CN103514406A - 解析多引擎检测结果的方法和装置 - Google Patents

Abstract

本发明提供了一种用于解析多引擎的检测结果的方法和装置。所述方法，包括：检测步骤，由至少两种病毒分析引擎对病毒样本进行检测，以生成各个引擎的检测结果；解析步骤，将各个引擎的检测结果分别与预定义的各个引擎的解析模板进行匹配，以生成完整的解析记录；以及输出步骤，输出所生成的完整的解析记录以向用户展示。本发明的解析方法可以解决多种病毒分析引擎的检测结果的不确定性问题，优选地，还可以提供对多种病毒分析引擎的检测结果的多样化展示。

Description

解析多引擎检测结果的方法和装置

技术领域

本发明涉及病毒分析引擎检测结果的解析技术，更具体地，涉及解析多引擎检测结果的方法和装置。 

背景技术

近些年，移动终端的使用越来越普及。移动终端中可用的应用程序也越来越多。第三方开发的许多定制应用加入了很多个性化的功能和特征，给用户带来了便利。但是针对这些日益增多的定制应用，其安全性问题开始凸显。比如，第三方可能出于各种目的在定制应用中内置病毒或者扣费等恶意软件。为了应对这种安全性问题，可以使用病毒分析引擎针对待测样本（如，定制应用的安装包）进行扫描。为了获取全面的综合检测结果，常常使用多种不同引擎对应用进行扫描。 

一般情况下，因为每个引擎具有自己定义的一些特有的检测规则，所以不同的病毒分析引擎扫描相同应用产生的测试结果往往会有所差异。例如，用病毒引擎A和引擎B分别对应用进行特征码扫描和静态源码扫描时，病毒引擎A和B将分别根据自己的检测方式来与应用的行为进行比较，从而判断是否存在风险甚或风险的级别。每个引擎产生自己的扫描结果，这些扫描结果通常通过XML方式进行存储。本文中，如本领域中所熟知的，XML（extensible markup language），即可扩展标记语言，是用于标记电子文件使其具有结构性的标记语言，可以用来标记数据、定义数据类型，是一种允许用户对自己的标记语言进行定义的源语言。 

现有技术中最常见的展示多引擎扫描结果的方案是直接解析不同引擎扫描得到的不同组合方式的XML文件，将XML文件中的节点中的数据存储到数据集中，然后将数据填充到客户端组件中。该方案的缺点在于：需要对不同引擎的扫描结果逐个进行判断与解析，无法通过组件化的方 式进行解析与展示。尤其是，因为不同引擎的检测方式的不确定性，在增加新的引擎时，服务端与客户端需要通过专门的程序对新引擎的扫描结果进行处理。这样会导致代码臃肿，且缺乏灵活性。 

另一种现有方案是通过属性文件配置方式，如enginename_engineid_nodelist1=nodename1,nodename2,nodename3childnode1|childnode2，来解析多引擎的扫描结果。在这种方案中，根据XML的层次结构来定义属性文件配置方式，并通过解析定义的字符串来解析XML，根据节点名称查找XML中的节点上对应的值，再根据特定的分割符来判断是否解析子节点，最后将数据转换为json（JavaScript Object Notation，一种轻量级的数据交换格式）格式返回到客户端。这种方案适用于引擎的扫描结果是层级数固定的XML文件的情况，但是不适合引擎扫描结果的XML文件的层级数不固定的情况。而且这种方案需要的配置繁琐，且缺乏灵活性，客户端无法实现多样化的展示。 

因此，需要一种能够克服上述问题中的一些或全部问题的改进的解析多种分析引擎检测结果的方案。 

发明内容

本发明的目的在于提供一种用于解析多引擎的检测结果的方法和装置。其可以解决多种病毒分析引擎的检测结果的不确定性问题。优选地，本发明的方案还可以提供对多种病毒分析引擎的检测结果的多样化展示。 

