CN110955891A - 文件检测的方法、装置、系统和数据处理法的方法 - Google Patents

Abstract

本发明公开了一种文件检测的方法、装置、系统和数据处理法的方法。其中，该方法包括：获取待检测文件，其中，待检测文件为二进制文件；将待检测文件与历史文件库中的恶意文件样本进行比对，得到检测信息；在检测信息指示待检测文件为恶意文件的情况下，确定待检测文件为告警文件，并将待检测文件的文件类型由二进制文件转换成图像；将检测信息和图像返回至用户。本发明解决了由于现有技术中云查杀检测图像的过程中恶意文件检测效率低的技术问题。

Description

文件检测的方法、装置、系统和数据处理法的方法

技术领域

本发明涉及互联网技术领域，具体而言，涉及一种文件检测的方法、装置、系统和数据处理法的方法。

背景技术

目前云查杀通过一些规则和模型对二进制文件进行内容分析，寻找payload(二进制文件中造成恶意行为的代码段，可以不连续地散布在二进制文件的各处)；并对检测出来的文件再进行人工确认归类，最终告警给客户。

但是这类静态检测方案，需要运营人员具备一定的安全背景知识和文件分析能力，即使云查杀能够给客户提供样本再由客户进行确认，或客户自行上报可以文件，但对于用户、运营人员和/或运营软件仍旧需要具有很专业的安全运营能力。

针对上述由于现有技术中云查杀检测图像的过程中恶意文件检测效率低的问题，目前尚未提出有效的解决方案。

发明内容

本发明实施例提供了一种文件检测的方法、装置、系统和数据处理法的方法，以至少解决由于现有技术中云查杀检测图像的过程中恶意文件检测效率低的技术问题。

根据本发明实施例的一个方面，提供了一种文件检测的方法，包括：获取待检测文件；将待检测文件与历史文件库中的恶意文件样本进行比对，得到检测信息；在检测信息指示待检测文件为恶意文件的情况下，确定待检测文件为告警文件，并将待检测文件的文件类型由二进制文件转换成图像；将检测信息和图像返回至用户。

可选的，获取待检测文件包括：接收用户通过客户端提交的待检测文件；或，接收运行于云主机上的客户端根据周期巡检上报的待检测文件。

进一步地，可选的，待检测文件包括：文件类型由二进制文件转换为图像的文件，和/或，二进制文件。

可选的，将待检测文件与历史文件库中的恶意文件样本进行比对，得到检测信息包括：将待检测文件与历史文件库中的文件进行比对，得到待检测文件所属的文件类型；依据文件类型检测待检测文件是否为恶意文件样本；在检测结果为是的情况下，生成检测信息。

可选的，该方法还包括：依据预设周期更新属于恶意文件类型的标准图片；将标准图片返回至用户。

根据本发明实施例的另一方面，还提供了一种文件检测的方法，其中，将待检测文件上传至云查杀平台；接收云查杀平台返回的检测信息和图像；依据图像和检测信息确定待检测文件是否为恶意文件。

可选的，将待检测文件上传至云查杀平台包括：通过客户端提交的待检测文件，待检测文件包括：文件类型由二进制文件转换为图像的文件，和/或，二进制文件。

可选的，该方法还包括：接收云查杀平台在预设周期更新的标准图片，标准图片包括：属于恶意文件类型的图片；依据标准图片更新预存恶意文件类型图片。

进一步地，可选的，依据图像和检测结果确定待检测文件是否为恶意文件包括：判断云查杀平台返回的图像是否与标准图片相似；在判断结果为是的情况下，向所述云查杀平台反馈确认信息，其中，所述确认信息用于指示所述待检测文件与所述标准图片相似。

可选的，判断云查杀平台返回的图像是否与标准图片相似包括：通过图片像素对比工具判断云查杀平台返回的图像是否与标准图片相似。

根据本发明另一实施例的一方面，提供了一种文件检测的装置，其中，获取模块，用于获取待检测文件，其中，待检测文件为二进制文件；检测模块，用于将待检测文件与历史文件库中的恶意文件样本进行比对，得到检测信息；转换模块，用于在检测信息指示待检测文件为恶意文件的情况下，确定待检测文件为告警文件，并将待检测文件的文件类型由二进制文件转换成图像；发送模块，用于将检测信息和图像返回至用户。

