CN103177217A - 一种文件扫描方法、系统及客户端和服务器 - Google Patents

Abstract

本发明实施例公开了文件扫描方法、系统及客户端和服务器，应用于通信技术领域。在进行文件实时防护的过程中，服务器要综合多个客户端发送的文件的属性信息，确定该文件的黑白属性值即该文件为恶意程序的概率；并将黑白属性值发送给客户端，以指示客户端根据黑白属性值确定是否需要扫描该文件的扫描策略，或服务器直接根据黑白属性值得到是否需要扫描该文件的扫描策略，并将扫描策略发送给客户端。这样客户端在扫描该文件时，是根据文件的扫描策略来进行扫描，则客户端就可以只扫描为恶意程序的概率较大的文件，减少了文件防护过程中扫描的文件量，进而花费的时间变短，减小了对服务器中其它操作的影响。

Description

一种文件扫描方法、系统及客户端和服务器

技术领域

本发明涉及通信技术领域，特别涉及文件扫描方法、系统及客户端和服务器。

背景技术

随着信息技术的发展，人类生活与计算机越来越紧密，为了避免病毒木马的迅猛发展，采用文件实时监控系统能够在病毒入侵的第一时间发现病毒并扼杀危险。

目前文件实时监控系统会按照固定的策略，对系统中的文件操作事件进行实时监控，当监控到文件操作事件后，调用病毒扫描引擎，然后根据扫描引擎的结果进行扫描拦截和杀毒处理。但是一般情况下，系统的文件操作事件的量比较大，而病毒毕竟是小概率事件，使得文件实时监控系统监控的受益比较低，这样文件实时监控系统的实时监控会花费较长的时间，且庞大的扫描量检出病毒的效率较低，会对系统的其它操作产生影响。

发明内容

本发明实施例提供文件扫描方法、系统及客户端和服务器，减少了文件防护过程中扫描的文件量，减小了对系统中其它操作产生的影响。

本发明实施例提供一种文件扫描方法，包括：

接收多个客户端发送的文件的属性信息；

根据多个客户端发送的所述文件的属性信息，确定所述文件的黑白属性值，所述黑白属性值用于指示所述文件为恶意程序的概率；

将所述黑白属性值发送给所述客户端，以指示所述客户端根据黑白属性值确定是否需要扫描所述文件并进行扫描；或，

根据所述黑白属性值得到是否需要扫描所述文件的扫描策略，并将所述文件的扫描策略发送给所述客户端，以指示所述客户端根据扫描策略进行扫描。

本发明实施例还提供一种文件扫描方法，包括：

统计文件的属性信息；

将所述文件的属性信息发送给服务器；

接收所述服务器根据多个客户端发送的所述文件的属性信息返回的是否需要扫描所述文件的扫描策略，根据所述扫描策略扫描所述文件；或，

接收所述服务器根据多个客户端发送的所述文件的属性信息返回的还黑白属性值，则根据所述黑白属性值得到是否需要扫描所述文件的扫描策略，根据所述文件的扫描策略扫描所述文件。

本发明实施例还提供一种服务器，包括：

属性接收单元，用于接收多个客户端发送的文件的属性信息；

黑白值确定单元，用于根据多个客户端发送的所述文件的属性信息，确定所述文件的黑白属性值，所述黑白属性值用于指示所述文件为恶意程序的概率；

发送单元，用于将所述黑白属性值发送给所述客户端，以指示所述客户端根据黑白属性值确定是否需要扫描所述文件并进行扫描；或，

所述发送单元，用于根据所述黑白属性值得到是否需要扫描所述文件的扫描策略，并将所述文件的扫描策略发送给所述客户端，以指示所述客户端根据扫描策略进行扫描。

本发明实施例还提供一种客户端，包括：

统计单元，用于统计文件的属性信息；

属性发送单元，用于将所述文件的属性信息发送给服务器；

接收扫描单元，用于接收所述服务器根据多个客户端发送的所述文件的属性信息返回的是否需要扫描所述文件的扫描策略，根据所述扫描策略扫描所述文件；或，所述接收扫描单元，用于接收所述服务器根据多个客户端发送的所述文件的属性信息返回的还黑白属性值，则根据所述黑白属性值得到是否需要扫描所述文件的扫描策略，根据所述文件的扫描策略扫描所述文件。

本发明实施例还提供一种文件扫描系统，包括多个客户端和服务器；

所述服务器包括：

属性接收单元，用于接收多个客户端发送的文件的属性信息；

黑白值确定单元，用于根据多个客户端发送的所述文件的属性信息，确定所述文件的黑白属性值，所述黑白属性值用于指示所述文件为恶意程序的概率；

发送单元，用于将所述黑白属性值发送给所述客户端，以指示所述客户端根据黑白属性值确定是否需要扫描所述文件并进行扫描；或，

所述发送单元，用于根据所述黑白属性值得到是否需要扫描所述文件的扫描策略，并将所述文件的扫描策略发送给所述客户端，以指示所述客户端根据扫描策略进行扫描；

所述客户端包括：

统计单元，用于统计文件的属性信息；

属性发送单元，用于将所述文件的属性信息发送给服务器；

接收扫描单元，用于接收所述服务器根据多个客户端发送的所述文件的属性信息返回的是否需要扫描所述文件的扫描策略，根据所述扫描策略扫描所述文件；或，所述接收扫描单元，用于接收所述服务器根据多个客户端发送的所述文件的属性信息返回的还黑白属性值，则根据所述黑白属性值得到是否需要扫描所述文件的扫描策略，根据所述文件的扫描策略扫描所述文件。

