CN110737894A - 复合文档安全检测方法、装置、电子设备及存储介质 - Google Patents

复合文档安全检测方法、装置、电子设备及存储介质 Download PDF

Info

Publication number
CN110737894A
CN110737894A CN201811476719.7A CN201811476719A CN110737894A CN 110737894 A CN110737894 A CN 110737894A CN 201811476719 A CN201811476719 A CN 201811476719A CN 110737894 A CN110737894 A CN 110737894A
Authority
CN
China
Prior art keywords
file
document
embedded
innermost
composite
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201811476719.7A
Other languages
English (en)
Other versions
CN110737894B (zh
Inventor
薛晨龙
童志明
何公道
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Harbin Antiy Technology Group Co Ltd
Original Assignee
Harbin Antiy Technology Group Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Harbin Antiy Technology Group Co Ltd filed Critical Harbin Antiy Technology Group Co Ltd
Priority to CN201811476719.7A priority Critical patent/CN110737894B/zh
Publication of CN110737894A publication Critical patent/CN110737894A/zh
Application granted granted Critical
Publication of CN110737894B publication Critical patent/CN110737894B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/562—Static detection
    • G06F21/563—Static detection by source code analysis

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Storage Device Security (AREA)

Abstract

本发明的实施例公开了一种复合文档安全检测方法、装置、电子设备及存储介质，涉及文档检测技术领域。所述复合文档安全检测方法包括：解析待检测的复合文档，得到文档嵌套信息；根据所述文档嵌套信息，判断所述复合文档是否具有恶意行为。本发明实施例提出了一种全新的对复合文档安全检测的方法，可对所有复合文档进行快速有效的检测，包括但不限于office、pdf、rtf、swf、msg、eml等复合文档，其在不依赖于特征码进行匹配检测情况下，可对具有异常的多重嵌套复合文档进行快速有效检测。