根据本发明另一实施例的另一方面，提供了一种文件检测的装置，其中，上传模块，用于将待检测文件上传至云查杀平台；接收模块，用于接收云查杀平台返回的检测信息和图像；检测模块，用于依据图像和检测信息确定待检测文件是否为恶意文件。

根据本发明又一实施例的一方面，提供了一种文件检测的系统，系统包括：云查杀平台和客户端，其中，客户端，用于将待检测文件上传至云查杀平台；云查杀平台，用于获取待检测文件；将待检测文件与历史文件库中的恶意文件样本进行比对，得到检测信息；在检测信息指示待检测文件为恶意文件的情况下，确定待检测文件为告警文件，并将待检测文件的文件类型由二进制文件转换成图像；将检测信息和图像返回至用户；客户端，还用于接收云查杀平台返回的检测信息和图像；依据图像和检测信息确定待检测文件是否为恶意文件。

根据本发明再一实施例的一方面，提供了一种存储介质，存储介质包括存储的程序，其中，在程序运行时控制存储介质所在设备执行上述文件检测的方法。

根据本发明再一实施例的另一方面，提供了另一种数据处理的方法，包括：第一计算设备，将待检测文件发送给第二计算设备；第一计算设备从第二计算设备，接收反馈信息，其中，反馈信息包括反馈图像；第一计算设备，依据反馈信息，确定待检测文件是否为预设类型文件。

可选的，该方法还包括：第一计算设备从第二计算设备，接收标准图像，其中，标准图像为预设类型文件对应的图像。

可选的，该方法还包括：当待检测文件为预设类型文件，修改待检测文件的执行权限。

可选的，该方法还包括：当待检测文件为预设类型文件，展示预设提示信息。

在本发明实施例中，采用将二进制文件转换为灰度图的方式，通过云查杀平台获取待检测文件，其中，待检测文件为二进制文件；将待检测文件与历史文件库中的恶意文件样本进行比对，得到检测信息；在检测信息指示待检测文件为恶意文件的情况下，确定待检测文件为告警文件，并将告警文件的文件类型由二进制文件转换成图像；将检测信息和图像返回至用户，以使得客户端根据检测信息和图像确定待检测文件是否为恶意文件，提高了客户对检测能力的直观感知和可解释性的目的，从而实现了提升恶意文件检测效率的技术效果，进而解决了由于现有技术中云查杀检测图像的过程中恶意文件检测效率低的技术问题。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1是根据本发明实施例一的文件检测的系统的结构图；

图2是根据本发明实施例一的文件检测的系统中的恶意文件的标准纹理图；

图3是本发明实施例的一种文件检测的方法的计算机终端的硬件结构框图；

图4是根据本发明实施例二的文件检测的方法的流程图；

图5是根据本发明实施例三的文件检测的方法的流程图；

图6是根据本发明实施例四的文件检测的装置的结构图；

图7是根据本发明实施例五的文件检测的装置的结构图。

具体实施方式

为了使本技术领域的人员更好地理解本发明方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分的实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明保护的范围。

需要说明的是，本发明的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本发明的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

本申请涉及的技术名词：

恶意行为:未授权的情况下篡改系统文件的行为,或,基于系统漏洞产生的网络攻击行为,或,以病毒文件为待传输文件在网络间传输的行为；

payload：二进制文件中造成恶意行为的代码段，可以不连续地散布在二进制文件的各处；

静态检测：对二进制文件内容进行检测；

灰度图：为没有RGB图像中红色、绿色和蓝色原色分量组成的，且像素值范围为[0,255]的单通道的灰色图片；

云查杀：在云端利用引擎扫描搜集上来的主机文件的过程。

实施例1

根据本发明实施例的一方面，提供了一种文件检测的系统，图1是根据本发明实施例一的文件检测的系统的结构图。如图1所示，该系统包括：云查杀平台12和客户端14，其中，

客户端14将待检测文件上传至云查杀平台12；

云查杀平台12获取待检测文件，将待检测文件与历史文件库中的恶意文件样本进行比对，得到检测信息；在检测信息指示待检测文件为恶意文件的情况下，确定待检测文件为告警文件，并将待检测文件的文件类型由二进制文件转换成图像；将检测信息和图像返回至用户；

