CN105389511A - 一种病毒查杀方法、装置及电子设备 - Google Patents

Abstract

本发明实施例公开了一种病毒查杀方法，针对电子设备中处于不同生命状态的应用程序采用不同的扫描策略，所述方法包括：在接收到病毒扫描指令时，确定所述病毒扫描指令的扫描对象，若所述扫描对象为应用程序安装包，则通过SD卡扫描策略扫描所述扫描对象，若所述扫描对象为正在安装的应用程序，则通过安装监控扫描策略扫描所述扫描对象，若所述扫描对象为已安装的应用程序，则通过一键扫描策略扫描所述扫描对象。相应地，本发明实施例还公开了一种病毒查杀装置及电子设备，可以针对不同生命状态的应用程序采用了不同的扫描策略，增强电子设备的安全保障。

Description

一种病毒查杀方法、装置及电子设备

技术领域

本发明涉及计算机技术领域，尤其涉及一种病毒查杀方法、装置及电子设备。

背景技术

随着智能手机、平板电脑、笔记本电脑等电子设备的不断普及，各种应用软件层出不穷，如视频软件、聊天工具、游戏娱乐软件等等。这些应用软件无疑给用户生活带来了很多色彩，但不可否认的是应用软件也使计算机病毒趁虚而入，计算机病毒往往附着在应用软件中，当应用软件运行时就运行其代码并对电子设备内存、用户隐私进行读写操作。应用程序包括三种生命状态：应用程序安装包、正在安装的应用程序和已经安装的应用程序，在不同的生命状态下，计算机病毒的影响力也不同、运行方式也不同，而目前的病毒查杀功能比较单一，针对不同生命状态的应用程序采用相同的扫描策略，从而不能有效地扫描出计算机病毒，使得电子设备的安全性较低。

发明内容

本发明提供一种病毒查杀方法、装置及电子设备，可以解决电子设备的安全性较低的问题。

为了解决上述技术问题，本发明第一方面提供了一种病毒查杀方法，针对电子设备处于不同生命状态的应用程序采用不同的扫描策略，所述方法包括：

在接收到病毒扫描指令时，确定所述病毒扫描指令的扫描对象；

若所述扫描对象为应用程序安装包，则通过SD卡扫描策略扫描所述扫描对象；

若所述扫描对象为正在安装的应用程序，则通过安装监控扫描策略扫描所述扫描对象；

若所述扫描对象为已安装的应用程序，则通过一键扫描策略扫描所述扫描对象。

其中，所述通过SD卡扫描策略扫描所述扫描对象，包括：

调用至少两个杀毒引擎中的主杀毒引擎对应用程序安装包进行扫描；

若所述主杀毒引擎扫描到病毒的数量达到第一门限值，则调用所述至少两个杀毒引擎中的辅杀毒引擎对应用程序安装包进行扫描，其中，所述辅杀毒引擎的病毒查杀率大于所述主杀毒引擎的病毒查杀率；

输出所述辅杀毒引擎的扫描结果。

其中，所述通过安装监控扫描策略扫描所述扫描对象，包括：

获取记录的原始病毒的数量，所述原始病毒的数量是所述电子设备从预设时刻开始检测并记录的数据；

判断所述原始病毒的数量是否达到第二门限值；

若是，则调用至少两个杀毒引擎中的辅杀毒引擎对正在安装的应用程序进行扫描，并输出扫描结果；

若否，则调用所述至少两个杀毒引擎中的主杀毒引擎对正在安装的应用程序进行扫描，并输出扫描结果。

进一步的，所述调用所述至少两个杀毒引擎中的主杀毒引擎对正在安装的应用程序进行扫描之后，所述方法还包括：

若所述主杀毒引擎在正在安装的应用程序中扫描到病毒，则根据扫描到的病毒数量更新记录的所述原始病毒的数量。

再进一步的，所述方法还包括：

在当前时刻与所述预设时刻的时间间隔达到预设时间阈值时，对记录的所述原始病毒的数量进行清零。

其中，所述通过一键扫描策略扫描所述扫描对象，包括：

调用至少两个杀毒引擎中的主杀毒引擎对已安装的应用程序进行扫描；

若所述主杀毒引擎扫描到未知病毒的数量达到第三门限值，或扫描到病毒的数量达到第四门限值，则调用所述至少两个杀毒引擎中的辅杀毒引擎对已安装的应用程序进行扫描，所述未知病毒为所述主杀毒引擎无法识别是否为病毒的样本，其中，所述辅杀毒引擎的病毒查杀率大于所述主杀毒引擎的病毒查杀率；

