CN105516315B

CN105516315B - 一种文件修复方法和装置

Info

Publication number: CN105516315B
Application number: CN201510916916.6A
Authority: CN
Inventors: 冷志峰; 张翼翔
Original assignee: Beijing Kingsoft Security Management System Technology Co Ltd
Current assignee: Beijing Falcon Safety Technology Co., Ltd
Priority date: 2015-12-10
Filing date: 2015-12-10
Publication date: 2019-10-11
Anticipated expiration: 2035-12-10
Also published as: CN105516315A

Abstract

一种文件修复方法，包括：接收控制中心发送的恢复命令；所述恢复命令携带所述控制中心监控到的发生改变的文件的索引号及其相应的MD5特征；根据所述恢复命令携带的索引号及其相应的MD5特征，确定本地待恢复的文件范围；根据所述本地待恢复的文件范围中文件的MD5特征，从其它客户端搜索并获取用于替换所述发生改变的文件的文件数据，并在替换后将恢复结果上报所述控制中心。此外，还包括一种文件修复装置。采用本文所述的方法，可以迅速处理病毒感染的文件，并恢复办公能力；只需要建立文件特征库，所以不需要庞大的备份空间；通过后台进行监控管理，降低设备负载。

Description

一种文件修复方法和装置

技术领域

本发明属于数据安全领域，尤其涉及一种空文件修复方法和装置。

背景技术

通常在局域网内的各个终端上存储有大量文件，在现有技术中当文件被病毒感染时，终端可以利用本地保存的病毒数据库对感染病毒的文件进行查杀，以便清除受病毒感染的文件中的病毒；但由于病毒类型多种多样，某些病毒会对文件的原始数据进行篡改，如修改或删除数字签名，即使通过杀毒软件对病毒文件进行修复，清除了病毒代码，也无法使病毒文件完全恢复正常，清除病毒代码后得到的修复文件仍然不能正常运行，极大的影响了终端用户的日常工作。此外，如果按时间点在本地或者其它设备(如服务器)进行文件备份需要占用大量的存储空间。

发明内容

有鉴于此，为了解决现有技术中存在按时间点对需要监控的文件进行备份以使当文件感染病毒时可以调用进行修复需要占用大量的存储空间的问题，本发明的目的是提出一种空文件修复方法。为了对披露的实施例的一些方面有一个基本的理解，下面给出了简单的概括。该概括部分不是泛泛评述，也不是要确定关键/重要组成元素或描绘这些实施例的保护范围。其唯一目的是用简单的形式呈现一些概念，以此作为后面的详细说明的序言。

在一些可选的实施例中，所述方法，包括：

接收控制中心发送的恢复命令；所述恢复命令携带所述控制中心监控到的发生改变的文件的索引号及其相应的MD5特征；

根据所述恢复命令携带的索引号及其相应的MD5特征，确定本地待恢复的文件范围；

根据所述本地待恢复的文件范围中文件的MD5特征，从其它客户端搜索并获取用于替换所述发生改变的文件的文件数据，并在替换后将恢复结果上报所述控制中心。

此外，本发明的另一个目的是提供一种空文件修复装置。

在一些可选的实施例中，所述装置，包括：

接收单元，用于接收控制中心发送的恢复命令；所述恢复命令携带所述控制中心监控到的发生改变的文件的索引号及其相应的MD5特征；

确定单元，用于根据所述恢复命令携带的索引号及其相应的MD5特征，确定本地待恢复的文件范围；

获取单元，用于根据所述本地待恢复的文件范围中文件的MD5特征，从其它客户端搜索并获取用于替换所述发生改变的文件的文件数据，并在替换后将恢复结果上报所述控制中心。

采用上述实施例，可达到以下效果：

可以迅速处理病毒感染的文件，并恢复办公能力；

只需要建立文件特征库，所以不需要庞大的备份空间；

通过后台进行监控管理，降低设备负载。

为了上述以及相关的目的，一个或多个实施例包括后面将详细说明并在权利要求中特别指出的特征。下面的说明以及附图详细说明某些示例性方面，并且其指示的仅仅是各个实施例的原则可以利用的各种方式中的一些方式。其它的益处和新颖性特征将随着下面的详细说明结合附图考虑而变得明显，所公开的实施例是要包括所有这些方面以及它们的等同。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1示出了本发明实施例的一种文件修复方法的流程示意图；