客户端14接收云查杀平台12返回的检测结果和图像；依据图像和检测结果确定待检测文件是否为恶意文件。

具体的，本申请实施例提供的文件检测的系统可以适用于云端查杀恶意文件业务，例如，云端病毒防护，云端恶意文件识别和拦截；这里本申请实施例提供的文件检测的系统基于云查杀平台12和客户端14，通过客户端14向云查杀平台12上传待检测文件，由云查杀平台12判断该待检测文件是否为恶意文件，在判断结果为是的情况下，以图片的形式反馈给客户端14，以使得用户通过客户端14接收到的云查杀平台12返回的图片和检测信息，其中，检测信息包括：待检测文件与历史文件库中的恶意文件样本存在相同纹路，用户能够通过该图片直观的了解该待检测文件与客户端本地预先存储的恶意文件样本是否存在相同或相似的纹路，在待检测文件与预先存储的恶意文件样本存在相同或相似的纹路的情况下，向云查杀平台12返回：待检测文件与预先存储的恶意文件样本存在相同或相似的纹路，最终由云查杀平台12确定是否为恶意文件。

其中，待检测文件可以包括：文件格式为二进制文件，二进制文件可以包括：与客户端14处于同一运行系统的运行日志，与客户端14运行于同一设备的插件信息等；或，

通过云端二进制转图像工具产出的图片，即，将文件格式为二进制文件通过云端二进制转图像工具转换为图像格式的文件。

这里本申请实施例以收到的待检测文件的格式为二进制文件为优选示例进行说明。除此之外，待检测文件通过云端二进制转图像工具转换为图像格式的文件作为可选示例，同时，在对云查杀平台12获取多个客户端14上传的待检测文件的情况下，云查杀平台12所接收的待检测文件可以同时包括二进制文件和图像两种类型的文件。

此外，云查杀平台12在获取客户端14上传的待检测文件的过程中，除了接收客户端14主动上传的待检测文件外，还可以包括：依据预设周期从客户端提取可疑的文件，将该文件作为待检测文件进行处理。

在云查杀平台12侧，在接收的待检测文件的文件格式为二进制的文件的情况下，通过与历史文件库中的恶意文件样本进行比对，判断该待检测文件是否为恶意文件，在判断结果为是的情况下，生成检测信息，同时，确定待检测文件为告警文件，并将告警文件的文件类型由二进制文件转换成图像，以使得将检测信息和图像返回客户端14之后，用户能够根据客户端14反馈的图像，直观的判断该待检测文件是否为恶意文件。

在云查杀平台12侧，在接收的待检测文件的文件格式为图像的情况下，通过与历史文件库中的恶意文件样本的图像纹理进行比对，判断该待检测文件是否为恶意文件，在判断结果为是的情况下，生成检测信息，并将检测信息和该图像和历史文件库中的恶意文件样本的图像纹理反馈给客户端14，以使得将检测信息和图像返回客户端14之后，用户能够根据客户端14反馈的图像，直观的判断该待检测文件是否与预先存储的恶意文件样本存在相同或相似的纹路。

除此之外，云查杀平台12依据预设周期更新历史文件库中恶意文件样本的图像纹理(图像特征)，并将更新的结果反馈给客户端14，以使得客户端14能够更准确的判断待检测文件是否与预先存储的恶意文件样本存在相同或相似的纹路。

这里需要说明的是，云查杀平台12依据预设周期更新历史文件库中恶意文件样本的图像纹理可以通过客户端14每次反馈的待检测文件和/或校正响应信息进行智能学习，该智能学习的方式可以包括：通过人工智能中的神经网络进行学习。其中，校正响应信息可以为每次在云查杀平台12向客户端14反馈检测信息和图像之后，如果用户知道待检测文件为安全文件，则向云查杀平台12反馈该待检测文件为安全文件的信息，以使得云查杀平台12根据该待检测文件进行更新学习，提升检测准确率，同时，本申请实施例提供的文件检测的系统帮助客户提供了文件检测的运营能力。