输出所述辅杀毒引擎的扫描结果。

进一步的，所述方法还包括：

比较所述主杀毒引擎和所述辅杀毒引擎的扫描结果；

若所述辅杀毒引擎扫描出除所述主杀毒引擎的扫描结果以外的其他扫描结果，则将所述其他扫描结果上报给所述服务器，以使所述服务器对其进行记录。

其中，所述方法还包括：

在连接到无线局域网时，下载并更新本地的病毒库。

进一步的，所述方法还包括：

在连接到无线局域网时，检测是否处于空闲状态；

当处于空闲状态时，执行所述下载并更新本地的病毒库的步骤。

相应地，本发明第二方面还提供了一种病毒查杀装置，针对电子设备处于不同生命状态的应用程序采用不同的扫描策略，所述装置包括：

扫描对象确定模块，用于在接收到病毒扫描指令时，确定所述病毒扫描指令的扫描对象；

第一扫描模块，用于若所述扫描对象为应用程序安装包，则通过SD卡扫描策略扫描所述扫描对象；

第二扫描模块，用于若所述扫描对象为正在安装的应用程序，则通过安装监控扫描策略扫描所述扫描对象；

第三扫描模块，用于若所述扫描对象为已安装的应用程序，则通过一键扫描策略扫描所述扫描对象。

其中，所述第一扫描模块包括：

杀毒引擎调用单元，用于调用至少两个杀毒引擎中的主杀毒引擎对应用程序安装包进行扫描；

所述杀毒引擎调用单元还用于：

若所述主杀毒引擎扫描到病毒的数量达到第一门限值，则调用所述至少两个杀毒引擎中的辅杀毒引擎对应用程序安装包进行扫描，其中，所述辅杀毒引擎的病毒查杀率大于所述主杀毒引擎的病毒查杀率；

输出单元，用于输出所述辅杀毒引擎的扫描结果。

进一步的，第一扫描模块还可以包括：

比较单元，用于比较所述主杀毒引擎和所述辅杀毒引擎的扫描结果；

发送单元，用于若所述辅杀毒引擎扫描出除所述主杀毒引擎的扫描结果以外的其他扫描结果，则将所述其他扫描结果上报给所述服务器，以使所述服务器对其进行记录。

其中，所述第二扫描模块包括：

获取单元，用于获取记录的原始病毒的数量，所述原始病毒的数量为所述电子设备从预设时刻开始检测并记录的数据；

判断单元，用于判断所述原始病毒的数量是否达到第二门限值；

杀毒引擎调用单元，用于若所述原始病毒的数量达到第二门限值，则调用至少两个杀毒引擎中的辅杀毒引擎对正在安装的应用程序进行扫描；

所述杀毒引擎调用单元还用于：

若所述原始病毒的数量未达到第二门限值，则调用所述至少两个杀毒引擎中的主杀毒引擎对正在安装的应用程序进行扫描，其中，所述辅杀毒引擎的病毒查杀率大于所述主杀毒引擎的病毒查杀率；

输出单元，用于输出所述杀毒引擎的扫描结果。

进一步的，所述第二扫描模块还包括：

更新单元，用于若所述主杀毒引擎在正在安装的应用程序中扫描到病毒，则根据扫描到的病毒数量更新记录的所述原始病毒的数量。

再进一步的，所述第二扫描模块还包括：

置零单元，用于在当前时刻与所述预设时刻的时间间隔达到预设时间阈值时，对记录的所述原始病毒的数量进行清零。

其中，所述第三扫描模块包括：

杀毒引擎调用单元，用于调用至少两个杀毒引擎中的主杀毒引擎对已安装的应用程序进行扫描；

所述杀毒引擎调用单元还用于：

若所述主杀毒引擎扫描到未知病毒的数量达到第三门限值，或扫描到病毒的数量达到第四门限值，则调用所述至少两个杀毒引擎中的辅杀毒引擎对已安装的应用程序进行扫描，所述未知病毒为所述主杀毒引擎无法识别是否为病毒的样本，其中，所述辅杀毒引擎的病毒查杀率大于所述主杀毒引擎的病毒查杀率；

输出单元，用于输出所述辅杀毒引擎的扫描结果。

进一步的，第三扫描模块还可以包括：

比较单元，用于比较所述主杀毒引擎和所述辅杀毒引擎的扫描结果；

发送单元，用于若所述辅杀毒引擎扫描出除所述主杀毒引擎的扫描结果以外的其他扫描结果，则将所述其他扫描结果上报给所述服务器，以使所述服务器对其进行记录。

进一步的，所述装置还包括：

更新模块，用于在连接到无线局域网时，下载并更新本地的病毒库。

再进一步的，所述更新模块具体可以用于：

在连接到无线局域网时，检测是否处于空闲状态；

当处于空闲状态时，下载并更新本地的病毒库。

相应地，本发明第三方面还提供了一种电子设备，包括：壳体、处理器、存储器、电路板和电源电路，其中，电路板安置在壳体围成的空间内部，处理器和存储器设置在电路板上；电源电路，用于为电子设备的各个电路或器件供电；存储器用于存储可执行程序代码；处理器通过读取存储器中存储的可执行程序代码来运行与可执行程序代码对应的程序，以用于执行以下步骤：

在接收到病毒扫描指令时，确定所述病毒扫描指令的扫描对象；

若所述扫描对象为应用程序安装包，则通过SD卡扫描策略扫描所述扫描对象；

若所述扫描对象为正在安装的应用程序，则通过安装监控扫描策略扫描所述扫描对象；

若所述扫描对象为已安装的应用程序，则通过一键扫描策略扫描所述扫描对象。

相应地，本发明第四方面还提供了一种存储介质，其中，所述存储介质用于存储应用程序，所述应用程序用于在运行时执行本发明实施例第一方面公开的一种病毒查杀方法。

本发明实施例第五方面还提供了一种应用程序，其中，所述应用程序用于在运行时执行本发明实施例第一方面公开的一种病毒查杀方法。

实施本发明实施例，具有如下有益效果：

电子设备在接收到病毒扫描指令时，先确定该病毒扫描指令的扫描对象，若扫描对象为应用程序安装包，则通过SD卡扫描策略扫描该扫描对象，若扫描对象为正在安装的应用程序，则通过安装监控扫描策略扫描该扫描对象，若扫描对象为已安装的应用程序，则通过一键扫描策略扫描该扫描对象，电子设备针对不同生命状态的应用程序采用了不同的扫描策略，增强了电子设备的安全保障。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例提供的一种病毒查杀方法的流程示意图；