可见，在本发明实施例中，在进行文件实时防护的过程中，服务器要综合多个客户端发送的文件的属性信息，确定该文件的黑白属性值即该文件为恶意程序的概率；并将黑白属性值发送给客户端，以指示客户端根据黑白属性值确定是否需要扫描该文件的扫描策略，或服务器直接根据黑白属性值得到是否需要扫描该文件的扫描策略，并将扫描策略发送给客户端。这样客户端在扫描该文件时，是根据文件的扫描策略来进行扫描，则客户端就可以只扫描为恶意程序的概率较大的文件，减少了文件防护过程中扫描的文件量，进而花费的时间变短，减小了对服务器中其它操作产生的影响。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例提供的文件扫描系统的结构示意图；

图2是本发明实施例提供的服务器所执行的一种文件扫描方法的流程图；

图3a是本发明实施例提供的服务器所执行的另一种文件扫描方法的流程图；

图3b是本发明实施例提供的服务器所执行的另一种文件扫描方法的流程图；

图4是本发明实施例提供的客户端执行的文件扫描方法的流程图；

图5是本发明实施例提供的一种服务器的结构示意图；

图6是本发明实施例提供的另一种服务器的结构示意图；

图7是本发明实施例提供的另一种服务器的结构示意图；

图8是本发明实施例提供的一种客户端的结构示意图；

图9是本发明实施例提供的另一种客户端的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明实施例提供一种文件扫描方法，主要应用于如图1所示的系统中，该系统中包括服务器和多个客户端，本实施例中的方法是系统中的服务器所执行的方法，流程图如图2所示，包括：

步骤101，接收多个客户端发送的文件的属性信息，这些属性信息是用于描述文件的信息，可以包括但不限于如下至少一种信息：文件路径信息即文件所储存的地址信息，文件加载信息即加载该文件到内存过程中的信息，文件释放信息即在释放该文件过程中的信息，文件的黑白属性即该文件是否为恶意程序的信息，和文件对应程序的上下文信息（即父进程的信息）等。

步骤102，根据多个客户端发送的文件的属性信息，确定该文件的黑白属性值，黑白属性值用于指示文件为恶意程序的概率，之后执行步骤103或104。

可以理解，各个客户端会对本地储存的文件进行定时或不定时的扫描，并将文件的属性信息上报给服务器，其中客户端上报文件的哪些属性信息可以由客户端根据预置的上报属性的策略来决定，其中预置的上报属性的策略可以为在什么情况下上报文件的哪些属性的信息；也可以由客户端根据服务器发送的指示信息来决定，在这种情况下，服务器在执行步骤101之前，可以发送指示信息给客户端，用于指示客户端上报的文件的属性信息，进一步地，该指示信息还可以指示客户端在什么情况下需要上报文件的属性信息。

对于同一文件来说，在不同客户端上储存的方式可能不同，则不同客户端上报的该文件的属性信息也可能不同，本实施例中，服务器则会综合多个客户端上报的对于同一个文件的属性信息，确定该文件为恶意程序的概率，具体可以通过如下两种方式来确定文件的黑白属性值：

（1）如果每个客户端上报的文件的属性信息只有一个属性对应信息即上述属性信息中的任意一种，比如每个客户端都上报了文件的黑白属性，则服务器可以通过如下的步骤来确定文件的黑白属性值，流程图如图3a所示，包括：

A1：根据每个客户端发送的文件的属性信息分别得到每个客户端发送的文件是否为恶意程序的信息，主要是判断客户端上报的文件的属性信息是否满足预置的策略即文件为恶意程序时的属性信息，如果满足，则为恶意程序，否则不是恶意程序。

B1：服务器将确定为恶意程序的文件对应客户端的数量比上多个客户端的数量即得到了该文件的黑白属性值，比如根据M个客户端上报的文件的属性信息，服务器确定了N个客户端上报的文件为恶意程序，则得到的黑白属性值为N/M。

（2）如果每个客户端上报的文件的属性信息有多个属性对应信息即上述属性信息中的任意多种，比如每个客户端都上报了文件的黑白属性和文件路径信息，则服务器可以通过如下的步骤来确定文件的黑白属性值，流程图如图3b所示，包括：

A2：服务器对于每个客户端，根据该客户端上报的文件的多个属性的信息分别得到在每个属性下文件是否为恶意程序的信息，具体地，服务器分别判断客户端上报的文件的每个属性的信息是否满足不同的预置策略即文件为恶意程序时的属性信息，如果满足，则说明在一个属性下文件为恶意程序，这样对每个客户端能得到不同的文件是否为恶意程序的信息；

B2：针对文件的每个属性，分别将确定为恶意程序的所述文件对应客户端的数量比上多个客户端的数量，得到该属性下文件为恶意程序的概率比。

C2：将每个属性下得到的文件为恶意程序的概率比相加得到最终文件的黑白属性值，或将每个属性下得到的文件为恶意程序的概率比与相应的权重值相乘后再相加得到所述文件的黑白属性值。

例如，每个客户端上报的文件的两个属性对应信息即属性a的信息和属性b的信息，服务器会首先根据每个客户端上报的文件的属性a的信息分别得到在该属性a下文件是否为恶意程序的第一信息，即服务器会分别判断每个客户端上报的属性a的信息是否满足预置的第一策略，并分别得到第一信息，比如确定在属性a下有n1个客户端上报的文件为恶意程序；并且服务器根据每个客户端上报的文件的属性b的信息分别得到在该属性b下文件是否为恶意程序的第二信息，即服务器会分别判断每个客户端上报的属性b的信息是否满足预置的第二策略，并分别得到第二信息，比如确定在属性b下有n2个客户端上报的文件为恶意程序。

