CN106713259B - Hosts文件检测方法及装置 - Google Patents

Abstract

本发明是关于一种Hosts文件检测方法及装置，属于网络安全技术领域。该方法包括：获取Hosts文件的属性信息，属性信息用于指示Hosts文件中的各个网址与互联网络协议IP地址之间的对应关系、Hosts文件中的空白行数以及Hosts文件的数据量；根据属性信息检测Hosts文件是否满足第一预设条件和第二预设条件中的至少一种；若是，则确定Hosts文件中的网址存在被劫持的风险，在检测Hosts文件是否包含存在于预设网址集合中的网址的基础上，结合Hosts文件中的各个网址与IP地址之间的对应关系、空白行数以及Hosts文件的数据量检测该Hosts文件中的网址是否存在被劫持的风险，提高检测准确性。

Description

Hosts文件检测方法及装置

技术领域

本发明涉及网络安全技术领域，特别涉及一种Hosts文件检测方法及装置。

背景技术

目前很多病毒程序可以通过对Hosts文件中的网址进行劫持来影响浏览器正常的网络访问。因此，检测Hosts文件中的网址是否存在被劫持的风险是保证计算机网络安全的重要手段。

现有技术主要通过云查检测法来检测Hosts文件中是否存在被劫持的网址。具体的，云端服务器收集并维护一个网址集合，该网址集合中包含有病毒程序可能会劫持网址，通常为通用性较高的网站，比如火车票购票网站、杀毒软件官方网站以及知名度较高的防病毒相关网站等，终端检测Hosts文件时，将Hosts文件中的各个网址发送给云端服务器，由云端服务器检测该各个网址中是否有网址存在于该网址集合中，若是，则确定该Hosts文件中的网址存在被劫持的风险。

在实现本发明的过程中，申请人发现现有技术存在如下问题：

网络中可能被病毒程序劫持的网址数量非常庞大，云端服务器通常无法收集到所有可能被病毒程序劫持的网址，导致检测准确性较低，影响计算机系统的安全性能。

发明内容

为了解决现有技术中云端服务器无法收集到所有可能被病毒程序劫持的网址，导致检测准确性较低的问题，本发明实施例提供了一种Hosts文件检测方法及装置，技术方案如下：

第一方面，提供了一种Hosts文件检测方法，所述方法包括：

获取Hosts文件的属性信息，所述属性信息用于指示所述Hosts文件中的各个网址与互联网络协议IP地址之间的对应关系、所述Hosts文件中的空白行数以及所述Hosts文件的数据量；

根据所述属性信息检测所述Hosts文件是否满足第一预设条件和第二预设条件中的至少一种，所述第二预设条件为所述各个网址中的至少一个网址存在于预设网址集合中；

若所述Hosts文件满足所述第一预设条件和所述第二预设条件中的至少一种，则确定所述Hosts文件中的网址存在被劫持的风险。

第二方面，提供了一种Hosts文件检测装置，所述装置包括：

信息获取模块，用于获取Hosts文件的属性信息，所述属性信息用于指示所述Hosts文件中的各个网址与互联网络协议IP地址之间的对应关系、所述Hosts文件中的空白行数以及所述Hosts文件的数据量；

检测模块，用于根据所述属性信息检测所述Hosts文件是否满足第一预设条件和第二预设条件中的至少一种，所述第二预设条件为所述各个网址中的至少一个网址存在于预设网址集合中；

确定模块，用于若所述Hosts文件满足所述第一预设条件和所述第二预设条件中的至少一种，则确定所述Hosts文件中的网址存在被劫持的风险。

本发明实施例提供的技术方案可以包括以下有益效果：

通过获取Hosts文件的中的各个网址与互联网络协议IP地址之间的对应关系、该Hosts文件中的空白行数以及该Hosts文件的数据量，并结合这些信息检测该Hosts文件是否满足第一预设条件和第二预设条件中的至少一种，其中该第二预设条件为该各个网址中的至少一个网址存在于预设网址集合中，若该Hosts文件满足该第一预设条件和该第二预设条件中的至少一种，则确定该Hosts文件中的网址存在被劫持的风险，在检测Hosts文件是否包含存在于预设网址集合中的网址的基础上，结合Hosts文件中的各个网址与IP地址之间的对应关系、空白行数以及Hosts文件的数据量等属性综合检测该Hosts文件中的网址是否存在被劫持的风险，增加检测维度，从而达到提高检测准确性和系统安全性能的效果。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本发明。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本发明的实施例，并与说明书一起用于解释本发明的原理。

图1是根据一示例性实施例示出的一种Hosts文件检测方法的流程图；

图2是根据另一示例性实施例示出的一种Hosts文件检测方法的流程图；

图3是图2所示实施例涉及的一种Hosts文件中IP地址与网址之间的对应关系示意图；

图4是图2所示实施例涉及的另一种Hosts文件中IP地址与网址之间的对应关系示意图；

图5是图2所示实施例涉及的一种Hosts文件存储的内容示意图；

图6是图2所示实施例涉及的另一种Hosts文件存储的内容示意图；

图7是图2所示实施例涉及的又一种Hosts文件存储的内容示意图；

图8是根据又一示例性实施例示出的一种Hosts文件检测方法的流程图；

图9是根据一示例性实施例示出的一种Hosts文件检测装置的框图；

图10是根据另一示例性实施例示出的一种Hosts文件检测装置的框图；

图11是根据一示例性实施例示出的一种计算机设备的结构示意图。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本发明相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本发明的一些方面相一致的装置和方法的例子。

图1是根据一示例性实施例示出的一种Hosts文件检测方法的流程图，该方法可以用于具有网址访问功能且系统中包含有Hosts文件的计算机设备中，比如，该计算机设备可以是个人电脑、智能手机、平板电脑以及电子书阅读器等等。如图1所示，该Hosts文件检测方法可以包括如下几个步骤：