本申请实施例提供的文件检测的系统中客户端14在上传待检测文件的过程中，若直接向云查杀平台12上传图像，可以通过云端二进制转图像工具将待检测文件的文件格式由二进制转换成图像，其中，二进制文件转成图像工具可以包括各类神经网络通过特征提取，生成以图像纹理表现文件特征的形式生成图像的工具。

其中，图像可以为灰度图像，黑白图像或彩色图像，其中，为了减轻传输压力，在确保准确体现文件特征的前提下，可以优选以灰度图像或黑白图像作为待检测文件进行传输；若传输彩色图像不会对数据传输产生压力，可以将彩色图像作为待检测文件进行上传。

此外，客户端14依据图像和检测结果确定待检测文件是否为恶意文件可以通过图像相似度工具，将该图像与预先存储的恶意文件样本图像进行图像相似度比较。具体的，如图2所示，图2是根据本发明实施例一的文件检测的系统中的恶意文件的标准纹理图。

这里本申请实施例仅以上述示例为例进行说明，以实现本申请实施例提供的文件检测的系统为准，具体不做限定。

此外，在客户端14中向用户显示该图像与客户端14本地预先存储的恶意文件样本图像进行图像相似度比较的过程中，用户只需进行图像的纹路对比，当用户觉得相似或相同的情况下，通过客户端14向云查杀平台12反馈确认信息，由云查杀平台12提供最终确认结果。

需要说明的是，客户端14中还可以内置图像转换软件，实现单机情况下对二进制文件转换为图像的效果，避免了由于受网络环境的影响，无法通过云网络调用图像转换软件功能的问题出现。

本申请实施例提供的文件检测的系统将二进制文件通过技术手段转成灰度图，其中属于同一病毒种类的样本转成图片后具备相同的图像纹理，这样客户只需要基本的人工对比，或者运用简单的像素统计工具，计算图像和可疑样本标注图的区别差异就可以粗筛出可疑性很大的二进制文件，大大减少了运营成本。

此外，当云查杀平台12返回检测信息和图像之后，客户端14根据该检测信息和图像，参考该检测信息，将该图像与客户端本地预先存储的恶意文件样本图像进行图像相似度比较，在比较结果为相同或相似的情况下，确定该待检测文件为恶意文件。

实施例2

根据本发明实施例，还提供了一种文件检测的方法实施例，需要说明的是，在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

本申请实施例二所提供的方法实施例可以在移动终端、计算机终端或者类似的运算装置中执行。以运行在计算机终端上为例，图3是本发明实施例的一种文件检测的方法的计算机终端的硬件结构框图。如图3所示，计算机终端30可以包括一个或多个(图中仅示出一个)处理器302(处理器302可以包括但不限于微处理器MCU或可编程逻辑器件FPGA等的处理装置)、用于存储数据的存储器304、以及用于通信功能的传输模块306。本领域普通技术人员可以理解，图3所示的结构仅为示意，其并不对上述电子装置的结构造成限定。例如，计算机终端30还可包括比图3中所示更多或者更少的组件，或者具有与图3所示不同的配置。

存储器304可用于存储应用软件的软件程序以及模块，如本发明实施例中的文件检测的方法对应的程序指令/模块，处理器302通过运行存储在存储器304内的软件程序以及模块，从而执行各种功能应用以及数据处理，即实现上述的应用程序的文件检测的方法。存储器304可包括高速随机存储器，还可包括非易失性存储器，如一个或者多个磁性存储装置、闪存、或者其他非易失性固态存储器。在一些实例中，存储器304可进一步包括相对于处理器302远程设置的存储器，这些远程存储器可以通过网络连接至计算机终端30。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

传输装置306用于经由一个网络接收或者发送数据。上述的网络具体实例可包括计算机终端30的通信供应商提供的无线网络。在一个实例中，传输装置306包括一个网络适配器(Network Interface Control ler，NIC)，其可通过基站与其他网络设备相连从而可与互联网进行通讯。在一个实例中，传输装置306可以为射频(RadioFrequency，RF)模块，其用于通过无线方式与互联网进行通讯。

在上述运行环境下，本申请提供了如图4所示的文件检测的方法。图4是根据本发明实施例二的文件检测的方法的流程图。在云查杀平台侧，本申请实施例提供的文件检测的方法具体如下：

