CN103944757B - 网络异常检测的方法和装置 - Google Patents

Abstract

本发明公开了一种网络异常检测的方法和装置，其中，该方法包括：获取多个检测项，其中，多个检测项包括浏览器的动态链接库文件，且多个检测项还包括网络连接状态信息、网络配置信息、浏览器配置信息中的一种或多种；分别提取多个检测项的特征信息；以及根据多个检测项分别对应的特征信息对多个检测项进行检测以获取至少一个异常项。本发明实施例的网络异常检测的方法，能够自动、全面、准确的检测和分析网络异常的原因，从而为网络修复提供准确的依据，便于及时修复网络，提升用户体验。

Description

网络异常检测的方法和装置

技术领域

本发明涉及计算机技术领域，尤其涉及一种网络异常检测的方法和装置。

背景技术

随着计算机计算以及互联网技术的不断发展，人们的日常生活与互联网的连接越来越紧密。在计算机的日常使用中，经常出现各种问题，其中，网络连接异常问题尤为常见。举例来说，在计算机的使用过程中经常会出现网页打开速度缓慢、特定网站无法打开、即时通信软件能够打开而网页无法打开、网页异常跳转等问题。

由于多种原因都可能会造成网络出现异常，因此要解决网络异常问题，往往需要逐一进行排查和修复。因此，对于普通用户来说，遇到这类问题往往无从下手。目前，一些应用程序可将多种网络异常检测程序有效整合到一个检测工具包中，并在网络发生异常时，按照设定规则调用相应的网络异常检测程序进行网络异常检测，进而根据检测结果进行相应地处理。但是，上述检测方法不够全面，该方法中的网络异常检测程序并未完全覆盖可能导致网络发生异常的因素，如果当前网络异常的原因是网络异常检测程序中未覆盖的因素时，则无法准确找到网络异常的原因，从而难以及时修复网络，给用户带来极大的不便。

发明内容

本发明旨在至少在一定程度上解决相关技术中的技术问题之一。为此，本发明第一方面的目的在于提出一种网络异常检测的方法，能够自动、全面、准确的检测和分析网络异常的原因，从而为网络修复提供准确的依据，便于及时修复网络。

本发明的第二方面的目的在于提出一种网络异常检测的装置。

为达上述目的，根据本发明第一方面实施例提出了一种网络异常检测的方法，包括：获取多个检测项，其中，所述多个检测项包括浏览器的动态链接库文件，且所述多个检测项还包括网络连接状态信息、网络配置信息、浏览器配置信息中的一种或多种；分别提取所述多个检测项的特征信息；以及根据所述多个检测项分别对应的特征信息对所述多个检测项进行检测以获取至少一个异常项。

本发明实施例的网络异常检测的方法，通过将网络技术问题划分为多个精细的检测项，并分别通过提取多个检测项的特征信息对多个检测项进行检测以获取异常项，即网络异常的原因，在获取网络异常的原因的过程中，不但考虑了网络连接状态信息、网络配置信息、浏览器配置信息导致的网络异常的情况，并且考虑到了浏览器的动态链接库文件的异常导致网络异常的情况，能够自动、全面、准确的检测和分析网络异常的原因，从而为网络修复提供准确的依据，便于及时修复网络，提升用户体验。

本发明的第二方面的实施例提供了一种网络异常检测的装置，获取模块，用于获取多个检测项，其中，所述多个检测项包括浏览器的动态链接库文件，且所述多个检测项还包括网络连接状态信息、网络配置信息、浏览器配置信息中的一种或多种；提取模块，用于分别提取所述多个检测项的特征信息；以及检测模块，用于根据所述多个检测项分别对应的特征信息对所述多个检测项进行检测以获取至少一个异常项。

本发明实施例的网络异常检测的装置，通过将网络技术问题划分为多个精细的检测项，并分别通过提取多个检测项的特征信息对多个检测项进行检测以获取异常项，即网络异常的原因，在获取网络异常的原因的过程中，不但考虑了网络连接状态信息、网络配置信息、浏览器配置信息导致的网络异常的情况，并且考虑到了浏览器的动态链接库文件的异常导致网络异常的情况，能够自动、全面、准确的检测和分析网络异常的原因，从而为网络修复提供准确的依据，便于及时修复网络，提升用户体验。

本发明的第三方面的实施例提供了一种终端设备，包括：外壳，显示器、电路板和处理器，其中，电路板安置在外壳围成的空间内部，显示器在外壳外部，并与电路板相连接，处理器设置在电路板上；处理器用于处理数据，并具体用于执行以下步骤：获取多个检测项，其中，所述多个检测项包括浏览器的动态链接库文件，且所述多个检测项还包括网络连接状态信息、网络配置信息、浏览器配置信息中的一种或多种；分别提取所述多个检测项的特征信息；以及根据所述多个检测项分别对应的特征信息对所述多个检测项进行检测以获取至少一个异常项。

本发明实施例的终端设备，通过将网络技术问题划分为多个精细的检测项，并分别通过提取多个检测项的特征信息对多个检测项进行检测以获取异常项，即网络异常的原因，在获取网络异常的原因的过程中，不但考虑了网络连接状态信息、网络配置信息、浏览器配置信息导致的网络异常的情况，并且考虑到了浏览器的动态链接库文件的异常导致网络异常的情况，能够自动、全面、准确的检测和分析网络异常的原因，从而为网络修复提供准确的依据，便于及时修复网络，提升用户体验。

附图说明

本发明的上述和/或附加的方面和优点从结合下面附图对实施例的描述中将变得明显和容易理解，其中：

图1是根据本发明一个实施例的网络异常检测的方法的流程图；

图2是根据本发明一个具体实施例的对多个检测项进行检测的方法的流程图；

图3是根据本发明另一个实施例的网络异常检测的方法的流程图；

图4是根据本发明一个具体实施例的网络异常检测的方法的流程图；

图5是根据本发明一个实施例的网络异常检测的装置的结构框图；

图6是根据本发明另一个实施例的网络异常检测的装置的结构框图。

具体实施方式

下面详细描述本发明的实施例，所述实施例的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施例是示例性的，旨在用于解释本发明，而不能理解为对本发明的限制。

