CN106682508A - 病毒的查杀方法和装置 - Google Patents

Abstract

本发明公开了一种病毒的查杀方法和装置。其中，该方法包括：将待查杀信息发送给服务器，其中，待查杀信息用于指示服务器对与待查杀信息关联的待查杀文件进行云端病毒查杀；接收服务器发送的第一查杀结果，其中，第一查杀结果包括查杀信息和第一指示信息，查杀信息为对待查杀文件中的第一信息进行云端病毒查杀的结果，第一指示信息用于指示客户端对待查杀文件中未进行云端病毒查杀的第二信息进行本地病毒查杀；对第一指示信息指示的第二信息进行本地病毒查杀。本发明解决了进行病毒查杀时CPU的资源消耗比较大的技术问题。

Description

病毒的查杀方法和装置

技术领域

本发明涉及病毒查杀领域，具体而言，涉及一种病毒的查杀方法和装置。

背景技术

扫描病毒的过程一般分为本地查杀和云查杀，传统的病毒扫描方法是先做一次本地扫描然后再做云端扫描。以Android平台为例，本地扫描过程首先需要解析apk文件的详细信息(这些信息包括软件的包名、证书、文件大小、包含哪些资源文件、代码中包含的常量字符串等)以提取特征，然后在特征匹配过程中还要进行复杂的计算。因此本地扫描需要消耗大量的CPU(Central processing unit，中央处理器)资源且扫描速度也很慢。

针对上述的问题，目前尚未提出有效的解决方案。

发明内容

本发明实施例提供了一种病毒的查杀方法和装置，以至少解决进行病毒查杀时CPU的资源消耗比较大的技术问题。

根据本发明实施例的一个方面，提供了一种病毒的查杀方法，包括：将待查杀信息发送给服务器，其中，所述待查杀信息用于指示所述服务器对与所述待查杀信息关联的待查杀文件进行云端病毒查杀；接收所述服务器发送的第一查杀结果，其中，所述第一查杀结果包括查杀信息和第一指示信息，所述查杀信息为对所述待查杀文件中的第一信息进行所述云端病毒查杀的结果，所述第一指示信息用于指示客户端对所述待查杀文件中未进行所述云端病毒查杀的第二信息进行本地病毒查杀；对所述第一指示信息指示的所述第二信息进行本地病毒查杀。

根据本发明实施例的另一方面，还提供了一种病毒的查杀装置，包括：第一发送单元，用于将待查杀信息发送给服务器，其中，所述待查杀信息用于指示所述服务器对与所述待查杀信息关联的待查杀文件进行云端病毒查杀；接收单元，用于接收所述服务器发送的第一查杀结果，其中，所述第一查杀结果包括查杀信息和第一指示信息，所述查杀信息为对所述待查杀文件中的第一信息进行所述云端病毒查杀的结果，所述第一指示信息用于指示客户端对所述待查杀文件中未进行所述云端病毒查杀的第二信息进行本地病毒查杀；查杀单元，用于对所述第一指示信息指示的所述第二信息进行本地病毒查杀。

在本发明实施例中，先通过服务器进行云端查杀，再通过终端进行本地查杀，可以先利用服务器过滤掉一部分不需要终端查杀的待查杀文件，可以减少本地查杀的待查杀文件，也就减少了本地查杀时对终端CPU资源的消耗。同时，云端无法查杀的待查杀文件也可以在终端执行本地查杀，避免了对有些无法在云端查杀的待查杀文件的漏查情况下，保证了查杀的准确性。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1是根据本发明实施例的硬件环境的架构图；

图2是根据本发明实施例的病毒的查杀方法的流程图；

图3是根据现有技术的病毒的查杀方法的流程图；

图4是根据本发明实施例的另一种病毒的查杀方法的流程图；

图5是根据本发明实施例的病毒的查杀装置的示意图；

图6是根据本发明实施例的终端的架构图。

具体实施方式

为了使本技术领域的人员更好地理解本发明方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分的实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明保护的范围。

需要说明的是，本发明的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本发明的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

名词解释：

病毒查杀客户端：安全管理类客户端，集杀毒、安全防护、体检加速、健康优化以及软件管理于一体，为用户提供360°的安全防护的安全类手机软件。需要说明的是，本实施例中所提到的终端都可以理解为终端上安装的病毒查杀客户端。

病毒库：用于描述一些病毒的特征的文件，对任意apk提取特征并与病毒库中的特征比对，如果能匹配上则认为该apk是恶意软件(也称为病毒)。

病毒扫描：病毒查杀客户端的一个功能模块，主要用于发现恶意软件并提醒用户从而使用户免受其害。扫描病毒的过程一般分为本地查杀和云查杀。本地查杀即解析apk文件的详细信息(这些信息包括软件的包名、证书、文件大小、包含哪些资源文件、代码中包含的常量字符串等)以提取特征并和病毒库中的特征进行匹配，判断此apk是否为病毒软件。

