CN103500311A

CN103500311A - 软件检测方法及系统

Info

Publication number: CN103500311A
Application number: CN201310460372.8A
Authority: CN
Inventors: 黄舰; 帅磊; 赵昱
Original assignee: Shell Internet Beijing Security Technology Co Ltd; Beijing Kingsoft Internet Science and Technology Co Ltd
Current assignee: Zhuhai Seal Fun Technology Co., Ltd.
Priority date: 2013-09-30
Filing date: 2013-09-30
Publication date: 2014-01-08
Anticipated expiration: 2033-09-30
Also published as: CN103500311B

Abstract

本发明实施例提供的一种软件检测方法及系统，可以通过恶意软件和其他软件的安装时间来确定二者是否具有推广关系，并提示用户清理与恶意软件具有推广关系的推广软件。因此，本发明相对于现有仅使用黑名单进行恶意软件检测的方法更能完整、准确的获取与恶意软件具有推广关系的其他软件，提高了软件检测的效果。

Description

软件检测方法及系统

技术领域

本发明涉及软件检测技术领域，特别是涉及软件检测方法及系统。

背景技术

随着科技的发展，软件的种类越来越多，大量的恶意软件威胁着电子设备和用户信息的安全。

现有的恶意软件检测技术仅凭借黑名单进行检测，当黑名单不完整，或未及时更新时，就无法检测出全部的恶意软件。同时，发明人研究发现很多恶意软件都是捆绑在一起的，由一个恶意推广软件进行推广、安装在用户电脑上。由于恶意软件的安装具有一定的隐蔽性，用户无法及时对这些恶意软件的安装进行控制，因此会给用户信息和电子设备带来极大的安全隐患。

如何完整、准确的检测出与恶意软件具有推广关系的软件仍是一个亟待解决的问题。

发明内容

本发明实施例的目的在于提供一种软件检测方法及系统，以完整、准确的检测出与恶意软件具有推广关系的软件。

为达到上述目的，本发明实施例公开了

一种软件检测方法，应用于电子设备中，所述方法包括：

获得所确定的第一恶意软件的安装时间，所述第一恶意软件安装于所述电子设备中；

获得所述电子设备中安装的第一软件组中各软件的安装时间；

确定所述第一软件组中各软件的安装时间与所述第一恶意软件的安装时间的时间差；

将所述时间差小于预设阈值的所述第一软件组中的软件确定为与所述第一恶意软件具有推广关系的推广软件；

输出提示信息以提示用户对所述推广软件进行清理。

优选的，在所述获得所确定的第一恶意软件的安装时间前，所述方法还包括：

获得第一软件的名称；

判断所述第一软件的名称是否位于预设的第一恶意软件名单中，如果是，则确定所述第一软件为第一恶意软件。

优选的，所述判断所述第一软件的名称是否位于预设的第一恶意软件名单中，包括：

从与所述电子设备相连接的服务器中获得预设的第一恶意软件名单，判断所述第一软件的名称是否位于所述第一恶意软件名单中；

或，

将所述第一软件的名称发送到与所述电子设备相连接的服务器中，以使所述服务器将所述第一软件的名称与预设的第一恶意软件名单进行匹配；

接收所述服务器返回的匹配结果，根据所述匹配结果确定所述第一软件的名称是否位于预设的第一恶意软件名单中。

优选的，所述第一软件组为所述电子设备中安装的除所述第一恶意软件外的软件，或，所述第一软件组为所述电子设备中安装的除所述第一恶意软件和预设白名单中的软件外的软件，或，所述第一软件组为所述电子设备中安装的除所述第一恶意软件外、位于预设的第二恶意软件名单中的软件，或，所述第一软件组为安装时间晚于所述第一恶意软件的软件，或，所述第一软件组为安装时间晚于所述第一恶意软件、且未在预设白名单中的软件，或，所述第一软件组为安装时间晚于所述第一恶意软件且位于预设的第二恶意软件名单中的软件。