下面参考附图描述根据本发明实施例的网络异常检测的方法、装置和终端设备。

为了能够在出现网络异常时，全面的检测网络异常的原因，从而能够及时准确的找到网络异常原因，并及时修复，本发明的实施例提出一种网络异常检测的方法。

图1是根据本发明一个实施例的网络异常检测的方法的流程图。

如图1所示，该网络异常的检测方法，包括：

S101，获取多个检测项，其中，多个检测项包括浏览器的动态链接库文件，且多个检测项还包括网络连接状态信息、网络配置信息、浏览器配置信息中的一种或多种。

在本发明的一个实施例中，浏览器的动态链接库文件为安装浏览器时产生的与网络连接相关的.dll文件，这些文件对网络连接起到关键作用，如果这些文件丢失、不完整或者被篡改，则会导致浏览器无法联网。特别是对于windows系统（一种微软公司推出的桌面操作系统）的用户终端来说，如果IE浏览器（Internet Explorer，一款微软公司推出的网页浏览器）的动态链接库文件丢失、不完整或者被篡改，则会导致该系统下的程序均无法正常连接网络。

网络连接状态信息是指用户终端是否已成功接入互联网的状态，可包括网线插入状态、无线网络连接状态、网络连接是否启用等。

网络配置信息包括DNS（Domain Name Serve，域名解析服务器）配置信息、LSP（Layered Service Provider，分层服务提供商）配置信息、网络连接相关文件和/或注册表的配置信息等。

浏览器配置信息包括HTTP（Hypertext transfer protocol，超文本传输协议）的指向文件信息、hosts文件信息、代理服务器配置信息、浏览器内核信息、浏览器的缓存信息等。

S102，分别提取多个检测项的特征信息。

在本发明的一个实施例中，检测项的特征信息为用于判断检测项是否为异常项的信息。

具体地，当检测项为浏览器的动态链接库文件时，特征信息为文件特征和签名信息，其中，文件特征为文件是否存在、是否完整、文件行为等特征，签名信息为文件的数字签名；当检测项为网络连接状态信息时，特征信息为用户终端是否接入网络（即网络连接是否启用）；当检测项为网络配置信息中的DNS配置信息时，特征信息为本地DNS地址；当检测项为网络配置信息中的LSP配置信息时，特征信息为LSP完整性信息，其中，LSP为负责多个网络连接组件（如TCP/IP（Transmission Control Protocol/Internet Protocol，传输控制协议/因特网互联协议）组件mswsock.dll和NTDS（符合现代网络要求的目录服务器）组件winrnr.dll等）正常工作的注册表中的链表该链表包括与其负责的多个网络连接组件的优先权项；当检测项为网络配置信息中的网络连接相关文件和/或注册表的配置信息时，特征信息为网络连接相关文件和/或注册表的访问权限；当检测项为浏览器配置信息中的HTTP的指向文件信息时，特征信息为HTTP的指向文件信息；当检测项为浏览器配置信息中的hosts文件信息，特征信息为hosts文件信息；当检测项为浏览器配置信息中的代理服务器配置信息时，特征信息为代理服务器信息；当检测项为浏览器配置信息中的浏览器内核信息时，特征信息为当前使用的浏览器的内核信息；当检测项为浏览器配置信息中的浏览器的缓存信息时，特征信息为浏览器的缓存信息。

S103，根据多个检测项分别对应的特征信息对多个检测项进行检测以获取至少一个异常项。

在本发明的一个实施例中，对上述多个检测项进行检测时，对多个检测项的进行检测的顺序不限。在此，仅列举出其中一种可能的检测顺序以实现网络异常检测。具体地，图2是根据本发明一个具体实施例的对多个检测项进行检测的方法的流程图。如图2所示，对多个检测项进行检测包括：

S201，根据网络连接状态信息检测用户终端是否连已连接互联网，如果已连接，则执行步骤S203。

在本发明的实施例中，如果用户终端未插入网线、无线网络未连接、或者网络连接未启用（被禁用），则用户终端无法连接互联网。

S202，如果未连接，则根据网络连接状态提示用户进行相应的操作。

例如，如果未连接网线则提示用户插入网线或者连接无线网络，如果网络被禁用，则提示用于启用网络连接等。

S203，根据文件特征和签名信息对浏览器的动态链接库文件进行存在性验证、完整性验证和安全性验证，如果浏览器的动态链接库文件未通过存在性验证、完整性验证和安全性验证中的至少一项，则浏览器的动态链接库文件为异常项。

在本发明的一个实施例中，可根据浏览器的动态链接库文件的文件特征验证动态链接库文件是否存在，并在存在时进一步根据该动态链接库文件特征验证该动态链接库文件是否完整。如果动态链接库文件不存在或者不完整，则浏览器的动态链接库文件为异常项。如果动态链接库文件完整，则进一步根据该动态链接库文件的签名信息验证其安全性。具体地，如果该动态链接库文件的签名信息为有效数字签名，则通过安全性验证，如果为无效数字签名，则根据该动态链接库文件的行为特征查询行为特征库，如果该动态链接库文件的行为特征为安全行为特征，则该动态链接库文件通过安全性验证。其中，行为特征库为预先建立的，包括恶意行为特征库（包括大量的恶意行为特征）和安全行为特征库（包括大量的安全行为特征）。

S204，判断本地DNS地址是否在黑名单中，如果在黑名单中，则本地DNS地址为异常项。

其中，黑名单为对大量DNS地址进行统计分析获取的存在安全隐患的DNS地址名单。

S205，根据LSP完整性信息判断LSP链中是否存在断链，如果存在，则LSP链为异常项。

在本发明的一个实施例中，LSP链位于注册表中的[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\NameSpace_Catalog5\Catalog_Entries]项下，当LSP链中其中一个组件对应的动态链接库文件被删除时，就出现了LSP断链。例如，江民杀毒软件会添加一个kvwsp.dll，如果江民软件已经被卸载，则kvwsp.dll这个文件已经不存在了，此时的LSP称之为断链。

S206，根据访问权限获取访问权限高于预设权限阈值的网络连接相关文件和/或注册表，并将访问权限高于预设权限阈值的网络连接相关文件和/或注册表作为异常项。

在本发明的一个实施例中，如果网络连接相关文件和/或注册的访问权限超过预设阈值，使该网络连接相关文件和/或注册无法访问，则会导致网络无法连接，因此，可将访问权限高于预设权限阈值的网络连接相关文件和/或注册表作为异常项。