步骤101，获取Hosts文件的属性信息，该属性信息用于指示该Hosts文件中的各个网址与互联网络协议IP地址之间的对应关系、该Hosts文件中的空白行数以及该Hosts文件的数据量。

步骤102，根据该属性信息检测该Hosts文件是否满足第一预设条件和第二预设条件中的至少一种，该第二预设条件为该各个网址中的至少一个网址存在于预设网址集合中。

步骤103，若该Hosts文件满足该第一预设条件和该第二预设条件中的至少一种，则确定该Hosts文件中的网址存在被劫持的风险。

综上所述，本发明实施例提供的Hosts文件检测方法，通过获取Hosts文件的中的各个网址与互联网络协议IP地址之间的对应关系、该Hosts文件中的空白行数以及该Hosts文件的数据量，并结合这些信息检测该Hosts文件是否满足第一预设条件和第二预设条件中的至少一种，其中该第二预设条件为该各个网址中的至少一个网址存在于预设网址集合中，若该Hosts文件满足该第一预设条件和该第二预设条件中的至少一种，则确定该Hosts文件中的网址存在被劫持的风险，在检测Hosts文件是否包含存在于预设网址集合中的网址的基础上，结合Hosts文件中的各个网址与IP地址之间的对应关系、空白行数以及Hosts文件的数据量等属性综合检测该Hosts文件中的网址是否存在被劫持的风险，增加检测维度，从而达到提高检测准确性和系统安全性能的效果。

在上述实施例中，第一预设条件可以包含如下几种条件中的至少一种：Hosts文件中的空白行的数量大于第一数量阈值；Hosts文件中存在对应的网址个数大于第二数量阈值的非指定IP地址；以及，Hosts文件中的指定IP地址对应的网址个数大于第三数量阈值，且Hosts文件的数据量大于数据量阈值。本发明下面的实施例将以上述三种条件为例进行说明。

图2是根据另一示例性实施例示出的一种Hosts文件检测方法的流程图，该方法可以用于具有网址访问功能且系统中包含有Hosts文件的计算机设备中，比如，该计算机设备可以是个人电脑、智能手机、平板电脑以及电子书阅读器等等。如图2所示，该Hosts文件检测方法可以包括如下几个步骤：

步骤201，获取Hosts文件的属性信息，该属性信息用于指示该Hosts文件中的各个网址与互联网络协议IP地址之间的对应关系、该Hosts文件中的空白行数以及该Hosts文件的数据量。

在本发明实施例中，计算机设备中的系统安全类应用程序进行Hosts文件检测时，可以读取Hosts文件中的网址配置，即Hosts文件中的每个网址对应哪一个IP，并将IP和网址分别存入不同的数组中，并且做好映射关系。此外，应用程序还统计Hosts文件中有多少空白行，并从Hosts文件的文件属性中读取Hosts文件的数据量。

步骤202，检测Hosts文件是否满足第一条件，该第一条件为Hosts文件包含的各个网址中的至少一个网址存在于预设网址集合中。

在本发明实施例中，应用程序可以将Hosts文件中包含的各个网址发送给云端服务器，云端服务器中收集并维护一个预设网址集合，该网址集合中包含有病毒程序可能会劫持网址，云端服务器接收到计算机设备中的应用程序发送的、该Hosts文件中包含的网址后，监测该Hosts文件中包含的网址是否存在于该预设网址集合中，若是，则确定该Hosts文件满足第一条件，否则，确定该Hosts文件不满足第一条件。

或者，计算机设备本地也可以存储该预设网址集合，比如，计算机设备中安装应用程序时，云端服务器将该预设网址集合发送给计算机设备，由计算机设备进行存储，并且，该计算机设备可以定期向云端服务器请求对本地存储的预设网址集合进行更新。应用程序对计算机设备中的Hosts文件进行检测时，可以查询本地存储的预设网址集合中是否存在该Hosts文件中的网址，若是，则确定该Hosts文件满足第一条件，否则，确定该Hosts文件不满足第一条件。

步骤203，检测Hosts文件是否满足第二条件，该第二条件为Hosts文件中存在对应的网址个数大于第二数量阈值的非指定IP地址。

用户想要屏蔽某一个网址时，可以在Hosts文件中设置想要屏蔽的网址与指定IP地址之间的对应关系，其中，该指定IP地址可能是计算机设备的回送地址，在互联网络中，该回送地址通常为127.0.0.1，其中，该回送地址即主机IP堆栈内部的IP地址，主要用于网络软件测试以及本地机进程间通信，无论什么程序，一旦使用回送地址发送数据，协议软件立即返回，不进行任何网络传输。也就是说访问这个IP，通常是不会有风险的。或者，该指定IP地址也可以是其它默认无法访问的IP地址，比如，该指定IP地址可以为0.0.0.0。

在实际应用中，一些病毒程序可能会通过Hosts文件将用户访问的正常网址重定向到一个有害的IP地址上，比如，病毒程序可能会在Hosts文件中配置常用网址与有害IP地址的对应关系，该有害的IP地址可能是一个钓鱼网站的IP地址或者是一个广告页面的IP地址。同时，为了提高将用户访问重定向到有害IP地址的概率，病毒程序通常会配置很多个常用网址与有害IP地址的对应关系，由于有害IP地址通常能够被正常访问，即该有害IP地址必然是上述指定IP地址之外的其它IP地址，即有害IP地址为非指定IP地址。