图2是本发明实施例提供的一种病毒查杀界面的示意图；

图3是图1中SD卡扫描的流程示意图；

图4是图1中安装监控扫描的流程示意图；

图5是图1中一键扫描的流程示意图；

图6是本发明实施例提供的一种病毒查杀装置的结构示意图；

图7是图6中的第一扫描模块的结构示意图；

图8是图6中的第二扫描模块的结构示意图；

图9是图6中的第三扫描模块的结构示意图；

图10是本发明实施例提供的一种电子设备的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

在此部分，首先对本发明各个实施例均涉及到的一些基本概念进行说明。

本发明实施例中的病毒查杀装置(以下简称为“本发明装置”)内置于电子设备，所述电子设备可以包括个人电脑、智能手机、平板电脑、游戏机以及电子阅读器等，所述电子设备具备接入互联网的功能。

本发明实施例中的病毒为计算机病毒，即通过互联网进入电子设备并盗取用户信息的一种程序，例如：盗号木马、QQ粘虫等。

本发明实施例中的服务器包括云端的杀毒服务器，所述杀毒服务器至少包括杀毒进程、病毒库以及地址数据库。

启发式引擎，利用启发式技术，在原有的特征值识别技术基础上，根据反病毒样本分析专家总结的分析可疑程序样本经验(移植入反病毒程序)，在没有符合特征值比对时，根据反编译后程序代码所调用的win32API函数情况(特征组合、出现频率等)判断程序的具体目的是否为病毒、恶意软件，符合判断条件即报警提示用户发现可疑程序，达到防御未知病毒、恶意软件的目的。例如：一个可疑程序通过反病毒杀毒引擎反编译后，发现代码中自动释放可执行文件驻留系统目录、伪装系统文件、注册win32服务获取系统管理权限、通过命令行删除自身文件，调用系统组件svchost.exe来开启后门服务，隐藏自身进程并尝试通过openSCmanagerA、OpenServiceA、ControlService等函数来开启系统自身的电子设备服务，以便进一步控制计算机。通过这些条件即可判断为恶意软件(后门程序)。

本发明实施例中的应用程序包括三种生命状态：应用程序安装包、正在安装的应用程序以及已安装的应用程序，本发明实施例可以针对不同生命状态的应用程序采用不同的扫描策略，提高了电子设备的安全保障。

请参阅图1，图1是本发明实施例中一种病毒查杀方法的流程示意图。如图1所示所述方法可以包括：

步骤S11，在接收到病毒扫描指令时，确定病毒扫描指令的扫描对象。

电子设备若接收到扫描本地的应用程序安装包的指令，或者，电子设备检测到正在下载应用程序安装包，可以认为是接收到病毒扫描指令，则将本地的应用程序安装包作为扫描对象。具体的，电子设备可以显示如图2所示的界面，用户可以点击“扫描应用程序”—“SD卡扫描”，电子设备则可以接收到扫描本地的应用程序安装包的指令。需要说明的是，“SD卡扫描”可以理解为扫描SD卡中的应用程序安装包，也可以理解为扫描电子设备的存储系统中的应用程序安装包。具体名称本发明不限定，只是为了便于描述，本发明实施例将其命名为“SD卡扫描”，且图2中的显示方式只是一种具体的实现方式，不能以此限定本发明。

电子设备若检测到本地正在安装应用程序，可以认为是接收到病毒扫描指令，则将正在安装的应用程序作为扫描对象。

电子设备若接收到扫描本地已安装的应用程序的指令，可以认为是接收到病毒扫描指令，则将已安装的应用程序作为扫描对象。具体的，电子设备可以显示如图2所示的界面，用户可以点击“扫描应用程序”—“一键扫描”，电子设备则可以接收到扫描本地已安装的应用程序的指令。需要说明的是，“一键扫描”可以理解为一次性完成对电子设备中已安装的应用程序进行扫描。具体名称本发明不限定，只是为了便于描述，本发明实施例将其命名为“一键扫描”，且图2中的显示方式只是一种具体的实现方式，不能以此限定本发明。

步骤S12，若扫描对象为应用程序安装包，则通过SD卡扫描策略扫描该扫描对象。

步骤S13，若扫描对象为正在安装的应用程序，则通过安装监控扫描策略扫描该扫描对象。

步骤S14，若扫描对象为已安装的应用程序，则通过一键扫描策略扫描该扫描对象。

下面结合图3具体描述SD卡扫描的流程。如图3所示SD卡扫描可以包括：

步骤S31，调用至少两个杀毒引擎中的主杀毒引擎对应用程序安装包进行扫描，若主杀毒引擎扫描到病毒的数量达到第一门限值，则执行步骤S32，否则，一直使用主杀毒引擎对应用程序安装包进行扫描。