实施例1

根据本发明实施例，提供了一种可以通过本申请装置实施例执行的方法实施例，需要说明的是，在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

根据本发明实施例，提供了一种病毒的查杀方法。

可选地，在本实施例中，上述病毒的查杀方法可以应用于如图1所示的终端102和服务器104所构成的硬件环境中。如图1所示，终端102通过网络与服务器104进行连接，上述网络包括但不限于：移动通信网络、广域网、城域网或局域网，终端102可以是手机终端，也可以是PC终端、笔记本终端或平板电脑终端。

图1中示出的硬件环境系统的主要工作原理是：

终端102先将需要扫描的应用程序的待查杀信息发送给服务器104，以便服务器104根据这些待查杀信息查找相应的待查杀文件进行云端查杀。若云端查杀对所有待查杀信息对应的待查杀文件都完成了查杀，确定出哪些待查杀文件有病毒，哪些待查杀文件没有病毒，则完成云端查杀，也完成了对终端102的查杀，不需要再进行终端102的本地查杀，节约了终端102的CPU资源。如果云端查杀无法对某些待查杀信息对应的待查杀文件进行查杀，则提示终端102对这些没有进行查杀的待查杀信息进行本地查杀。

这种先通过服务器进行云端查杀，再通过终端进行本地查杀的方式，可以先利用服务器过滤掉一部分不需要终端查杀的待查杀文件，可以减少本地查杀的待查杀文件，也就减少了本地查杀时对终端CPU资源的消耗。同时，云端无法查杀的待查杀文件也可以在终端执行本地查杀，避免了对有些无法在云端查杀的待查杀文件的漏查情况下，保证了查杀的准确性。在有些情况下，云端查杀能够对所有待查杀文件进行查杀，就不需要再进行本地查杀了，也就进一步避免了本地查杀对终端CPU的消耗。

图2是根据本发明实施例的病毒的查杀方法的流程图，以下结合图2对本发明实施例所提供的病毒的查杀方法做具体介绍，如图2所示，该病毒的查杀方法主要包括如下步骤：

步骤S202，将待查杀信息发送给服务器，其中，待查杀信息用于指示服务器对与待查杀信息关联的待查杀文件进行云端病毒查杀。

步骤S204，接收服务器发送的第一查杀结果，其中，第一查杀结果包括查杀信息和第一指示信息，查杀信息为对待查杀文件中的第一信息进行云端病毒查杀的结果，第一指示信息用于指示客户端对待查杀文件中未进行云端病毒查杀的第二信息进行本地病毒查杀。

步骤S206，对第一指示信息指示的第二信息进行本地病毒查杀。

待查杀信息是能够指示待查杀文件(如apk)的信息，并不是待查杀文件本身，是能够让服务器根据这些待查杀信息找到待查杀文件的信息。这些待查杀文件不是终端上传的文件，可以是已经存储在网络中的待查杀文件。服务器根据待查杀信息找到待查杀文件，并对找到的待查杀文件进行查杀，确定出哪些待查杀文件有病毒，哪些待查杀文件没有病毒，哪些待查杀文件无法确定出是否有病毒。通常无法确定是否有病毒的待查杀文件是服务器无法获取待查杀文件，因此，无法确定出该待查杀文件是否有病毒。

服务器将进行云端查杀得到的第一查杀结果发送给终端，第一查杀结果包括了已经完成查杀的待查杀文件的查杀信息，以及用于指示无法进行查杀的待查杀文件的第一指示信息。终端中的病毒查杀客户端对第一指示信息所指示的待查杀文件(第二信息)进行本地病毒查杀。

在一些例子中，上述的待查杀信息可以是终端上安装的应用程序数据包的包名、证书和文件大小等信息，主要是为了让服务器根据这些信息找到网络中已经存在的应用程序数据包，而不需要终端上传这些应用程序数据包，节约了终端的网络传输资源。上述的待查杀文件可以存储在网络中的应用程序数据包。待查杀信息“A1”指示应用程序1，则服务器根据待查杀信息“A1”查找到相应的“应用程序1”。

在一些具体的例子中，向服务器发送的待查杀信息如下表1所示。

表1

待查杀文件	包名	证书	文件大小
				应用程序1	A1	ZCA1	100K
应用程序2	A2	ZCA2	15M
				应用程序3	B1	ZCB1	35M
应用程序4	C1	ZCC1	200K

待查杀信息可以是待查杀文件的属性信息，解析待查杀文件的属性信息，其中，属性信息用于指示服务器根据属性信息查待查杀文件，属性信息至少包括数据包的包名、数据包的证书和数据包的文件大小；将解析得到的属性信息作为待查杀信息发送给服务器。