请参考图3，其示出了本发明实施例涉及的一种Hosts文件中IP地址与网址之间的对应关系示意图，其中，在Hosts文件未被劫持的情况下，左侧非指定IP地址与右侧网址之间的对应关系大多数是一一对应的。此外，用户也可能手动将部分相似的网址重定向到同一个IP地址，导致部分非指定IP地址会对应一个以上的网址，但是，用户通常不会将大量的网址手动重定向到同一个非指定IP地址，即通常情况下，用户主动配置一个非指定IP地址对应的网址的数量不会超过某一数值(即上述第二数量阈值)，在本发明实施例中，可以设置第二数量阈值为3，即当应用程序检测出Hosts文件中某一个非指定IP地址对应的网址的数量大于3时，确定该Hosts文件满足第二条件，否则，确定该Hosts文件不满足第二条件。比如，请参考图4，其示出了本发明实施例涉及的另一种Hosts文件中IP地址与网址之间的对应关系示意图，其中，左侧非指定IP地址同时对应右侧的各个网址，且右侧的各个网址的数量大于3，此时，应用程序可以确定该Hosts文件满足第二条件。

具体比如，请参考图5，其示出了本发明实施例涉及的一种Hosts文件存储的内容示意图，其中，非指定IP地址162.212.181.235对应多个网址，即图5中的www.9kkcs.com、www.3qux.com以及www.941337.com等，这些网址通常较为生僻，云端服务器很难收集到这些网址，如果单独使用步骤202所示的检测方法，很难根据这些网址确定出检测该Hosts文件中的网址是否存在被劫持的风险，而通过本步骤所示的方法，当应用程序检测到3个以上的网址对应同一个非指定IP地址时，可以认为Hosts文件中的网址存在被劫持的风险，从而提高检测的准确性。

步骤204，检测Hosts文件是否满足第三条件，该第三条件为Hosts文件中的指定IP地址对应的网址个数大于第三数量阈值，且Hosts文件的数据量大于数据量阈值。

上述步骤203中的非指定IP地址检测的方法排除了指定IP地址对应多个网址的情况，在实际应用中，病毒程序也可能会利用指定IP地址的特性对一些常用的网址进行屏蔽，以阻止用户访问这些网址，比如，病毒程序为了阻止用户在发现计算机设备被病毒感染时通过浏览器访问杀毒软件相关的网址来下载杀毒软件进行病毒查杀，可以在Hosts文件中配置各个杀毒软件官方网站或者其它网站的网址与指定IP地址之间的对应关系，后续用户通过浏览器访问这些杀毒软件对应的网址时，将无法正常访问。

另外，由于用户主动在Hosts文件中进行配置的网址的数量通常比较小，而杀毒软件对应的网址数量较为庞大，病毒程序通常需要在Hosts文件中配置大量的网址与指定IP地址相对应，才可以达到较好的干扰效果，这就会导致Hosts文件的数据量比正常情况下大很多。

基于上述原因，在本发明实施例中，应用程序可以检测Hosts文件中指定IP地址对应的网址个数与第三数量阈值之间的大小关系以及Hosts文件的数据量，结合判断Hosts文件中的网址被劫持的风险，当Hosts文件中指定IP地址对应的网址个数大于第三数量阈值，且Hosts文件的数据量较大(可能存在大量被劫持指向指定IP地址的网址)时，认为该Hosts文件中的网址存在被劫持的风险。

比如，请参考图6，其示出了本发明实施例涉及的另一种Hosts文件存储的内容示意图，其中，指定IP地址127.0.0.1对应的网址的数量较多(比如大于3)，且Hosts文件中配置了大量的网址与IP地址的对应关系(图6中达到了一百多条)，导致Hosts文件的数据量大于数据量阈值，此时，应用程序可以认为Hosts文件中的网址存在被劫持的风险，从而提高检测的准确性。

步骤205，检测Hosts文件是否满足第四条件，该第四条件为Hosts文件中的空白行的数量大于第一数量阈值。

当一个有经验的用户使用浏览器访问常用网址时，如果发现该常用网址被劫持，可能会自行检查Hosts文件以从中删除被劫持的网址配置，病毒程序劫持Hosts文件中的网址后，可能会在Hosts文件中设置大量的空白行，以增加用户发现被劫持的网址的难度，因此，在本发明实施例中，可以根据Hosts文件中的空白行的数量来辅助判断Hosts文件中的网址存在被劫持的风险。具体的，应用程序可以将检测Hosts文件中的空白行的数量是否大于第一数量阈值(比如50条)，若是，则认为Hosts文件中的网址存在被劫持的风险。

比如，请参考图7，其示出了本发明实施例涉及的又一种Hosts文件存储的内容示意图，其中，应用程序通过步骤202所示的方法检测后可能会认为Hosts文件中的网址不存在被劫持的风险(比如，图7中网址virusbuster.hu和www.viru可能并不在预设网址集合中)，此时，应用程序发现Hosts中存在连续大量的空白行(图7中4万行以后出现了配置的IP地址与网址之间的对应关系)，推测病毒程序的目的就是让被劫持的网址很难被找到，此时，应用程序可以认为Hosts文件中的网址存在被劫持的风险。

步骤206，当Hosts文件满足上述第一条件至第四条件中的任一条件时，确定该Hosts文件中的网址存在被劫持的风险。

当Hosts文件满足上述第一条件至第四条件中的任一条件时，应用程序可以确定该Hosts文件满足第一预设条件和第二预设条件中的至少一种。其中，第一预设条件即为上述第一条件，第二预设条件即为上述第二条件、第三条件以及第四条件中的至少一种。

在本发明实施例中，当应用程序检测出Hosts文件满足上述第一条件至第四条件中任一条件时，即可以认为Hosts文件中的网址存在被劫持的风险，此时可以进行相应的处理，比如，展示Hosts文件可能存在被劫持的网址的提示消息。

实际应用中，应用程序可以将上述第一条件与第二至第四条件中的任一条件相结合来对Hosts文件进行检测，或者，也可以将上述第一条件与第二至第四条件中的两个或者三个条件相结合来对Hosts文件进行检测。