然后服务器会针对属性a，将确定为恶意程序的文件对应客户端的数量n1比上多个客户端的数量m，得到该属性a下文件为恶意程序的概率比为n1/m，针对属性b，将确定为恶意程序的文件对应客户端的数量n2比上多个客户端的数量m，得到该属性b下文件为恶意程序的概率比为n2/m。

最后将各个属性下得到的文件为恶意程序的概率比相加得到文件的黑白属性值即（n1/m）+（n2/m），或将各个属性下得到的文件为恶意程序的概率比与对应的权重值（分别为x1和x2）相乘后再相加得到的文件的黑白属性值为x1*（n1/m）+x2*（n2/m）。其中各个权重值可以是用户根据经验设置，如果在判断文件是否为恶意程序时，文件的一个属性的信息比较重要，则可以设置该权重值较大。

步骤103，将黑白属性值发送给客户端，以指示客户端根据黑白属性值确定是否需要扫描文件并进行扫描。

步骤104，根据黑白属性值得到是否需要扫描文件的扫描策略，并将文件的扫描策略发送给客户端，以指示客户端根据扫描策略进行扫描。

具体在确定客户端是否要扫描该文件时，可以将黑白属性值与预置的值进行比较，如果判断黑白属性值大于预置的值时，说明该文件为恶意程序的概率较大，则确定客户端需要扫描该文件；如果黑白属性值小于或等于预置的值时，说明该文件为恶意程序的概率较小，则确定客户端不需要扫描该文件。

需要说明的是，服务器可以不断地执行上述步骤101到103，或不断地执行上述步骤101、102和104，来更新客户端是否要扫描一个文件的信息。

可见，在本发明实施例中，在进行文件实时防护的过程中，服务器要综合多个客户端发送的文件的属性信息，确定该文件的黑白属性值即该文件为恶意程序的概率；并将黑白属性值发送给客户端，以指示客户端根据黑白属性值确定是否需要扫描该文件的扫描策略，或服务器直接根据黑白属性值得到是否需要扫描该文件的扫描策略，并将扫描策略发送给客户端。这样客户端在扫描该文件时，是根据文件的扫描策略来进行扫描，则客户端就可以只扫描为恶意程序的概率较大的文件，减少了文件防护过程中扫描的文件量，进而花费的时间变短，减小了对服务器中其它操作的影响。

本发明实施例还提供另一种文件扫描方法，主要用于如图1所示的系统中，本实施例的方法是系统中的客户端所执行的方法，流程图如图4所示，包括：

步骤201，统计文件的属性信息，该属性信息可以包括但不限于如下至少一个信息：文件路径信息、文件加载信息、文件释放信息、文件的黑白属性和文件对应程序的上下文信息等。

具体地，客户端上报文件的哪些属性信息可以由客户端根据预置的上报属性的策略来决定，其中预置的上报属性的策略可以为在什么情况下上报文件的哪些属性的信息；也可以由客户端根据服务器发送的指示信息来决定，在这种情况下，在执行步骤201之前，客户端可以接收服务器发送的指示信息，用于指示客户端上报的文件的属性信息，进一步地，该指示信息还可以指示客户端在什么情况下需要上报文件的属性信息，则客户端在执行步骤201时，是根据该指示信息来统计的。

步骤202，将文件的属性信息发送给服务器，之后执行步骤203或204。

步骤203，接收服务器根据多个客户端发送的文件的属性信息返回的是否需要扫描该文件的扫描策略，并根据得到的扫描策略扫描文件。当客户端执行步骤202后，服务器可以按照上述实施例的步骤101、102和104得到文件的扫描策略并发送给客户端，则客户端可以直接根据得到的扫描策略进行扫描。

步骤204，接收服务器根据多个客户端发送的文件的属性信息返回的还黑白属性值，则根据黑白属性值确定是否需要扫描文件的扫描策略，根据文件的扫描策略扫描文件。当客户端执行步骤202后，服务器可以按照上述实施例的步骤101到103得到文件的黑白属性值并发送给客户端，这种情况下，客户端还需要根据黑白属性值得到该文件的扫描策略，具体地，客户端可以判断该黑白属性值是否大于预置的值，如果大于，则确定客户端需要扫描该文件，否则确定客户端不需要扫描该文件，然后客户端才会根据得到的扫描策略进行扫描。

可见，在本发明实施例中，在进行文件实时防护的过程中，客户端会将统计的文件的属性信息上报给服务器，由服务器综合多个客户端发送的文件的属性信息，确定该文件的黑白属性值即该文件为恶意程序的概率；并将黑白属性值发送给客户端，以指示客户端根据黑白属性值确定是否需要扫描该文件的扫描策略，或服务器直接根据黑白属性值得到是否需要扫描该文件的扫描策略，并将扫描策略发送给客户端。这样客户端在扫描该文件时，是根据文件的扫描策略来进行扫描，则客户端就可以只扫描为恶意程序的概率较大的文件，减少了文件防护过程中扫描的文件量，进而花费的时间变短，减小了对服务器中其它操作的影响。

本发明实施例还提供一种服务器，该服务器中各个单元之间可以按照上述图2所示的流程图进行文件扫描，从而根据扫描结果对文件进行实时防护，本实施例的服务器的结构示意图如图5所示，包括：

属性接收单元10，用于接收多个客户端发送的文件的属性信息，该属性信息可以包括但不限于如下至少一种信息：文件路径信息，文件加载信息，文件释放信息，文件的黑白属性，和文件对应程序的上下文信息等。

黑白值确定单元11，用于根据属性接收单元10接收的多个客户端发送的所述文件的属性信息，确定所述文件的黑白属性值，所述黑白属性值用于指示所述文件为恶意程序的概率。

发送单元12，用于将所述黑白值确定单元11确定的黑白属性值发送给所述客户端，以指示所述客户端根据黑白属性值确定是否需要扫描所述文件并进行扫描；或，所述发送单元12，用于根据所述黑白值确定单元11确定的黑白属性值得到是否需要扫描所述文件的扫描策略，并将所述文件的扫描策略发送给所述客户端，以指示所述客户端根据扫描策略进行扫描。