Description

复合文档安全检测方法、装置、电子设备及存储介质
技术领域
本发明涉及文档检测技术领域，尤其涉及一种复合文档安全检测方法、装置、电子设备及存储介质。
背景技术
复合文档是指在一个文件中包含了另一个或多个文件，如doc文件内嵌ppt文件，pdf文件内嵌flash视频。目前对于复合文档的检测，主要是基于特征匹配检测，如office宏检测主要是对恶意宏代码进行特征匹配，pdf检测主要是对内嵌的shellcode进行特征匹配检测。
常规的检测方法通常只针对复合文档特定位置或拆分出的内嵌文件进行特征匹配检测。黑客为了躲避检测，故意构造具有多重嵌套的复合文档，将恶意代码内嵌到最里层的文件中(如doc文件中内嵌ppt文件，ppt文件中内嵌恶意PE文件)，达到隐藏的目的，一方面为了提高恶意代码分析难度，另一方面可躲避特征查杀。
发明内容
有鉴于此，本发明实施例提供一种能够对多重嵌套复合文档进行安全检测的复合文档安全检测方法、装置、电子设备及存储介质。
第一方面，本发明实施例提供一种复合文档安全检测方法，包括：
解析待检测的复合文档，得到文档嵌套信息；
根据所述文档嵌套信息，判断所述复合文档是否具有恶意行为。
结合第一方面，在第一方面的一种实施方式中，所述文档嵌套信息包括内嵌文件层数、最里层内嵌文件的格式、最里层内嵌文件释放后与所述复合文档的大小比值中的一种或任意多种。
结合第一方面，在第一方面的另一种实施方式中，所述根据所述文档嵌套信息，判断所述复合文档是否具有恶意行为，包括：
判断所述内嵌文件层数是否超出预设嵌套层数阈值、和/或判断所述最里层内嵌文件的格式是否为具有独立代码执行能力的文件、和/或判断所述最里层内嵌文件释放后与所述复合文档的大小比值是否超出预设大小比值阈值；
如果上述判断条件中有两条符合时，判定所述复合文档具有恶意行为。
结合第一方面，在第一方面的再一种实施方式中，所述具有独立代码执行能力的文件包括二进制可执行文件或脚本文件。
第二方面，本发明实施例提供一种复合文档安全检测装置，包括：
解析模块，用于解析待检测的复合文档，得到文档嵌套信息；
判断模块，用于根据所述文档嵌套信息，判断所述复合文档是否具有恶意行为。
结合第二方面，在第二方面的一种实施方式中，所述文档嵌套信息包括内嵌文件层数、最里层内嵌文件的格式、最里层内嵌文件释放后与所述复合文档的大小比值中的一种或任意多种。
结合第二方面，在第二方面的另一种实施方式中，所述判断模块，包括：
判断子模块，用于判断所述内嵌文件层数是否超出预设嵌套层数阈值、和/或判断所述最里层内嵌文件的格式是否为具有独立代码执行能力的文件、和/或判断所述最里层内嵌文件释放后与所述复合文档的大小比值是否超出预设大小比值阈值；
判定子模块，用于如果上述判断条件中有两条符合时，判定所述复合文档具有恶意行为。
结合第二方面，在第二方面的再一种实施方式中，所述具有独立代码执行能力的文件包括二进制可执行文件或脚本文件。
第三方面，本发明实施例提供一种电子设备，所述电子设备包括：壳体、处理器、存储器、电路板和电源电路，其中，电路板安置在壳体围成的空间内部，处理器和存储器设置在电路板上；电源电路，用于为上述电子设备的各个电路或器件供电；存储器用于存储可执行程序代码；处理器通过读取存储器中存储的可执行程序代码来运行与可执行程序代码对应的程序，用于执行前述任一所述的方法。
第四方面，本发明实施例还提供一种计算机可读存储介质，所述计算机可读存储介质存储有一个或者多个程序，所述一个或者多个程序可被一个或者多个处理器执行，以实现前述任一所述的方法。
本发明实施例提供的复合文档安全检测方法、装置、电子设备及存储介质，首先解析待检测的复合文档，得到文档嵌套信息，然后根据所述文档嵌套信息，判断所述复合文档是否具有恶意行为。这样，在不依赖于特征匹配检测的情况下，通过复合文档的文档嵌套信息判断复合文档是否具有异常的多重嵌套行为，进而判定复合文档是否具有恶意行为。本发明实施例提出了一种全新的对复合文档安全检测的方法，可对所有复合文档进行快速有效的检测，包括但不限于office、pdf、rtf、swf、msg、eml等复合文档，其在不依赖于特征码进行匹配检测情况下，可对具有异常的多重嵌套复合文档进行快速有效检测。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其它的附图。
图1为本发明的复合文档安全检测方法一个实施例的流程图；
图2为多重异常嵌套的恶意复合文档的结构示意图；
图3为本发明的复合文档安全检测方法另一实施例的流程图；
图4为本发明的复合文档安全检测装置一个实施例的结构图；
图5为本发明电子设备一个实施例的结构示意图。
具体实施方式
下面结合附图对本发明实施例进行详细描述。
应当明确，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。
一方面，本发明实施例提供一种复合文档安全检测方法，如图1所示，所述复合文档安全检测方法可包括：
步骤101：解析待检测的复合文档，得到文档嵌套信息；
本步骤中，可以对待检测的复合文档按照结构进行解析，递归查找出所有内嵌文件，从而得到文档嵌套信息，以便于后续步骤判断所述复合文档是否具有异常的多重嵌套行为，进而判定所述复合文档是否具有恶意行为，其中为准确评估多重嵌套行为是否存在异常，文档嵌套信息优选包括内嵌文件层数、最里层内嵌文件的格式、最里层内嵌文件释放后与所述复合文档的大小比值中的一种或任意多种。