电子设备安装了至少两个杀毒引擎：一个主杀毒引擎和至少一个辅杀毒引擎，其中，主杀毒引擎是根据预先下载的病毒库对应用程序安装包进行扫描；辅杀毒引擎可以为启发式引擎。总的来说，辅杀毒引擎的病毒查杀率大于主杀毒引擎的病毒查杀率。

针对应用程序的三种生命状态，只有应用程序安装包是静态的，其病毒的影响力低于其他两种生命状态的影响力，当主杀毒引擎扫描到未知病毒时，电子设备可以上报云端，没必要调用辅杀毒引擎，原因在于，辅杀毒引擎容易引发误报，只有在检测到病毒的数量达到一定值时，才调用辅杀毒引擎，可以减少误报的次数，提高用户体验。

具体的，电子设备若确定扫描对象为电子设备中的应用程序安装包，电子设备则调用主杀毒引擎对应用程序安装包进行扫描，若主杀毒引擎扫描到的病毒的数量达到第一门限值，说明电子设备的危机较大，仅仅靠主杀毒引擎不能全面的扫描电子设备中应用程序安装包的病毒，因此，则执行步骤S32。其中，用户可以对第一门限值进行调整；或者，电子设备可以通过网络下载云端设置的值进行调整。

主杀毒引擎是通过预先存储的病毒库进行扫描，应指出的是，主杀毒引擎如何通过该病毒库进行扫描是本领域技术人员可理解的，在此不再赘述。

可选的，电子设备在接入无线局域网络时，可以检测病毒库是否存在更新，若存在，可以提示用户更新病毒库，在接收到更新病毒库的指令时，将最新的病毒库下载到本地；或者，电子设备在检测到病毒库存在更新时，直接将病毒库下载到本地；或者，电子设备在检测到病毒库存在更新，且检测到电子设备处于空闲状态时，才将病毒库下载到本地。

步骤S32，调用至少两个杀毒引擎中的辅杀毒引擎应用程序安装包进行扫描。

可选的，当电子设备通过主杀毒引擎扫描出病毒的数量达到第一预设阈值时，电子设备可以提示用户是否启动辅杀毒引擎，若接收到用户允许启动辅杀毒引擎的指令，电子设备才调用辅杀毒引擎对应用程序安装包进行扫描。应指出的是，辅杀毒引擎如何对应用程序安装包进行扫描是本领域技术人员可理解的，在此不再赘述。

步骤S33，输出辅杀毒引擎的扫描结果。

扫描结果包括扫描出的黑样本(即肯定为病毒)、白样本(肯定不是病毒)、和灰样本(可能是病毒，也有可能不是病毒，即无法识别是否为病毒的样本)的数量和/或类型，电子设备可以输出该扫描结果。进一步的，电子设备可以直接针对扫描出的黑样本进行处理。

再进一步的，电子设备可以比较主杀毒引擎和辅杀毒引擎的扫描结果，若辅杀毒引擎扫描出除主杀毒引擎的扫描结果以外的其他扫描结果，则将这些其他扫描结果上报给服务器，以使服务器对其进行记录。由于辅杀毒引擎的病毒查杀率大于主杀毒引擎，因此，辅杀毒引擎很可能会造成一些误报，因此，为了减少误报的情况，当辅杀毒引擎扫描出除主杀毒引擎的扫描结果以外的其他扫描结果，如辅杀毒引擎多扫描出几个病毒程序，电子设备则将这些其他扫描结果上报给服务器，如云端服务器，由服务器的病毒管理人员对其病毒进行审查，若审查结果确定为病毒，则将该病毒的特征更新到病毒库。

下面结合图4具体描述安装监控扫描的流程。如图4所示安装监控扫描可以包括：

步骤S41，获取记录的原始病毒的数量，原始病毒的数量为电子设备从预设时刻开始检测并记录的数据。其中，电子设备可以从预设时刻开始记录扫描到的病毒的数量，当电子设备开始扫描病毒时，电子设备则获取本次扫描之前已经扫描到的病毒的数量作为原始病毒的数量。预设时刻可以是用户设置的，也可以是系统设置的，本发明不限定。例如，预设时刻为“00:00”，从“00:00”到当前时刻已经检测到8个病毒，则电子设备获取的原始病毒的数量为8。

进一步的，在当前时刻与该预设时刻的时间间隔达到预设时间阈值时，对记录的所述原始病毒的数量进行清零。可选的，预设时间阈值为24小时的整数倍，也就是说，一般对原始病毒的数量进行清零后，电子设备又重新开始记录。

步骤S42，判断原始病毒的数量是否达到第二门限值；若原始病毒的数量达到第二门限值，则执行步骤S43；否则，执行步骤S44。其中，第二门限值可以为一个经验值，与第一门限值相等或不相等。用户可以对第二门限值进行调整；或者，电子设备可以通过网络下载云端设置的值进行调整。

步骤S43，调用至少两个杀毒引擎中的辅杀毒引擎对正在安装的应用程序进行扫描，并输出扫描结果。若原始病毒的数量达到第二门限值，说明，电子设备从预设时刻开始到当前时刻安装的应用程序的风险已经较高，针对本次安装的应用程序则调用辅杀毒引擎进行扫描，以提高电子设备的安全保障。