S207，根据HTTP的指向文件信息对HTTP的指向文件进行存在性验证、完整性验证和安全性验证，如果HTTP的指向文件未通过存在性验证、完整性验证和安全性验证中的至少一种，则HTTP的指向文件为异常项。

在本发明的一个实施例中，HTTP的指向文件信息可为枚举用户终端的HTTP和HTTPs协议获取的文件，具体地，可通过检测注册表：

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\http；以及

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\https这两个位置获取的文件。

如果上述两个位置下不存在浏览器程序，则未通过存在性验证；如果上述两个位置下的文件不完整，则未通过完整性验证；如果上述两个位置下的文件为恶意程序，则未通过安全性验证。

S208，如果根据hosts文件信息判断hosts文件满足预设条件，则hosts文件为异常项。

其中，预设条件为该hosts文件具有以下行为中的一个或多个：

将多个网址域名重定向为特定IP地址；

将至少一个白名单网址域名定向为可疑IP地址；

包含至少一个恶意IP地址。

在本发明的一个实施例中，hosts文件位于%SystemRoot%\system32\drivers\etc\hosts路径下，可在此路径下读取并解析hosts文件，以检测hosts文件是否为异常项。

S209，检测浏览器是否设置了代理服务器，如果设置了代理服务器，则浏览器为异常项。

S210，获取具有与当前使用的浏览器的内核信息不同的内核的第三方浏览器，并通过第三方浏览器进行网络访问测试，如果第三方浏览器能够访问网络，则当前使用的浏览器内核为异常项。

举例来说，如果当前使用的是IE（Internet Explorer，一种浏览器）浏览器（其内核为IE内核），则可通过使用第三方内核的浏览器（如谷歌chrome浏览器等）访问测试网站（通常可选择百度、新浪等常用网站），chrome浏览器这种第三方浏览器为开源浏览器，可给第三方使用公共的接口访问网站。如果通过chrome浏览器可访问测试网站，则说明IE浏览器内核存在异常。

S211，获取用户终端中的至少一个浏览器，根据缓存信息获取至少一个浏览器中缓存超过预设阈值的浏览器，并将缓存超过预设阈值的浏览器作为异常项。

本发明实施例的网络异常检测的方法，通过将网络技术问题划分为多个精细的检测项，并分别通过提取多个检测项的特征信息对多个检测项进行检测以获取异常项，即网络异常的原因，在获取网络异常的原因的过程中，不但考虑了网络连接状态信息、网络配置信息、浏览器配置信息导致的网络异常的情况，并且考虑到了浏览器的动态链接库文件的异常导致网络异常的情况，能够自动、全面、准确的检测和分析网络异常的原因，从而为网络修复提供准确的依据，便于及时修复网络，提升用户体验。

图3是根据本发明另一个实施例的网络异常检测的方法的流程图。图3是在图1的基础上增加了对异常项进行修复的步骤，具体地，如图3所示，步骤S301-S303与上述步骤S101-S103完全对应，在此不再赘述，此外，该网络异常检测的方法还包括：

S304，根据异常项对应的修复策略对异常项进行修复。

在本发明的实施例中，对浏览器的动态链接库文件进行修复时，首先获取浏览器的版本信息（包括有效版本号和子版本号），然后检测系统备份文件中是否有与该版本信息相匹配的动态链接库文件，如果有，则根据其对异常的动态链接库文件进行修复（替换异常项对应的浏览器的动态链接库文件），如果没有，则从服务器下载对应版本的动态链接库文件进行修复。最后在修复完成后调用注册程序（如regsvr32.exe）注册修复后的动态链接库文件。举例来说，如注册文件u urlmon.dll的注册命令为regsvr32.exe/u urlmon.dll。

在本发明的实施例中，当本地DNS地址在黑名单内时，对本地DNS地址进行修复可通过清除本地DNS地址，并自动分配新的DNS地址，或者将本地DNS地址修改为公用DNS地址，然后执行DNS刷新指令ipconfig/flushdns进行修复。当本地DNS地址不在黑名单内时，可将主DNS地址设置为公用DNS地址，将备用DNS地址设置为本地DNS地址，然后执行DNS刷新指令ipconfig/flushdns。

在本发明的实施例中，可通过将断链对应的文件信息从LSP链中移除对LSP链进行修复，如果移除失败，可对LSP链进行初始化，即还原LSP链。

在本发明的实施例中，可通过调用安全管理软件中的驱动接口修改访问权限高于预设权限阈值的网络连接相关文件和/或注册表的访问权限，以使异常项的访问权限低于预设权限阈值，以对访问权限高于预设权限阈值的网络连接相关文件和/或注册表进行修复。

在本发明的实施例中，可通过将HTTP的指向文件修复为默认浏览器程序HTTP的指向文件进行修复。

在本发明的实施例中，修复hosts文件时，可首先备份hosts文件，然后将hosts文件还原为系统默认hosts文件。

在本发明的实施例中，可通过清除浏览器的代理服务器对相应的浏览器进行修复。

在本发明的实施例中，可通过对当前使用的浏览器的内核进行修复以对浏览器内核进行修复，如果修复失败，则可提示用户使用第三方浏览器。

在本发明的实施例中，可对缓存超过预设阈值的浏览器的缓存进行清理以修复网络连接。

本发明实施例的网络异常检测的方法，可针对检测到的不同的异常项采取相应的措施分别进行修复，并且在修复过程中，优先采用修复措施，并在修复失败时还原为系统默认值的方法，大大增加了网络异常修复的成功率，进一步提升了用户体验。

在本发明的实施例中，对上述多个检测项进行检测时，可对上述多个检测项分别进行检测后，针对需要修复的异常项依次进行修复，也可在对每个检测项进行检测过程中，如果确定该检测项为异常项时，对该异常项进行修复后再对下一个检测项进行检测。图4是根据本发明一个具体实施例的网络异常检测的方法的流程图。如图4所示，可在对每个检测项进行检测过程中，如果确定该检测项为异常项时，对该异常项进行修复后再对下一个检测项进行检测，具体地，该网络异常检测的方法包括：