需要说明的是，上述证书包括应用程序的版本号、序列号、签名算法、颁发者、有效期和使用者等信息。属性信息包括但不限于上述表1所体现的内容。

解析待查杀文件的属性信息需要消耗CPU资源要小于本地查杀时所需要CPU资源，因此通过云端查杀可以节约CPU资源。

服务器根据表1中的待查杀信息至少其中之一查找相应的待查杀文件，也就是服务器查找待查杀文件应用程序1、应用程序2、应用程序3和应用程序4，并对这些待查杀文件进行云端查杀，得到的第一查杀结果如表2所示。

表2

如表2所示，应用程序1和应用程序2分别对应病毒和非病毒，而应用程序3和应用程序4的待查杀文件没有找到，也就是没有对应用程序3和应用程序4进行云端查杀。第一查杀结果包括两部分内容，其中一部分是类似表2中应用程序1和应用程序2这种确定的查杀信息，另外一部分是类似表2中应用程序3和应用程序4这种未查找到文件的结果，即第一指示信息。

服务器没有查找到应用程序3和应用程序4的数据包，也就无法对应用程序3和应用程序4进行云端病毒查杀。因此，指示终端对应用程序3和应用程序4进行本地病毒查杀。终端上的病毒查杀客户端根据第一指示信息对应用程序3和应用程序4进行本地病毒查杀。

可选地，对第一指示信息指示的第二信息进行本地病毒查杀包括：对待查杀文件进行解析，得到待查杀文件的包特征，其中，包特征至少包括待查杀文件的包名、待查杀文件的证书、待查杀文件的文件大小、待查杀文件所包括的资源文件以及待查杀文件的常量字符串；将包特征与客户端的本地病毒库中的病毒特征进行匹配；将匹配得到的包特征所对应的待查杀文件作为病毒文件。

在进行本地病毒查杀时，会解析应用程序3和应用程序4的数据包，从中解析出包名、证书、文件大小，以及数据包中的资源文件和常量字符串等信息，并将这些数据包的特征信息与病毒库中的病毒特征进行匹配，若某些特征信息与病毒特征相匹配，则确定这些特征信息所在的数据包包括病毒。

终端在解析数据包以及进行病毒特征比对时会消耗大量的CPU资源，而通过云端查杀可以过滤掉一部分不需要本地查杀的待查杀文件，减少了终端解析数据包以及进行病毒特征比对的CPU消耗，解决了现有技术中进行病毒查杀时终端的CPU资源消耗比较大的技术问题，同时，由于采用了云端查杀和本地查杀结合的方式进行病毒查杀，提高了病毒查杀的速度。

本地病毒查杀可能会造成部分非病毒文件被误判为病毒文件，可以采用两种方式来避免误判。一种是在完成本地病毒查杀后再进行服务器的误判检测，另外一种是服务器在完成云端病毒查杀后，将可能被误判的文件的误判指示信息发送给终端，以便终端可以根据服务器发送的误判指示信息进行误判检查。

第一种，在完成本地病毒查杀后，将查杀结果发送给服务器进行误判检验。

在对第一指示信息指示的第二信息进行本地病毒查杀之后，方法还包括：获取对第二信息进行本地病毒查杀之后得到的第二查杀结果，其中，第二查杀结果用于指示经过本地病毒查杀后被判定为病毒的待查杀文件；向服务器发送第三信息，其中，第三信息用于指示服务器对第二查杀结果中被判定为病毒的待查杀文件进行误判检查，误判检查用于判断被判定为病毒的待查杀文件是否为非病毒文件。

第二查杀结果中包括被判定为病毒文件的待查杀文件，向服务器发送第三信息也可以不是待查杀文件的数据包，而是只是待查杀文件的数据包的标识，比如上述表1中待查杀信息。与服务器进行云端查杀不同，服务器在接收到本地查杀后的第三信息后，判断服务器中是否记录有某个第三信息所对应的待查杀文件的数据包为非病毒文件。如果有，则认为该文件被终端误判为病毒文件，需要通知终端中的客户端该文件被误判为病毒。

在一些具体的例子中，上述表2中的应用程序2经过本地病毒查杀后被认定为病毒文件，则终端将应用程序2的信息发送给服务器，服务器查看是否有该应用程序2被误判的记录，若有，则通知客户端该应用程序2被误判为病毒文件，应该为非病毒文件。客户端将应用程序2的查杀结果更改为非病毒。

第二种，根据服务器发送的误判指示信息进行误判检查。

在对第一指示信息指示的第二信息进行本地病毒查杀之后，方法还包括：获取对第二信息进行本地病毒查杀之后得到的第二查杀结果，其中，第二查杀结果用于指示经过本地病毒查杀后被判定为病毒的待查杀文件；解析第一查杀结果中的第二指示信息，其中，第二指示信息用于指示一个或者多个目标文件为非病毒文件；在被判定为病毒的待查杀文件包括目标文件时，将被判定为病毒的待查杀文件中与目标文件相同的文件修改为非病毒。