步骤207，当Hosts文件满足上述第二条件时，展示该Hosts文件中与该非指定IP地址对应的网址。

在本发明实施例中，当应用程序检测出Hosts文件满足上述第二条件，即该Hosts文件中存在对应的网址个数大于第二数量阈值的非指定IP地址时，说明该非指定IP地址对应的各个网址中可能存在被劫持的网址，此时，应用程序可以将该非指定IP地址对应的网址进行展示，以便用户进一步判断其中是否包含被劫持的网址。比如，应用程序可以将图5中与非指定IP地址162.212.181.235对应各个网址展示给用户。

步骤208，当Hosts文件满足上述第三条件时，展示该Hosts文件中与该指定IP地址对应的网址。

与上述步骤207类似的，在本发明实施例中，当应用程序检测出Hosts文件满足上述第三条件，即该Hosts文件中的指定IP地址对应的网址个数大于第三数量阈值，且该Hosts文件的数据量大于数据量阈值时，说明该指定IP地址对应的各个网址中可能存在被劫持的网址，此时，应用程序可以将该指定IP地址对应的网址进行展示，以便用户进一步判断其中是否包含被劫持的网址。比如，应用程序可以将图6中与指定IP地址172.0.0.1对应各个网址展示给用户。

综上所述，本发明实施例提供的Hosts文件检测方法，通过检测Hosts文件是否满足Hosts文件包含的各个网址中的至少一个网址存在于预设网址集合中，Hosts文件中的空白行的数量大于第一数量阈值，Hosts文件中存在对应的网址个数大于第二数量阈值的非指定IP地址，以及Hosts文件中的指定IP地址对应的网址个数大于第三数量阈值，且Hosts文件的数据量大于数据量阈值这四个条件，并在检测出Hosts文件满足上述四个条件中的任意一个条件时，确定该Hosts文件中的网址存在被劫持的风险，在检测Hosts文件是否包含存在于预设网址集合中的网址的基础上，结合Hosts文件中的各个网址与IP地址之间的对应关系、空白行数以及Hosts文件的数据量等属性综合检测该Hosts文件中的网址是否存在被劫持的风险，增加检测维度，从而达到提高检测准确性和系统安全性能的效果。

此外，本发明实施例提供的方法，当Hosts文件中存在对应的网址个数大于第二数量阈值的非指定IP地址时，可以将该非指定IP地址对应的网址进行展示，当Hosts文件中的指定IP地址对应的网址个数大于第三数量阈值，且该Hosts文件的数据量大于数据量阈值时，将该指定IP地址对应的网址进行展示，以便用户进一步判断其中是否包含被劫持的网址，提高检测效果。

上述图2对应实施例中的第一至第四条件可以按照指定的顺序来执行，当检测出Hosts满足一种条件后，即停止检测后续条件；或者，也可以同时检测上述四种条件，并将综合对上述四种条件的检测结果来确定Hosts文件中的网址是否存在被劫持的风险；或者，也可以将上述四种条件分成两组或三组，每组条件中包含至少一种条件，且每组条件并行检测，最后综合对上述两组或三组条件的检测结果来确定Hosts文件中的网址是否存在被劫持的风险。本发明下面的实施例以将上述四种条件分成两组，且每组条件并行检测为例进行说明。

图8是根据又一示例性实施例示出的一种Hosts文件检测方法的流程图，该方法可以用于具有网址访问功能且系统中包含有Hosts文件的计算机设备中，比如，该计算机设备可以是个人电脑、智能手机、平板电脑以及电子书阅读器等等。以将上述图2所示实施例中的第一至第四条件分成两组，其中第一至第三条件为一组，第四条件为另一组为例，如图8所示，该Hosts文件检测方法可以包括如下几个步骤：

步骤801，获取Hosts文件的属性信息。

其中，该属性信息用于指示该Hosts文件中的各个网址与互联网络协议IP地址之间的对应关系、该Hosts文件中的空白行数以及该Hosts文件的数据量。

步骤802，判断Hosts文件的各个网址中是否包含至少一个存在于预设网址集合中的网址；若是，进入步骤803，否则，进入步骤804。

该步骤与上述图2对应实施例中检测Hosts文件是否满足第一条件类似，此处不再赘述。

步骤803，输出第一指示为1。

当指示为1时，表明Hosts文件满足条件，该Hosts文件中的网址存在被劫持的风险。

步骤804，判断Hosts文件中是否存在对应的网址个数大于该第一数量阈值的非指定IP地址；若是，进入步骤803，否则，进入步骤805。

该步骤与上述图2对应实施例中检测Hosts文件是否满足第二条件类似，此处不再赘述。

步骤805，判断该Hosts文件中的指定IP地址对应的网址个数大于该第三数量阈值且该Hosts文件的数据量大于该数据量阈值是否成立；若是，进入步骤803，否则，进入步骤806。

该步骤与上述图2对应实施例中检测Hosts文件是否满足第三条件类似，此处不再赘述。

步骤806，输出该第一指示为0。

当指示为0时，表明Hosts文件不满足已检测的条件。

步骤807，判断该Hosts文件中的空白行的数量是否大于该第一数量阈值；若是，进入步骤808，否则，进入步骤809。

该步骤与上述图2对应实施例中检测Hosts文件是否满足第四条件类似，此处不再赘述。

需要说明的是，该步骤可以与上述步骤802至步骤806并行执行。

步骤808，输出第二指示为1。

步骤809，输出该第二指示为0。

步骤810，对该第一指示和该第二指示进行或运算，当该或运算的运算结果为1时，确定该Hosts文件中的网址存在被劫持的风险。

或运算的运算结果为1时，可以确定该Hosts文件满足第一预设条件和第二预设条件中的至少一种。其中，第一预设条件即为上述图2对应实施例中的第一条件，第二预设条件即为上述图2对应实施例中第二条件、第三条件以及第四条件中的至少一种。

可选的，当Hosts文件满足上述第二条件时，展示该Hosts文件中与该非指定IP地址对应的网址；当Hosts文件满足上述第三条件时，展示该Hosts文件中与该指定IP地址对应的网址。