步骤S44，调用至少两个杀毒引擎中的主杀毒引擎对正在安装的应用程序进行扫描，并输出扫描结果。若原始病毒的数量未达到第二门限值，说明，电子设备从预设时刻开始到当前时刻安装的应用程序的风险较低，则调用主杀毒引擎进行扫描，以减少误报，提高用户体验。

进一步的，若主杀毒引擎在正在安装的应用程序中扫描到病毒，则根据扫描到的病毒数量更新记录的原始病毒的数量。例如，电子设备从预设时刻开始到当前时刻扫描出的病毒的数量为2个(假设第二门限值大于2)，本次通过主杀毒引擎扫描到的病毒的数量为2，电子设备则更新原始病毒的数量为4。

再进一步的，在本发明实施例中，不管是主杀毒引擎还是辅杀毒引擎在检测到未知病毒时，都可以上报服务器，以使服务器进行记录。

下面结合图5具体描述一键扫描的流程。如图5所示一键扫描可以包括：

步骤S51，调用至少两个杀毒引擎中的主杀毒引擎对已安装的应用程序进行扫描；若主杀毒引擎扫描到未知病毒的数量达到第三门限值，或扫描到病毒的数量达到第四门限值，则执行步骤S52。否则，一直使用主杀毒引擎对已安装的应用程序进行扫描。

针对应用程序的三种生命状态，已安装的应用程序的病毒的影响力高于其他两种生命状态的影响力，因此，不管是病毒还是未知病毒都具有一定影响力，都可以作为调用辅杀毒引擎与否的参考标准。

应指出的是，本发明中第一、第二、第三和第四门限值可以相等或不相等，本发明不限定。

步骤S52，调用所述至少两个杀毒引擎中的辅杀毒引擎对已安装的应用程序进行扫描。

可选的，当电子设备通过主杀毒引擎扫描出未知病毒的数量达到第三门限值，或扫描到病毒的数量达到第四门限值，电子设备可以提示用户是否启动辅杀毒引擎，若接收到用户允许启动辅杀毒引擎的指令，电子设备才调用辅杀毒引擎对已安装的应用程序进行扫描。应指出的是，辅杀毒引擎如何对已安装的应用程序进行扫描是本领域技术人员可理解的，在此不再赘述。

步骤S53，输出辅杀毒引擎的扫描结果。

扫描结果包括扫描出的黑样本、白样本、和灰样本的数量和/或类型，电子设备可以输出该扫描结果。进一步的，电子设备可以直接针对扫描出的黑样本进行处理。

再进一步的，电子设备可以比较主杀毒引擎和辅杀毒引擎的扫描结果，若辅杀毒引擎扫描出除主杀毒引擎的扫描结果以外的其他扫描结果，则将这些其他扫描结果上报给服务器，以使服务器对其进行记录。

请参阅图6，本发明实施例提供了一种病毒查杀装置的结构示意图。如图6所示，病毒查杀装置6至少可以包括扫描对象确定模块61、第一扫描模块62、第二扫描模块63以及第三扫描模块64，其中：

扫描对象确定模块61在接收到病毒扫描指令时，确定所述病毒扫描指令的扫描对象，若所述扫描对象为应用程序安装包，第一扫描模块62则通过SD卡扫描策略扫描所述扫描对象，若所述扫描对象为所述电子设备中正在安装的应用程序，第二扫描模块63则通过安装监控扫描策略扫描所述扫描对象，若所述扫描对象为所述电子设备中已安装的应用程序，第三扫描模块64则通过一键扫描策略扫描所述扫描对象。

在一种可选的实施方式中，第一扫描模块62如图7所示进一步可以包括：杀毒引擎调用单元621、输出单元622，其中：

杀毒引擎调用单元621调用至少两个杀毒引擎中的主杀毒引擎对应用程序安装包进行扫描，若所述主杀毒引擎扫描到病毒的数量达到第一门限值，则调用所述至少两个杀毒引擎中的辅杀毒引擎对应用程序安装包进行扫描，其中，所述辅杀毒引擎的病毒查杀率大于所述主杀毒引擎的病毒查杀率，输出单元622输出所述辅杀毒引擎的扫描结果。

进一步的，第一扫描模块62如图7所示进一步还可以包括比较单元623以及发送单元634，其中：

比较单元623可以比较所述主杀毒引擎和所述辅杀毒引擎的扫描结果，若所述辅杀毒引擎扫描出除所述主杀毒引擎的扫描结果以外的其他扫描结果，发送单元623则将所述其他扫描结果上报给所述服务器，以使所述服务器对其进行记录。

在另一种可选的实施方式中，第二扫描模块63如图8所示进一步可以包括：获取单元631、判断单元632、杀毒引擎调用单元633以及输出单元634，其中：

获取单元631获取记录的原始病毒的数量，所述原始病毒的数量是所述电子设备从预设时刻开始检测并记录的数据，判断单元632判断所述原始病毒的数量是否达到第二门限值，若所述原始病毒的数量达到所述第二门限值，杀毒引擎调用单元633则调用至少两个杀毒引擎中的辅杀毒引擎对正在安装的所述应用程序进行扫描，输出单元634输出其扫描结果；若所述原始病毒的数量未达到所述第二门限值，杀毒引擎调用单元633则调用所述至少两个杀毒引擎中的主杀毒引擎对正在安装的所述应用程序进行扫描，输出单元634输出其扫描结果。