图2示出了本发明实施例的一种文件修复方法的具体流程示意图；

图3示出了本发明实施例的一种文件修复装置的功能结构框图。

具体实施方式

以下描述和附图充分地示出本发明的具体实施方案，以使本领域的技术人员能够实践它们。其他实施方案可以包括结构的、逻辑的、电气的、过程的以及其他的改变。实施例仅代表可能的变化。除非明确要求，否则单独的部件和功能是可选的，并且操作的顺序可以变化。一些实施方案的部分和特征可以被包括在或替换其他实施方案的部分和特征。本发明的实施方案的范围包括权利要求书的整个范围，以及权利要求书的所有可获得的等同物。在本文中，本发明的这些实施方案可以被单独地或总地用术语“发明”来表示，这仅仅是为了方便，并且如果事实上公开了超过一个的发明，不是要自动地限制该应用的范围为任何单个发明或发明构思。

图1示出了本发明实施例的一种文件修复方法的流程示意图，如图1所示，在一些说明性的实施例中，所述方法，其包括：

步骤S101，接收控制中心发送的恢复命令；所述恢复命令携带所述控制中心监控到的发生改变的文件的索引号及其相应的MD5特征；

步骤S102，根据所述恢复命令携带的索引号及其相应的MD5特征，确定本地待恢复的文件范围；

步骤S103，根据所述本地待恢复的文件范围中文件的MD5特征，从其它客户端搜索并获取用于替换所述发生改变的文件的文件数据，并在替换后将恢复结果上报所述控制中心；

上述过程是基于局域网内机器所装系统大多相同的情况下，控制中心负责对局域网中各客户端所需监控的文件进行监控，一旦某客户端中的文件发生改变，则向客户端发送恢复命令，在该恢复命令中包括文件的索引号和MD5特征；其中，所述恢复命令中携带的需要修复的文件可以是一个或多个；客户端根据索引号及其相应的MD5特征，对比本端的文件信息，确认最终的待恢复的文件范围；因为在实际操作中，可能会出现控制中心监控的文件范围和本地需要监控的文件范围出现差异的情形，因此在收到控制中心的恢复命令后，先确认本地待恢复的文件范围，然后再根据该范围中文件的MD5特征从其它客户端搜索、获取和替换，在将恢复结果上报控制中心后完成整个修复过程；通过上述方法，避免了传统的需要在不同时间点对文件进行备份的情形，不需要占用庞大的备份空间；

在一些说明性的实施例中，步骤S102，包括：

根据所述发生改变的文件的索引号及其相应的MD5特征，在索引数据库进行文件查询，将查询到的文件确定为待恢复的文件范围；

其中，所述索引数据库用于记录本地需要监控并及时恢复的文件的路径、索引号及其相应的MD5特征；

在一些说明性的实施例中，所述从其它客户端搜索并获取用于替换所述发生改变的文件的文件数据作，包括：

发送用于获取所述文件范围中文件的广播，所述广播携带所述文件范围中待恢复文件的MD5特征；

接收其他客户端发送的反馈，所述反馈中携带用于获取所述待恢复文件的信息；

根据所述用于获取所述待恢复文件的信息，从所述其他客户端获取相应的文件数据；

在一些说明性的实施例中，若在发送所述用于获取所述文件范围中文件的广播后，未接收到所述其他客户端发送的反馈，则：

告知所述控制中心搜索失败；

若所述文件范围中所述待恢复文件为多个，在所述执行相应的恢复操作的过程中，仅部分所述待恢复文件被搜索到并成功恢复，则：分别将恢复成功和恢复失败的文件的MD5上报给所述控制中心；