S401，获取多个检测项。

S402，根据网络连接状态信息检测用户终端是否连已连接互联网，如果已连接，则执行步骤S404。

S403，如果未连接，则根据网络连接状态提示用户进行相应的操作。

S404，检测浏览器的动态链接库文件是否为异常项，如果是，则执行步骤S405，否则执行步骤S406。

具体的，首先获取浏览器的动态链接库文件的文件特征和签名信息，然后根据获取的文件特征和签名信息对浏览器的动态链接库文件进行存在性验证、完整性验证和安全性验证，如果浏览器的动态链接库文件未通过存在性验证、完整性验证和安全性验证中的至少一项，则浏览器的动态链接库文件为异常项。

S405，修复浏览器的动态链接库文件并注册。

具体地，首先确定浏览器的版本信息（包括有效版本号和子版本号），检测系统备份文件中是否有与该版本信息相匹配的动态链接库文件，如果有，则根据其对异常的动态链接库文件进行修复，如果没有，则从服务器下载对应版本的动态链接库文件进行修复。最后在修复完成后调用注册程序（如regsvr32.exe）注册修复后的动态链接库文件。举例来说，如注册文件u urlmon.dll的注册命令为regsvr32.exe/u urlmon.dll。

S406，修复DNS配置信息。

具体地，首先获取本地DNS地址，并判断本地DNS地址是否在黑名单中，如果在，则清除本地，并自动分配新的DNS地址，或者将本地DNS地址修改为公用DNS地址。如果本地DNS地址不在黑名单中，则将主DNS地址设置为公用DNS地址，将备用DNS地址设置为本地DNS地址，然后执行DNS刷新指令ipconfig/flushdns。

S407，检测网络连接相关文件和/或注册表的配置信息是否为异常项，如果是，则执行步骤S408，否则执行步骤S409。

具体地，如果网络连接相关文件和/或注册表的访问权限超过预设权限阈值，则网络连接相关文件和/或注册表的配置信息为异常项。

S408，修复网络连接相关文件和/或注册表的配置信息。

在本发明的实施例中，可调用安全管理软件中的驱动接口对网络连接相关文件和/或注册表的访问权限进行修复，以使其低于预设权限阈值。

S409，检测LSP链中是否存在断链，如果存在，则执行步骤S410，否则执行步骤S411。

S410，修复LSP链。

在本发明的实施例中，如果LSP链中存在断链，则首先找到不存在的动态链接库对应的LSP组件项，并记录该组件项的存储位置，以便根据该存储位置删除该组件项。然后，根据[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\NameSpace_Catalog5\Catalog_Entries\00000000000*]项下的“DisplayString”键，找到TCP/IP、NTDS及网络位置知晓(NLA)名称空间，并将它们三个的项分别恢复为000000000001、000000000002、000000000003。在完成上面的修改后，定位至[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WinSock2\Parameters\NameSpace_Catalog5]，根据其中的优先权项的个数，修改Num_Catalog_Entries键。举例来说，如果有000000000001、000000000002、000000000003三个优先权项，则将Num_Catalog_Entries键修改为3，如果还有优先权项000000000004，则将Num_Catalog_Entries键修改为4。

LSP链是windows底层网络Socket套接字通信需要经过的大门，当恶意程序把自己加入LSP链后，就可以截取、访问、修改网络的数据包，自然可以随意的添加广告，还能获取用户的访问习惯。因此，对于被恶意程序篡改的LSP，也可根据上述修复方法找到并删除恶意程序篡改的LSP链中恶意程序对应的项。

在本发明的一个实施例中，如果无法移除断链或者恶意篡改的LSP链表中的项，则可通过调用netsh winsock reset命令还原LSP链。

S411，清理浏览器缓存。

S412，检测HTTP的指向文件是否为异常项，如果是则执行步骤S413，否则执行S414。

在本发明的一个实施例中，可枚举用户终端中的HTTP和HTTPs协议获取HTTP的指向文件，如果获取的HTTP的指向文件未通过存在性验证、完整性验证和安全性验证中的至少一项，则为异常项。

S413，修复HTTP的指向文件。

具体地，可将HTTP的指向文件修复为默认浏览器程序，如IE浏览器。

S414，检测hosts文件是否为异常项，如果是，则执行步骤S415，否则执行步骤S416。

S415，备份hosts文件，并将hosts文件还原为系统默认hosts文件。

S416，清除浏览器的代理服务器。

S417，检测浏览器的内核是否异常，如果异常，则执行步骤S418，否则执行步骤S419。具体地，首先获取当前使用的浏览器的内核信息，然后通过具有与当前使用的浏览器的内核信息不同的内核的第三方浏览器进行网络访问测试如果第三方浏览器能够访问网络，则当前使用的浏览器内核为异常项。

S418，对当前使用的浏览器的内核进行修复。

如果修复失败，则提示用户使用第三方浏览器。

S419，提示重启用户终端。

举例来说，如果一台计算机的网络存在异常，现象表现在只能上QQ这类即时通信软件，但是无法打开网页。通过本发明实施例的网络异常检测的方法分析，可知：可以上QQ这类即时通信软件，说明已接入互联网。但是，QQ这类软件用的是UDP协议，而网页浏览器使用的是HTTP协议。因此出现这种现象可能是以下几种原因，这些原因可以独立存在也可以多个同时存在：

IE关键的组件（浏览器的动态链接库文件）没有正确注册，这一般是由于在一些软件操作或者卸载时，由于调用参数错误或者中途退出而造成的IE关键的组件被卸载了。可通过重新注册IE关键的组件修复此问题。

DNS异常，DNS是用来解析域名的，如果本地DNS地址设置存在异常，会导致无法解析到域名而无法打开网页的情况。可通过使用第三方DNS解决此问题，如谷歌的DNS等。

浏览器被破坏，当浏览器组件不完整，或者浏览器相关文件、注册表权限异常时，可能会导致当前用户权限不足，而无法使用浏览器。可通过检测浏览器相关文件，注册表的访问权限，对异常的访问权限进行修复来解决此问题。

如果由于在用户卸载了某款网络游戏加速器的过程出错，而导致卸载异常，致使LSP链中一个文件被删除，但是LSP链中依然存在该文件信息，则会导致网络无法连接；或者该用户的hosts文件被恶意软件写入了大量的网络劫持，将所有门户网站都劫持到一个卖山寨手机的网站。此时按照本发明实施例的网络异常检测的方法检测时，可发现LSP链中有一个链中的文件不存在，并可尝试将LSP链中相应的文件信息移除，如果程序返回移除结果失败，则调用系统命令将LSP链还原。同时，还可遍历该用户使用的计算机的hosts文件，可发现hosts文件将百度、新浪、金山、腾讯等众多域名都定向到了同一个IP地址，则可判定该IP地址是恶意的IP地址，此时，可将hosts文件清空。完成以上操作后，计算机即可正常联网。