其中，如果发送单元12如果要将文件的扫描策略发送给客户端，具体可以在根据黑白属性值得到文件的扫描策略时，判断黑白属性值是否大于预置的值，如果是，则确定客户端需要扫描所述文件；如果不是，则确定客户端不需要扫描所述文件，进而得到该文件的扫描策略。

可见，在本发明实施例的服务器中，在进行文件实时防护的过程中，黑白值确定单元11要综合属性接收单元10接收的多个客户端发送的文件的属性信息，确定该文件的黑白属性值即该文件为恶意程序的概率；并由发送单元12将黑白属性值发送给客户端，以指示客户端根据黑白属性值确定是否需要扫描该文件的扫描策略，或发送单元12直接根据黑白属性值得到是否需要扫描该文件的扫描策略，并将扫描策略发送给客户端。这样客户端在扫描该文件时，是根据文件的扫描策略来进行扫描，则客户端就可以只扫描为恶意程序的概率较大的文件，减少了文件防护过程中扫描的文件量，进而花费的时间变短，减小了对服务器中其它操作的影响。

参考图6所示，在一个具体的实施例中，服务器除了可以包括如图5所示的结构外，还可以包括指示发送单元13，且其中的黑白值确定单元11具体可以通过恶意信息获得单元110和计算单元111来实现，具体地：

指示发送单元13，用于发送指示信息给所述多个客户端，所述指示信息用于指示所述客户端上报的文件的属性信息。

恶意信息获得单元110，用于如果属性接收单元10接收的客户端上报的文件的属性信息有一个属性对应信息，根据所述属性接收单元10接收的多个客户端中每个客户端发送的文件的属性信息，分别得到所述每个客户端发送的文件是否为恶意程序的信息；

计算单元111，用于根据恶意信息获得单元110获得的信息，将确定为恶意程序的所述文件对应客户端的数量比上所述多个客户端的数量得到所述文件的黑白属性值。

在另一个具体的实施例中，上述恶意信息获取单元110还用于如果属性接收单元10接收的所述客户端上报的文件的属性信息有多个属性对应信息，则对于所述多个客户端中的每个客户端，根据所述客户端上报的文件的多个属性的信息分别得到在每个属性下所述文件是否为恶意程序的信息；上述计算单元111，还用于根据恶意信息获取单元110获取的结果，针对文件的每个属性，分别将确定为恶意程序的所述文件对应客户端的数量比上所述多个客户端的数量，得到所述属性下文件为恶意程序的概率比；将所述每个属性下得到的文件为恶意程序的概率比相加得到所述文件的黑白属性值，或将所述每个属性下得到的文件为恶意程序的概率比与相应的权重值相乘后再相加得到所述文件的黑白属性值。

本实施例中，指示发送单元13发送指示信息给多个客户端，并指示客户端发送文件的哪些属性；当属性接收单元10接收到多个客户端发送的文件的属性信息，黑白值确定单元11中的恶意信息获得单元110获得各个客户端发送的文件是否为恶意程序的信息，然后由计算单元111根据恶意信息获得单元110获得的信息计算黑白属性值；最后由发送单元12根据计算单元111的计算结果发送文件的扫描策略给客户端，或发送计算单元111的计算结果给客户端。

以下主要以如图2所示的本发明实施例的文件扫描方法应用于服务器中来举例说明，请参考图7，其示出了本发明实施例所涉及的服务器的结构示意图，具体来讲：

服务器可以包括射频（Radio Frequency，RF）电路20、包括有一个或一个以上计算机可读存储介质的存储器21、无线保真(wireless fidelity，WiFi)模块22即短距离无线传输技术的通信模块、包括有一个或者一个以上处理核心的处理器23、以及电源24等部件。本领域技术人员可以理解，图7中示出的服务器结构并不构成对服务器的限定，可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件布置。其中：

RF电路20可用于收发信息或通话过程中，信号的接收和发送。通常，RF电路20包括但不限于天线、至少一个放大器、调谐器、一个或多个振荡器、收发信机、耦合器、低噪声放大器（Low Noise Amplifier，LNA）、双工器等。此外，RF电路20还可以通过无线通信与网络和其他设备通信。所述无线通信可以使用任一通信标准或协议，包括但不限于全球移动通讯系统(Global System of Mobile communication，GSM)、通用分组无线服务(GeneralPacket Radio Service，GPRS)、码分多址(Code Division Multiple Access，CDMA)、宽带码分多址(Wideband Code Division Multiple Access,WCDMA)、长期演进(Long Term Evolution,LTE)、电子邮件、短消息服务(ShortMessaging Service，SMS)等。

存储器21可用于存储软件程序以及模块，处理器23通过运行存储在存储器21的软件程序以及模块，从而执行各种功能应用以及数据处理。存储器21可主要包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需的应用程序（比如声音播放功能、图像播放功能等）等；存储数据区可存储根据服务器的使用所创建的数据（比如预置的上报属性的策略）等。此外，存储器21可以包括高速随机存取存储器，还可以包括非易失性存储器，例如至少一个磁盘存储器件、闪存器件、或其他易失性固态存储器件。相应地，存储器21还可以包括存储器控制器，以提供处理器23对存储器21的访问。