客户端接收到第一查杀结果的同时也能从第一查杀结果中解析出第二指示信息，第二指示信息用于指示一个或者多个目标文件为非病毒文件，这些目标文件容易被误判为病毒文件。这些目标文件可以是上述待查杀文件，也可以不是上述待查杀文件。客户端根据比对被判断为病毒的文件是否第二指示信息所指示的目标文件的其中之一，如果是，则确定该被判断为病毒的文件是被误判的文件，并将该被判断为病毒的文件修改为非病毒。

在一些具体的例子中，如表2所示被判断为病毒的文件为应用程序2。第二指示信息指示的目标文件包括应用程序，则确定该应用程序2为被误判的文件，将应用程序2的查杀结果修改为非病毒。

在本实施例中，通过误判检查来避免本地查杀所导致的误判的问题，使得查杀的结果更加准确。

以下结合图3和图4对本实施例进行说明。

图3是根据现有技术的病毒的查杀方法的流程图。图4是根据本发明实施例的另一种病毒的查杀方法的流程图。

如图3所示，现有技术先执行本地查杀(步骤S301至步骤S303)，再执行云端查杀(步骤S304至步骤S306)。

步骤S301，解析本地病毒库得到所有病毒的特征。

步骤S302，本地提取待检测apk的特征。即提取待检测文件的包名、证书、文件大小包括的资源文件以及常量字符串等特征。

步骤S303，特征匹配。即对apk的特征和病毒库中的病毒特征进行匹配。

步骤S304，提取云查信息。需要进行云端查杀的特征，包括包名、证书、文件大小等特征。

步骤S305，联网云查。对需要进行云端查杀的apk进行云端查杀。

步骤S306，校正本地扫描结果。如果本地查杀有误报，则校正误报结果。

如图4所示，本实施例先执行云端查杀(步骤S401至步骤S403)，再执行本地查杀(步骤S404至步骤S406)，本地查杀的占比不到5％，95％通过云端查杀，然后再执行误判检测(步骤S407至步骤S408)。

步骤S401，本地提取云查信息。需要进行云端查杀的特征，包括包名、证书、文件大小等特征。

步骤S402，云端查杀。

步骤S403，判断是否有云查未知的结果。判断是否有未找到的apk，并且无法进行云端查杀的云查信息。如果有，则执行步骤S404，否则，结束。

步骤S404，解析本地病毒库得到所有病毒的特征。

步骤S405，本地提取待检测apk的特征。即提取待检测文件的包名、证书、文件大小包括的资源文件以及常量字符串等特征。

步骤S406，特征匹配。对本地病毒库和apk特征进行匹配，查杀病毒文件。

步骤S407，判断是否有风险。判断是否有病毒文件，如果有，则对病毒文件执行步骤S408，否则，结束。

步骤S408，对风险结果做云查。对确定为病毒的文件进行云端误报检验，如果有被误报的病毒文件，则提示将被误报的病毒文件的查杀结果修改为非病毒文件。

可见，本实施例先执行的云端查杀后执行本地查杀的流程可以减少本地查杀的CPU的消耗，并且完成本地查杀后的误判检测可以保证查杀的准确性。

需要说明的是，对于前述的各方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本发明并不受所描述的动作顺序的限制，因为依据本发明，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作和模块并不一定是本发明所必须的。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到根据上述实施例的方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端设备(可以是手机，计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。

实施例2

根据本发明实施例，还提供了一种用于实施上述病毒的查杀方法的病毒的查杀装置，该病毒的查杀装置主要用于执行本发明实施例上述内容所提供的病毒的查杀方法，以下对本发明实施例所提供的病毒的查杀装置做具体介绍：

图5是根据本发明实施例的病毒的查杀装置的示意图，如图5所示，该病毒的查杀装置主要包括：第一发送单元10、接收单元20和查杀单元30。

第一发送单元10用于将待查杀信息发送给服务器，其中，待查杀信息用于指示服务器对与待查杀信息关联的待查杀文件进行云端病毒查杀。

接收单元20用于接收服务器发送的第一查杀结果，其中，第一查杀结果包括查杀信息和第一指示信息，查杀信息为对待查杀文件中的第一信息进行云端病毒查杀的结果，第一指示信息用于指示客户端对待查杀文件中未进行云端病毒查杀的第二信息进行本地病毒查杀。

查杀单元30用于对第一指示信息指示的第二信息进行本地病毒查杀。

待查杀信息是能够指示待查杀文件(如apk)的信息，并不是待查杀文件本身，是能够让服务器根据这些待查杀信息找到待查杀文件的信息。这些待查杀文件不是终端上传的文件，可以是已经存储在网络中的待查杀文件。服务器根据待查杀信息找到待查杀文件，并对找到的待查杀文件进行查杀，确定出哪些待查杀文件有病毒，哪些待查杀文件没有病毒，哪些待查杀文件无法确定出是否有病毒。通常无法确定是否有病毒的待查杀文件是服务器无法获取待查杀文件，因此，无法确定出该待查杀文件是否有病毒。