步骤S402，获取待检测文件；

本申请上述步骤S402中，对应实施例1中文件检测的系统中云查杀平台12，本申请实施例提供的文件检测的方法在云查杀平台侧，云查杀平台获取客户端的待检测文件，其中，云查杀平台获取客户端的待检测文件可以包括：客户端上传的待检测文件；和/或，依据预设周期轮询各客户端在云端的各类疑似恶意文件；

其中，本申请实施例以客户端上传待检测文件为例进行说明，云查杀平台接收客户端上传的待检测文件。

这里待检测文件可以为文件格式为二进制的疑似恶意文件，也可以为通过文件格式转换后的图像，其中，该图像为通过云端或本地的神经网络，通过神经网络获取文件特征，将该文件特征以图像化的形式，生成的图像，其中该图像可以为灰度图像，黑白图像或彩色图像，其中，为了减轻传输压力，在确保准确体现文件特征的前提下，可以优选以灰度图像或黑白图像作为待检测文件进行传输；若传输彩色图像不会对数据传输产生压力，可以将彩色图像作为待检测文件进行上传。

其中，云查杀平台接收的客户端上传的待检测文件可以为文件格式为二进制的疑似恶意文件；也可以为通过文件格式转换后的图像；除此之外，在获取多个客户端的待检测文件时，收到的待检测文件还可以包括：文件格式为二进制的疑似恶意文件和文件格式为二进制的疑似恶意文件。

这里本申请实施例仅以上述示例为例进行说明，以实现本申请实施例提供的文件检测的方法为准，具体不做限定。

步骤S404，将待检测文件与历史文件库中的恶意文件样本进行比对，得到检测信息；

本申请上述步骤S404中，基于步骤S402中接收的待检测文件，将该待检测文件与预存的历史文件库中的恶意文件样本进行比对，在待检测文件的文件格式为二进制的情况下，通过提取待检测文件中的二进制特征，判断该二进制特征是否与历史文件库中的恶意文件样本的二进制特征相同，并得到检测信息；

在待检测文件的文件格式为图像的情况下，通过提取图像的图像纹理，判断该图像纹理是否与历史文件库中的恶意文件样本的图像纹理相同，并得到检测信息。

步骤S406，在检测信息指示待检测文件为恶意文件的情况下，确定待检测文件为告警文件，并将待检测文件的文件类型由二进制文件转换成图像；

本申请上述步骤S406中，基于步骤S404的检测，在检测信息指示该待检测文件为恶意文件的情况下，确定该待检测文件为告警文件，在待检测文件的文件格式为二进制格式的情况下，并将待检测文件的文件类型由二进制文件转换成图像；

在待检测文件的文件格式为图像的情况下，将该图像与历史文件库中的对应该待检测文件的恶意文件样本的图像一起作为待反馈的图像。

步骤S408，将检测信息和图像返回至用户。

本申请上述步骤S408，基于步骤S404中得到的检测信息和步骤S406中得到的图像，将检测信息和图像返回至用户。

在本发明实施例中，采用将二进制文件转换为灰度图的方式，通过获取待检测文件，其中，待检测文件为二进制文件；将待检测文件与历史文件库中的恶意文件样本进行比对，得到检测信息；在检测信息指示待检测文件为恶意文件的情况下，确定待检测文件为告警文件，并将待检测文件的文件类型由二进制文件转换成图像；将检测信息和图像返回至用户，提高了客户对检测能力的直观感知和可解释性的目的，从而实现了提升恶意文件检测效率的技术效果，进而解决了由于现有技术中云查杀检测图像的过程中恶意文件检测效率低的技术问题。

