知插件的位置及属性。已知插件是指已经被发现的插件，这些被发现的插件的信息也是已知的，例如该插件的位置及名称、类型等属性。插件的位置是指插件被安装后在计算机系统中留下痕迹的位置，某一已知插件的位置可以是文件路径、注册表路径、进程、服务、内存等中的一种或两种以上。已知插件信息被预先存储在硬盘等存储器中，在进行插件扫描时，读取该预先存储的已知插件信息并进行分析，获得已知插件的位置及属性。

步骤S120，根据所述已知插件信息确定的位置进行检测判断该位置是否具有该属性的插件。例如，预先存储的已知插件信息里有一条扫描该插件的文件信息ScanFile(％system％\test.exe)，通过步骤S110，获得该已知插件的文件安装system目录下，文件名为test.exe。根据ScanFile关键字找到文件检测的函数，并把％system％\test.exe当作查找路径参数传给文件检测函数，文件检测函数会返回是否找到该文件结果，就能确定是否安装有该插件。在进一步的改进中，为避免误判，可以对该文件进行分析，例如文件大小，文件内容等进行分析，以避免检测到具有相同文件名但非插件文件而产生误判。又如，预先存储的已知插件信息里有一条扫描指定注册表路径，则根据该注册表路径进行检测，判断注册表中该路径的设置是否与已知插件的相同，就能确定是否安装有该插件。类似地，预先存储的已知插件信息里有扫描进程、服务、内存等，则根据该进程、服务、内存进行检测，判断进程、服务、内存中的设置是否与已知插件的相同，如进程对应的进程名称、进程对应可执行文件是否与已知插件的相同，服务对应的名称、服务的描述、服务对应可执行文件是否与已知插件的相同，内存中是否有已知插件特征代码等，就能确定是否安装有该插件。如果某款插件不仅需要检测文件，还需要检测注册表某个地方，才能完全判断是否安装了该插件。于是该插件的已知插件信息就组合了文件检测和注册表检测的策略，就能精确的判断出该插件。即，与步骤S110中的位置对应，步骤S120中的检测可以是进行一个或多个位置的检测，例如判断所述文件路径下是否有已知插件文件、判断所述注册表路径下是否具有已知插件注册表项、判断所述进程中是否有已知插件进程、判断所述服务中是否有已知插件服务、判断所述内存中是否有已知插件特征代码等。通过多种位置的检测，可以全方位的检测某一款插件，避免出现漏检。当检测完一款插件之后，就会继续检测插件信息库里下一款插件。一直循环检测全部插件为止。

步骤S130，输出检测结果。根据步骤S120的检测，通过屏幕显示、声音提示等方式输出插件检测的结果。在进一步的改进中，进行判断是否检测到插件，如果检测到插件，则显示检测到的插件，再搜索对所述检测到的插件的评价，并显示该评价；如果未检测到插件，则显示未检测到插件。评价是用户对该插件的看法，可以是综合性的好评、差评、中评等评价，也可以是显示所有参与评价用户的投票结果，还可以是上述两种方式的结合。评价可以是预先存储的，也可以是通过网络实时获得的，优选为通过网络实时获得，以得到真实、及时的评价。通过显示评价，该评价可以作为不了解该插件的用户的参考。

在一实施方式中，上述插件扫描方法还包括提供删除检测到的插件的选项、并在接收到删除插件的指令时删除该插件的步骤。检测到插件后，在输出检测结果的界面中，紧跟检测到的插件后提供一个“删除”的按钮，如果用户点击该按钮，则删除该插件，方便用户操作，使用户可以自行确定哪些插件是不需要的插件。进一步的，还可以存储扫描状态，扫描状态记录本次扫描结束并未被用户删除的插件，在下次根据所述已知插件信息确定的位置进行检测步骤中忽略对所述未被用户删除的插件的检测，如此可以提高检测速度，节约系统资源。

由于网络上经常有新的插件产生，为保持已知插件信息一直处于较新的状态，在一实施方式中，插件扫描方法还包括升级更新所述已知插件信息的步骤，从而能扫描检测出新的插件。在其他实施方式中，读取预先存储的已知插件信息可以是直接从网络服务器中读取，如此可以不需要更新本地的已知插件信息。