服务器将进行云端查杀得到的第一查杀结果发送给终端，第一查杀结果包括了已经完成查杀的待查杀文件的查杀信息，以及用于指示无法进行查杀的待查杀文件的第一指示信息。终端中的病毒查杀客户端对第一指示信息所指示的待查杀文件(第二信息)进行本地病毒查杀。

在一些例子中，上述的待查杀信息可以是终端上安装的应用程序数据包的包名、证书和文件大小等信息，主要是为了让服务器根据这些信息找到网络中已经存在的应用程序数据包，而不需要终端上传这些应用程序数据包，节约了终端的网络传输资源。上述的待查杀文件可以存储在网络中的应用程序数据包。待查杀信息“A1”指示应用程序1，则服务器根据待查杀信息“A1”查找到相应的“应用程序1”。

待查杀信息可以是待查杀文件的属性信息，第一发送单元包括的第一解析模块，用于解析待查杀文件的属性信息，其中，属性信息用于指示服务器根据属性信息查待查杀文件，属性信息至少包括数据包的包名、数据包的证书和数据包的文件大小；第一发送单元包括的发送模块，用于将解析得到的属性信息作为待查杀信息发送给服务器。

需要说明的是，上述证书包括应用程序的版本号、序列号、签名算法、颁发者、有效期和使用者等信息。属性信息包括但不限于上述表1所体现的内容。

解析待查杀文件的属性信息需要消耗CPU资源要小于本地查杀时所需要CPU资源，因此通过云端查杀可以节约CPU资源。

可选地，查杀单元包括：第二解析模块，用于对待查杀文件进行解析，得到待查杀文件的包特征，其中，包特征至少包括待查杀文件的包名、待查杀文件的证书、待查杀文件的文件大小、待查杀文件所包括的资源文件以及待查杀文件的常量字符串；匹配模块，用于将包特征与客户端的本地病毒库中的病毒特征进行匹配；确定模块，用于将匹配得到的包特征所对应的待查杀文件作为病毒文件。

在进行本地病毒查杀时，会解析应用程序3和应用程序4的数据包，从中解析出包名、证书、文件大小，以及数据包中的资源文件和常量字符串等信息，并将这些数据包的特征信息与病毒库中的病毒特征进行匹配，若某些特征信息与病毒特征相匹配，则确定这些特征信息所在的数据包包括病毒。

终端在解析数据包以及进行病毒特征比对时会消耗大量的CPU资源，而通过云端查杀可以过滤掉一部分不需要本地查杀的待查杀文件，减少了终端解析数据包以及进行病毒特征比对的CPU消耗，解决了现有技术中进行病毒查杀时终端的CPU资源消耗比较大的技术问题，同时，由于采用了云端查杀和本地查杀结合的方式进行病毒查杀，提高了病毒查杀的速度。

本地病毒查杀可能会造成部分非病毒文件被误判为病毒文件，可以采用两种方式来避免误判。一种是在完成本地病毒查杀后再进行服务器的误判检测，另外一种是服务器在完成云端病毒查杀后，将可能被误判的文件的误判指示信息发送给终端，以便终端可以根据服务器发送的误判指示信息进行误判检查。

本地病毒查杀可能会造成部分非病毒文件被误判为病毒文件，可以采用两种方式来避免误判。一种是在完成本地病毒查杀后再进行服务器的误判检测，另外一种是服务器在完成云端病毒查杀后，将可能被误判的文件的误判指示信息发送给终端，以便终端可以根据服务器发送的误判指示信息进行误判检查。

第一种，在完成本地病毒查杀后，将查杀结果发送给服务器进行误判检验。通过以下单元进行误判检验：第一获取单元，用于在对第一指示信息指示的第二信息进行本地病毒查杀之后，获取对第二信息进行本地病毒查杀之后得到的第二查杀结果，其中，第二查杀结果用于指示经过本地病毒查杀后被判定为病毒的待查杀文件；第二发送单元，用于向服务器发送第三信息，其中，第三信息用于指示服务器对第二查杀结果中被判定为病毒的待查杀文件进行误判检查，误判检查用于判断被判定为病毒的待查杀文件是否为非病毒文件。

第二查杀结果中包括被判定为病毒文件的待查杀文件，向服务器发送第三信息也可以不是待查杀文件的数据包，而是只是待查杀文件的数据包的标识，比如上述表1中待查杀信息。与服务器进行云端查杀不同，服务器在接收到本地查杀后的第三信息后，判断服务器中是否记录有某个第三信息所对应的待查杀文件的数据包为非病毒文件。如果有，则认为该文件被终端误判为病毒文件，需要通知终端中的客户端该文件被误判为病毒。