可选的，步骤S402中获取待检测文件包括：

步骤S4021，接收用户通过客户端提交的待检测文件；或，

步骤S4021’，接收运行于云主机上的客户端根据周期巡检上报的待检测文件。

进一步地，可选的，待检测文件包括：文件类型由二进制文件转换为图像的文件，和/或，二进制文件。

需要说明的是，步骤S4021’在接收运行于云主机上的客户端根据周期巡检上报的待检测文件的过程中，可以通过云端日常搜集云主机端的各类可疑文件传输给云查杀平台实现。

可选的，步骤S404中将待检测文件与历史文件库中的恶意文件样本进行比对，得到检测信息包括：

步骤S4041，将待检测文件与历史文件库中的文件进行比对，得到待检测文件所属的文件类型；

步骤S4042，依据文件类型检测待检测文件是否为恶意文件样本；

步骤S4043，在检测结果为是的情况下，生成检测信息。

具体的，结合步骤S4041至步骤S4043将待检测文件与历史文件库中的恶意文件样本进行比对，得到检测信息可以通过如下方式实现：

方式一，在待检测文件的文件格式为二进制的情况下，通过提取待检测文件中的二进制特征，判断该二进制特征是否与历史文件库中的恶意文件样本的二进制特征相同，并得到检测信息；

方式二，在待检测文件的文件格式为图像的情况下，通过提取图像的图像纹理，判断该图像纹理是否与历史文件库中的恶意文件样本的图像纹理相同，并得到检测信息。

需要说明的是，本申请实施例提供的检测信息可以为检测结果，例如：直接提供检测建议：该待检测文件为恶意文件，或，疑似恶意文件；以使得用户收到检测信息后，能够清晰获知该待检测文件是否为恶意文件；或，

检测信息还可以为检测明细，即，该待检测文件与历史文件库中的恶意文件的相似度，和/或相似位置，以使得用户在收到检测信息后，结合图像做进一步的判断。

这里本申请实施例仅以上述示例为例进行说明，以实现本申请实施例提供的文件检测的方法为准，具体不做限定。

可选的，本申请实施例提供的文件检测的方法还包括：

步骤S405，依据预设周期更新属于恶意文件类型的标准图片；

步骤S406，将标准图片返回至用户。

具体的，依据预设周期更新属于恶意文件类型的标准图片可以通过客户端每次反馈的待检测文件和/或校正响应信息进行智能学习，该智能学习的方式可以包括：通过人工智能中的神经网络进行学习。其中，校正响应信息可以为每次在云查杀平台向客户端反馈检测信息和图像之后，如果用户知道待检测文件为安全文件，则向云查杀平台反馈该待检测文件为安全文件的信息，以使得云查杀平台根据该待检测文件进行更新学习，提升检测准确率。

依据预设周期更新属于恶意文件类型的标准图片还可以板块：通过云查杀平台每次查杀获取的新的恶意文件家族的标准图片纹理进行更新，以使得提升云查杀平台的检测准确率。

本申请实施例提供的文件检测的方法提出了一种通过二进制转成的图像后的纹理和恶意文件类型的标准图像纹理对比来识别恶意文件，提高了客户对检测能力的直观感知和可解释性。

实施例3

根据本发明实施例的另一方面，还提供了一种文件检测的方法，图5是根据本发明实施例三的文件检测的方法的流程图。在客户端侧，如图5所示，本申请实施例提供的文件检测的方法具体如下：

步骤S502，将待检测文件上传至云查杀平台；

步骤S504，接收云查杀平台返回的检测信息和图像；

步骤S506，依据图像和检测信息确定待检测文件是否为恶意文件。

具体的，结合步骤S502至步骤S506，对应实施例1中文件检测的系统中客户端14，客户端在上传待检测文件的过程中，若直接向云查杀平台上传图像，可以通过云端二进制转图像工具将待检测文件的文件格式由二进制转换成图像，其中，二进制文件转成图像工具可以包括各类神经网络通过特征提取，生成以图像纹理表现文件特征的形式生成图像的工具。

其中，图像可以为灰度图像，黑白图像或彩色图像，其中，为了减轻传输压力，在确保准确体现文件特征的前提下，可以优选以灰度图像或黑白图像作为待检测文件进行传输；若传输彩色图像不会对数据传输产生压力，可以将彩色图像作为待检测文件进行上传。

此外，客户端依据图像和检测结果确定待检测文件是否为恶意文件可以通过图像相似度工具，将该图像与预先存储的恶意文件样本图像进行图像相似度比较，例如，比较图像中的像素点特征。

这里本申请实施例仅以上述示例为例进行说明，以实现本申请实施例提供的文件检测的方法为准，具体不做限定。

在本发明实施例中，采用将二进制文件转换为灰度图的方式，通过将待检测文件上传至云查杀平台；接收云查杀平台返回的检测信息和图像；依据图像和检测信息确定待检测文件是否为恶意文件，提高了客户对检测能力的直观感知和可解释性的目的，从而实现了提升恶意文件检测效率的技术效果，进而解决了由于现有技术中云查杀检测图像的过程中恶意文件检测效率低的技术问题。