步骤102：根据所述文档嵌套信息，判断所述复合文档是否具有恶意行为。
本步骤中，根据文档嵌套信息，判断复合文档是否具有异常的多重嵌套行为，进而判定复合文档是否具有恶意行为，具体可以包括：
(1)判断所述内嵌文件层数是否超出预设嵌套层数阈值
为传递信息的需要，复合文档可以有一定数量的多重嵌套，然而一般来说，内嵌文件层数为2层或3层即可满足需要，如果内嵌文件层数过多，超出预设嵌套层数阈值，则可怀疑该复合文档具有恶意行为。该预设嵌套层数阈值可以为4层或以上层数，如5层、6层、8层等，具体可以根据安全等级需要灵活设置，当安全等级要求较高时，则可以将该预设嵌套层数阈值设置的小一些(甚至包括3层)，以提高检测灵敏度，当安全等级要求较低时，则可以将该预设嵌套层数阈值设置的大一些，以提高检测准确率。
(2)判断所述最里层内嵌文件的格式是否为具有独立代码执行能力的文件
对最里层内嵌文件进行格式识别，如果其为具有独立代码执行能力的文件时，由于可能为恶意代码，故可怀疑该复合文档具有恶意行为。其中，具有独立代码执行能力的文件可以包括二进制可执行文件或Javascript、vbscript、bat、python、powershell等可执行的脚本文件。
一种简单的多重异常嵌套的恶意复合文档可以如图2所示，一个doc文档嵌入了一个ppt文档，而ppt文档则被嵌入了多层次的嵌入文件，其中最里层的嵌入文件包含有恶意代码的exe可执行文件。一旦doc文档被打开，并打开ppt文件，则最里层被嵌入恶意代码的可执行文件就有可能释放和执行，对用户利益造成影响。因此对文档进行深度格式分析便可以有效检测复合文档的安全性。此处仅是举例深层嵌入恶意代码的复合文档，对于其他文档格式(如pdf文档)同样适用根据深度格式分析检测复合文档的安全性。
(3)判断所述最里层内嵌文件与所述复合文档的大小比值是否超出预设大小比值阈值
通常来说，最里层内嵌文件无需过大即可满足正常使用需要，而如果发现最里层内嵌文件释放后与复合文档的大小(原始复合文档所对应的释放出的文件的大小)比值超出预设大小比值阈值，则可怀疑该复合文档具有恶意行为。比如，对于doc文档，该预设大小比值阈值可以为20，如一个doc，大小为2MB，而拆分出一个PE文件大小大于40MB，则说明该doc文档具有可疑行为；再比如，对于PDF文档，该预设大小比值阈值可以为50，如一个PDF，大小为200KB，而拆分出一个JavaScript文件大小大于10MB，则说明该PDF文档具有可疑行为。
具体的，还可以设立一知识库，用以存储各类文档(如doc格式文档、pdf格式文档等)所允许的上述预设嵌套层数阈值、内嵌可疑文件格式/类型和预设大小比值阈值。使用时，从该知识库获取相应的参数即可。
可以发现，上述三条判断条件，仅是怀疑该复合文档具有恶意行为，故如果仅使用一条判断条件来判定复合文档是否具有恶意行为将存在较大的误判可能性，故为提高判断的准确率，对于上述三条判断条件，如果有两条符合或是三条同时符合，即可判定所述复合文档具有恶意行为。
本发明实施例的复合文档安全检测方法，首先解析待检测的复合文档，得到文档嵌套信息，然后根据所述文档嵌套信息，判断所述复合文档是否具有恶意行为。这样，在不依赖于特征匹配检测的情况下，通过复合文档的文档嵌套信息判断复合文档是否具有异常的多重嵌套行为，进而判定复合文档是否具有恶意行为。本发明实施例提出了一种全新的对复合文档安全检测的方法，可对所有复合文档进行快速有效的检测，包括但不限于office、pdf、rtf、swf、msg、eml等复合文档，其在不依赖于特征码进行匹配检测情况下，可对具有异常的多重嵌套复合文档进行快速有效检测。
下面结合一个具体的例子对本发明的方案进行详细说明。
如图3所示，本发明实施例的复合文档安全检测方法可以包括以下步骤：
S01：解析复合文档
对复合文档进行结构分析。具体可以首先判断文件格式，然后根据文件格式与格式结构说明解析出其嵌入的文件。
S02：判断复合文档是否存在嵌入文件
对复合文档进行结构分析后，判断该文档是否存在嵌入文件，如果有嵌入文件，则跳转到S03对嵌入文件进行进一步解析并查找出所有被嵌入的文件；否则跳转到S04。
S03：获取被嵌入的文件
对被嵌入的文件进行解析，获取被嵌入文件的格式，并记录被嵌入文件的嵌套层数。
S04：提取被嵌入最里层的文件
提取被嵌入最里层的文件，并对该文件进行S05～S07的逻辑判断。
S05：判断被嵌入文件(即最里层内嵌文件)所在层数
判断当前文件所在层数是否大于知识库中原始复合文档所对应的预设嵌套层数阈值，如果超过预设嵌套层数阈值，可怀疑该复合文档具有恶意行为。
S06：判断被嵌入文件(即最里层内嵌文件)的格式
判断被嵌入文件的格式，如果被嵌入文件是二进制可执行文件、脚本(Javascript、vbscript、bat)文件等具有独立恶意代码执行能力的文件时，可怀疑该复合文档具有恶意行为。
S07：判断被嵌入文件(即最里层内嵌文件)的大小与复合文档大小的比值
如果被嵌入文件释放后与复合文档的大小比值超出知识库中原始复合文档所对应的预设大小比值阈值，可怀疑该复合文档具有恶意行为。
S08：综合判定
如果S05、S06、S07中有任意两条以上的条件符合，则可以判定该复合文档具有恶意嵌套行为，复合文档被嵌入恶意文件，具有恶意行为，并跳转至S10结束检测，否则跳转S09继续检测其他文件。