综上所述，本发明实施例提供的Hosts文件检测方法，通过检测Hosts文件是否满足Hosts文件包含的各个网址中的至少一个网址存在于预设网址集合中，Hosts文件中的空白行的数量大于第一数量阈值，Hosts文件中存在对应的网址个数大于第二数量阈值的非指定IP地址，以及Hosts文件中的指定IP地址对应的网址个数大于第三数量阈值，且Hosts文件的数据量大于数据量阈值这四个条件，并在检测出Hosts文件满足上述四个条件中的任意一个条件时，确定该Hosts文件中的网址存在被劫持的风险，在检测Hosts文件是否包含存在于预设网址集合中的网址的基础上，结合Hosts文件中的各个网址与IP地址之间的对应关系、空白行数以及Hosts文件的数据量等属性综合检测该Hosts文件中的网址是否存在被劫持的风险，增加检测维度，从而达到提高检测准确性和系统安全性能的效果。

请参考图9，其示出了本发明一个实施例提供的Hosts文件检测装置的结构方框图。该Hosts文件检测装置可以通过硬件或者软硬结合的方式实现为计算机设备中的部分或全部，该计算机设备可以是个人电脑、智能手机、平板电脑以及电子书阅读器等等。该Hosts文件检测装置可以包括：

信息获取模块901，用于获取Hosts文件的属性信息，所述属性信息用于指示所述Hosts文件中的各个网址与互联网络协议IP地址之间的对应关系、所述Hosts文件中的空白行数以及所述Hosts文件的数据量；

检测模块902，用于根据所述属性信息检测所述Hosts文件是否满足第一预设条件和第二预设条件中的至少一种，所述第二预设条件为所述各个网址中的至少一个网址存在于预设网址集合中；

确定模块903，用于若所述Hosts文件满足所述第一预设条件和所述第二预设条件中的至少一种，则确定所述Hosts文件中的网址存在被劫持的风险。

综上所述，本发明实施例提供的Hosts文件检测装置，通过获取Hosts文件的中的各个网址与互联网络协议IP地址之间的对应关系、该Hosts文件中的空白行数以及该Hosts文件的数据量，并结合这些信息检测该Hosts文件是否满足第一预设条件和第二预设条件中的至少一种，其中该第二预设条件为该各个网址中的至少一个网址存在于预设网址集合中，若该Hosts文件满足该第一预设条件和该第二预设条件中的至少一种，则确定该Hosts文件中的网址存在被劫持的风险，在检测Hosts文件是否包含存在于预设网址集合中的网址的基础上，结合Hosts文件中的各个网址与IP地址之间的对应关系、空白行数以及Hosts文件的数据量等属性综合检测该Hosts文件中的网址是否存在被劫持的风险，增加检测维度，从而达到提高检测准确性和系统安全性能的效果。

请参考图10，其示出了本发明一个实施例提供的Hosts文件检测装置的结构方框图。该Hosts文件检测装置可以通过硬件或者软硬结合的方式实现为计算机设备中的部分或全部，该计算机设备可以是个人电脑、智能手机、平板电脑以及电子书阅读器等等。该Hosts文件检测装置可以包括：

信息获取模块901，用于获取Hosts文件的属性信息，所述属性信息用于指示所述Hosts文件中的各个网址与互联网络协议IP地址之间的对应关系、所述Hosts文件中的空白行数以及所述Hosts文件的数据量；

检测模块902，用于根据所述属性信息检测所述Hosts文件是否满足第一预设条件和第二预设条件中的至少一种，所述第二预设条件为所述各个网址中的至少一个网址存在于预设网址集合中；

确定模块903，用于若所述Hosts文件满足所述第一预设条件和所述第二预设条件中的至少一种，则确定所述Hosts文件中的网址存在被劫持的风险。

可选的，所述第一预设条件为下列条件中的至少一种：

所述Hosts文件中的空白行的数量大于第一数量阈值；

所述Hosts文件中存在对应的网址个数大于第二数量阈值的非指定IP地址；

以及，所述Hosts文件中的指定IP地址对应的网址个数大于第三数量阈值，且所述Hosts文件的数据量大于数据量阈值。

可选的，所述检测模块902，包括：

第一判断单元902a，用于判断所述Hosts文件是否满足所述第二预设条件；

第一输出单元902b，用于当所述Hosts文件满足所述第二预设条件时，输出第一指示为1；

第二判断单元902c，用于当所述Hosts文件不满足所述第二预设条件时，判断所述Hosts文件中是否存在对应的网址个数大于所述第一数量阈值的非指定IP地址；

第二输出单元902d，用于当所述Hosts文件中存在对应的网址个数大于所述第二数量阈值的非指定IP地址时，输出所述第一指示为1；

第三判断单元902e，用于当所述Hosts文件中不存在对应的网址个数大于所述第二数量阈值的非指定IP地址时，判断所述Hosts文件中的指定IP地址对应的网址个数大于所述第三数量阈值且所述Hosts文件的数据量大于所述数据量阈值是否成立；

第三输出单元902f，用于当所述Hosts文件中的指定IP地址对应的网址个数大于所述第三数量阈值且所述Hosts文件的数据量大于所述数据量阈值成立时，输出所述第一指示为1，当所述Hosts文件中的指定IP地址对应的网址个数大于所述第三数量阈值且所述Hosts文件的数据量大于所述数据量阈值不成立时，输出所述第一指示为0；

第四判断单元902g，用于判断所述Hosts文件中的空白行的数量是否大于所述第一数量阈值；

第四输出单元902h，用于当所述Hosts文件中的空白行的数量大于所述第一数量阈值是，输出第二指示为1，当所述Hosts文件中的空白行的数量不大于所述第一数量阈值时，输出所述第二指示为0；