在一些具体的例子中，上述表2中的应用程序2经过本地病毒查杀后被认定为病毒文件，则终端将应用程序2的信息发送给服务器，服务器查看是否有该应用程序2被误判的记录，若有，则通知客户端该应用程序2被误判为病毒文件，应该为非病毒文件。客户端将应用程序2的查杀结果更改为非病毒。

第二种，根据服务器发送的误判指示信息进行误判检查。

通过以下单元进行误判检验：第二获取单元，用于在对第一指示信息指示的第二信息进行本地病毒查杀之后，获取对第二信息进行本地病毒查杀之后得到的第二查杀结果，其中，第二查杀结果用于指示经过本地病毒查杀后被判定为病毒的待查杀文件；解析单元，用于解析第一查杀结果中的第二指示信息，其中，第二指示信息用于指示一个或者多个目标文件为非病毒文件；修改单元，用于在被判定为病毒的待查杀文件包括目标文件时，将被判定为病毒的待查杀文件中与目标文件相同的文件修改为非病毒。

客户端接收到第一查杀结果的同时也能从第一查杀结果中解析出第二指示信息，第二指示信息用于指示一个或者多个目标文件为非病毒文件，这些目标文件容易被误判为病毒文件。这些目标文件可以是上述待查杀文件，也可以不是上述待查杀文件。客户端根据比对被判断为病毒的文件是否第二指示信息所指示的目标文件的其中之一，如果是，则确定该被判断为病毒的文件是被误判的文件，并将该被判断为病毒的文件修改为非病毒。

在一些具体的例子中，如表2所示被判断为病毒的文件为应用程序2。第二指示信息指示的目标文件包括应用程序，则确定该应用程序2为被误判的文件，将应用程序2的查杀结果修改为非病毒。

在本实施例中，通过误判检查来避免本地查杀所导致的误判的问题，使得查杀的结果更加准确。

实施例3

根据本发明实施例，还提供了一种用于实施上述病毒的查杀方法的终端，如图6所示，该终端主要包括处理器601、摄像头602、显示器603、数据接口604、存储器605和网络接口606，其中：

摄像头602主要用于采集用户信息。

数据接口604则主要通过数据传输的方式将第三方工具获取到的病毒特征给处理器601。

存储器605主要用于存储病毒库文件和待查杀文件。

网络接口606主要用于与服务器进行网络通信，向服务器发送待查杀信息进行云端查杀。

显示器603主要用于显示查杀结果。

处理器601主要用于执行如下操作：

获取待识别车辆的尾灯的初始图像；对初始图像进行灰度处理，得到中间图像；从中间图像中提取尾灯的轮廓，作为待识别轮廓；从预设数据库中查找与待识别轮廓相匹配的尾灯轮廓，作为目标轮廓，其中，预设数据库中存储有不同的尾灯轮廓；以及从预设数据库中获取与目标轮廓对应的车辆信息，作为待识别车辆的信息，其中，预设数据库中还存储有与不同的尾灯轮廓对应的车辆信息。

处理器601还用于将待查杀信息发送给服务器，其中，所述待查杀信息用于指示所述服务器对与所述待查杀信息关联的待查杀文件进行云端病毒查杀；

接收所述服务器发送的第一查杀结果，其中，所述第一查杀结果包括查杀信息和第一指示信息，所述查杀信息为对所述待查杀文件中的第一信息进行所述云端病毒查杀的结果，所述第一指示信息用于指示客户端对所述待查杀文件中未进行所述云端病毒查杀的第二信息进行本地病毒查杀；

对所述第一指示信息指示的所述第二信息进行本地病毒查杀。

处理器601还用于获取对第二信息进行本地病毒查杀之后得到的第二查杀结果，其中，第二查杀结果用于指示经过本地病毒查杀后被判定为病毒的待查杀文件；向服务器发送第三信息，其中，第三信息用于指示服务器对第二查杀结果中被判定为病毒的待查杀文件进行误判检查，误判检查用于判断被判定为病毒的待查杀文件是否为非病毒文件。

处理器601还用于获取对第二信息进行本地病毒查杀之后得到的第二查杀结果，其中，第二查杀结果用于指示经过本地病毒查杀后被判定为病毒的待查杀文件；解析第一查杀结果中的第二指示信息，其中，第二指示信息用于指示一个或者多个目标文件为非病毒文件；在被判定为病毒的待查杀文件包括目标文件时，将被判定为病毒的待查杀文件中与目标文件相同的文件修改为非病毒。

处理器601还用于解析待查杀文件的属性信息，其中，属性信息用于指示服务器根据属性信息查待查杀文件，属性信息至少包括数据包的包名、数据包的证书和数据包的文件大小；将解析得到的属性信息作为待查杀信息发送给服务器。