S09：查找未检测文件
如果还存在未进行检测的最里层文件，则跳转至S04继续进行检测，否则跳转至S10，结束检测，此时说明该复合文档不存在恶意嵌套行为。
S10：检测结束
根据上述情况，反馈检测结果。
对于本发明的复合文档安全检测方法，经测验，效果情况说明如下：
测验过程：
随机抓取10000个恶意样本和10000个非恶意样本，包含了PDF文档、doc文档、PPT文档等多种复合文档。
首先编写测试程序，在程序中设定复合文档知识库(包括了每种文档允许的预设嵌套层数阈值、预设大小比值阈值、内嵌可疑文件格式)。其次通过测试程序实现文档格式的识别，并广度优先地逐层次解析复合文档。对于最里层(最深层)的文件，根据判断条件进行判断。判断条件有3条：①判断内嵌文件层数是否超出预设嵌套层数阈值，②判断最里层内嵌文件的格式是否为具有独立代码执行能力的文件，③判断最里层内嵌文件释放后与复合文档的大小比值是否超出预设大小比值阈值。
根据不同的判断条件组合，得到以下表1所示的测试数据。
表1：
Figure BDA0001892222590000071
由上述表1可知，判断组合条件越多，准确率越高，误判率越低。
另一方面，本发明实施例提供一种复合文档安全检测装置，如图4所示，包括：
解析模块11，用于解析待检测的复合文档，得到文档嵌套信息；
判断模块12，用于根据所述文档嵌套信息，判断所述复合文档是否具有恶意行为。
本实施例的装置，可以用于执行图1所示方法实施例的技术方案，其实现原理和技术效果类似，此处不再赘述。
优选的，所述文档嵌套信息可以包括内嵌文件层数、最里层内嵌文件的格式、最里层内嵌文件释放后与所述复合文档的大小比值中的一种或任意多种。
优选的，所述判断模块12可以包括：
判断子模块，用于判断所述内嵌文件层数是否超出预设嵌套层数阈值、和/或判断所述最里层内嵌文件的格式是否为具有独立代码执行能力的文件、和/或判断所述最里层内嵌文件释放后与所述复合文档的大小比值是否超出预设大小比值阈值；
判定子模块，用于如果上述判断条件中有两条符合时，判定所述复合文档具有恶意行为。
优选的，所述具有独立代码执行能力的文件可以包括二进制可执行文件或脚本文件。
本发明实施例还提供一种电子设备，如图5所示，可以实现本发明图1所示方法实施例的流程，该电子设备包括：壳体41、处理器42、存储器43、电路板44和电源电路45，其中，电路板44安置在壳体41围成的空间内部，处理器42和存储器43设置在电路板44上；电源电路45，用于为上述电子设备的各个电路或器件供电；存储器43用于存储可执行程序代码；处理器42通过读取存储器43中存储的可执行程序代码来运行与可执行程序代码对应的程序，用于执行前述任一方法实施例所述的方法。
处理器42对上述步骤的具体执行过程以及处理器42通过运行可执行程序代码来进一步执行的步骤，可以参见本发明图1所示方法实施例的描述，在此不再赘述。
该电子设备以多种形式存在，包括但不限于：
(1)移动通信设备：这类设备的特点是具备移动通信功能，并且以提供话音、数据通信为主要目标。这类终端包括：智能手机(例如iPhone)、多媒体手机、功能性手机，以及低端手机等。
(2)超移动个人计算机设备：这类设备属于个人计算机的范畴，有计算和处理功能，一般也具备移动上网特性。这类终端包括：PDA、MID和UMPC设备等，例如iPad。
(3)便携式娱乐设备：这类设备可以显示和播放多媒体内容。该类设备包括：音频、视频播放器(例如iPod)，掌上游戏机，电子书，以及智能玩具和便携式车载导航设备。
(4)服务器：提供计算服务的设备，服务器的构成包括处理器、硬盘、内存、系统总线等，服务器和通用的计算机架构类似，但是由于需要提供高可靠的服务，因此在处理能力、稳定性、可靠性、安全性、可扩展性、可管理性等方面要求较高。
(5)其他具有数据交互功能的电子设备。
本发明实施例还提供一种计算机可读存储介质，所述计算机可读存储介质内存储有计算机程序，所述计算机程序被处理器执行时实现上述任一方法实施例所述的方法步骤。
本发明的实施例还提供一种应用程序，所述应用程序被执行以实现本发明任一方法实施例提供的方法。
需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个......”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。
本说明书中的各个实施例均采用相关的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于装置实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。为了描述的方便，描述以上装置是以功能分为各种单元/模块分别描述。当然，在实施本发明时可以把各单元/模块的功能在同一个或多个软件和/或硬件中实现。
本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体(Read-Only Memory，ROM)或随机存储记忆体(Random AccessMemory，RAM)等。
以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利要求的保护范围为准。