运算单元902i，用于对所述第一指示和所述第二指示进行或运算；

第二确定单元902j，用于当所述或运算的运算结果为1时，确定所述Hosts文件满足所述第一预设条件和所述第二预设条件中的至少一种。

可选的，所述指定IP地址为回送地址或者默认无法访问的IP地址。

可选的，所述装置还包括：

第一展示模块904，用于当所述Hosts文件满足所述第一预设条件，且所述第一预设条件包括所述Hosts文件中存在对应的网址个数大于第二数量阈值的非指定IP地址时，展示所述Hosts文件中与所述非指定IP地址对应的网址。

可选的，所述装置还包括：

第二展示模块905，用于当所述Hosts文件满足所述第一预设条件，且所述第一预设条件包括所述Hosts文件中的指定IP地址对应的网址个数大于第三数量阈值，且所述Hosts文件的数据量大于数据量阈值时，展示所述Hosts文件中与所述指定IP地址对应的网址。

综上所述，本发明实施例提供的Hosts文件检测装置，通过检测Hosts文件是否满足Hosts文件包含的各个网址中的至少一个网址存在于预设网址集合中，Hosts文件中的空白行的数量大于第一数量阈值，Hosts文件中存在对应的网址个数大于第二数量阈值的非指定IP地址，以及Hosts文件中的指定IP地址对应的网址个数大于第三数量阈值，且Hosts文件的数据量大于数据量阈值这四个条件，并在检测出Hosts文件满足上述四个条件中的任意一个条件时，确定该Hosts文件中的网址存在被劫持的风险，在检测Hosts文件是否包含存在于预设网址集合中的网址的基础上，结合Hosts文件中的各个网址与IP地址之间的对应关系、空白行数以及Hosts文件的数据量等属性综合检测该Hosts文件中的网址是否存在被劫持的风险，增加检测维度，从而达到提高检测准确性和系统安全性能的效果。

此外，本发明实施例提供的装置，当Hosts文件中存在对应的网址个数大于第二数量阈值的非指定IP地址时，可以将该非指定IP地址对应的网址进行展示，当Hosts文件中的指定IP地址对应的网址个数大于第三数量阈值，且该Hosts文件的数据量大于数据量阈值时，将该指定IP地址对应的网址进行展示，以便用户进一步判断其中是否包含被劫持的网址，提高检测效果。

图11是根据一示例性实施例示出的一种计算机设备1100的结构示意图。本发明实施例中的计算机设备1100可以包括一个或多个如下组成部分：用于执行计算机程序指令以完成各种流程和方法的处理器，用于信息和存储程序指令随机接入存储器(RAM)和只读存储器(ROM)，用于存储数据和信息的存储器，I/O设备，界面，天线等。具体来讲：

计算机设备1100可以包括RF(Radio Frequency，射频)电路1110、存储器1120、输入单元1130、显示单元1140、传感器1150、音频电路1160、WiFi(wireless fidelity，无线保真)模块1170、处理器1180、电源1182、摄像头1190等部件。本领域技术人员可以理解，图11中示出的计算机设备结构并不构成对计算机设备的限定，可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件布置。

下面结合图11对计算机设备1100的各个构成部件进行具体的介绍：

RF电路1110可用于收发信息或通话过程中，信号的接收和发送，特别地，将基站的下行信息接收后，给处理器1180处理；另外，将设计上行的数据发送给基站。通常，RF电路包括但不限于天线、至少一个放大器、收发信机、耦合器、LNA(Low Noise Amplifier，低噪声放大器)、双工器等。此外，RF电路1110还可以通过无线通信与网络和其他设备通信。所述无线通信可以使用任一通信标准或协议，包括但不限于GSM(Global System of Mobilecommunication，全球移动通讯系统)、GPRS(General Packet Radio Service，通用分组无线服务)、CDMA(Code Division Multiple Access，码分多址)、WCDMA(Wideband CodeDivision Multiple Access,宽带码分多址)、LTE(Long Term Evolution,长期演进)、电子邮件、SMS(Short Messaging Service，短消息服务)等。

存储器1120可用于存储软件程序以及模块，处理器1180通过运行存储在存储器1120的软件程序以及模块，从而执行计算机设备1100的各种功能应用以及数据处理。存储器1120可主要包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需的应用程序(比如声音播放功能、图像播放功能等)等；存储数据区可存储根据计算机设备1100的使用所创建的数据(比如音频数据、电话本等)等。此外，存储器1120可以包括高速随机存取存储器，还可以包括非易失性存储器，例如至少一个磁盘存储器件、闪存器件、或其他易失性固态存储器件。

输入单元1130可用于接收输入的数字或字符信息，以及产生与计算机设备1100的用户设置以及功能控制有关的键信号输入。具体地，输入单元1130可包括触控面板1131以及其他输入设备1132。触控面板1131，也称为触摸屏，可收集用户在其上或附近的触摸操作(比如用户使用手指、触笔等任何适合的物体或附件在触控面板1131上或在触控面板1131附近的操作)，并根据预先设定的程式驱动相应的连接装置。可选的，触控面板1131可包括触摸检测装置和触摸控制器两个部分。其中，触摸检测装置检测用户的触摸方位，并检测触摸操作带来的信号，将信号传送给触摸控制器；触摸控制器从触摸检测装置上接收触摸信息，并将它转换成触点坐标，再送给处理器1180，并能接收处理器1180发来的命令并加以执行。此外，可以采用电阻式、电容式、红外线以及表面声波等多种类型实现触控面板1131。除了触控面板1131，输入单元1130还可以包括其他输入设备1132。具体地，其他输入设备1132可以包括但不限于物理键盘、功能键(比如音量控制按键、开关按键等)、轨迹球、鼠标、操作杆等中的一种或多种。