根据本发明的第一方面，提供了一种用于解析多引擎的检测结果的方法。该方法可以包括：检测步骤，由至少两种病毒分析引擎对病毒样本进行检测，以生成各个引擎的检测结果；解析步骤，将各个引擎的检测结果分别与预定义的各个引擎的解析模板进行匹配，以生成完整的解析记录；以及输出步骤，输出所生成的完整的解析记录以向用户展示。 

在本发明的一些实施例中，所述检测步骤可以包括：通过异步并行技术调度所述至少两个分析引擎对病毒样本进行检测。 

在本发明的一些实施例中，所述解析步骤可以包括：通过节点模型技术对检测结果中的节点数据进行对象序列化，以及通过名称匹配将预 定义的各个引擎的模板中的变量与序列化的数据动态绑定，以形成所述完整的解析记录的文本输出。优选地，所述文本输出的格式可以包括：超文本链接标示语言HTML格式。 

在本发明的一些实施例中，展示所述完整的解析记录可以包括：采用标签技术或者采用列表技术在浏览器中展示各个引擎的检测结果。 

根据本发明的第二方面，提供了一种用于解析多引擎的检测结果的装置，包括：检测单元，配置为：由至少两种病毒分析引擎对病毒样本进行检测，以生成各个引擎的检测结果；解析单元，配置为：将各个引擎的检测结果分别与预定义的各个引擎的解析模板进行匹配，以生成完整的解析记录；以及输出单元，配置为：输出所生成的完整的解析记录以向用户展示。 

在本发明的一些实施例中，所述检测单元可以进一步配置为：通过异步并行技术调度所述至少两个分析引擎对病毒样本进行检测。 

在本发明的一些实施例中，所述解析单元可以进一步配置为：通过节点模型技术对检测结果中的节点数据进行对象序列化，以及通过名称匹配将预定义的各个引擎的模板中的变量与序列化的数据动态绑定，以形成所述完整的解析记录的文本输出。优选地，所述文本输出的格式可以包括：超文本链接标示语言HTML格式。 

在本发明的一些实施例中，所述输出单元可以配置为：采用标签技术或者采用列表技术在浏览器中展示各个引擎的检测结果。 

本发明的方案可以实现众多优点。本发明通过基于模板的技术来促进对多种病毒分析引擎的检测结果的解析和展示。例如,通过将病毒分析引擎扫描结果的XML文件中的节点数据与引擎对应的模板中所需的数据进行动态绑定，不需要再使用专门的程序来分析XML文件的具体结构。当增加新的引擎时，服务端程序只需对模板进行修改即可，不需要进行其他特殊处理，从而更加便于维护。因此，根据本发明的方案具有较强的可扩展性。此外，本发明的方案不仅可适用于检测结果是层级数固定的XML文件的情形，也可适用于检测结果是层级数不固定的XML文件的情形。优选地，通过模板方式来进行客户端展示，还可以满足多样化展示的需求。 

附图说明

通过下面结合附图说明本发明的优选实施例，将使本发明的上述及其它目的、特征和优点更加清楚，其中： 

图1示出了根据本发明的实施例的用于解析多引擎的检测结果的方法的流程图。 

图2a和2b分别示出了采用标签技术展示的两个引擎的检测结果的解析记录的组合输出的示图。 

图3a和3b是分别示出当点击图2a中所示的特征码分析中的BackupRestoreConfirmation.apk项目时以及点击图2b中所示的静态源码分析中的Bluetooth Share项目时对应检测项的原始数据详情和测试结果的示图。 