Claims (10)

1.一种复合文档安全检测方法，其特征在于，包括；
解析待检测的复合文档，得到文档嵌套信息；
根据所述文档嵌套信息，判断所述复合文档是否具有恶意行为。
2.根据权利要求1所述的复合文档安全检测方法，其特征在于，所述文档嵌套信息包括内嵌文件层数、最里层内嵌文件的格式、最里层内嵌文件释放后与所述复合文档的大小比值中的一种或任意多种。
3.根据权利要求2所述的复合文档安全检测方法，其特征在于，所述根据所述文档嵌套信息，判断所述复合文档是否具有恶意行为，包括：
判断所述内嵌文件层数是否超出预设嵌套层数阈值、和/或判断所述最里层内嵌文件的格式是否为具有独立代码执行能力的文件、和/或判断所述最里层内嵌文件释放后与所述复合文档的大小比值是否超出预设大小比值阈值；
如果上述判断条件中有两条符合时，判定所述复合文档具有恶意行为。
4.根据权利要求3所述的复合文档安全检测方法，其特征在于，所述具有独立代码执行能力的文件包括二进制可执行文件或脚本文件。
5.一种复合文档安全检测装置，其特征在于，包括：
解析模块，用于解析待检测的复合文档，得到文档嵌套信息；
判断模块，用于根据所述文档嵌套信息，判断所述复合文档是否具有恶意行为。
6.根据权利要求5所述的复合文档安全检测装置，其特征在于，所述文档嵌套信息包括内嵌文件层数、最里层内嵌文件的格式、最里层内嵌文件释放后与所述复合文档的大小比值中的一种或任意多种。
7.根据权利要求6所述的复合文档安全检测装置，其特征在于，所述判断模块，包括：
判断子模块，用于判断所述内嵌文件层数是否超出预设嵌套层数阈值、和/或判断所述最里层内嵌文件的格式是否为具有独立代码执行能力的文件、和/或判断所述最里层内嵌文件释放后与所述复合文档的大小比值是否超出预设大小比值阈值；
判定子模块，用于如果上述判断条件中有两条符合时，判定所述复合文档具有恶意行为。
8.根据权利要求7所述的复合文档安全检测装置，其特征在于，所述具有独立代码执行能力的文件包括二进制可执行文件或脚本文件。
9.一种电子设备，其特征在于，所述电子设备包括：壳体、处理器、存储器、电路板和电源电路，其中，电路板安置在壳体围成的空间内部，处理器和存储器设置在电路板上；电源电路，用于为上述电子设备的各个电路或器件供电；存储器用于存储可执行程序代码；处理器通过读取存储器中存储的可执行程序代码来运行与可执行程序代码对应的程序，用于执行上述权利要求1-4任一所述的方法。
10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有一个或者多个程序，所述一个或者多个程序可被一个或者多个处理器执行，以实现上述权利要求1-4任一所述的方法。
CN201811476719.7A 2018-12-04 2018-12-04 复合文档安全检测方法、装置、电子设备及存储介质 Active CN110737894B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201811476719.7A CN110737894B (zh) 2018-12-04 2018-12-04 复合文档安全检测方法、装置、电子设备及存储介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201811476719.7A CN110737894B (zh) 2018-12-04 2018-12-04 复合文档安全检测方法、装置、电子设备及存储介质

