CN108182363B - 嵌入式office文档的检测方法、系统及存储介质 - Google Patents

Abstract

本发明提出了一种嵌入式office文档的检测方法、系统及存储介质，所述方法包括：获取进程列表，判断是否存在office相关进程，如果存在，则监控%TEMP%目录；监控%TEMP%目录是否有新增文件，如果是，则挂起office相关进程，并对新增文件进行检测，否则，所述进程文件为正常文件。本发明还给出实现该方法的相应系统。通过发明利用office文档的自解析操作，对所释放出的文件进行检测，不需要对office文档格式进行解析，能有效避免office文档混淆对检测的影响，同时解决了由于文档格式的复杂而导致检出率不高的问题。

Description

嵌入式office文档的检测方法、系统及存储介质

技术领域

本发明涉及计算机网络安全领域，特别涉及一种嵌入式office文档的检测方法及系统。

背景技术

由于Office文档格式的复杂性，传统安全软件在进行静态检测时，多是将Office文件作为一个整体去匹配特征，这种检测方法会占用大量的时间，而且无法准确提取内部嵌入的文件，准确度很低，文档经过混淆之后，就变得更加难以检测。若是使用先解析Office，再对嵌入的文件分析检测，这种方案比较复杂，开发成本比较高，实现起来比较困难。而在进行动态检测时，由于Office文档不同漏洞的触发环境不同，若想完整的进行检测，需要准备多种环境进行检测，所需要的时间较多，在用户系统中也难以完成。传统的安全软件检测对Office的检测效果并不好，因为Office自身的文档格式比较复杂，而多数恶意文档进行了混淆，特征码匹配得不到想要的结果。

发明内容

针对以上问题，本发明提出了一种嵌入式office文档的检测方法、系统及存储介质，该方法利用了嵌入式Office文档在执行时的自解析功能，对释放出的文档进行检测，解决了文档混淆、文档格式复杂难以进行检测的问题。

通过对Office文档的分析发现，Office文档的机制是对于嵌入的内容会先解压到%TEMP%文件夹，然后在文档全部解析后才开始执行，因此本发明利用这种机制，实现对office文档的检测。

首先，本发明提出一种嵌入式office文档的检测方法，包括：

获取进程列表，判断是否存在office相关进程，如果存在，则监控%TEMP%目录；

监控%TEMP%目录是否有新增文件，如果是，则挂起office相关进程，并对新增文件进行检测，若新增文件检测结果为恶意，则进程文件为恶意文件，否则，所述进程文件为正常文件。

所述的方法中，对新增文件进行检测，具体为：

判断新增文件是否为可执行文件，如果是，则提取可执行文件并进行静态检测，如果静态检测结果为恶意，则该进程文件为恶意；否则判断是否存在Shellcode，如果存在，则所述进程文件为恶意文件；否则，将新增文件与静态常规特征库匹配，如果匹配成功，则所述进程文件为恶意文件，否则所述进程文件为正常文件。

所述的方法中，所述判断新增文件是否为可执行文件，如果是，则提取可执行文件并进行静态检测，具体为：

查找新增文件是否存在可执行文件头，如果存在，则提取所述可执行文件，与静态的PE特征库匹配，如果匹配成功，则所述进程文件为恶意；否则，所述进程文件为正常文件。

本发明还提出一种嵌入式office文档的检测系统，包括：

进程获取模块，获取进程列表，判断是否存在office相关进程，如果存在，则监控%TEMP%目录；

文件监控模块，监控%TEMP%目录是否有新增文件，如果是，则挂起office相关进程，并通过文件检测模块对新增文件进行检测，若新增文件检测结果为恶意，则进程文件为恶意文件，否则，所述进程文件为正常文件。

所述的系统中，通过文件检测模块对新增文件进行检测，具体为：

判断新增文件是否为可执行文件，如果是，则提取可执行文件并进行静态检测；否则判断是否存在Shellcode，如果存在，则所述进程文件为恶意文件；否则，将新增文件与静态常规特征库匹配，如果匹配成功，则所述进程文件为恶意文件，否则所述进程文件为正常文件。