优选的，所述方法还包括：获得所述推广软件的安装路径，根据所述安装路径获得所述推广软件所占用的系统资源信息；

所述输出提示信息以提示用户对所述推广软件进行清理，包括：输出所述推广软件所占用的系统资源信息以提示用户对所述推广软件进行清理。

优选的，所述输出提示信息以提示用户对所述推广软件进行清理，包括：

输出所述推广软件和所述第一恶意软件的推广关系以提示用户对所述推广软件进行清理。

优选的，所述方法还包括：接收用户的清理指令，清理与所述指令对应的软件。

一种软件检测系统，应用于电子设备中，所述系统包括：第一获得模块、第二获得模块、时间差模块、推广确定模块和提示模块，

所述第一获得模块，用于获得所确定的第一恶意软件的安装时间，所述第一恶意软件安装于所述电子设备中；

所述第二获得模块，用于获得所述电子设备中安装的第一软件组中各软件的安装时间；

所述时间差模块，用于确定所述第一软件组中各软件的安装时间与所述第一恶意软件的安装时间的时间差；

所述推广确定模块，用于将所述时间差小于预设阈值的所述第一软件组中的软件确定为与所述第一恶意软件具有推广关系的推广软件；

所述提示模块，用于输出提示信息以提示用户对所述推广软件进行清理。

优选的，所述系统还包括：第三获得模块、恶意判断模块和恶意确定模块，

所述第三获得模块，用于在所述第一获得模块获得所确定的第一恶意软件的安装时间前，获得第一软件的名称；

所述恶意判断模块，用于判断所述第一软件的名称是否位于预设的第一恶意软件名单中，如果是，则触发所述恶意确定模块；

所述恶意确定模块，用于确定所述第一软件为第一恶意软件。

优选的，所述恶意判断模块，包括：第一判断子模块或第二判断子模块，

所述第一判断子模块，用于从与所述电子设备相连接的服务器中获得预设的第一恶意软件名单，判断所述第一软件的名称是否位于所述第一恶意软件名单中；

所述第二判断子模块，用于将所述第一软件的名称发送到与所述电子设备相连接的服务器中，以使所述服务器将所述第一软件的名称与预设的第一恶意软件名单进行匹配，接收所述服务器返回的匹配结果，根据所述匹配结果确定所述第一软件的名称是否位于预设的第一恶意软件名单中。

优选的，所述系统还包括：第四获得模块，用于获得所述推广软件的安装路径，根据所述安装路径获得所述推广软件所占用的系统资源信息；

所述提示模块包括：第一提示子模块，用于输出所述推广软件所占用的系统资源信息以提示用户对所述推广软件进行清理。

优选的，所述提示模块，包括：第二提示子模块，用于输出所述推广软件和所述第一恶意软件的推广关系以提示用户对所述推广软件进行清理。

优选的，所述系统还包括：清理模块，用于接收用户的清理指令，清理与所述指令对应的软件。

本发明实施例提供的一种软件检测方法及系统，可以通过恶意软件和其他软件的安装时间来确定二者是否具有推广关系，并提示用户清理与恶意软件具有推广关系的推广软件。因此，本发明相对于现有仅使用黑名单进行恶意软件检测的方法更能完整、准确的获取与恶意软件具有推广关系的其他软件，提高了软件检测的效果。当然，实施本发明的任一产品或方法必不一定需要同时达到以上所述的所有优点。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例提供的一种软件检测方法的流程图；

图2为本发明实施例提供的另一种软件检测方法的流程图；

图3为本发明实施例提供的界面示意图；

图4为本发明实施例提供的一种软件检测系统的结构示意图；

图5为本发明实施例提供的另一种软件检测系统的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

如图1所示，本发明实施例提供的一种软件检测方法，应用于电子设备中，该方法可以包括：

S100、获得所确定的第一恶意软件的安装时间，所述第一恶意软件安装于所述电子设备中；

其中，恶意软件具有诸如：窃取用户身份信息、非法记录和上传用户行为、弹出广告等恶意行为。对于这样的恶意软件，可以通过传统的黑名单形式进行识别。由服务器对恶意软件进行识别，识别后建立和更新恶意软件黑名单。服务器与电子设备分享恶意软件黑名单后，就可以确定某软件是否为黑名单中的恶意软件。因此，在本发明另一实施例中，在步骤S100前，图1所示方法还可以包括：

获得第一软件的名称；

具体的，服务器与电子设备分享恶意软件黑名单的方式至少可以有两种：第一、服务器将黑名单发送到电子设备中，由电子设备自己进行是否为恶意软件的判断；第二、电子设备将软件名称发送到服务器中，服务器根据黑名单进行匹配，将匹配结果反馈给电子设备。

因此，判断所述第一软件的名称是否位于预设的第一恶意软件名单中，可以包括：

或，

S200、获得所述电子设备中安装的第一软件组中各软件的安装时间；

发明人研究发现，许多恶意软件还具有软件推广行为，如推荐用户安装其他软件，所推荐的软件中包括恶意软件，推广其他软件的软件可以被称为推广源软件。同时，有的软件为其他软件所推广安装的，可被称为被推广软件。被推广软件的安装时间晚于推广源软件，推广源软件和被推广软件的安装时间较近，因此，可以根据安装时间确定软件是否存在推广关系。