图4示出了根据本发明的实施例的用于解析多引擎的检测结果的装置的框图。 

图5示出了根据本发明的另一实施例的用于解析多引擎检测结果的方法的示意图。 

具体实施方式

下面参照附图对本发明的优选实施例进行详细说明，在描述过程中省略了对于本发明来说是不必要的细节和功能，以防止对本发明的理解造成混淆。 

图1示出了根据本发明的实施例的用于解析多引擎的检测结果的方法100的流程图。如图1所示，方法100开始于步骤110。 

在步骤S110中，由至少两种病毒分析引擎对病毒样本进行检测，以生成各个引擎的检测结果。如本文所使用的，病毒样本可以是任意一个或多个需要判断是否存在风险的应用程序，其例如可以是移动终端上的应用程序的安装包等等。所使用的每种病毒分析引擎可以具有各自定义的特有的检测规则，并且相应地得到不同的检测结果。不同引擎输出的检测结果也可以具有不同的格式，例如可以是XML格式，也可以是其他类似格式，如JSON等等。在检测结果具有XML格式的情况下，不同引擎输出的XML文件也可以具有不同的结构，如级数不同等等。下文中将以分别进行静态源码扫描和特征码扫描的病毒分析引擎A和B作为两种病 毒分析引擎的示例进行具体说明。但是应该理解，这仅是作为示例而不是限制，本发明中可以使用已知或未来开发的其他种类的病毒分析引擎，并且可以使用两种以上的病毒分析引擎。 

在一些实施例中，通过顺序调度技术来调度所述至少两个病毒分析引擎来对样本进行检测。在另一些实施例中，可以通过并行调度技术来调度所述至少两个病毒分析引擎来对样本进行检测。例如，可以使用GearMan技术，异步并行调度多个病毒分析引擎来对样本进行检测。 

在步骤S120中，将各个引擎的检测结果分别与预定义的各个引擎的解析模板进行匹配，以生成完整的解析记录。 

每个引擎可以对应一个模板。引擎的解析模板可以根据引擎检测结果来定义。在模板中可以定义与引擎检测结果中的数据（如XML格式中的节点）的名称保持一致的变量名称。模板中的变量名称和变量数目可以根据数据的重要性来选择性地定义。如果引擎中的检测方式发生变化时，则只需要将对应的模板进行相应修改即可。 

在步骤S120中，优选地，可以通过节点模型技术对检测结果中的节点数据进行对象序列化，以及通过名称匹配将预定义的各个引擎的模板中的变量与序列化的数据动态绑定，以形成所述完整的解析记录的文本输出。例如，可以采用Freemaker技术将作为检测结果的XML文件中的节点进行序列化，将每个引擎定义的模板与其序列化的数据动态绑定，形成文本输出到客户端。该文本输出可以采用HTML（超文本链接标示语言）格式或者其他格式，本发明在这方面不受限制。 

在步骤S130中，可以输出所生成的完整的解析记录以向用户展示。例如可以采用标签技术或者采用列表技术在浏览器中组合展示各个引擎的检测结果。 

在图2a和2b中示出了在方法100的示例中使用病毒分析引擎A和B分别进行特征码扫描和静态源码扫描的情况下，采用标签技术展示的这两个引擎的检测结果的解析记录的组合输出。尽管在图2a和2b中示出了特定的基础信息项和预设应用风险项，但是应该理解，所展示的项目可以通过选择性地设置模板中的变量名称和变量数目来实现。本发明在这方面不受限制。 

应该理解，解析结果的展示可以是分层级的。例如，通过点击图2a和2b中的项目，可以进一步展示该项目的详细检测结果。作为示例，在图3a中具体展示了当点击图2a中所示的特征码分析中的BackupRestoreConfirmation.apk项目时该检测项的原始数据详情和测试结果。在图3b中具体展示了当点击图2b中所示的静态源码分析中的Bluetooth Share项目时该检测项的原始数据详情和测试结果。 

应该理解，根据本发明实施例的方法100可以在服务器端执行，也可以在待测终端上执行。所述终端不仅包括诸如桌面计算机等非便携式终端，优选地包括诸如移动电话、个人数字助理（PDA）、平板计算机等移动终端。当方法100在服务器上执行时，在步骤130中，服务器将可以通过各种网络技术向终端输出所生成的完整的解析记录以向用户展示。所述网络技术可以包括各种有线技术或者各种无线技术。本发明在这方面不受任何限制。当方法100在终端上执行时，在步骤130中，可以将所生成的完整的解析记录输出到显示器以展示给用户。 