处理器23是服务器的控制中心，利用各种接口和线路连接整个服务器的各个部分，通过运行或执行存储在存储器21内的软件程序和/或模块，以及调用存储在存储器21内的数据，执行终端的各种功能和处理数据，从而对服务器进行整体监控。可选的，处理器23可包括一个或多个处理核心；优选的，处理器23可集成应用处理器和调制解调处理器，其中，应用处理器主要处理操作系统和应用程序等，调制解调处理器主要处理无线通信。可以理解的是，上述调制解调处理器也可以不集成到处理器23中。

服务器还包括给各个部件供电的电源24（比如电池），优选的，电源可以通过电源管理系统与处理器24逻辑相连，从而通过电源管理系统实现管理充电、放电、以及功耗管理等功能。电源24还可以包括一个或一个以上的直流或交流电源、再充电系统、电源故障检测电路、电源转换器或者逆变器、电源状态指示器等任意组件。

尽管未示出，服务器还可以包括其它模块，在此不再赘述。具体在本实施例中，当服务器中的射频电路20接收多个客户端发送的文件的属性信息后，由处理器23将一个或一个以上的应用程序的进程对应的可执行文件加载到存储器21中，并由处理器23按照如下的指令，来运行存储在存储器21中的应用程序，从而实现各种功能：

根据多个客户端发送的文件的属性信息，确定文件的黑白属性值，黑白属性值用于指示文件为恶意程序的概率；其中文件的属性信息接包括如下至少一种信息：文件路径信息、文件加载信息、文件释放信息、文件的黑白属性和文件对应程序的上下文信息等；

控制射频电路20将黑白属性值发送给客户端，以指示客户端根据黑白属性值确定是否需要扫描所述文件并进行扫描；或，根据黑白属性值得到是否需要扫描所述文件的扫描策略，并控制射频电路20将所述文件的扫描策略发送给所述客户端，以指示所述客户端根据扫描策略进行扫描。

进一步地，处理器23在确定黑白属性值时，如果客户端上报的文件的属性信息只有一个属性对应信息，可以根据所述多个客户端中每个客户端发送的文件的属性信息，分别得到所述每个客户端发送的文件是否为恶意程序的信息；然后将确定为恶意程序的所述文件对应客户端的数量比上所述多个客户端的数量得到所述文件的黑白属性值。处理器23在确定黑白属性值时，如果所述客户端上报的文件的属性信息有多个属性对应信息，则可以对于所述多个客户端中的每个客户端，根据所述客户端上报的文件的多个属性的信息分别得到在每个属性下所述文件是否为恶意程序的信息；针对文件的每个属性，分别将确定为恶意程序的所述文件对应客户端的数量比上所述多个客户端的数量，得到所述属性下文件为恶意程序的概率比；将所述每个属性下得到的文件为恶意程序的概率比相加得到所述文件的黑白属性值，或将所述每个属性下得到的文件为恶意程序的概率比与相应的权重值相乘后再相加得到所述文件的黑白属性值。

而在得到是否需要扫描文件的扫描策略时，可以判断所述黑白属性值是否大于预置的值，如果是，则确定客户端需要扫描所述文件；如果不是，则确定客户端不需要扫描所述文件。

为了控制客户端对于上报的文件的属性信息，处理器23还可以控制射频电路20发送指示信息给多个客户端，该指示信息用于指示所述客户端上报的文件的属性信息。

本发明实施例还提供一种客户端，本实施例的客户端中各个单元之间可以按照上述图3所示的方法进行文件扫描，该客户端的结构示意图如图8所示，包括：

统计单元30，用于统计文件的属性信息，这里文件的属性信息可以包括但不限于如下至少一个信息：文件路径信息、文件加载信息、文件释放信息、文件的黑白属性和文件对应程序的上下文信息等。

统计单元30可以按照客户端中预置的上报属性的策略来决定统计哪些属性信息，其中预置的上报属性的策略可以为在什么情况下上报文件的哪些属性的信息；该统计单元30也可以根据服务器发送的指示信息来决定统计哪些属性信息，在这种情况下，客户端还需要包括指示接收单元（在图8中没有示出），来接收所述服务器发送的指示信息，所述指示信息用于指示所述客户端上报的文件的属性信息。

属性发送单元31，用于将所述统计单元30统计的文件的属性信息发送给服务器。

接收扫描单元32，用于接收所述服务器根据属性发送单元31发送的多个客户端发送的所述文件的属性信息返回的是否需要扫描所述文件的扫描策略，根据所述扫描策略扫描所述文件；或，所述接收扫描单元32，用于接收所述服务器根据属性发送单元31发送的多个客户端发送的所述文件的属性信息返回的还黑白属性值，则根据所述黑白属性值得到是否需要扫描所述文件的扫描策略，根据所述文件的扫描策略扫描所述文件。

具体地，如果接收扫描单元32接收到服务器发送的黑白属性值，具体可以判断所述黑白属性值是否大于预置的值，如果是，则确定客户端需要扫描所述文件；如果不是，则确定客户端不需要扫描所述文件，进而得到文件的扫描策略。

可见，在本发明实施例中，在进行文件实时防护的过程中，客户端中得属性发送单元31会将统计单元30统计的文件的属性信息上报给服务器，由服务器综合多个客户端发送的文件的属性信息，确定该文件的黑白属性值即该文件为恶意程序的概率；并将黑白属性值发送给客户端，以指示客户端根据黑白属性值确定是否需要扫描该文件的扫描策略，或服务器直接根据黑白属性值得到是否需要扫描该文件的扫描策略，并将扫描策略发送给客户端。这样客户端中得接收扫描单元32在扫描该文件时，是根据文件的扫描策略来进行扫描，则客户端就可以只扫描为恶意程序的概率较大的文件，减少了文件防护过程中扫描的文件量，进而花费的时间变短，减小了对服务器中其它操作的影响。