为了实现上述实施例，本发明还提出一种网络异常检测的装置。

图5是根据本发明一个实施例的网络异常检测的装置的结构框图。如图5所示，该网络异常检测的装置包括：获取模块10、提取模块20和检测模块30。

具体地，获取模块10用于获取多个检测项，其中，多个检测项包括浏览器的动态链接库文件，且多个检测项还包括网络连接状态信息、网络配置信息、浏览器配置信息中的一种或多种。

提取模块20用于分别提取多个检测项的特征信息。

更具体地，当检测项为浏览器的动态链接库文件时，特征信息为文件特征和签名信息，其中，文件特征为文件是否存在、是否完整、文件行为等特征，签名信息为文件的数字签名；当检测项为网络连接状态信息时，特征信息为用户终端是否接入网络（即网络连接是否启用）；当检测项为网络配置信息中的DNS配置信息时，特征信息为本地DNS地址；当检测项为网络配置信息中的LSP配置信息时，特征信息为LSP完整性信息，其中，LSP为负责多个网络连接组件（如TCP/IP组件mswsock.dll和NTDS组件winrnr.dll等）正常工作的注册表中的链表该链表包括与其负责的多个网络连接组件的优先权项；当检测项为网络配置信息中的网络连接相关文件和/或注册表的配置信息时，特征信息为网络连接相关文件和/或注册表的访问权限；当检测项为浏览器配置信息中的HTTP的指向文件信息时，特征信息为HTTP的指向文件信息；当检测项为浏览器配置信息中的hosts文件信息，特征信息为hosts文件信息；当检测项为浏览器配置信息中的代理服务器配置信息时，特征信息为代理服务器信息；当检测项为浏览器配置信息中的浏览器内核信息时，特征信息为当前使用的浏览器的内核信息；当检测项为浏览器配置信息中的浏览器的缓存信息时，特征信息为浏览器的缓存信息。

检测模块30用于根据多个检测项分别对应的特征信息对多个检测项进行检测以获取至少一个异常项。

在本发明的一个实施例中，当检测项为浏览器的动态链接库文件时，特征信息为文件特征和签名信息，检测模块30具体用于根据文件特征和签名信息对浏览器的动态链接库文件进行存在性验证、完整性验证和安全性验证，并在浏览器的动态链接库文件未通过存在性验证、完整性验证和安全性验证中的至少一项时，确定浏览器的动态链接库文件为异常项。

在本发明的一个实施例中，当检测项为网络配置信息时，特征信息为本地DNS地址，检测模块30具体用于判断本地DNS地址是否在黑名单中，并在本地DNS地址在黑名单中时，确定本地DNS地址做作为异常项。

在本发明的一个实施例中，当检测项为网络配置信息时，特征信息为LSP完整性信息，检测模块30具体用于根据LSP完整信息判断LSP链中是否存在断链，并在存在断链时，确定LSP链为异常项。

在本发明的一个实施例中，当检测项为网络配置信息时，特征信息为网络连接相关文件和/或注册表的访问权限，检测模块30具体用于根据访问权限获取访问权限高于预设权限阈值的网络连接相关文件和/或注册表，并将访问权限高于预设权限阈值的网络连接相关文件和/或注册表作为异常项。

在本发明的一个实施例中，当检测项为浏览器配置信息时，特征信息为HTTP的指向文件信息，检测模块30具体用于根据HTTP的指向文件信息对HTTP的指向文件进行存在性验证、完整性验证和安全性验证，并在HTTP的指向文件未通过存在性验证、完整性验证和安全性验证中的至少一种时，确定HTTP的指向文件为异常项。

在本发明的一个实施例中，当检测项为浏览器配置信息时，特征信息为hosts文件信息，检测模块30具体用于在根据hosts文件信息判断hosts文件中存在以下行为中的一项或多项时，确定hosts文件为异常项：

将多个网址域名重定向为特定IP地址；

将至少一个白名单网址域名定向为可疑IP地址；

包含至少一个恶意IP地址。

在本发明的一个实施例中，当检测项为浏览器置信息时，特征信息为代理服务器信息，检测模块30具体用于检测浏览器是否设置了代理服务器，并在设置了代理服务器时，确定浏览器为异常项。

在本发明的一个实施例中，当检测项为浏览器配置信息时，特征信息为当前使用的浏览器的内核信息，检测模块30具体用于获取具有与当前使用的浏览器的内核信息不同的内核的第三方浏览器，并通过第三方，并通过第三方浏览器进行网络访问测试，并在第三方浏览器能够访问网络时，驱动当前使用的浏览器为异常项。

在本发明的一个实施例中，当检测项为浏览器配置信息时，特征信息为浏览器的缓存信息，检测模块30具体用于获取用户终端中的至少一个浏览器，并根据缓存信息获取至少一个浏览器中缓存超过预设阈值的浏览器，并将缓存超过预设阈值的浏览器作为异常项。

本发明实施例的网络异常检测的装置，通过将网络技术问题划分为多个精细的检测项，并分别通过提取多个检测项的特征信息对多个检测项进行检测以获取异常项，即网络异常的原因，在获取网络异常的原因的过程中，不但考虑了网络连接状态信息、网络配置信息、浏览器配置信息导致的网络异常的情况，并且考虑到了浏览器的动态链接库文件的异常导致网络异常的情况，能够自动、全面、准确的检测和分析网络异常的原因，从而为网络修复提供准确的依据，便于及时修复网络，提升用户体验。

图6是根据本发明另一个实施例的网络异常检测的装置的结构框图。如图6所示，该网络异常检测的装置包括：获取模块10、提取模块20、检测模块30和修复模块40。

具体地，修复模块40用于根据异常项对应的修复策略对异常项进行修复。

在本发明的实施例中，修复模块40对浏览器的动态链接库文件进行修复时，首先获取浏览器的版本信息（包括有效版本号和子版本号），然后检测系统备份文件中是否有与该版本信息相匹配的动态链接库文件，如果有，则根据其对异常的动态链接库文件进行修复（替换异常项对应的浏览器的动态链接库文件），如果没有，则从服务器下载对应版本的动态链接库文件进行修复。最后在修复完成后调用注册程序（如regsvr32.exe）注册修复后的动态链接库文件。举例来说，如注册文件u urlmon.dll的注册命令为regsvr32.exe/uurlmon.dll。