图4示出了根据本发明的实施例的用于解析多引擎的检测结果的装置400的框图。如图4所示，装置400可以包括检测单元210、解析单元420和输出单元430。 

检测单元410配置为：由至少两种病毒分析引擎对病毒样本进行检测，以生成各个引擎的检测结果。如上所述，检测单元110可以配置为顺序地或者并行地调度所述至少两个病毒分析引擎来对样本进行检测。所述检测结果可以是XML格式或者其他类似格式，如JSON等等。 

解析单元420配置为：将各个引擎的检测结果分别与预定义的各个引擎的解析模板进行匹配，以生成完整的解析记录。每个引擎可以对应一个模板。引擎的解析模板可以根据引擎检测结果来定义。模板中定义的变量名称可以例如与XML中的节点名称保持一致。优选地，解析单元420可以配置为：通过节点模型技术对检测结果中的节点数据进行对象序列化，以及通过名称匹配将预定义的各个引擎的模板中的变量与序列化的数据动态绑定，以形成所述完整的解析记录的文本输出。例如，可以采用Freemaker技术将作为检测结果的XML文件中的节点进行序列化，将每个引擎定义的模板与其序列化的数据动态绑定，形成HTML（本发明 不限于此）文本输出到客户端。 

输出单元430配置为输出所生成的完整的解析记录以向用户展示。作为示例，输出单元430可以配置为采用标签技术或者采用列表技术在浏览器中组合展示各个引擎的检测结果。 

装置400可以集成在服务器中，也可以集成在待测终端中。当装置400位于服务器上时，输出单元430可以是配置为与待测终端进行通信的通信单元。该通信单元可以使用各种有线技术或者各种无线技术。当装置400位于终端上时，输出单元430例如可以是终端上的诸如显示器或扬声器之类的输出单元。 

装置400的各个单元可以配置为执行如上所述的方法100的相应步骤。为了简便起见，在此不再对装置400的各个单元的功能进行更详细的描述。 

图5示出了根据本发明的另一实施例的用于解析多引擎检测结果的方法500的示意图。 

在步骤S510中确定要使用的病毒分析引擎1，2…n，其中n是大于等于2的正整数。这些引擎1，2…n通常是不同种类，使用不同的检测规则。 

在步骤S520中，确定（或者上传）要检测的病毒样本。作为示例，该病毒样本可以是移动电话上的应用程序安装包，如上文所例示的BackupRestoreConfirmation.apk。 

在步骤S530中，使用所确定的多种病毒分析引擎对病毒样本进行检测，从而生成对应的检测结果1，2…n。检测结果1，检测结果2…检测结果n分别与病毒分析引擎1，2…n相对应。然后，在步骤540中，存储检测结果1，检测结果2…检测结果n。 

作为示例，可以通过redis（一种存储系统）将每种引擎分别存放在各自的引擎队列中，将病毒样本存放在各引擎的队列中，进行扫描，生成检测结果。然后将扫描的结果存入数据库中。检测结果例如可以输出为XML格式。不同引擎输出的XML结构可根据引擎的种类及规则相应地定义。 

在步骤S550中，定义引擎对应的解析模板1，2…n。通常，每种病 毒分析引擎将会生成各自的病毒样本检测结果，病毒分析引擎扫描产生的病毒样本检测结果为定义引擎对应的解析模板提供了数据依据。模板中定义的变量名称与XML中的节点名称保持一致。 

其中，每个引擎对应一个模板。模板中的变量名称和变量数可根据数据的重要性有选择性的进行定义。如果引擎中的检测方式发生变化，只需要将对应的模板进行相应的修改即可。 

在步骤S360中，对多个病毒分析引擎1，2…n生成的对应检测结果1，2…n分别进行解析，生成一个完整的解析记录。 

具体的解析步骤如下： 

a、将每个引擎对应的最新检测结果1，2…n分别通过节点模型将XML节点进行对象序列化； 

b、将序列化的数据引入到所定义的对应解析模板中，XML中的节点名称与模板中对应的变量名称进行绑定，根据节点名称中对应的值，对对应模板中变量名称的值进行匹配与填充，从而输出文本，生成一个完整的解析记录。在绑定之后，模板中变量名称的值将会随节点名称中对应的值的变化而变化，使得检测结果能及时展示给客户端。 