以下主要以如图3所示的本发明实施例的文件扫描方法应用于终端中来举例说明，该终端可以包括智能手机、平板电脑、电子书阅读器、动态影像专家压缩标准音频层面3（Moving Picture Experts Group Audio Layer III，MP3）播放器、动态影像专家压缩标准音频层面4（Moving Picture Experts GroupAudio Layer IV，MP4）播放器、膝上型便携计算机和台式计算机等等。

请参考图9，其示出了本发明实施例所涉及的终端的结构示意图，具体来讲：

终端可以包括射频（Radio Frequency，RF）电路40、包括有一个或一个以上计算机可读存储介质的存储器41、输入单元42、显示单元43、传感器44、音频电路45、无线保真(wireless fidelity，WiFi)模块46、包括有一个或者一个以上处理核心的处理器47、以及电源48等部件。本领域技术人员可以理解，图9中示出的终端结构并不构成对终端的限定，可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件布置。其中：

RF电路40可用于收发信息或通话过程中，信号的接收和发送，特别地，将基站的下行信息接收后，交由一个或者一个以上处理器47处理；另外，将涉及上行的数据发送给基站。通常，RF电路40包括但不限于天线、至少一个放大器、调谐器、一个或多个振荡器、用户身份模块（SIM）卡、收发信机、耦合器、低噪声放大器（Low Noise Amplifier，LNA）、双工器等。此外，RF电路40还可以通过无线通信与网络和其他设备通信。所述无线通信可以使用任一通信标准或协议，包括但不限于全球移动通讯系统(Global Systemof Mobile communication，GSM)、通用分组无线服务(General Packet RadioService，GPRS)、码分多址(Code Division Multiple Access，CDMA)、宽带码分多址(Wideband Code Division Multiple Access,WCDMA)、长期演进(Long Term Evolution,LTE)、电子邮件、短消息服务(Short Messaging Service，SMS)等。

存储器41可用于存储软件程序以及模块，处理器47通过运行存储在存储器41的软件程序以及模块，从而执行各种功能应用以及数据处理。存储器41可主要包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需的应用程序（比如声音播放功能、图像播放功能等）等；存储数据区可存储根据终端的使用所创建的数据（比如音频数据、电话本等）等。此外，存储器41可以包括高速随机存取存储器，还可以包括非易失性存储器，例如至少一个磁盘存储器件、闪存器件、或其他易失性固态存储器件。相应地，存储器41还可以包括存储器控制器，以提供处理器47和输入单元42对存储器41的访问。

输入单元42可用于接收输入的数字或字符信息，以及产生与用户设置以及功能控制有关的键盘、鼠标、操作杆、光学或者轨迹球信号输入。具体地，在一个具体的实施例中，输入单元42可包括触敏表面421以及其他输入设备422。触敏表面421，也称为触摸显示屏或者触控板，可收集用户在其上或附近的触摸操作（比如用户使用手指、触笔等任何适合的物体或附件在触敏表面421上或在触敏表面421附近的操作），并根据预先设定的程式驱动相应的连接装置。可选的，触敏表面421可包括触摸检测装置和触摸控制器两个部分。其中，触摸检测装置检测用户的触摸方位，并检测触摸操作带来的信号，将信号传送给触摸控制器；触摸控制器从触摸检测装置上接收触摸信息，并将它转换成触点坐标，再送给处理器47，并能接收处理器47发来的命令并加以执行。此外，可以采用电阻式、电容式、红外线以及表面声波等多种类型实现触敏表面421。除了触敏表面421，输入单元42还可以包括其他输入设备422。具体地，其他输入设备422可以包括但不限于物理键盘、功能键（比如音量控制按键、开关按键等）、轨迹球、鼠标、操作杆等中的一种或多种。

显示单元43可用于显示由用户输入的信息或提供给用户的信息以及终端的各种图形用户接口，这些图形用户接口可以由图形、文本、图标、视频和其任意组合来构成。显示单元43可包括显示面板431，可选的，可以采用液晶显示器(Liquid Crystal Display，LCD)、有机发光二极管(OrganicLight-Emitting Diode,OLED)等形式来配置显示面板431。进一步的，触敏表面421可覆盖显示面板431，当触敏表面421检测到在其上或附近的触摸操作后，传送给处理器47以确定触摸事件的类型，随后处理器47根据触摸事件的类型在显示面板431上提供相应的视觉输出。虽然在图9中，触敏表面421与显示面板431是作为两个独立的部件来实现输入和输入功能，但是在某些实施例中，可以将触敏表面421与显示面板431集成而实现输入和输出功能。

终端还可包括至少一种传感器44，比如光传感器、运动传感器以及其他传感器。具体地，光传感器可包括环境光传感器及接近传感器，其中，环境光传感器可根据环境光线的明暗来调节显示面板431的亮度，接近传感器可在终端移动到耳边时，关闭显示面板431和/或背光。作为运动传感器的一种，重力加速度传感器可检测各个方向上（一般为三轴）加速度的大小，静止时可检测出重力的大小及方向，可用于识别手机姿态的应用（比如横竖屏切换、相关游戏、磁力计姿态校准）、振动识别相关功能（比如计步器、敲击）等;至于终端还可配置的陀螺仪、气压计、湿度计、温度计、红外线传感器等其他传感器，在此不再赘述。

音频电路45、扬声器451，传声器452可提供用户与终端之间的音频接口。音频电路45可将接收到的音频数据转换后的电信号，传输到扬声器451，由扬声器451转换为声音信号输出；另一方面，传声器452将收集的声音信号转换为电信号，由音频电路45接收后转换为音频数据，再将音频数据输出处理器47处理后，经RF电路40以发送给比如另一终端，或者将音频数据输出至存储器41以便进一步处理。音频电路45还可能包括耳塞插孔，以提供外设耳机与终端的通信。