在本发明的实施例中，当本地DNS地址在黑名单内时，修复模块40对本地DNS地址进行修复可通过清除本地DNS地址，并自动分配新的DNS地址，或者将本地DNS地址修改为公用DNS地址，然后执行DNS刷新指令ipconfig/flushdns进行修复。当本地DNS地址不在黑名单内时，修复模块40可将主DNS地址设置为公用DNS地址，将备用DNS地址设置为本地DNS地址，然后执行DNS刷新指令ipconfig/flushdns。

在本发明的实施例中，修复模块40可通过将断链对应的文件信息从LSP链中移除对LSP链进行修复，如果移除失败，可对LSP链进行初始化，即还原LSP链。

在本发明的实施例中，修复模块40可通过调用安全管理软件中的驱动接口修改访问权限高于预设权限阈值的网络连接相关文件和/或注册表的访问权限，以使异常项的访问权限低于预设权限阈值，以对访问权限高于预设权限阈值的网络连接相关文件和/或注册表进行修复。

在本发明的实施例中，修复模块40可通过将HTTP的指向文件修复为默认浏览器程序HTTP的指向文件进行修复。

在本发明的实施例中，修复模块40修复hosts文件时，可首先备份hosts文件，然后将hosts文件还原为系统默认hosts文件。

在本发明的实施例中，修复模块40可通过清除浏览器的代理服务器对相应的浏览器进行修复。

在本发明的实施例中，修复模块40可通过对当前使用的浏览器的内核进行修复以对浏览器内核进行修复，如果修复失败，则可提示用户使用第三方浏览器。

在本发明的实施例中，修复模块40可对缓存超过预设阈值的浏览器的缓存进行清理以修复网络连接。

本发明实施例的网络异常检测的装置，修复模块可针对检测到的不同的异常项采取相应的措施分别进行修复，并且在修复过程中，优先采用修复措施，并在修复失败时还原为系统默认值的方法，大大增加了网络异常修复的成功率，进一步提升了用户体验。

为了实现上述实施例，本发明还提出一种终端设备。该终端包括外壳，显示器、电路板和处理器，其中，电路板安置在外壳围成的空间内部，显示器在外壳外部，并与电路板相连接，处理器设置在电路板上；处理器用于处理数据，并具体用于执行以下步骤。

S101’，获取多个检测项，其中，多个检测项包括浏览器的动态链接库文件，且多个检测项还包括网络连接状态信息、网络配置信息、浏览器配置信息中的一种或多种。

S102’，分别提取多个检测项的特征信息。

S103’，根据多个检测项分别对应的特征信息对多个检测项进行检测以获取至少一个异常项。

S104’，根据异常项对应的修复策略对异常项进行修复。

在本发明的实施例中，步骤S104’是可选的。

本发明实施例的终端设备，通过将网络技术问题划分为多个精细的检测项，并分别通过提取多个检测项的特征信息对多个检测项进行检测以获取异常项，即网络异常的原因，在获取网络异常的原因的过程中，不但考虑了网络连接状态信息、网络配置信息、浏览器配置信息导致的网络异常的情况，并且考虑到了浏览器的动态链接库文件的异常导致网络异常的情况，能够自动、全面、准确的检测和分析网络异常的原因，从而为网络修复提供准确的依据，便于及时修复网络，提升用户体验。

在本发明的描述中，需要理解的是，术语“中心”、“纵向”、“横向”、“长度”、“宽度”、“厚度”、“上”、“下”、“前”、“后”、“左”、“右”、“竖直”、“水平”、“顶”、“底”“内”、“外”、“顺时针”、“逆时针”、“轴向”、“径向”、“周向”等指示的方位或位置关系为基于附图所示的方位或位置关系，仅是为了便于描述本发明和简化描述，而不是指示或暗示所指的装置或元件必须具有特定的方位、以特定的方位构造和操作，因此不能理解为对本发明的限制。

此外，术语“第一”、“第二”仅用于描述目的，而不能理解为指示或暗示相对重要性或者隐含指明所指示的技术特征的数量。由此，限定有“第一”、“第二”的特征可以明示或者隐含地包括至少一个该特征。在本发明的描述中，“多个”的含义是至少两个，例如两个，三个等，除非另有明确具体的限定。

在本发明中，除非另有明确的规定和限定，术语“安装”、“相连”、“连接”、“固定”等术语应做广义理解，例如，可以是固定连接，也可以是可拆卸连接，或成一体；可以是机械连接，也可以是电连接；可以是直接相连，也可以通过中间媒介间接相连，可以是两个元件内部的连通或两个元件的相互作用关系，除非另有明确的限定。对于本领域的普通技术人员而言，可以根据具体情况理解上述术语在本发明中的具体含义。

在本发明中，除非另有明确的规定和限定，第一特征在第二特征“上”或“下”可以是第一和第二特征直接接触，或第一和第二特征通过中间媒介间接接触。而且，第一特征在第二特征“之上”、“上方”和“上面”可是第一特征在第二特征正上方或斜上方，或仅仅表示第一特征水平高度高于第二特征。第一特征在第二特征“之下”、“下方”和“下面”可以是第一特征在第二特征正下方或斜下方，或仅仅表示第一特征水平高度小于第二特征。

在本说明书的描述中，参考术语“一个实施例”、“一些实施例”、“示例”、“具体示例”、或“一些示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本发明的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不必须针对的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任一个或多个实施例或示例中以合适的方式结合。此外，在不相互矛盾的情况下，本领域的技术人员可以将本说明书中描述的不同实施例或示例以及不同实施例或示例的特征进行结合和组合。

尽管上面已经示出和描述了本发明的实施例，可以理解的是，上述实施例是示例性的，不能理解为对本发明的限制，本领域的普通技术人员在本发明的范围内可以对上述实施例进行变化、修改、替换和变型。

Claims (34)