所述的系统中，所述判断新增文件是否为可执行文件，如果是，则提取可执行文件并进行静态检测，具体为：

查找新增文件是否存在可执行文件头，如果存在，则提取所述可执行文件，与静态的PE特征库匹配，如果匹配成功，则所述进程文件为恶意；否则，所述进程文件为正常文件。

本发明提出一种非临时性计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现上述任一所述的嵌入式office文档的检测方法。

本发明的优势在于，通过本发明方法，利用嵌入式office文档在执行时先行自解压嵌入的文件到%TEMP%文件夹下的特点，进行office文档检测，不会受到office文档混淆的影响，同时解决了由于office文档格式的复杂而导致的检出率不高的问题；利用自解压释放的过程，在进行检测时不需要进行office文档格式的解析，开发成本低；同时，本方法对利用漏洞从网络下载恶意文件的样本同样具有检测能力。

附图说明

为了更清楚地说明本发明或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明中记载的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明一种嵌入式office文档的检测方法实施例一流程图；

图2为本发明一种嵌入式office文档的检测方法实施例二流程图；

图3为本发明一种嵌入式office文档的检测系统结构示意图。

具体实施方式

为了使本技术领域的人员更好地理解本发明实施例中的技术方案，并使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图对本发明中技术方案作进一步详细的说明。

本发明提出了一种嵌入式office文档的检测方法、系统及存储介质，该方法利用了嵌入式Office文档在执行时的自解析功能，对释放出的文档进行检测，解决了文档混淆、文档格式复杂难以进行检测的问题。

首先，本发明提出一种嵌入式office文档的检测方法，如图1所示，包括：

S101：获取进程列表；

S102：判断是否存在office相关进程，如果存在，则执行S103；

S103：监控%TEMP%目录是否有新增文件，如果是，则执行S104，否则，所述进程文件为正常文件；

S104：挂起office相关进程，并对新增文件进行检测，若新增文件检测结果为恶意，则进程文件为恶意文件。

本发明还给出另一实施例，如图2所示，具体为：

S201：获取进程列表；

S202：判断是否存在office相关进程，如果存在，则执行S203；

S203：监控%TEMP%目录是否有新增文件，如果是，则执行S204，否则，所述进程文件为正常文件；

S204：挂起office相关进程，并执行S205；

S205：判断新增文件是否为可执行文件，如果是，则执行S206，否则执行S207；

S206：提取可执行文件并进行静态检测，如果静态检测结果为恶意，则该进程文件为恶意；

S207：判断是否存在Shellcode，如果存在，则所述进程文件为恶意文件，否则执行S208；

S208：将新增文件与静态常规特征库匹配，如果匹配成功，则所述进程文件为恶意文件，否则所述进程文件为正常文件。

所述的方法中，所述判断新增文件是否为可执行文件，如果是，则提取可执行文件并进行静态检测，具体为：

查找新增文件是否存在可执行文件头，如果存在，则提取所述可执行文件，与静态的PE特征库匹配，如果匹配成功，则所述进程文件为恶意；否则，所述进程文件为正常文件。

以实际应用中的CVE-2017-0199漏洞利用样本为例，当用户打开包含该漏洞的文档时，winword.exe会想远程服务器发出HTTP请求，以检索恶意HTA文件，服务器返回的文件是一个带有嵌入式恶意脚本的假RTF文件，将该文件保存到%TEMP%目录下，winword.exe通过COM对象查找application/hta的文件处理程序，这回导致Microsoft HTA应用程序加载并执行恶意脚本。传统检测方法对这类样本只能通过特征码匹配，而样本自身并没有恶意操作，恶意文件为后访问下载的，无法对该类样本进行检测。而通过本发明方法，可在样本将RTF文件下载到%TEMP%文件夹后，直接对该文件进行检测，能够有效的进行检出。

本发明还提出一种嵌入式office文档的检测系统，如图3所示，包括：

进程获取模块301，获取进程列表，判断是否存在office相关进程，如果存在，则监控%TEMP%目录；

文件监控模块302，监控%TEMP%目录是否有新增文件，如果是，则挂起office相关进程，并通过文件检测模块303对新增文件进行检测，否则，所述进程文件为正常文件。