WiFi属于短距离无线传输技术，终端通过WiFi模块46可以帮助用户收发电子邮件、浏览网页和访问流式媒体等，它为用户提供了无线的宽带互联网访问。虽然图9示出了WiFi模块46，但是可以理解的是，其并不属于终端的必须构成，完全可以根据需要在不改变发明的本质的范围内而省略。

处理器47是终端的控制中心，利用各种接口和线路连接整个手机的各个部分，通过运行或执行存储在存储器41内的软件程序和/或模块，以及调用存储在存储器41内的数据，执行终端的各种功能和处理数据，从而对手机进行整体监控。可选的，处理器47可包括一个或多个处理核心；优选的，处理器47可集成应用处理器和调制解调处理器，其中，应用处理器主要处理操作系统、用户界面和应用程序等，调制解调处理器主要处理无线通信。可以理解的是，上述调制解调处理器也可以不集成到处理器47中。

终端还包括给各个部件供电的电源48（比如电池），优选的，电源可以通过电源管理系统与处理器47逻辑相连，从而通过电源管理系统实现管理充电、放电、以及功耗管理等功能。电源48还可以包括一个或一个以上的直流或交流电源、再充电系统、电源故障检测电路、电源转换器或者逆变器、电源状态指示器等任意组件。

尽管未示出，终端还可以包括摄像头、蓝牙模块等，在此不再赘述。具体在本实施例中，终端中的处理器47会将一个或一个以上的应用程序的进程对应的可执行文件加载到存储器41中，并由处理器47按照如下的指令，来运行存储在存储器41中的应用程序，从而实现各种功能：

统计文件的属性信息，具体可以根据射频电路40接收的服务器发送的指示信息来统计，该指示信息用于指示所述客户端上报的文件的属性信息，且统计的文件的属性信息包括如下至少一种信息：文件路径信息、文件加载信息、文件释放信息、文件的黑白属性和文件对应程序的上下文信息等。

控制射频电路40将所述文件的属性信息发送给服务器；

当射频电路40接收所述服务器根据多个客户端发送的所述文件的属性信息返回的是否需要扫描所述文件的扫描策略，根据所述扫描策略扫描所述文件；或，当射频电路40接收所述服务器根据多个客户端发送的所述文件的属性信息返回的还黑白属性值，则根据所述黑白属性值得到是否需要扫描所述文件的扫描策略，根据所述文件的扫描策略扫描所述文件。

其中处理器47在根据所述黑白属性值得到是否需要扫描所述文件的扫描策略时，具体可以判断所述黑白属性值是否大于预置的值，如果是，则确定客户端需要扫描所述文件；如果不是，则确定客户端不需要扫描所述文件。

本发明实施例还提供一种文件扫描系统，主要可以包括如图5或图6所述的服务器，和多个如图8所示的客户端，在此不进行赘述。

本发明实施例还提供一种文件扫描系统，主要可以包括如图7所示的服务器，和多个如图9所示的客户端，在此也不进行赘述。

本领域普通技术人员可以理解上述实施例的各种方法中的全部或部分步骤是可以通过程序来指令相关的硬件来完成，该程序可以存储于一计算机可读存储介质中，存储介质可以包括：只读存储器（ROM）、随机存取存储器（RAM）、磁盘或光盘等。

以上对本发明实施例所提供的文件扫描方法、系统及客户端和服务器进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (20)

1.一种文件扫描方法，其特征在于，包括： 

接收多个客户端发送的文件的属性信息； 

根据多个客户端发送的所述文件的属性信息，确定所述文件的黑白属性值，所述黑白属性值用于指示所述文件为恶意程序的概率； 

将所述黑白属性值发送给所述客户端，以指示所述客户端根据黑白属性值确定是否需要扫描所述文件并进行扫描；或， 

根据所述黑白属性值得到是否需要扫描所述文件的扫描策略，并将所述文件的扫描策略发送给所述客户端，以指示所述客户端根据扫描策略进行扫描。 

2.如权利要求1所述的方法，其特征在于，所述属性信息接包括如下至少一种信息： 

文件路径信息、文件加载信息、文件释放信息、文件的黑白属性和文件对应程序的上下文信息。 

3.如权利要求1或2所述的方法，其特征在于，如果所述客户端上报的文件的属性信息有一个属性对应信息，则所述根据多个客户端发送的所述文件的属性信息，确定所述文件的黑白属性值，具体包括： 

根据所述多个客户端中每个客户端发送的文件的属性信息，分别得到所述每个客户端发送的文件是否为恶意程序的信息； 

将确定为恶意程序的所述文件对应客户端的数量比上所述多个客户端的数量得到所述文件的黑白属性值。 

4.如权利要求1或2所述的方法，其特征在于，如果所述客户端上报的文件的属性信息有多个属性对应信息，则所述根据多个客户端发送的所述文件的属性信息，确定所述文件的黑白属性值，具体包括： 

对于所述多个客户端中的每个客户端，根据所述客户端上报的文件的多个属性的信息分别得到在每个属性下所述文件是否为恶意程序的信息； 

针对文件的每个属性，分别将确定为恶意程序的所述文件对应客户端的数量比上所述多个客户端的数量，得到所述属性下文件为恶意程序的概率比； 

将所述每个属性下得到的文件为恶意程序的概率比相加得到所述文件的黑白属性值，或将所述每个属性下得到的文件为恶意程序的概率比与相应的 权重值相乘后再相加得到所述文件的黑白属性值。 