1.一种网络异常检测的方法，其特征在于，包括：

获取多个检测项，其中，所述多个检测项包括浏览器的动态链接库文件，且所述多个检测项还包括网络连接状态信息、网络配置信息、浏览器配置信息中的一种或多种；

分别提取所述多个检测项的特征信息；以及

根据所述多个检测项分别对应的特征信息对所述多个检测项进行检测以获取至少一个异常项，当所述检测项为所述浏览器的动态链接库文件时，所述特征信息为文件特征和签名信息，所述根据所述多个检测项分别对应的特征信息对所述多个检测项进行检测以获取至少一个异常项，包括：

根据所述文件特征和签名信息对所述浏览器的动态链接库文件进行存在性验证、完整性验证和安全性验证，其中，如果所述浏览器的动态链接库文件的签名信息为无效数字签名，则根据所述动态链接库文件的行为特征查询行为特征库，如果所述动态链接库文件的行为特征为安全行为特征，则所述动态链接库文件通过安全性验证；

如果所述浏览器的动态链接库文件未通过所述存在性验证、完整性验证和安全性验证中的至少一项，则所述浏览器的动态链接库文件为异常项；

根据所述异常项对应的修复策略对所述异常项进行修复，包括：当浏览器的动态链接库文件异常时，获取浏览器的版本信息，检测系统备份文件中是否有与所述版本信息匹配的动态链接库文件，若有，则用其替换异常项对应的浏览器的动态链接库文件，否则从服务器下载对应版本的动态链接库文件进行修复，修复完成后调用注册程序注册修复后的动态链接库文件。

2.如权利要求1所述的方法，其特征在于，当所述检测项为所述网络配置信息时，所述特征信息为本地域名解析服务器DNS地址，

所述根据所述多个检测项分别对应的特征信息对所述多个检测项进行检测以获取至少一个异常项，包括：

判断所述本地DNS地址是否在黑名单中；

如果在所述黑名单中，则所述本地DNS地址为异常项。

3.如权利要求2所述的方法，其特征在于，所述根据所述异常项对应的修复策略对所述异常项进行修复，包括：

清除所述本地DNS地址，并自动分配新的DNS地址；或

将所述本地DNS地址修改为公用DNS地址。

4.如权利要求1所述的方法，其特征在于，当所述检测项为所述网络配置信息时，所 述特征信息为LSP分层服务提供商完整性信息，

所述根据所述多个检测项分别对应的特征信息对所述多个检测项进行检测以获取至少一个异常项，包括：

根据所述LSP完整性信息判断LSP链中是否存在断链；

如果存在，则所述LSP链为异常项。

5.如权利要求4所述的方法，其特征在于，所述根据所述异常项对应的修复策略对所述异常项进行修复，包括：

将所述断链对应的文件信息从所述LSP链中移除；

如果移除失败，则对所述LSP链进行初始化。

6.如权利要求1所述的方法，其特征在于，当所述检测项为所述网络配置信息时，所述特征信息为网络连接相关文件和/或注册表的访问权限，

所述根据所述多个检测项分别对应的特征信息对所述多个检测项进行检测以获取至少一个异常项，包括：

根据所述访问权限获取访问权限高于预设权限阈值的网络连接相关文件和/或注册表，并将所述访问权限高于预设权限阈值的网络连接相关文件和/或注册表作为所述异常项。

7.如权利要求6所述的方法，其特征在于，所述根据所述异常项对应的修复策略对所述异常项进行修复，包括：

修改所述访问权限高于预设权限阈值的网络连接相关文件和/或注册表的访问权限，以使所述异常项的访问权限低于所述预设权限阈值。

8.如权利要求1所述的方法，其特征在于，当所述检测项为所述浏览器配置信息时，所述特征信息为超文本传输协议HTTP的指向文件信息，

所述根据所述多个检测项分别对应的特征信息对所述多个检测项进行检测以获取至少一个异常项，包括：

根据所述HTTP的指向文件信息对所述HTTP的指向文件进行存在性验证、完整性验证和安全性验证；

如果所述HTTP的指向文件未通过所述存在性验证、完整性验证和安全性验证中的至少一种，则所述HTTP的指向文件为所述异常项。

9.如权利要求8所述的方法，其特征在于，所述根据所述异常项对应的修复策略对所述异常项进行修复，包括：

将所述HTTP的指向文件修复为默认浏览器程序。

10.如权利要求1所述的方法，其特征在于，当所述检测项为所述浏览器配置信息时，所述特征信息为hosts文件信息，

所述根据所述多个检测项分别对应的特征信息对所述多个检测项进行检测以获取至少一个异常项，包括：

如果根据所述hosts文件信息判断所述hosts文件中存在以下行为中的一项或多项，则所述hosts文件为所述异常项：

将多个网址域名重定向为特定IP地址；

将至少一个白名单网址域名定向为可疑IP地址；

包含至少一个恶意IP地址。

11.如权利要求10所述的方法，其特征在于，所述根据所述异常项对应的修复策略对所述异常项进行修复，包括：

备份所述hosts文件，并将所述hosts文件还原为系统默认hosts文件。

12.如权利要求1所述的方法，其特征在于，当所述检测项为所述浏览器配置信息时，所述特征信息为代理服务器信息，

所述根据所述多个检测项分别对应的特征信息对所述多个检测项进行检测以获取至少一个异常项，包括：

检测所述浏览器是否设置了代理服务器；

如果设置了代理服务器，则所述浏览器为所述异常项。

13.如权利要求12所述的方法，其特征在于，所述根据所述异常项对应的修复策略对所述异常项进行修复，包括：

清除所述浏览器的所述代理服务器。

14.如权利要求1所述的方法，其特征在于，当所述检测项为所述浏览器配置信息时，所述特征信息为当前使用的浏览器的内核信息，

所述根据所述多个检测项分别对应的特征信息对所述多个检测项进行检测以获取至少一个异常项，包括：

获取具有与当前使用的浏览器的内核信息不同的内核的第三方浏览器，并通过所述第三方浏览器进行网络访问测试；

如果所述第三方浏览器能够访问网络，则所述当前使用的浏览器内核为所述异常项。

15.如权利要求14所述的方法，其特征在于，所述根据所述异常项对应的修复策略对所述异常项进行修复，包括：

对所述当前使用的浏览器的内核进行修复；

如果修复失败，则提示用户使用所述第三方浏览器。

16.如权利要求1所述的方法，其特征在于，当所述检测项为所述浏览器配置信息时，所述特征信息为浏览器的缓存信息，

所述根据所述多个检测项分别对应的特征信息对所述多个检测项进行检测以获取至少一个异常项，包括：

获取用户终端中的至少一个浏览器；

根据所述缓存信息获取所述至少一个浏览器中缓存超过预设阈值的浏览器，并将所述缓存超过预设阈值的浏览器作为所述异常项。

17.如权利要求16所述的方法，其特征在于，所述根据所述异常项对应的修复策略对所述异常项进行修复，包括：

对所述缓存超过预设阈值的浏览器的缓存进行清理。

18.一种网络异常检测的装置，其特征在于，包括：

获取模块，用于获取多个检测项，其中，所述多个检测项包括浏览器的动态链接库文件，且所述多个检测项还包括网络连接状态信息、网络配置信息、浏览器配置信息中的一种或多种；