其中，所述第一软件组可以为如下几种情况中的任意一种：

第一种：第一软件组为所述电子设备中安装的除所述第一恶意软件外的软件。

第二种：所述第一软件组为所述电子设备中安装的除所述第一恶意软件和预设白名单中的软件外的软件。

该预设白名单中保存有安全软件名单，因此对于安全软件可以不再获取其安装时间。

第三种：所述第一软件组为所述电子设备中安装的除所述第一恶意软件外、位于预设的第二恶意软件名单中的软件。

该第二恶意软件名单中保存有恶意软件名单，具体的，该第二恶意软件名单可以与第一恶意软件名单相同或不同。在实际应用中，可以仅获取恶意软件的安装时间。

第四种：所述第一软件组为安装时间晚于所述第一恶意软件的软件。

当第一恶意软件为推广源软件时，可以仅获取其推广的软件的安装时间，也即获取安装时间晚于第一恶意软件的软件安装时间。

第五种：所述第一软件组为安装时间晚于所述第一恶意软件、且未在预设白名单中的软件。

第五种软件是将第四种软件排除白名单后的软件，由于白名单中的软件是安全软件，因此不需要获取其安装时间。

第六种：所述第一软件组为安装时间晚于所述第一恶意软件且位于预设的第二恶意软件名单中的软件。

第六种软件是选择第四种软件中位于第二恶意软件名单中的软件，由于恶意软件的安装会给用户和电子设备带来较大的损坏，而非恶意软件的安装仅仅是占用一定的系统资源，因此可以仅获取恶意软件的安装时间。同样，该第二恶意软件名单可以和第一恶意软件名单相同或不同。

S300、确定所述第一软件组中各软件的安装时间与所述第一恶意软件的安装时间的时间差；

具体的，该时间差可以具有早、晚的区别，也可以不具有早、晚的区别。

当第一恶意软件为推广源软件时，被推广软件的安装时间晚于推广源软件，因此第一软件组中的软件的安装时间可以都晚于第一恶意软件。

当第一恶意软件为被推广软件时，推广该第一恶意软件的推广源软件的安装时间将早于第一恶意软件的安装时间，因此第一软件组中的软件的安装时间可以早于第一恶意软件。

当第一恶意软件即为推广源软件，又为被推广软件时，则第一软件组中某软件的安装时间可以早于第一恶意软件，第一软件组中的另一软件的安装时间可以晚于第一恶意软件。

S400、将所述时间差小于预设阈值的所述第一软件组中的软件确定为与所述第一恶意软件具有推广关系的推广软件；

具体的，该推广关系可以为推广与被推广的关系，也可以为被推广与推广的关系。由于恶意软件的捆绑安装都是自动进行的，因此安装时间十分靠近，可以据此来确定软件的关系。该推广软件可以为推广源软件，也可以为被推广软件。

S500、输出提示信息以提示用户对所述推广软件进行清理。

具体的，可以通过弹框、短信、语音报警等方式进行信息提示。

步骤S500可以包括：输出所述推广软件和所述第一恶意软件的推广关系以提示用户对所述推广软件进行清理。

由于同时输出了二者的推广关系，因此能够增加用户对推广源软件的认识，当用户再次进行软件安装时便会留意。具体的，该推广关系可以通过图、表、文本等较为形象的形式进行展示。

在实际应用中，当用户主动安装某软件的时间与第一恶意软件的安装时间较近时，步骤S400根据时间差确定推广软件时可能会将用户主动安装的软件确定为推广软件。在这种情况下我们可以通过软件管理客户端，如金山卫士软件管家、360安全卫士软件管家，来获取这些软件管理客户端中的软件安装记录。因为这些软件管理客户端不会自动安装软件，因此如果能够获取到该软件的安装记录，则说明该软件为主动安装。对于用户主动安装的软件，我们可以将其从提示信息中去除，不再提示用户对该软件进行清理，或者增加该软件为主动安装的提示信息，以防止用户误删除。

进一步，还可以同时根据软件管理客户端中是否存在该软件的卸载记录来确定是否需要提醒用户对该软件进行清除。如果存在该软件的卸载记录，则说明用户曾经卸载过该软件，则在提示时，可以提示用户进行清理。

另一种情况，也可以同时根据该软件的卸载记录的时间来确定是否需要提醒用户卸载该软件。例如该软件在安装后很短的时间内就被卸载，则说明用户不需要该软件，或该软件给用户带来了不好的使用感受。则在提示时，可以提示用户进行清理，反之则不进行提示。