Publications (2)

Publication Number Publication Date
CN110737894A true CN110737894A (zh) 2020-01-31
CN110737894B CN110737894B (zh) 2022-12-27

Family

ID=69236549

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201811476719.7A Active CN110737894B (zh) 2018-12-04 2018-12-04 复合文档安全检测方法、装置、电子设备及存储介质

Country Status (1)

Country Link
CN (1) CN110737894B (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114095249A (zh) * 2021-11-18 2022-02-25 安天科技集团股份有限公司 一种恶意攻击的防御方法、装置、电子设备及存储介质
CN116126349A (zh) * 2023-04-18 2023-05-16 合肥高维数据技术有限公司 Ooxml文档夹带检测方法、存储介质和电子设备

Citations (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2003032136A1 (fr) * 2001-10-12 2003-04-17 Commissariat A L'energie Atomique Procede et systeme d'identification et de verification du contenu de documents multimedia
US20060129603A1 (en) * 2004-12-14 2006-06-15 Jae Woo Park Apparatus and method for detecting malicious code embedded in office document
CN102236698A (zh) * 2010-04-26 2011-11-09 微软公司 可嵌入的项目数据
US20120185701A1 (en) * 2011-01-13 2012-07-19 Helen Balinsky Document security system and method
US20130160127A1 (en) * 2011-12-14 2013-06-20 Korea Internet & Security Agency System and method for detecting malicious code of pdf document type
CN103268449A (zh) * 2012-12-28 2013-08-28 武汉安天信息技术有限责任公司 一种手机恶意代码的高速检测方法和系统
CN104025102A (zh) * 2011-10-18 2014-09-03 迈克菲公司 用于检测嵌入在任意位置的文件并且判定文件的信誉的系统和方法
CN104966019A (zh) * 2014-06-16 2015-10-07 哈尔滨安天科技股份有限公司 一种启发式文档威胁检测方法及系统
US20160134652A1 (en) * 2014-01-29 2016-05-12 Verint Systems Ltd. Method for recognizing disguised malicious document
CN107025407A (zh) * 2017-03-22 2017-08-08 国家计算机网络与信息安全管理中心 一种office文档文件的恶意代码检测方法及系统
US20170357813A1 (en) * 2016-06-08 2017-12-14 Cylance Inc. Avoidance of Malicious Content in Nested Files
CN108073803A (zh) * 2016-11-18 2018-05-25 北京京东尚科信息技术有限公司 用于检测恶意应用的方法及装置
CN108229168A (zh) * 2017-12-29 2018-06-29 哈尔滨安天科技股份有限公司 一种嵌套类文件的启发式检测方法、系统及存储介质
CN108347430A (zh) * 2018-01-05 2018-07-31 国网山东省电力公司济宁供电公司 基于深度学习的网络入侵检测和漏洞扫描方法及装置

Patent Citations (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2003032136A1 (fr) * 2001-10-12 2003-04-17 Commissariat A L'energie Atomique Procede et systeme d'identification et de verification du contenu de documents multimedia
US20060129603A1 (en) * 2004-12-14 2006-06-15 Jae Woo Park Apparatus and method for detecting malicious code embedded in office document
CN102236698A (zh) * 2010-04-26 2011-11-09 微软公司 可嵌入的项目数据
US20120185701A1 (en) * 2011-01-13 2012-07-19 Helen Balinsky Document security system and method
CN104025102A (zh) * 2011-10-18 2014-09-03 迈克菲公司 用于检测嵌入在任意位置的文件并且判定文件的信誉的系统和方法
US20130160127A1 (en) * 2011-12-14 2013-06-20 Korea Internet & Security Agency System and method for detecting malicious code of pdf document type
CN103268449A (zh) * 2012-12-28 2013-08-28 武汉安天信息技术有限责任公司 一种手机恶意代码的高速检测方法和系统
US20160134652A1 (en) * 2014-01-29 2016-05-12 Verint Systems Ltd. Method for recognizing disguised malicious document
CN104966019A (zh) * 2014-06-16 2015-10-07 哈尔滨安天科技股份有限公司 一种启发式文档威胁检测方法及系统
US20170357813A1 (en) * 2016-06-08 2017-12-14 Cylance Inc. Avoidance of Malicious Content in Nested Files
CN108073803A (zh) * 2016-11-18 2018-05-25 北京京东尚科信息技术有限公司 用于检测恶意应用的方法及装置
CN107025407A (zh) * 2017-03-22 2017-08-08 国家计算机网络与信息安全管理中心 一种office文档文件的恶意代码检测方法及系统
CN108229168A (zh) * 2017-12-29 2018-06-29 哈尔滨安天科技股份有限公司 一种嵌套类文件的启发式检测方法、系统及存储介质
CN108347430A (zh) * 2018-01-05 2018-07-31 国网山东省电力公司济宁供电公司 基于深度学习的网络入侵检测和漏洞扫描方法及装置