于是，在步骤S370中，将解析记录在客户端进行展示。解析记录的展示方式可以是多样的，包括HTML格式或其他方式。 

至此已经结合优选实施例对本发明进行了描述。本领域技术人员可以理解，上面示出的方法和设备仅是示例性的。本发明的方法并不局限于上面示出的步骤和顺序。例如，本发明的方法可以包括更多的可选步骤，如服务端与客户端的通信步骤，存储步骤等等。本发明的装置可以包括比示出的部件更多或更少的部件。本领域技术人员根据所示实施例的教导可以进行许多变化和修改。 

本发明的装置及其部件可以由诸如超大规模集成电路或门阵列等半导体器件、或者诸如现场可编程门阵列、可编程逻辑设备等的可编程硬件设备的硬件电路实现，也可以用由各种类型的处理器执行的软件实现，也可以由上述硬件电路和软件的结合实现。 

本发明可以实现诸多优点。本发明通过基于模板的技术促进了对多种病毒分析引擎的检测结果的解析和展示。例如,通过将病毒分析引擎扫 描结果的XML文件中的节点数据与引擎对应的模板中所需的数据进行动态绑定，不需要再使用专门的程序来分析XML文件的具体结构。当增加新的引擎时，服务端程序只需对模板进行修改即可，不需要进行其他特殊处理，从而更加便于维护。可扩展性较强，如数据导出，json格式数据的动态解析及生成等。 

本领域技术人员应该理解，尽管通过具体实施例描述了本发明，但是本发明的范围不限于这些具体实施例。本发明的范围由所附权利要求及其任何等同含义限定。 

Claims (10)

1.一种用于解析多引擎的检测结果的方法，包括：

检测步骤，由至少两种病毒分析引擎对病毒样本进行检测，以生成各个引擎的检测结果；

解析步骤，将各个引擎的检测结果分别与预定义的各个引擎的解析模板进行匹配，以生成完整的解析记录；以及

输出步骤，输出所生成的完整的解析记录以向用户展示。

2.根据权利要求1所述的方法，其中所述检测步骤包括：通过异步并行技术调度所述至少两个分析引擎对病毒样本进行检测。

3.根据权利要求1所述的方法，其中所述解析步骤包括：通过节点模型技术对检测结果中的节点数据进行对象序列化，以及通过名称匹配将预定义的各个引擎的模板中的变量与序列化的数据动态绑定，以形成所述完整的解析记录的文本输出。

4.根据权利要求3所述的方法，其中所述文本输出的格式包括：超文本链接标示语言HTML格式。

5.根据权利要求1所述的方法，其中所述完整的解析记录的展示包括：采用标签技术或者采用列表技术在浏览器中展示各个引擎的检测结果。

6.一种用于解析多引擎的检测结果的装置，包括：

检测单元，配置为：由至少两种病毒分析引擎对病毒样本进行检测，以生成各个引擎的检测结果；

解析单元，配置为：将各个引擎的检测结果分别与预定义的各个引擎的解析模板进行匹配，以生成完整的解析记录；以及

输出单元，配置为：输出所生成的完整的解析记录以向用户展示。

7.根据权利要求6所述的装置，其中所述检测单元进一步配置为：通过异步并行技术调度所述至少两个分析引擎对病毒样本进行检测。

8.根据权利要求6所述的装置，其中所述解析单元进一步配置为：通过节点模型技术对检测结果中的节点数据进行对象序列化，以及通过名称匹配将预定义的各个引擎的模板中的变量与序列化的数据动态绑定，以形成所述完整的解析记录的文本输出。

9.根据权利要求8所述的装置，其中所述文本输出的格式包括：超文本链接标示语言HTML格式。

10.根据权利要求6所述的装置，其中所述完整的解析记录的展示包括：采用标签技术或者采用列表技术在浏览器中展示各个引擎的检测结果。

Images