第二扫描模块63如图8所示进一步还可以包括更新单元635，用于若所述主杀毒引擎在正在安装的所述应用程序中扫描到病毒，则根据扫描到的病毒数量更新记录的所述原始病毒的数量。

第二扫描模块63如图8所示进一步还可以包括置零单元636，用于在当前时刻与所述预设时刻的时间间隔达到预设时间阈值时，对记录的所述原始病毒的数量进行清零。

在又一种可选的实施方式中，第三扫描模块64如图9所示进一步可以包括杀毒引擎调用单元641、输出模块642，其中：

杀毒引擎调用单元641调用至少两个杀毒引擎中的主杀毒引擎对已安装的应用程序进行扫描，若所述主杀毒引擎扫描到未知病毒的数量达到第三门限值，或扫描到病毒的数量达到第四门限值，则调用所述至少两个杀毒引擎中的辅杀毒引擎对已安装的应用程序进行扫描，输出模块642输出所述辅杀毒引擎的扫描结果。

进一步的，第三扫描模块64如图9所示进一步还可以包括：比较单元643以及发送单元644，其中：

比较单元643可以比较所述主杀毒引擎和所述辅杀毒引擎的扫描结果，若所述辅杀毒引擎扫描出除所述主杀毒引擎的扫描结果以外的其他扫描结果，发送单元643则将所述其他扫描结果上报给所述服务器，以使所述服务器对其进行记录。

进一步的，病毒扫描装置如图6所示进一步还可以包括更新模块65，用于在连接到无线局域网时，下载并更新本地的病毒库。

可选的，更新模块65可以在连接到无线局域网时，检测是否处理空闲状态，当处于空闲状态时，下载并更新本地的病毒库。

请参阅图10，本发明实施例提供了一种电子设备的结构示意图。该电子设备10包含图6～图9所述的病毒查杀装置，且该电子设备10可以用于实施图1～图5实施例中提供的病毒查杀方法。具体来讲：

该电子设备10可以包括壳体101、处理器102、存储器103、电路板104和电源电路105，其中，电路板104安置在壳体101围成的空间内部，处理器102和存储器103设置在电路板104上；电源电路105，用于为电子设备的各个电路或器件供电；存储器103用于存储可执行程序代码；处理器102通过读取存储器103中存储的可执行程序代码来运行与可执行程序代码对应的程序，以用于执行以下步骤：

在接收到病毒扫描指令时，确定所述病毒扫描指令的扫描对象；若所述扫描对象为应用程序安装包，则通过SD卡扫描策略扫描所述扫描对象；若所述扫描对象为正在安装的应用程序，则通过安装监控扫描策略扫描所述扫描对象；若所述扫描对象为已安装的应用程序，则通过一键扫描策略扫描所述扫描对象。

其中，处理器102调用存储器103中存储的程序代码通过SD卡扫描策略扫描所述扫描对象，具体可以为：

调用至少两个杀毒引擎中的主杀毒引擎对应用程序安装包进行扫描；若所述主杀毒引擎扫描到病毒的数量达到第一门限值，则调用所述至少两个杀毒引擎中的辅杀毒引擎对应用程序安装包进行扫描，其中，所述辅杀毒引擎的病毒查杀率大于所述主杀毒引擎的病毒查杀率；输出所述辅杀毒引擎的扫描结果。

进一步的，处理器102调用存储器103中存储的程序代码还可以执行以下操作：

比较所述主杀毒引擎和所述辅杀毒引擎的扫描结果，若所述辅杀毒引擎扫描出除所述主杀毒引擎的扫描结果以外的其他扫描结果，则将所述其他扫描结果上报给所述服务器，以使所述服务器对其进行记录。

其中，处理器102调用存储器103中存储的程序代码通过安装监控扫描策略扫描所述扫描对象，具体可以为：

获取记录的原始病毒的数量，所述原始病毒的数量为所述电子设备从预设时刻开始检测并记录的数据；判断所述原始病毒的数量是否达到第二门限值；

若是，则调用至少两个杀毒引擎中的辅杀毒引擎对正在安装的应用程序进行扫描，并输出扫描结果；若否，则调用所述至少两个杀毒引擎中的主杀毒引擎对正在安装的应用程序进行扫描，并输出扫描结果；其中，所述辅杀毒引擎的病毒查杀率大于所述主杀毒引擎的病毒查杀率。

进一步的，处理器102调用存储器103中存储的程序代码调用所述至少两个杀毒引擎中的主杀毒引擎对正在安装的应用程序进行扫描之后，还可以执行以下操作：

若所述主杀毒引擎在正在安装的应用程序中扫描到病毒，则根据扫描到的病毒数量更新记录的所述原始病毒的数量。

进一步的，处理器102调用存储器103中存储的程序代码还可以执行以下操作：

在当前时刻与所述预设时刻的时间间隔达到预设时间阈值时，对记录的所述原始病毒的数量进行清零。

其中，处理器102调用存储器103中存储的程序代码通过一键扫描策略扫描所述扫描对象，具体可以为：

调用至少两个杀毒引擎中的主杀毒引擎对已安装的应用程序进行扫描；若所述主杀毒引擎扫描到未知病毒的数量达到第三门限值，或扫描到病毒的数量达到第四门限值，则调用所述至少两个杀毒引擎中的辅杀毒引擎对已安装的应用程序进行扫描，其中，所述辅杀毒引擎的病毒查杀率大于所述主杀毒引擎的病毒查杀率；输出所述辅杀毒引擎的扫描结果。