在一些说明性的实施例中，所述索引数据库是出厂时预置的、人为设置的、或从其它设备上获取的；在获取到所述索引数据库后，还包括：

将所述索引数据库上传到所述控制中心；

若本地更新所述索引数据库，则将更新后的所述索引数据库上传到所述控制中心；

在一些说明性的实施例中，若所述索引数据库中的文件发生改变，则还包括：生成相应的索引号和MD5特征，在所述索引数据库中进行增量记录；

在一些说明性的实施例中，所述索引数据库还包括时间参数，若所述恢复命令还携带所述时间参数，则所述确定本地待恢复的文件范围，包括：

根据所述发生改变的文件的索引号、其相应的MD5特征和时间参数，在索引数据库进行文件查询，将查询到的文件确定为待恢复的文件范围。

下面举一个具体的实施例对上述方法进行阐述，如图2所示，包括以下几个步骤：

步骤S201，记录监控文件特征；

首先，根据监控范围建立文件索引数据库表；

其中，所述监控范围可以在控制中心定制然后下载到客户端，或者是在客户端定制然后上传到控制中心；所述监控范围，可以包括目录，文件，后缀名，比如：C:\Windows；d:\Program Files；此外，同时也可以设置一个忽略列表，包括后缀名忽略，目录忽略，文件忽略；

所述文件索引数据库表的形式可以如表1：

表1文件索引数据表

在该表中包括文件的索引号、文件路径、MD5特征和文件的时间参数；由于同一个文件可能出现更新，因此在不同的时间，在该数据表中会记录文件的变化，如表1中C:\Windows\System32\cmd.exe的三次更新记录；其中，时间参数是为了标记文件的更新时间，在该表中与文件唯一对应则是其MD5特征；

步骤S202，若文件发生变化，则增量记录；

若文件进行了正常修改，如系统更新，则进行增量记录，在数据表中记录文件的索引号、文件路径、MD5特征和文件的时间参数；以使本端可以根据文件不同时期的记录可以将文件恢复到不同的时间点；

步骤S203，收到控制中心发送的恢复命令；

如控制中心监控到文件C:\Windows\System32\cmd.exe发生变化，其版本由索引号2、MD5特征为2dc3a41527bdf6c72fc1cd048f3c5a21变成索引号3、MD5特征为5746bd7e255dd6a8afa06f7c42c1ba41；则接收到的恢复命令中会包括索引号2、MD5特征为2dc3a41527bdf6c72fc1cd048f3c5a21；此外，恢复命令中也可能包括时间参数，用于告知本端将文件恢复到哪个时间下备份的文件；在实际操作中，根据MD5特征即可完成相应的搜索和替换操作；

步骤S204，确认搜索范围；

根据控制中心下达的恢复命令，根据索引号和MD5特征在数据表中查找到的文件即需要修复的文件范围；

此外，若恢复命令包括时间参数，则上述过程也可以比对命令范围中文件的参数与现有时间点的该文件的参数是否有差异，若有差异则确认进行后续的修复操作；

步骤S205，文件搜索与替换；

通过广播消息，查询局域网中是否有相同MD5的文件；

在这个过程中，若需要修复的文件范围中包括多个文件，则可以进行统一搜索并替换，防止由于个别文件恢复不成功导致工作出现异常，如果要个别恢复某些文件可以在控制中心单独选择；

若接收到多个客户端发送的反馈消息，则随机进行选择，防止出现文件过多导致的机器性能下降；

步骤S205，日志上报；

如果找到就进行恢复，恢复成功后向控制中心返回成功，如果找不到相应文件或恢复失败就向控制中心返回失败；

此外，在上述过程中，若客户端修改文件监控范围，则可以将索引数据库同步到监控中心所在的服务器上，在控制中心进行展示和恢复操作。

图3是本发明实施例的一种文件修复装置的功能结构框图，如图3所示：

在一些说明性的实施例中，所述文件修复装置300，包括：

接收单元301，用于接收控制中心发送的恢复命令；所述恢复命令携带所述控制中心监控到的发生改变的文件的索引号及其相应的MD5特征；

确定单元302，用于根据所述恢复命令携带的索引号及其相应的MD5特征，确定本地待恢复的文件范围；

获取单元303，用于根据所述本地待恢复的文件范围中文件的MD5特征，从其它客户端搜索并获取用于替换所述发生改变的文件的文件数据，并在替换后将恢复结果上报所述控制中心；