可选地，本实施例中的具体示例可以参考上述实施例1和实施例2中所描述的示例，本实施例在此不再赘述。

实施例4

本发明的实施例还提供了一种存储介质。可选地，在本实施例中，上述存储介质可以用于存储本发明实施例的病毒的查杀方法的程序代码。

可选地，在本实施例中，上述存储介质可以位于移动通信网络、广域网、城域网或局域网的网络中的多个网络设备中的至少一个网络设备。

可选地，在本实施例中，存储介质被设置为存储用于执行以下步骤的程序代码：

S1，将待查杀信息发送给服务器，其中，待查杀信息用于指示服务器对与待查杀信息关联的待查杀文件进行云端病毒查杀；

S2，接收服务器发送的第一查杀结果，其中，第一查杀结果包括查杀信息和第一指示信息，查杀信息为对待查杀文件中的第一信息进行云端病毒查杀的结果，第一指示信息用于指示客户端对待查杀文件中未进行云端病毒查杀的第二信息进行本地病毒查杀；

S3，对第一指示信息指示的第二信息进行本地病毒查杀。

可选地，在本实施例中，上述存储介质可以包括但不限于：U盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，RandomAccess Memory)、移动硬盘、磁碟或者光盘等各种可以存储程序代码的介质。

可选地，在本实施例中，处理器根据存储介质中已存储的程序代码执行：在对第一指示信息指示的第二信息进行本地病毒查杀之后，方法还包括：获取对第二信息进行本地病毒查杀之后得到的第二查杀结果，其中，第二查杀结果用于指示经过本地病毒查杀后被判定为病毒的待查杀文件；向服务器发送第三信息，其中，第三信息用于指示服务器对第二查杀结果中被判定为病毒的待查杀文件进行误判检查，误判检查用于判断被判定为病毒的待查杀文件是否为非病毒文件。

可选地，在本实施例中，处理器根据存储介质中已存储的程序代码执行在对第一指示信息指示的第二信息进行本地病毒查杀之后，方法还包括：获取对第二信息进行本地病毒查杀之后得到的第二查杀结果，其中，第二查杀结果用于指示经过本地病毒查杀后被判定为病毒的待查杀文件；解析第一查杀结果中的第二指示信息，其中，第二指示信息用于指示一个或者多个目标文件为非病毒文件；在被判定为病毒的待查杀文件包括目标文件时，将被判定为病毒的待查杀文件中与目标文件相同的文件修改为非病毒。

可选地，在本实施例中，处理器根据存储介质中已存储的程序代码执行将待查杀信息发送给服务器包括：解析待查杀文件的属性信息，其中，属性信息用于指示服务器根据属性信息查待查杀文件，属性信息至少包括数据包的包名、数据包的证书和数据包的文件大小；将解析得到的属性信息作为待查杀信息发送给服务器。

可选地，在本实施例中，处理器根据存储介质中已存储的程序代码执行：对第一指示信息指示的第二信息进行本地病毒查杀包括：对待查杀文件进行解析，得到待查杀文件的包特征，其中，包特征至少包括待查杀文件的包名、待查杀文件的证书、待查杀文件的文件大小、待查杀文件所包括的资源文件以及待查杀文件的常量字符串；将包特征与客户端的本地病毒库中的病毒特征进行匹配；将匹配得到的包特征所对应的待查杀文件作为病毒文件。

可选地，本实施例中的具体示例可以参考上述实施例1和实施例2中所描述的示例，本实施例在此不再赘述。

上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。

上述实施例中的集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在上述计算机可读取的存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在存储介质中，包括若干指令用以使得一台或多台计算机设备(可为个人计算机、服务器或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。

在本发明的上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其他实施例的相关描述。

在本申请所提供的几个实施例中，应该理解到，所揭露的客户端，可通过其它的方式实现。其中，以上所描述的装置实施例仅仅是示意性的，例如所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，单元或模块的间接耦合或通信连接，可以是电性或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (10)

1.一种病毒的查杀方法，其特征在于，包括：

将待查杀信息发送给服务器，其中，所述待查杀信息用于指示所述服务器对与所述待查杀信息关联的待查杀文件进行云端病毒查杀；

接收所述服务器发送的第一查杀结果，其中，所述第一查杀结果包括查杀信息和第一指示信息，所述查杀信息为对所述待查杀文件中的第一信息进行所述云端病毒查杀的结果，所述第一指示信息用于指示客户端对所述待查杀文件中未进行所述云端病毒查杀的第二信息进行本地病毒查杀；

对所述第一指示信息指示的所述第二信息进行本地病毒查杀。

2.根据权利要求1所述的方法，其特征在于，在对所述第一指示信息指示的所述第二信息进行本地病毒查杀之后，所述方法还包括：

获取对所述第二信息进行所述本地病毒查杀之后得到的第二查杀结果，其中，所述第二查杀结果用于指示经过所述本地病毒查杀后被判定为病毒的待查杀文件；

向所述服务器发送第三信息，其中，所述第三信息用于指示所述服务器对所述第二查杀结果中所述被判定为病毒的待查杀文件进行误判检查，所述误判检查用于判断所述被判定为病毒的待查杀文件是否为非病毒文件。