显示单元1140可用于显示由用户输入的信息或提供给用户的信息以及计算机设备1100的各种菜单。显示单元1140可包括显示面板1141，可选的，可以采用LCD(LiquidCrystal Display，液晶显示器)、OLED(Organic Light-Emitting Diode,有机发光二极管)等形式来配置显示面板1141。进一步的，触控面板1131可覆盖显示面板1141，当触控面板1131检测到在其上或附近的触摸操作后，传送给处理器1180以确定触摸事件的类型，随后处理器1180根据触摸事件的类型在显示面板1141上提供相应的视觉输出。虽然在图11中，触控面板1131与显示面板1141是作为两个独立的部件来实现计算机设备1100的输入和输入功能，但是在某些实施例中，可以将触控面板1131与显示面板1141集成而实现计算机设备1100的输入和输出功能。

计算机设备1100还可包括至少一种传感器1150，比如陀螺仪传感器、磁感应传感器、光传感器、运动传感器以及其他传感器。具体地，光传感器可包括环境光传感器及接近传感器，其中，环境光传感器可根据环境光线的明暗来调节显示面板1141的亮度，接近传感器可在计算机设备1100移动到耳边时，关闭显示面板1141和/或背光。作为运动传感器的一种，加速度传感器可检测各个方向上(一般为三轴)加速度的大小，静止时可检测出重力的大小及方向，可用于识别计算机设备姿态的应用(比如横竖屏切换、相关游戏、磁力计姿态校准)、振动识别相关功能(比如计步器、敲击)等；至于计算机设备1100还可配置的气压计、湿度计、温度计、红外线传感器等其他传感器，在此不再赘述。

音频电路1160、扬声器1181，传声器1162可提供用户与计算机设备1100之间的音频接口。音频电路1160可将接收到的音频数据转换后的电信号，传输到扬声器1161，由扬声器1161转换为声音信号输出；另一方面，传声器1162将收集的声音信号转换为电信号，由音频电路1160接收后转换为音频数据，再将音频数据输出处理器1180处理后，经RF电路1110以发送给比如另一计算机设备，或者将音频数据输出至存储器1120以便进一步处理。

WiFi属于短距离无线传输技术，计算机设备1100通过WiFi模块1170可以帮助用户收发电子邮件、浏览网页和访问流式媒体等，它为用户提供了无线的宽带互联网访问。虽然图11示出了WiFi模块1170，但是可以理解的是，其并不属于计算机设备1100的必须构成，完全可以根据需要在不改变公开的本质的范围内而省略。

处理器1180是计算机设备1100的控制中心，利用各种接口和线路连接整个计算机设备的各个部分，通过运行或执行存储在存储器1120内的软件程序和/或模块，以及调用存储在存储器1120内的数据，执行计算机设备1100的各种功能和处理数据，从而对计算机设备进行整体监控。可选的，处理器1180可包括一个或多个处理单元；优选的，处理器1180可集成应用处理器和调制解调处理器，其中，应用处理器主要处理操作系统、用户界面和应用程序等，调制解调处理器主要处理无线通信。可以理解的是，上述调制解调处理器也可以不集成到处理器1180中。

计算机设备1100还包括给各个部件供电的电源1182(比如电池)，优选的，电源可以通过电源管理系统与处理器1180逻辑相连，从而通过电源管理系统实现管理充电、放电、以及功耗管理等功能。

摄像头1190一般由镜头、图像传感器、接口、数字信号处理器、CPU、显示屏幕等组成。其中，镜头固定在图像传感器的上方，可以通过手动调节镜头来改变聚焦；图像传感器相当于传统相机的“胶卷”，是摄像头采集图像的心脏；接口用于把摄像头利用排线、板对板连接器、弹簧式连接方式与计算机设备主板连接，将采集的图像发送给所述存储器1120；数字信号处理器通过数学运算对采集的图像进行处理，将采集的模拟图像转换为数字图像并通过接口发送给存储器1120。

尽管未示出，计算机设备1100还可以包括蓝牙模块等，在此不再赘述。

计算机设备1100除了包括一个或者多个处理器1180，还包括有存储器，以及一个或者多个模块，其中一个或者多个模块存储于存储器中，并被配置成由一个或者多个处理器执行，以实现上述图1、2或8任一所示方法的全部或者部分步骤。

本领域技术人员在考虑说明书及实践这里公开的发明后，将容易想到本发明的其它实施方案。本申请旨在涵盖本发明的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本发明的一般性原理并包括本发明未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本发明的真正范围和精神由下面的权利要求指出。

应当理解的是，本发明并不局限于上面已经描述并在附图中示出的精确结构，并且可以在不脱离其范围进行各种修改和改变。本发明的范围仅由所附的权利要求来限制。

Claims (10)

1.一种Hosts文件检测方法，其特征在于，所述方法包括：

获取Hosts文件的属性信息，所述属性信息用于指示所述Hosts文件中的各个网址与互联网络协议IP地址之间的对应关系、所述Hosts文件中的空白行数以及所述Hosts文件的数据量；

根据所述属性信息检测所述Hosts文件是否满足第一预设条件和第二预设条件中的至少一种，所述第二预设条件为所述各个网址中的至少一个网址存在于预设网址集合中；

若所述Hosts文件满足所述第一预设条件和所述第二预设条件中的至少一种，则确定所述Hosts文件中的网址存在被劫持的风险；

其中，所述第一预设条件为下列条件中的至少一种：

所述Hosts文件中的空白行的数量大于第一数量阈值；

所述Hosts文件中存在对应的网址个数大于第二数量阈值的非指定IP地址；

以及，所述Hosts文件中的指定IP地址对应的网址个数大于第三数量阈值，且所述Hosts文件的数据量大于数据量阈值。

2.根据权利要求1所述的方法，其特征在于，所述根据所述属性信息检测所述Hosts文件是否满足第一预设条件和第二预设条件中的至少一种，包括：

判断所述Hosts文件是否满足所述第二预设条件，当所述Hosts文件满足所述第二预设条件时，输出第一指示为1，当所述Hosts文件不满足所述第二预设条件时，判断所述Hosts文件中是否存在对应的网址个数大于所述第一数量阈值的非指定IP地址，若所述Hosts文件中存在对应的网址个数大于所述第二数量阈值的非指定IP地址，则输出所述第一指示为1，若所述Hosts文件中不存在对应的网址个数大于所述第二数量阈值的非指定IP地址，则判断所述Hosts文件中的指定IP地址对应的网址个数大于所述第三数量阈值且所述Hosts文件的数据量大于所述数据量阈值是否成立，若所述Hosts文件中的指定IP地址对应的网址个数大于所述第三数量阈值且所述Hosts文件的数据量大于所述数据量阈值成立，则输出所述第一指示为1，若所述Hosts文件中的指定IP地址对应的网址个数大于所述第三数量阈值且所述Hosts文件的数据量大于所述数据量阈值不成立，则输出所述第一指示为0；