在一些说明性的实施例中，所述确定单元302，包括：

第一查询单元3021，用于根据所述发生改变的文件的索引号及其相应的MD5特征，在索引数据库进行文件查询，将查询到的文件确定为待恢复的文件范围；

在一些说明性的实施例中，所述获取单元303，包括：

广播单元3031，用于发送用于获取所述文件范围中文件的广播，所述广播携带所述文件范围中待恢复文件的MD5特征；

反馈单元3032，用于接收其他客户端发送的反馈，所述反馈中携带用于获取所述待恢复文件的信息；

获得单元3033，用于根据所述用于获取所述待恢复文件的信息，从所述其他客户端获取相应的文件数据；

在一些说明性的实施例中，若所述广播单元3031在发送所述用于获取所述文件范围中文件的广播后，所述反馈单元3032未接收到所述其他客户端发送的反馈，则：所述反馈单元3032还用于告知所述控制中心搜索失败；

若所述文件范围中所述待恢复文件为多个，所述获取单元303在执行相应的恢复操作的过程中，仅部分所述待恢复文件被搜索到并成功恢复，则：所述获取单元303还用于分别将恢复成功和恢复失败的文件的MD5上报给所述控制中心；

在一些说明性的实施例中，所述索引数据库是出厂时预置的、人为设置的、或从其它设备上获取的；还包括：

上传单元304，用于在获取到所述索引数据库后，将所述索引数据库上传到所述控制中心；

更新单元305，用于若本地更新所述索引数据库，则将更新后的所述索引数据库上传到所述控制中心；

在一些说明性的实施例中，若所述索引数据库中的文件发生改变，则还包括：

记录单元306，用于生成相应的索引号和MD5特征，在所述索引数据库中进行增量记录；

在一些说明性的实施例中，所述索引数据库还包括时间参数，若所述恢复命令还携带所述时间参数，则所述确定单元302，包括：

第二查询单元3022，用于根据所述发生改变的文件的索引号、其相应的MD5特征和时间参数，在索引数据库进行文件查询，将查询到的文件确定为待恢复的文件范围。

采用上述实施例，可达到以下效果：

可以迅速处理病毒感染的文件，并恢复办公能力；

只需要建立文件特征库，所以不需要庞大的备份空间；

通过后台进行监控管理，降低设备负载。

本领域技术人员还应当理解，结合本文的实施例描述的各种说明性的逻辑框、模块、电路和算法步骤均可以实现成电子硬件、计算机软件或其组合。为了清楚地说明硬件和软件之间的可交换性，上面对各种说明性的部件、框、模块、电路和步骤均围绕其功能进行了一般地描述。至于这种功能是实现成硬件还是实现成软件，取决于特定的应用和对整个系统所施加的设计约束条件。熟练的技术人员可以针对每个特定应用，以变通的方式实现所描述的功能，但是，这种实现决策不应解释为背离本公开的保护范围。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims

1.一种文件修复方法，其特征在于，应用于局域网内所装系统大多相同的情况，所述方法包括：

接收控制中心发送的恢复命令；所述恢复命令携带所述控制中心监控到的发生改变的文件的索引号及其相应的MD5特征；所述控制中心负责对所述局域网中各客户端所需监控的文件进行监控；