另一种情况，也可以同时根据该软件卸载后是否被再次按照来确定是否需要提醒用户卸载该软件。如果该软件卸载后未被再次安装，则说明用户不需要该软件，可以提示用户进行清理，反之则不进行提示。

以上几种情况中提示用户进行清理的方式可以为将软件设为默认清理软件，自动进行勾选，或者将软件作为待清理软件进行展示。而不进行提示的方式可以为将该软件设为用户选择清理软件，不进行勾选，或者不讲该软件作为待清理软件进行展示。

在本发明的其他实施例中，图1所示实施例还可以包括：接收用户的清理指令，清理与所述指令对应的软件。

具体的，本发明在输出提示信息后，用户就可以选择相应的软件进行清理。

本发明实施例提供的一种软件检测方法，可以通过恶意软件和其他软件的安装时间来确定二者是否具有推广关系，并提示用户清理与恶意软件具有推广关系的推广软件。因此，本发明相对于现有仅使用黑名单进行恶意软件检测的方法更能完整、准确的获取与恶意软件具有推广关系的其他软件，提高了软件检测的效果。

如图2所示，本发明实施例提供的另一种软件检测方法，可以包括：

S410、获得所述推广软件的安装路径，根据所述安装路径获得所述推广软件所占用的系统资源信息；

具体的，在获得软件的安装路径后，就可以根据安装路径获取到该软件所占用的硬盘空间、内存空间、CPU等。

S510、输出所述推广软件所占用的系统资源信息以提示用户对所述推广软件进行清理。

在实际应用中，还可以同时获得第一恶意软件的安装路径，根据第一恶意软件的安装路径获得第一恶意软件占用的系统资源信息并输出，以提示用户对第一恶意软件进行清理。

其中，步骤S510是图1所示实施例中步骤S500的一种具体实施方式。

具体的，如图3所示，可以将第一恶意软件和推广软件所占用的系统资源叠加到一起展示给用户，当然，也可以分别进行展示。在进行展示时，可以对恶意软件、推广软件和系统资源占用信息分区域进行展示，如图3所示，在界面的上部展示恶意软件，分别为飞火视频和酷酷影音，在界面的下部展示推广软件，分别为37wan大裁决、云端桌面、搜狐影音、2345智能浏览器、PPTV网络电视、暴风看电影、暴风玩游戏、今日新闻和无极影音等，在界面的右侧展示系统资源占用信息，分别为电脑速度变慢5%，霸占磁盘空间309MB，正在霸占内存22MB。当然，也可以在用户点击恶意软件时，再显示该恶意软件所推广的推广软件。

可以理解的是，由于输出了第一恶意软件和所述推广软件所占用的系统资源信息，因此用户更能够了解到推广软件给电子设备带来的危害。

相应于上述方法实施例，本发明还提供了一种软件检测系统，应用于电子设备中，如图4所示，该系统包括：第一获得模块100、第二获得模块200、时间差模块300、推广确定模块400和提示模块500，

第一获得模块100，用于获得所确定的第一恶意软件的安装时间，所述第一恶意软件安装于所述电子设备中；

其中，在本发明其他实施例中，图1所示系统还可以包括：第三获得模块、恶意判断模块和恶意确定模块，

第三获得模块，用于在所述第一获得模块获得所确定的第一恶意软件的安装时间前，获得第一软件的名称；

恶意判断模块，用于判断所述第一软件的名称是否位于预设的第一恶意软件名单中，如果是，则触发所述恶意确定模块；

恶意确定模块，用于确定所述第一软件为第一恶意软件。

其中，恶意判断模块，可以包括：第一判断子模块或第二判断子模块，

第一判断子模块，用于从与所述电子设备相连接的服务器中获得预设的第一恶意软件名单，判断所述第一软件的名称是否位于所述第一恶意软件名单中；

第二判断子模块，用于将所述第一软件的名称发送到与所述电子设备相连接的服务器中，以使所述服务器将所述第一软件的名称与预设的第一恶意软件名单进行匹配，接收所述服务器返回的匹配结果，根据所述匹配结果确定所述第一软件的名称是否位于预设的第一恶意软件名单中。

第二获得模块200，用于获得所述电子设备中安装的第一软件组中各软件的安装时间；

其中，第一软件组为所述电子设备中安装的除所述第一恶意软件外的软件，或，所述第一软件组为所述电子设备中安装的除所述第一恶意软件和预设白名单中的软件外的软件，或，所述第一软件组为所述电子设备中安装的除所述第一恶意软件外、位于预设的第二恶意软件名单中的软件，或，所述第一软件组为安装时间晚于所述第一恶意软件的软件，或，所述第一软件组为安装时间晚于所述第一恶意软件、且未在预设白名单中的软件，或，所述第一软件组为安装时间晚于所述第一恶意软件且位于预设的第二恶意软件名单中的软件。