所述的系统中，通过文件检测模块对新增文件进行检测，具体为：

判断新增文件是否为可执行文件，如果是，则提取可执行文件并进行静态检测；否则判断是否存在Shellcode，如果存在，则所述进程文件为恶意文件；否则，将新增文件与静态常规特征库匹配，如果匹配成功，则所述进程文件为恶意文件，否则所述进程文件为正常文件。

所述的系统中，所述判断新增文件是否为可执行文件，如果是，则提取可执行文件并进行静态检测，具体为：

查找新增文件是否存在可执行文件头，如果存在，则提取所述可执行文件，与静态的PE特征库匹配，如果匹配成功，则所述进程文件为恶意；否则，所述进程文件为正常文件。

本发明提出一种非临时性计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现上述任一所述的嵌入式office文档的检测方法。

本发明的优势在于，通过本发明方法，利用嵌入式office文档在执行时先行自解压嵌入的文件到%TEMP%文件夹下的特点，进行office文档检测，不会受到office文档混淆的影响，同时解决了由于office文档格式的复杂而导致的检出率不高的问题；利用自解压释放的过程，在进行检测时不需要进行office文档格式的解析，使得复杂的文档格式不会对检测结果造成干扰，并且开发成本低；同时，本方法对利用漏洞从网络下载恶意文件的样本同样具有检测能力。

通过以上的实施方式的描述可知，本领域的技术人员可以清楚地了解到本发明可借助软件加必需的通用硬件平台的方式来实现。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备（可以是个人计算机，服务器，或者网络设备等）执行本发明各个实施例或者实施例的某些部分所述的方法。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于系统实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

虽然通过实施例描绘了本发明，本领域普通技术人员知道，本发明有许多变形和变化而不脱离本发明的精神，希望所附的权利要求包括这些变形和变化而不脱离本发明的精神。

Claims (5)

1.一种嵌入式office文档的检测方法，其特征在于，包括：

获取进程列表，判断是否存在office相关进程，如果存在，则监控%TEMP%目录；

监控%TEMP%目录是否有新增文件，如果是，则挂起office相关进程，并对新增文件进行检测，若新增文件检测结果为恶意，则进程文件为恶意文件，否则，所述进程文件为正常文件；

对新增文件进行检测，具体为：

判断新增文件是否为可执行文件，如果是，则提取可执行文件并进行静态检测，如果静态检测结果为恶意，则该进程文件为恶意；否则判断是否存在Shellcode，如果存在，则所述进程文件为恶意文件；否则，将新增文件与静态常规特征库匹配，如果匹配成功，则所述进程文件为恶意文件，否则所述进程文件为正常文件。

2.如权利要求1所述的方法，其特征在于，所述判断新增文件是否为可执行文件，如果是，则提取可执行文件并进行静态检测，具体为：

查找新增文件是否存在可执行文件头，如果存在，则提取所述可执行文件，与静态的PE特征库匹配，如果匹配成功，则所述进程文件为恶意；否则，所述进程文件为正常文件。

3.一种嵌入式office文档的检测系统，其特征在于，包括：

进程获取模块，获取进程列表，判断是否存在office相关进程，如果存在，则监控%TEMP%目录；

文件监控模块，监控%TEMP%目录是否有新增文件，如果是，则挂起office相关进程，并通过文件检测模块对新增文件进行检测，若新增文件检测结果为恶意，则进程文件为恶意文件，否则，所述进程文件为正常文件；

通过文件检测模块对新增文件进行检测，具体为：

判断新增文件是否为可执行文件，如果是，则提取可执行文件并进行静态检测，如果静态检测结果为恶意，则该进程文件为恶意；否则判断是否存在Shellcode，如果存在，则所述进程文件为恶意文件；否则，将新增文件与静态常规特征库匹配，如果匹配成功，则所述进程文件为恶意文件，否则所述进程文件为正常文件。

4.如权利要求3所述的系统，其特征在于，所述判断新增文件是否为可执行文件，如果是，则提取可执行文件并进行静态检测，具体为：

查找新增文件是否存在可执行文件头，如果存在，则提取所述可执行文件，与静态的PE特征库匹配，如果匹配成功，则所述进程文件为恶意；否则，所述进程文件为正常文件。

5.一种非临时性计算机可读存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现如权利要求1-2中任一所述的嵌入式office文档的检测方法。

Images