进一步的，处理器102调用存储器103中存储的程序代码还可以执行以下操作：

比较所述主杀毒引擎和所述辅杀毒引擎的扫描结果，若所述辅杀毒引擎扫描出除所述主杀毒引擎的扫描结果以外的其他扫描结果，则将所述其他扫描结果上报给所述服务器，以使所述服务器对其进行记录。

进一步的，处理器102调用存储器103中存储的程序代码还可以执行以下操作：在连接到无线局域网时，下载并更新本地的病毒库。

进一步的，处理器102调用存储器103中存储的程序代码还可以执行以下操作：在连接到无线局域网时，检测是否处理空闲状态，当处于空闲状态时，下载并更新本地的病毒库。

本发明实施例的技术方案本质上或者说对现有技术做出贡献的部分可以通过计算机软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如ROM/RAM、磁碟或光盘)中，包括若干指令用以控制电子设备执行本发明实施例图1～图5所描述的一种病毒查杀方法的部分或全部的步骤。

在本发明实施例中，电子设备在接收到病毒扫描指令时，先确定该病毒扫描指令的扫描对象，电子设备针对不同生命状态的应用程序采用了不同的扫描策略，能够针对性的扫描各个生命状态的病毒，增强了电子设备的安全保障。

在本说明书的描述中，参考术语“一个实施例”、“一些实施例”、“示例”、“具体示例”、或“一些示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本发明的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不必须针对的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任一个或多个实施例或示例中以合适的方式结合。此外，在不相互矛盾的情况下，本领域的技术人员可以将本说明书中描述的不同实施例或示例以及不同实施例或示例的特征进行结合和组合。

此外，术语“第一”、“第二”仅用于描述目的，而不能理解为指示或暗示相对重要性或者隐含指明所指示的技术特征的数量。由此，限定有“第一”、“第二”的特征可以明示或者隐含地包括至少一个该特征。在本发明的描述中，“多个”的含义是至少两个，例如两个，三个等，除非另有明确具体的限定。

流程图中或在此以其他方式描述的任何过程或方法描述可以被理解为，表示包括一个或更多个用于实现特定逻辑功能或过程的步骤的可执行指令的代码的模块、片段或部分，并且本发明的优选实施方式的范围包括另外的实现，其中可以不按所示出或讨论的顺序，包括根据所涉及的功能按基本同时的方式或按相反的顺序，来执行功能，这应被本发明的实施例所属技术领域的技术人员所理解。

在流程图中表示或在此以其他方式描述的逻辑和/或步骤，例如，可以被认为是用于实现逻辑功能的可执行指令的定序列表，可以具体实现在任何计算机可读介质中，以供指令执行系统、装置或设备(如基于计算机的系统、包括处理器的系统或其他可以从指令执行系统、装置或设备取指令并执行指令的系统)使用，或结合这些指令执行系统、装置或设备而使用。就本说明书而言，"计算机可读介质"可以是任何可以包含、存储、通信、传播或传输程序以供指令执行系统、装置或设备或结合这些指令执行系统、装置或设备而使用的装置。计算机可读介质的更具体的示例(非穷尽性列表)包括以下：具有一个或多个布线的电连接部(电子装置)，便携式计算机盘盒(磁装置)，随机存取存储器(RAM)，只读存储器(ROM)，可擦除可编辑只读存储器(EPROM或闪速存储器)，光纤装置，以及便携式光盘只读存储器(CDROM)。另外，计算机可读介质甚至可以是可在其上打印所述程序的纸或其他合适的介质，因为可以例如通过对纸或其他介质进行光学扫描，接着进行编辑、解译或必要时以其他合适方式进行处理来以电子方式获得所述程序，然后将其存储在计算机存储器中。

应当理解，本发明的各部分可以用硬件、软件、固件或它们的组合来实现。在上述实施方式中，多个步骤或方法可以用存储在存储器中且由合适的指令执行系统执行的软件或固件来实现。例如，如果用硬件来实现，和在另一实施方式中一样，可用本领域公知的下列技术中的任一项或他们的组合来实现：具有用于对数据信号实现逻辑功能的逻辑门电路的离散逻辑电路，具有合适的组合逻辑门电路的专用集成电路，可编程门阵列(PGA)，现场可编程门阵列(FPGA)等。

本技术领域的普通技术人员可以理解实现上述实施例方法携带的全部或部分步骤是可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可读存储介质中，该程序在执行时，包括方法实施例的步骤之一或其组合。此外，在本发明各个实施例中的各功能单元可以集成在一个处理模块中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个模块中。上述集成的模块既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。所述集成的模块如果以软件功能模块的形式实现并作为独立的产品销售或使用时，也可以存储在一个计算机可读取存储介质中。

上述提到的存储介质可以是只读存储器，磁盘或光盘等。尽管上面已经示出和描述了本发明的实施例，可以理解的是，上述实施例是示例性的，不能理解为对本发明的限制，本领域的普通技术人员在本发明的范围内可以对上述实施例进行变化、修改、替换和变型。