根据所述本地待恢复的文件范围中文件的MD5特征，从其它客户端搜索并获取用于替换所述发生改变的文件的文件数据，并在替换后将恢复结果上报所述控制中心；

其中，所述确定本地待恢复的文件范围，包括：根据所述发生改变的文件的索引号及其相应的MD5特征，在索引数据库进行文件查询，将查询到的文件确定为待恢复的文件范围；

将所述索引数据库上传到所述控制中心。

2.如权利要求1所述的方法，其特征在于，所述从其它客户端搜索并获取用于替换所述发生改变的文件的文件数据作，包括：

根据所述用于获取所述待恢复文件的信息，从所述其他客户端获取相应的文件数据。

3.如权利要求2所述的方法，其特征在于，若在发送所述用于获取所述文件范围中文件的广播后，未接收到所述其他客户端发送的反馈，则：告知所述控制中心搜索失败；

若所述文件范围中所述待恢复文件为多个，在执行相应的恢复操作的过程中，仅部分所述待恢复文件被搜索到并成功恢复，则：分别将恢复成功和恢复失败的文件的MD5上报给所述控制中心。

4.如权利要求1所述的方法，其特征在于，所述索引数据库是出厂时预置的、人为设置的、或从其它设备上获取的；在获取到所述索引数据库后，还包括：

若本地更新所述索引数据库，则将更新后的所述索引数据库上传到所述控制中心。

5.如权利要求4所述的方法，其特征在于，若所述索引数据库中的文件发生改变，则还包括：生成相应的索引号和MD5特征，在所述索引数据库中进行增量记录。

6.如权利要求5所述的方法，其特征在于，所述索引数据库还包括时间参数，若所述恢复命令还携带所述时间参数，则所述确定本地待恢复的文件范围，包括：

7.一种文件修复装置，其特征在于，应用于局域网内所装系统大多相同的情况，所述装置包括：

接收单元，用于接收控制中心发送的恢复命令；所述恢复命令携带所述控制中心监控到的发生改变的文件的索引号及其相应的MD5特征；所述控制中心负责对所述局域网中各客户端所需监控的文件进行监控；

所述确定单元，包括：第一查询单元，用于根据所述发生改变的文件的索引号及其相应的MD5特征，在索引数据库进行文件查询，将查询到的文件确定为待恢复的文件范围；

上传单元，用于在获取到所述索引数据库后，将所述索引数据库上传到所述控制中心；

8.如权利要求7所述的装置，其特征在于，所述获取单元，包括：广播单元，用于发送用于获取所述文件范围中文件的广播，所述广播携带所述文件范围中待恢复文件的MD5特征；

反馈单元，用于接收其他客户端发送的反馈，所述反馈中携带用于获取所述待恢复文件的信息；

获得单元，用于根据所述用于获取所述待恢复文件的信息，从所述其他客户端获取相应的文件数据。

9.如权利要求8所述的装置，其特征在于，若所述广播单元在发送所述用于获取所述文件范围中文件的广播后，所述反馈单元未接收到所述其他客户端发送的反馈，则：所述反馈单元还用于告知所述控制中心搜索失败；

若所述文件范围中所述待恢复文件为多个，所述获取单元在执行相应的恢复操作的过程中，仅部分所述待恢复文件被搜索到并成功恢复，则：所述获取单元还用于分别将恢复成功和恢复失败的文件的MD5上报给所述控制中心。

10.如权利要求7所述的装置，其特征在于，所述索引数据库是出厂时预置的、人为设置的、或从其它设备上获取的；还包括：

更新单元，用于若本地更新所述索引数据库，则将更新后的所述索引数据库上传到所述控制中心。

11.如权利要求10所述的装置，其特征在于，若所述索引数据库中的文件发生改变，则还包括：记录单元，用于生成相应的索引号和MD5特征，在所述索引数据库中进行增量记录。

12.如权利要求11所述的装置，其特征在于，所述索引数据库还包括时间参数，若所述恢复命令还携带所述时间参数，则所述确定单元，包括：第二查询单元，用于根据所述发生改变的文件的索引号、其相应的MD5特征和时间参数，在索引数据库进行文件查询，将查询到的文件确定为待恢复的文件范围。