提取模块，用于分别提取所述多个检测项的特征信息；以及

检测模块，用于根据所述多个检测项分别对应的特征信息对所述多个检测项进行检测以获取至少一个异常项，当所述检测项为所述浏览器的动态链接库文件时，所述特征信息为文件特征和签名信息，所述检测模块具体用于根据所述文件特征和签名信息对所述浏览器的动态链接库文件进行存在性验证、完整性验证和安全性验证，其中，如果所述浏览器的动态链接库文件的签名信息为无效数字签名，则根据所述动态链接库文件的行为特征查询行为特征库，如果所述动态链接库文件的行为特征为安全行为特征，则所述动态链接库文件通过安全性验证，并在所述浏览器的动态链接库文件未通过所述存在性验证、完整性验证和安全性验证中的至少一项时，确定所述浏览器的动态链接库文件为异常项；

修复模块，用于根据所述异常项对应的修复策略对所述异常项进行修复，所述修复模块，具体用于当浏览器的动态链接库文件异常时，获取浏览器的版本信息，检测系统备份文件中是否有与所述版本信息匹配的动态链接库文件，若有，则用其替换异常项对应的浏览器的动态链接库文件，否则从服务器下载对应版本的动态链接库文件进行修复，修复完成后调用注册程序注册修复后的动态链接库文件。

19.如权利要求18所述的装置，其特征在于，当所述检测项为所述网络配置信息时，所述特征信息为本地DNS地址，

所述检测模块具体用于判断所述本地DNS地址是否在黑名单中，并在所述本地DNS地址在所述黑名单中时，确定所述本地DNS地址做作为异常项。

20.如权利要求19所述的装置，其特征在于，所述修复模块具体用于清除所述本地DNS地址，并自动分配新的DNS地址；或将所述本地DNS地址修改为公用DNS地址。

21.如权利要求18所述的装置，其特征在于，当所述检测项为所述网络配置信息时，所述特征信息为LSP完整性信息，

所述检测模块具体用于根据所述LSP完整信息判断LSP链中是否存在断链，并在存在断链时，确定所述LSP链为异常项。

22.如权利要求21所述的装置，其特征在于，修复模块具体用于将所述断链对应的文件信息从所述LSP链中移除，并在移除失败时，对所述LSP链进行初始化。

23.如权利要求18所述的装置，其特征在于，当所述检测项为所述网络配置信息时，所述特征信息为网络连接相关文件和/或注册表的访问权限，所述检测模块具体用于根据所述访问权限获取访问权限高于预设权限阈值的网络连接相关文件和/或注册表，并将所述访问权限高于预设权限阈值的网络连接相关文件和/或注册表作为所述异常项。

24.如权利要求23所述的装置，其特征在于，所述修复模块具体用于修改所述异常项的访问权限，以使所述异常项的访问权限低于所述预设权限阈值。

25.如权利要求18所述的装置，其特征在于，当所述检测项为所述浏览器配置信息时，所述特征信息为HTTP的指向文件信息，所述检测模块具体用于根据所述HTTP的指向文件信息对所述HTTP的指向文件进行存在性验证、完整性验证和安全性验证，并在所述HTTP的指向文件未通过所述存在性验证、完整性验证和安全性验证中的至少一种时，确定所述HTTP的指向文件为所述异常项。

26.如权利要求25所述的装置，其特征在于，所述修复模块具体用于将所述HTTP的指向文件修复为默认浏览器程序。

27.如权利要求18所述的装置，其特征在于，当所述检测项为所述浏览器配置信息时，所述特征信息为hosts文件信息，所述检测模块具体用于在根据所述hosts文件信息判断所述hosts文件中存在以下行为中的一项或多项时，确定所述hosts文件为所述异常项：

将多个网址域名重定向为特定IP地址；

将至少一个白名单网址域名定向为可疑IP地址；

包含至少一个恶意IP地址。

28.如权利要求27所述的装置，其特征在于，所述修复模块具体用于备份所述hosts文件，并将所述hosts文件还原为系统默认hosts文件。

29.如权利要求18所述的装置，其特征在于，当所述检测项为所述浏览器置信息时，所述特征信息为代理服务器信息，所述检测模块具体用于检测所述浏览器是否设置了代理服务器，并在设置了代理服务器时，确定所述浏览器为所述异常项。

30.如权利要求29所述的装置，其特征在于，所述修复模块具体用于清除所述浏览器的所述代理服务器。

31.如权利要求18所述的装置，其特征在于，当所述检测项为所述浏览器配置信息时，所述特征信息为当前使用的浏览器的内核信息，所述检测模块具体用于获取具有与当前使用的浏览器的内核信息不同的内核的第三方浏览器，并通过所述第三方浏览器进行网络访问测试，并在所述第三方浏览器能够访问网络时，驱动当前使用的浏览器为所述异常项。

32.如权利要求31所述的装置，其特征在于，所述修复模块具体用于对所述当前使用的浏览器的内核进行修复，并在修复失败时，提示用户使用所述第三方浏览器。

33.如权利要求18所述的装置，其特征在于，当所述检测项为所述浏览器配置信息时，所述特征信息为浏览器的缓存信息，所述检测模块具体用于获取用户终端中的至少一个浏览器，并根据所述缓存信息获取所述至少一个浏览器中缓存超过预设阈值的浏览器，并将所述缓存超过预设阈值的浏览器作为所述异常项。

34.如权利要求33所述的装置，其特征在于，所述修复模块具体用于对所述缓存超过预设阈值的浏览器的缓存进行清理。