另外，上述插件扫描方法还可以结合传统的插件扫描方式，即除了采用上述步骤为，还遍历插件可能相关的注册表项，找到存在的插件的全球唯一标识符(CLSID)，然后通过CLSID获取插件的文件路径，辅助检测未在已知插件信息中定义的插件。

如图2所示，还提供了一种插件扫描系统，包括存储模块、分析模块、检测模块及交互模块。

存储模块用于存储已知插件信息。已知插件是指已经被发现的插件，这些被发现的插件的信息也是已知的，例如该插件的位置及名称、类型等属性。插件的位置是指插件被安装后在计算机系统中留下痕迹的位置，某一已知插件的位置可以是文件路径、注册表路径、进程、服务、内存等中的一种或两种以上。存储模块可以是硬盘、闪存等存储器。

分析模块与所述存储模块相连，读取所述已知插件信息并分析所述已知插件信息确定已知插件的位置及属性。在进行插件扫描时，分析模块读取该预先存储的已知插件信息并进行分析，获得已知插件的位置及属性。

检测模块与所述分析模块相连，根据所述已知插件信息确定的位置进行检测判断该位置是否具有该属性的插件。例如，存储模块预先存储的已知插件信息里有一条扫描该插件的文件信息ScanFile(％system％\test.exe)，分析模块获得该已知插件的文件安装system目录下，文件名为test.exe。检测模块根据ScanFile关键字找到文件检测的函数，并把％system％\test.exe当作查找路径参数传给文件检测函数，文件检测函数会返回是否找到该文件结果，就能确定是否安装有该插件。在进一步的改进中，为避免误判，检测模块还可以对该文件进行分析，例如文件大小，文件内容等进行分析，以避免检测到具有相同文件名但非插件文件而产生误判。如果某款插件不仅需要检测文件，还需要检测注册表某个地方，才能完全判断是否安装了该插件。于是该插件的已知插件信息就组合了文件检测和注册表检测的策略，就能精确的判断出该插件。即，与存储模块中的位置对应，检测模块的检测可以是进行一个或多个位置的检测。在优选的实施方式中，如图3所示，检测模块包括判断所述文件路径下是否有已知插件文件的文件检测单元、判断所述注册表路径下是否具有已知插件注册表项的注册表检测单元、判断所述进程中是否有已知插件进程的进程检测单元、判断所述服务中是否有已知插件服务的服务检测单元、判断所述内存中是否有已知插件特征代码的内存检测单元中的一种或两种以上。当检测完一款插件之后，就会继续检测插件信息库里下一款插件。一直循环检测全部插件为止。

交互模块，与所述检测模块相连，输出所述检测模块的检测结果。交互模块通过屏幕显示、声音提示等方式输出插件检测的结果。在进一步的改进中，如图4所示，还包括搜索模块，所述搜索模块与所述检测模块相连及交互模块相连，接收所述检测模块的检测结果并搜索对检测到的插件的评价，并将该评价发送到所述交互模块进行显示。评价是用户对该插件的看法，可以是综合性的好评、差评、中评等评价，也可以是显示所有参与评价用户的投票结果，还可以是上述两种方式的结合。评价可以是预先存储的，也可以是通过网络实时获得的，优选为通过网络实时获得，以得到真实、及时的评价。通过显示评价，该评价可以作为不了解该插件的用户的参考。

在优选的实施方式，如图5所示，所述插件扫描系统还包括处理模块，所述交互模块还用于提供删除检测到的插件的选项并在接收到删除插件的指令时将该指令发送至处理模块，所述处理模块用于根据该指令删除相应的插件。检测模块检测到插件后，交互模块在输出检测结果的界面中，紧跟检测到的插件后提供一个“删除”的按钮，如果用户点击该按钮，交互模块则将点击该按钮产生的指令发送给处理模块，处理模块则删除相应的插件，方便用户操作，使用户可以自行确定哪些插件是不需要的插件。进一步地，所述存储模块还与所述处理模块相连，用于存储扫描状态，所述扫描状态记录本次扫描结束并未被用户删除的插件，所述检测模块根据所述已知插件信息确定的位置进行检测时忽略对所述未被用户删除的插件的检测，如此可以提高检测速度，节约系统资源。

由于网络上经常有新的插件产生，为保持已知插件信息一直处于较新的状态，在优选的实施方式，如图6所示，所述插件扫描系统还包括升级模块，与所述存储模块相连，所述升级模块用于通过网络更新所述存储模块中的已知插件信息。