时间差模块300，用于确定所述第一软件组中各软件的安装时间与所述第一恶意软件的安装时间的时间差；

推广确定模块400，用于将所述时间差小于预设阈值的所述第一软件组中的软件确定为与所述第一恶意软件具有推广关系的推广软件；

提示模块500，用于输出提示信息以提示用户对所述推广软件进行清理。

其中，提示模块500可以包括：第二提示子模块，用于输出所述推广软件和所述第一恶意软件的推广关系以提示用户对所述推广软件进行清理。

本发明实施例提供的一种软件检测系统，可以通过恶意软件和其他软件的安装时间来确定二者是否具有推广关系，并提示用户清理与恶意软件具有推广关系的推广软件。因此，本发明相对于现有仅使用黑名单进行恶意软件检测的方法更能完整、准确的获取与恶意软件具有推广关系的其他软件，提高了软件检测的效果。

本发明其他实施例中，图4所示系统还可以包括：清理模块，用于接收用户的清理指令，清理与所述指令对应的软件。

如图5所示，本发明实施例提供的另一种软件检测系统可以包括：

第四获得模块410，用于获得所述推广软件的安装路径，根据所述安装路径获得所述推广软件所占用的系统资源信息；

第一提示子模块510，用于输出所述推广软件所占用的系统资源信息以提示用户对所述推广软件进行清理。

图4及图5所示实施例中各模块的具体执行过程请参加图1及图2所示实施例部分，不再赘述。

需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

本说明书中的各个实施例均采用相关的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于系统实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内所作的任何修改、等同替换、改进等，均包含在本发明的保护范围内。

Claims

1.一种软件检测方法，其特征在于，应用于电子设备中，所述方法包括：

输出提示信息以提示用户对所述推广软件进行清理。

2.根据权利要求1所述的方法，其特征在于，在所述获得所确定的第一恶意软件的安装时间前，所述方法还包括：

获得第一软件的名称；

3.根据权利要求2所述的方法，其特征在于，所述判断所述第一软件的名称是否位于预设的第一恶意软件名单中，包括：

或，

4.根据权利要求1所述的方法，其特征在于，

所述第一软件组为所述电子设备中安装的除所述第一恶意软件外的软件，或，所述第一软件组为所述电子设备中安装的除所述第一恶意软件和预设白名单中的软件外的软件，或，所述第一软件组为所述电子设备中安装的除所述第一恶意软件外、位于预设的第二恶意软件名单中的软件，或，所述第一软件组为安装时间晚于所述第一恶意软件的软件，或，所述第一软件组为安装时间晚于所述第一恶意软件、且未在预设白名单中的软件，或，所述第一软件组为安装时间晚于所述第一恶意软件且位于预设的第二恶意软件名单中的软件。

5.根据权利要求1所述的方法，其特征在于，所述方法还包括：获得所述推广软件的安装路径，根据所述安装路径获得所述推广软件所占用的系统资源信息；

6.根据权利要求1至5中任一项权利要求所述的方法，其特征在于，所述输出提示信息以提示用户对所述推广软件进行清理，包括：

7.根据权利要求1至5中任一项权利要求所述的方法，其特征在于，所述方法还包括：

接收用户的清理指令，清理与所述指令对应的软件。

8.一种软件检测系统，其特征在于，应用于电子设备中，所述系统包括：第一获得模块、第二获得模块、时间差模块、推广确定模块和提示模块，

9.根据权利要求8所述的系统，其特征在于，所述系统还包括：第三获得模块、恶意判断模块和恶意确定模块，

10.根据权利要求9所述的系统，其特征在于，所述恶意判断模块，包括：第一判断子模块或第二判断子模块，

11.根据权利要求8所述的系统，其特征在于，

12.根据权利要求8所述的系统，其特征在于，所述系统还包括：第四获得模块，用于获得所述推广软件的安装路径，根据所述安装路径获得所述推广软件所占用的系统资源信息；

13.根据权利要求8至12中任一项权利要求所述的系统，其特征在于，所述提示模块，包括：第二提示子模块，用于输出所述推广软件和所述第一恶意软件的推广关系以提示用户对所述推广软件进行清理。

14.根据权利要求8至12中任一项权利要求所述的系统，其特征在于，所述系统还包括：清理模块，用于接收用户的清理指令，清理与所述指令对应的软件。