5.如权利要求1或2所述的方法，其特征在于，所述根据所述黑白属性值得到是否需要扫描所述文件的扫描策略，具体包括： 

判断所述黑白属性值是否大于预置的值，如果是，则确定客户端需要扫描所述文件；如果不是，则确定客户端不需要扫描所述文件。 

6.如权利要求1或2所述的方法，其特征在于，所述接收多个客户端发送的文件的属性信息，之前还包括： 

发送指示信息给所述多个客户端，所述指示信息用于指示所述客户端上报的文件的属性信息。 

7.一种文件扫描方法，其特征在于，包括： 

统计文件的属性信息； 

将所述文件的属性信息发送给服务器； 

接收所述服务器根据多个客户端发送的所述文件的属性信息返回的是否需要扫描所述文件的扫描策略，根据所述扫描策略扫描所述文件；或， 

接收所述服务器根据多个客户端发送的所述文件的属性信息返回的还黑白属性值，则根据所述黑白属性值得到是否需要扫描所述文件的扫描策略，根据所述文件的扫描策略扫描所述文件。 

8.如权利要求7所述的方法，其特征在于，所述属性信息包括如下至少一种信息： 

文件路径信息、文件加载信息、文件释放信息、文件的黑白属性和文件对应程序的上下文信息。 

9.如权利要求7或8所述的方法，其特征在于，所述根据所述黑白属性值得到是否需要扫描所述文件的扫描策略，具体包括： 

判断所述黑白属性值是否大于预置的值，如果是，则确定客户端需要扫描所述文件；如果不是，则确定客户端不需要扫描所述文件。 

10.如权利要求7或8所述的方法，其特征在于，所述统计文件的属性信息之前还包括： 

接收所述服务器发送的指示信息，所述指示信息用于指示所述客户端上报的文件的属性信息； 

则所述统计文件的属性信息具体包括：根据所述指示信息统计所述文件的属性信息。 

11.一种服务器，其特征在于，包括： 

属性接收单元，用于接收多个客户端发送的文件的属性信息； 

黑白值确定单元，用于根据多个客户端发送的所述文件的属性信息，确定所述文件的黑白属性值，所述黑白属性值用于指示所述文件为恶意程序的概率； 

发送单元，用于将所述黑白属性值发送给所述客户端，以指示所述客户端根据黑白属性值确定是否需要扫描所述文件并进行扫描；或， 

所述发送单元，用于根据所述黑白属性值得到是否需要扫描所述文件的扫描策略，并将所述文件的扫描策略发送给所述客户端，以指示所述客户端根据扫描策略进行扫描。 

12.如权利要求11所述的服务器，其特征在于，所述黑白值确定单元具体包括： 

恶意信息获得单元，用于如果属性接收单元接收的客户端上报的文件的属性信息有一个属性对应信息，根据所述多个客户端中每个客户端发送的文件的属性信息，分别得到所述每个客户端发送的文件是否为恶意程序的信息； 

计算单元，用于将确定为恶意程序的所述文件对应客户端的数量比上所述多个客户端的数量得到所述文件的黑白属性值。 

13.如权利要求12所述的服务器，其特征在于， 

所述恶意信息获取单元，还用于如果所述客户端上报的文件的属性信息有多个属性对应信息，则对于所述多个客户端中的每个客户端，根据所述客户端上报的文件的多个属性的信息分别得到在每个属性下所述文件是否为恶意程序的信息； 

所述计算单元，还用于针对文件的每个属性，分别将确定为恶意程序的所述文件对应客户端的数量比上所述多个客户端的数量，得到所述属性下文件为恶意程序的概率比；将所述每个属性下得到的文件为恶意程序的概率比相加得到所述文件的黑白属性值，或将所述每个属性下得到的文件为恶意程序的概率比与相应的权重值相乘后再相加得到所述文件的黑白属性值。 

14.如权利要求11至13任一项所述的服务器，其特征在于，所述发送单元，具体用于判断所述黑白属性值是否大于预置的值，如果是，则确定客户端需要扫描所述文件；如果不是，则确定客户端不需要扫描所述文件。 

15.如权利要求11至13任一项所述的服务器，其特征在于，还包括： 

指示发送单元，用于发送指示信息给所述多个客户端，所述指示信息用于指示所述客户端上报的文件的属性信息。 

16.一种客户端，其特征在于，包括： 

统计单元，用于统计文件的属性信息； 

属性发送单元，用于将所述文件的属性信息发送给服务器； 

接收扫描单元，用于接收所述服务器根据多个客户端发送的所述文件的属性信息返回的是否需要扫描所述文件的扫描策略，根据所述扫描策略扫描所述文件；或，所述接收扫描单元，用于接收所述服务器根据多个客户端发送的所述文件的属性信息返回的还黑白属性值，则根据所述黑白属性值得到是否需要扫描所述文件的扫描策略，根据所述文件的扫描策略扫描所述文件。 

17.如权利要求16所述的客户端，其特征在于，所述统计单元，具体用于统计的所述文件的属性信息包括如下至少一种信息： 

文件路径信息、文件加载信息、文件释放信息、文件的黑白属性和文件对应程序的上下文信息。 

18.如权利要求16或17所述的客户端，其特征在于，所述接收扫描单元，具体用于判断所述黑白属性值是否大于预置的值，如果是，则确定客户端需要扫描所述文件；如果不是，则确定客户端不需要扫描所述文件。 

19.如权利要求16或17所述的客户端，其特征在于，还包括： 

指示接收单元，用于接收所述服务器发送的指示信息，所述指示信息用于指示所述客户端上报的文件的属性信息； 

则所述统计单元，具体用于根据所述指示信息统计所述文件的属性信息。 

20.一种文件扫描系统，其特征在于，包括多个客户端和服务器； 

所述客户端是如权利要求16至19任一项所述的客户端，所述服务器是如权利要求11至15任一项所述的服务器。 

Images