上述插件扫描方法和系统，通过预先存储已知插件信息，根据该已知插件信息进行扫描，从而能有针对性的检索到已知插件，提高扫描速度和准确度。

以上所述实施例仅表达了本发明的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对本发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变形和改进，这些都属于本发明的保护范围。因此，本发明专利的保护范围应以所附权利要求为准。

Claims (12)

1.一种插件扫描方法，包括以下步骤：

读取预先存储的已知插件信息并分析所述已知插件信息确定已知插件的位置及属性；

根据所述已知插件信息确定的位置进行检测判断该位置是否具有该属性的插件；

输出检测结果。

2.根据权利要求1所述的插件扫描方法，其特征在于，所述位置为文件路径、注册表路径、进程、服务、内存中的一种或两种以上，所述判断该位置是否具有该属性的插件的步骤包括判断所述文件路径下是否有已知插件文件、判断所述注册表路径下是否具有已知插件注册表项、判断所述进程中是否有已知插件进程、判断所述服务中是否有已知插件服务、判断所述内存中是否有已知插件特征代码中的一种或两种以上。

3.根据权利要求1所述的插件扫描方法，其特征在于，还包括判断是否检测到插件的步骤，如果检测到插件，则所述输出检测结果的步骤为显示检测到的插件，再搜索对所述检测到的插件的评价，并显示该评价；如果未检测到插件，则所述输出检测结果的步骤为显示未检测到插件。

4.根据权利要求1至3中任意一项所述的插件扫描方法，其特征在于，还包括提供删除检测到的插件的选项、并在接收到删除插件的指令时删除该插件的步骤。

5.根据权利要求4所述的插件扫描方法，其特征在于，还包括存储扫描状态的步骤，所述扫描状态记录本次扫描结束并未被用户删除的插件，所述根据所述已知插件信息确定的位置进行检测步骤中忽略对所述未被用户删除的插件的检测。

6.根据权利要求1所述的插件扫描方法，其特征在于，还包括升级更新所述已知插件信息的步骤或读取预先存储的插件特征信息并根据所述插件特征信息进行检测的步骤。

7.一种插件扫描系统，其特征在于，包括：

存储模块，存储已知插件信息；

分析模块，与所述存储模块相连，读取所述已知插件信息并分析所述已知插件信息确定已知插件的位置及属性；

检测模块，与所述分析模块相连，根据所述已知插件信息确定的位置进行检测判断该位置是否具有该属性的插件；

交互模块，与所述检测模块相连，输出所述检测模块的检测结果。

8.根据权利要求7所述的插件扫描系统，其特征在于，所述位置为文件路径、注册表路径、进程、服务、内存中的一种或两种以上，所述检测模块包括判断所述文件路径下是否有已知插件文件的文件检测单元、判断所述注册表路径下是否具有已知插件注册表项的注册表检测单元、判断所述进程中是否有已知插件进程的进程检测单元、判断所述服务中是否有已知插件服务的服务检测单元、判断所述内存中是否有已知插件特征代码的内存检测单元中的一种或两种以上。

9.根据权利要求7所述的插件扫描系统，其特征在于，还包括搜索模块，所述搜索模块与所述检测模块相连及交互模块相连，接收所述检测模块的检测结果并搜索对检测到的插件的评价，并将该评价发送到所述交互模块进行显示。

10.根据权利要求7至9中任意一项所述的插件扫描系统，其特征在于，所述插件扫描系统还包括处理模块，所述交互模块还用于提供删除检测到的插件的选项并在接收到删除插件的指令时将该指令发送至处理模块，所述处理模块用于根据该指令删除相应的插件。

11.根据权利要求10所述的插件扫描系统，其特征在于，所述存储模块还与所述处理模块相连，用于存储扫描状态，所述扫描状态记录本次扫描结束并未被用户删除的插件，所述检测模块根据所述已知插件信息确定的位置进行检测时忽略对所述未被用户删除的插件的检测。

12.根据权利要求7至9中任意一项所述的插件扫描系统，其特征在于，所述插件扫描系统还包括升级模块，与所述存储模块相连，所述升级模块用于通过网络更新所述存储模块中的已知插件信息。

Images