以上所揭露的仅为本发明较佳实施例而已，当然不能以此来限定本发明之权利范围，因此依本发明权利要求所作的等同变化，仍属本发明所涵盖的范围。

Claims (10)

1.一种病毒查杀方法，其特征在于，针对电子设备处于不同生命状态的应用程序采用不同的扫描策略，所述方法包括：

在接收到病毒扫描指令时，确定所述病毒扫描指令的扫描对象；

若所述扫描对象为应用程序安装包，则通过SD卡扫描策略扫描所述扫描对象；

若所述扫描对象为正在安装的应用程序，则通过安装监控扫描策略扫描所述扫描对象；

若所述扫描对象为已安装的应用程序，则通过一键扫描策略扫描所述扫描对象。

2.如权利要求1所述的方法，其特征在于，

所述通过SD卡扫描策略扫描所述扫描对象，包括：

调用至少两个杀毒引擎中的主杀毒引擎对应用程序安装包进行扫描；

若所述主杀毒引擎扫描到病毒的数量达到第一门限值，则调用所述至少两个杀毒引擎中的辅杀毒引擎对应用程序安装包进行扫描，其中，所述辅杀毒引擎的病毒查杀率大于所述主杀毒引擎的病毒查杀率；

输出所述辅杀毒引擎的扫描结果。

3.如权利要求1所述的方法，其特征在于，

所述通过安装监控扫描策略扫描所述扫描对象，包括：

获取记录的原始病毒的数量，所述原始病毒的数量为所述电子设备从预设时刻开始检测并记录的数据；

判断所述原始病毒的数量是否达到第二门限值；

若是，则调用至少两个杀毒引擎中的辅杀毒引擎对正在安装的应用程序进行扫描，并输出扫描结果；

若否，则调用所述至少两个杀毒引擎中的主杀毒引擎对正在安装的应用程序进行扫描，并输出扫描结果；

其中，所述辅杀毒引擎的病毒查杀率大于所述主杀毒引擎的病毒查杀率。

4.如权利要求3所述的方法，其特征在于，所述调用所述至少两个杀毒引擎中的主杀毒引擎对正在安装的应用程序进行扫描之后，所述方法还包括：

若所述主杀毒引擎在正在安装的应用程序中扫描到病毒，则根据扫描到的病毒数量更新记录的所述原始病毒的数量。

5.如权利要求3或4所述的方法，其特征在于，所述方法还包括：

在当前时刻与所述预设时刻的时间间隔达到预设时间阈值时，对记录的所述原始病毒的数量进行清零。

6.如权利要求1所述的方法，其特征在于，

所述通过一键扫描策略扫描所述扫描对象，包括：

调用至少两个杀毒引擎中的主杀毒引擎对已安装的应用程序进行扫描；

若所述主杀毒引擎扫描到未知病毒的数量达到第三门限值，或扫描到病毒的数量达到第四门限值，则调用所述至少两个杀毒引擎中的辅杀毒引擎对已安装的应用程序进行扫描，其中，所述未知病毒为所述主杀毒引擎无法识别是否为病毒的样本，所述辅杀毒引擎的病毒查杀率大于所述主杀毒引擎的病毒查杀率；

输出所述辅杀毒引擎的扫描结果。

7.如权利要求2或6所述的方法，其特征在于，所述方法还包括：

比较所述主杀毒引擎和所述辅杀毒引擎的扫描结果；

若所述辅杀毒引擎扫描出除所述主杀毒引擎的扫描结果以外的其他扫描结果，则将所述其他扫描结果上报给所述服务器，以使所述服务器对其进行记录。

8.如权利要求1所述的方法，其特征在于，所述方法还包括：

在连接到无线局域网时，下载并更新本地的病毒库。

9.一种病毒查杀装置，其特征在于，针对电子设备处于不同生命状态的应用程序采用不同的扫描策略，所述装置包括：

扫描对象确定模块，用于在接收到病毒扫描指令时，确定所述病毒扫描指令的扫描对象；

第一扫描模块，用于若所述扫描对象为应用程序安装包，则通过SD卡扫描策略扫描所述扫描对象；

第二扫描模块，用于若所述扫描对象为正在安装的应用程序，则通过安装监控扫描策略扫描所述扫描对象；

第三扫描模块，用于若所述扫描对象为已安装的应用程序，则通过一键扫描策略扫描所述扫描对象。

10.一种电子设备，其特征在于，所述电子设备包括：壳体、处理器、存储器、电路板和电源电路，其中，电路板安置在壳体围成的空间内部，处理器和存储器设置在电路板上；电源电路，用于为电子设备的各个电路或器件供电；存储器用于存储可执行程序代码；处理器通过读取存储器中存储的可执行程序代码来运行与可执行程序代码对应的程序，以用于执行以下步骤：

在接收到病毒扫描指令时，确定所述病毒扫描指令的扫描对象；

若所述扫描对象为应用程序安装包，则通过SD卡扫描策略扫描所述扫描对象；

若所述扫描对象为正在安装的应用程序，则通过安装监控扫描策略扫描所述扫描对象；

若所述扫描对象为已安装的应用程序，则通过一键扫描策略扫描所述扫描对象。