3.根据权利要求1所述的方法，其特征在于，在对所述第一指示信息指示的所述第二信息进行本地病毒查杀之后，所述方法还包括：

获取对所述第二信息进行所述本地病毒查杀之后得到的第二查杀结果，其中，所述第二查杀结果用于指示经过所述本地病毒查杀后被判定为病毒的待查杀文件；

解析所述第一查杀结果中的第二指示信息，其中，所述第二指示信息用于指示一个或者多个目标文件为非病毒文件；

在所述被判定为病毒的待查杀文件包括所述目标文件时，将所述被判定为病毒的待查杀文件中与所述目标文件相同的文件修改为非病毒。

4.根据权利要求1所述的方法，其特征在于，将待查杀信息发送给服务器包括：

解析所述待查杀文件的属性信息，其中，所述属性信息用于指示所述服务器根据所述属性信息查所述待查杀文件，所述属性信息至少包括数据包的包名、所述数据包的证书和所述数据包的文件大小；

将解析得到的所述属性信息作为所述待查杀信息发送给所述服务器。

5.根据权利要求1所述的方法，其特征在于，对所述第一指示信息指示的所述第二信息进行本地病毒查杀包括：

对所述待查杀文件进行解析，得到所述待查杀文件的包特征，其中，所述包特征至少包括所述待查杀文件的包名、所述待查杀文件的证书、所述待查杀文件的文件大小、所述待查杀文件所包括的资源文件以及所述待查杀文件的常量字符串；

将所述包特征与所述客户端的本地病毒库中的病毒特征进行匹配；

将匹配得到的包特征所对应的待查杀文件作为病毒文件。

6.一种病毒的查杀装置，其特征在于，包括：

第一发送单元，用于将待查杀信息发送给服务器，其中，所述待查杀信息用于指示所述服务器对与所述待查杀信息关联的待查杀文件进行云端病毒查杀；

接收单元，用于接收所述服务器发送的第一查杀结果，其中，所述第一查杀结果包括查杀信息和第一指示信息，所述查杀信息为对所述待查杀文件中的第一信息进行所述云端病毒查杀的结果，所述第一指示信息用于指示客户端对所述待查杀文件中未进行所述云端病毒查杀的第二信息进行本地病毒查杀；

查杀单元，用于对所述第一指示信息指示的所述第二信息进行本地病毒查杀。

7.根据权利要求6所述的装置，其特征在于，所述装置还包括：

第一获取单元，用于在对所述第一指示信息指示的所述第二信息进行本地病毒查杀之后，获取对所述第二信息进行所述本地病毒查杀之后得到的第二查杀结果，其中，所述第二查杀结果用于指示经过所述本地病毒查杀后被判定为病毒的待查杀文件；

第二发送单元，用于向所述服务器发送第三信息，其中，所述第三信息用于指示所述服务器对所述第二查杀结果中所述被判定为病毒的待查杀文件进行误判检查，所述误判检查用于判断所述被判定为病毒的待查杀文件是否为非病毒文件。

8.根据权利要求6所述的装置，其特征在于，所述装置还包括：

第二获取单元，用于在对所述第一指示信息指示的所述第二信息进行本地病毒查杀之后，获取对所述第二信息进行所述本地病毒查杀之后得到的第二查杀结果，其中，所述第二查杀结果用于指示经过所述本地病毒查杀后被判定为病毒的待查杀文件；

解析单元，用于解析所述第一查杀结果中的第二指示信息，其中，所述第二指示信息用于指示一个或者多个目标文件为非病毒文件；

修改单元，用于在所述被判定为病毒的待查杀文件包括所述目标文件时，将所述被判定为病毒的待查杀文件中与所述目标文件相同的文件修改为非病毒。

9.根据权利要求6所述的装置，其特征在于，所述第一发送单元包括：

第一解析模块，用于解析所述待查杀文件的属性信息，其中，所述属性信息用于指示所述服务器根据所述属性信息查所述待查杀文件，所述属性信息至少包括数据包的包名、所述数据包的证书和所述数据包的文件大小；

发送模块，用于将解析得到的所述属性信息作为所述待查杀信息发送给所述服务器。

10.根据权利要求6所述的装置，其特征在于，所述查杀单元包括：

第二解析模块，用于对所述待查杀文件进行解析，得到所述待查杀文件的包特征，其中，所述包特征至少包括所述待查杀文件的包名、所述待查杀文件的证书、所述待查杀文件的文件大小、所述待查杀文件所包括的资源文件以及所述待查杀文件的常量字符串；

匹配模块，用于将所述包特征与所述客户端的本地病毒库中的病毒特征进行匹配；

确定模块，用于将匹配得到的包特征所对应的待查杀文件作为病毒文件。