Non-Patent Citations (3)

* Cited by examiner, † Cited by third party
Title
毕硕本等: "基于层次分析法的加密恶意脚本风险评估模型研究", 《计算机应用研究》 *
程妍妍: "国际电子文件元数据封装方法VEO和METS的比较研究", 《现代图书情报技术》 *
魏松杰等: "基于分层API调用的Android恶意代码静态描述方法", 《计算机科学》 *

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114095249A (zh) * 2021-11-18 2022-02-25 安天科技集团股份有限公司 一种恶意攻击的防御方法、装置、电子设备及存储介质
CN116126349A (zh) * 2023-04-18 2023-05-16 合肥高维数据技术有限公司 Ooxml文档夹带检测方法、存储介质和电子设备

Also Published As

Publication number Publication date
CN110737894B (zh) 2022-12-27

Similar Documents

Publication Publication Date Title
CN108875364B (zh) 未知文件的威胁性判定方法、装置、电子设备及存储介质
US10986103B2 (en) Signal tokens indicative of malware
US9798981B2 (en) Determining malware based on signal tokens
RU2011152811A (ru) Способ выявления ложных положительных результатов сканирования файлов на вредоносное по
CN110737894B (zh) 复合文档安全检测方法、装置、电子设备及存储介质
CN110866248B (zh) 一种勒索病毒识别方法、装置、电子设备及存储介质
CN110740117B (zh) 仿冒域名检测方法、装置、电子设备及存储介质
Deepa et al. Investigation of feature selection methods for android malware analysis
CN109670304B (zh) 恶意代码家族属性的识别方法、装置及电子设备
CN111027065B (zh) 一种勒索病毒识别方法、装置、电子设备及存储介质
US20150186650A1 (en) System, method, and computer program product for identifying a file used to automatically launch content as unwanted
CN114338102B (zh) 安全检测方法、装置、电子设备及存储介质
CN108804917B (zh) 一种文件检测方法、装置、电子设备及存储介质
CN105787302B (zh) 一种应用程序的处理方法、装置及电子设备
CN113987489A (zh) 一种网络未知威胁的检测方法、装置、电子设备及存储介质
CN113779576A (zh) 一种可执行文件感染病毒的识别方法、装置及电子设备
CN108875363B (zh) 一种加速虚拟执行的方法、装置、电子设备及存储介质
CN114417331A (zh) 病毒特征可信度的确定方法、装置、电子设备及存储介质
CN113360902A (zh) shellcode的检测方法、装置、计算机设备及计算机存储介质
CN107368740B (zh) 一种针对数据文件中可执行代码的检测方法及系统
CN115964708A (zh) 防误报的自动化特征提取方法、装置、电子设备及存储介质
CN111695116B (zh) 基于Linux系统内核层Rootkit的取证方法及装置
KR20140052268A (ko) 웹 검색 엔진을 이용한 문장 평가 방법, 이를 위한 장치 및 이 방법이 기록된 컴퓨터로 판독 가능한 기록 매체
CN114168953A (zh) 一种恶意代码检测方法、装置、电子设备及存储介质
CN114238969A (zh) 一种宏病毒的检测方法、装置、电子设备及存储介质

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
CB02 Change of applicant information
CB02 Change of applicant information

Address after: 150028 building 7, innovation and entrepreneurship square, science and technology innovation city, Harbin high tech Industrial Development Zone, Harbin, Heilongjiang Province (No. 838, Shikun Road)

Applicant after: Antan Technology Group Co.,Ltd.

Address before: 150028 building 7, innovation and entrepreneurship square, science and technology innovation city, Harbin high tech Industrial Development Zone, Harbin, Heilongjiang Province (No. 838, Shikun Road)

Applicant before: Harbin Antian Science and Technology Group Co.,Ltd.

GR01 Patent grant
GR01 Patent grant