判断所述Hosts文件中的空白行的数量是否大于所述第一数量阈值，若所述Hosts文件中的空白行的数量大于所述第一数量阈值，则输出第二指示为1，若所述Hosts文件中的空白行的数量不大于所述第一数量阈值，则输出所述第二指示为0；

对所述第一指示和所述第二指示进行或运算；

当所述或运算的运算结果为1时，确定所述Hosts文件满足所述第一预设条件和所述第二预设条件中的至少一种。

3.根据权利要求1或2所述的方法，其特征在于，

所述指定IP地址为回送地址或者默认无法访问的IP地址。

4.根据权利要求1或2所述的方法，其特征在于，所述方法还包括：

当所述Hosts文件满足所述第一预设条件，且所述第一预设条件包括所述Hosts文件中存在对应的网址个数大于第二数量阈值的非指定IP地址时，展示所述Hosts文件中与所述非指定IP地址对应的网址。

5.根据权利要求1或2所述的方法，其特征在于，所述方法还包括：

当所述Hosts文件满足所述第一预设条件，且所述第一预设条件包括所述Hosts文件中的指定IP地址对应的网址个数大于第三数量阈值，且所述Hosts文件的数据量大于数据量阈值时，展示所述Hosts文件中与所述指定IP地址对应的网址。

6.一种Hosts文件检测装置，其特征在于，所述装置包括：

信息获取模块，用于获取Hosts文件的属性信息，所述属性信息用于指示所述Hosts文件中的各个网址与互联网络协议IP地址之间的对应关系、所述Hosts文件中的空白行数以及所述Hosts文件的数据量；

检测模块，用于根据所述属性信息检测所述Hosts文件是否满足第一预设条件和第二预设条件中的至少一种，所述第二预设条件为所述各个网址中的至少一个网址存在于预设网址集合中；

确定模块，用于若所述Hosts文件满足所述第一预设条件和所述第二预设条件中的至少一种，则确定所述Hosts文件中的网址存在被劫持的风险；

其中，所述第一预设条件为下列条件中的至少一种：

所述Hosts文件中的空白行的数量大于第一数量阈值；

所述Hosts文件中存在对应的网址个数大于第二数量阈值的非指定IP地址；

以及，所述Hosts文件中的指定IP地址对应的网址个数大于第三数量阈值，且所述Hosts文件的数据量大于数据量阈值。

7.根据权利要求6所述的装置，其特征在于，所述检测模块，包括：

第一判断单元，用于判断所述Hosts文件是否满足所述第二预设条件；

第一输出单元，用于当所述Hosts文件满足所述第二预设条件时，输出第一指示为1；

第二判断单元，用于当所述Hosts文件不满足所述第二预设条件时，判断所述Hosts文件中是否存在对应的网址个数大于所述第一数量阈值的非指定IP地址；

第二输出单元，用于当所述Hosts文件中存在对应的网址个数大于所述第二数量阈值的非指定IP地址时，输出所述第一指示为1；

第三判断单元，用于当所述Hosts文件中不存在对应的网址个数大于所述第二数量阈值的非指定IP地址时，判断所述Hosts文件中的指定IP地址对应的网址个数大于所述第三数量阈值且所述Hosts文件的数据量大于所述数据量阈值是否成立；

第三输出单元，用于当所述Hosts文件中的指定IP地址对应的网址个数大于所述第三数量阈值且所述Hosts文件的数据量大于所述数据量阈值成立时，输出所述第一指示为1，当所述Hosts文件中的指定IP地址对应的网址个数大于所述第三数量阈值且所述Hosts文件的数据量大于所述数据量阈值不成立时，输出所述第一指示为0；

第四判断单元，用于判断所述Hosts文件中的空白行的数量是否大于所述第一数量阈值；

第四输出单元，用于当所述Hosts文件中的空白行的数量大于所述第一数量阈值是，输出第二指示为1，当所述Hosts文件中的空白行的数量不大于所述第一数量阈值时，输出所述第二指示为0；

运算单元，用于对所述第一指示和所述第二指示进行或运算；

第二确定单元，用于当所述或运算的运算结果为1时，确定所述Hosts文件满足所述第一预设条件和所述第二预设条件中的至少一种。

8.根据权利要求6或7所述的装置，其特征在于，

所述指定IP地址为回送地址或者默认无法访问的IP地址。

9.根据权利要求6或7所述的装置，其特征在于，所述装置还包括：

第一展示模块，用于当所述Hosts文件满足所述第一预设条件，且所述第一预设条件包括所述Hosts文件中存在对应的网址个数大于第二数量阈值的非指定IP地址时，展示所述Hosts文件中与所述非指定IP地址对应的网址。

10.根据权利要求6或7所述的装置，其特征在于，所述装置还包括：

第二展示模块，用于当所述Hosts文件满足所述第一预设条件，且所述第一预设条件包括所述Hosts文件中的指定IP地址对应的网址个数大于第三数量阈值，且所述Hosts文件的数据量大于数据量阈值时，展示所述Hosts文件中与所述指定IP地址对应的网址。