可选的，步骤S502中将待检测文件上传至云查杀平台包括：

步骤S5021，通过客户端提交的待检测文件，待检测文件包括：文件类型由二进制文件转换为图像的文件，和/或，二进制文件。

可选的，本申请实施例提供的文件检测的方法还包括：

步骤S500，接收云查杀平台在预设周期更新的标准图片，标准图片包括：属于恶意文件类型的图片；

步骤S501，依据标准图片更新预存恶意文件类型图片。

进一步地，可选的，步骤S506中依据图像和检测结果确定待检测文件是否为恶意文件包括：

步骤S5061，判断云查杀平台返回的图像是否与标准图片相似；

步骤S5062，在判断结果为是的情况下，向云查杀平台反馈确认信息，其中，确认信息用于指示待检测文件与标准图片相似。

可选的，步骤S5061中判断云查杀平台返回的图像是否与标准图片相似包括：

步骤S50611，通过图片像素对比工具判断云查杀平台返回的图像是否与标准图片相似。

这里在客户端中向用户显示该图像与预先存储的恶意文件样本图像进行图像相似度比较的过程中，用户只需进行图像的纹路对比，当用户觉得相似或相同的情况下，通过客户端向云查杀平台反馈确认信息，由云查杀平台提供最终确认结果。

除此之外，如果用户知道待检测文件为安全文件，则向云查杀平台反馈该待检测文件为安全文件的信息，以使得云查杀平台根据该待检测文件进行更新学习，提升检测准确率。

需要说明的是，对于前述的各方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本发明并不受所描述的动作顺序的限制，因为依据本发明，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作和模块并不一定是本发明所必须的。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到根据上述实施例的文件检测的方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端设备(可以是手机，计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。

实施例4

根据本发明实施例，还提供了一种用于实施上述文件检测的方法的装置，图6是根据本发明实施例四的文件检测的装置的结构图。如图6所示，在云查杀平台侧，该装置包括：获取模块62，检测模块64，转换模块66和发送模块68。

其中，获取模块62，用于获取待检测文件，其中，待检测文件为二进制文件；检测模块64，用于将待检测文件与历史文件库中的恶意文件样本进行比对，得到检测信息；转换模块66，用于在检测信息指示待检测文件为恶意文件的情况下，确定待检测文件为告警文件，并将告警文件的文件类型由二进制文件转换成图像；发送模块68，用于将检测信息和图像返回至用户。

实施例5

根据本发明另一实施例的另一方面，提供了一种文件检测的装置，图7是根据本发明实施例五的文件检测的装置的结构图。如图7所示，在客户端侧，该装置包括：上传模块72，接收模块74和检测模块76。

其中，上传模块72，用于将待检测文件上传至云查杀平台；接收模块74，用于接收云查杀平台返回的检测信息和图像；检测模块76，用于依据图像和检测信息确定待检测文件是否为恶意文件。

在本发明实施例中，采用将二进制文件转换为灰度图的方式，通过获取待检测文件，其中，待检测文件为二进制文件；将待检测文件与历史文件库中的恶意文件样本进行比对，得到检测信息；在检测信息指示待检测文件为恶意文件的情况下，确定待检测文件为告警文件，并将告警文件的文件类型由二进制文件转换成图像；将检测信息和图像返回至用户，提高了客户对检测能力的直观感知和可解释性的目的，从而实现了提升恶意文件检测效率的技术效果，进而解决了由于现有技术中云查杀检测图像的过程中恶意文件检测效率低的技术问题。

实施例6

根据本发明再一实施例的一方面，提供了一种存储介质，存储介质包括存储的程序，其中，在程序运行时控制存储介质所在设备执行上述文件检测的方法。

实施例7

本发明的实施例还提供了一种存储介质。可选地，在本实施例中，上述存储介质可以用于保存上述实施例一所提供的文件检测的方法所执行的程序代码。

可选地，在本实施例中，上述存储介质可以位于计算机网络中计算机终端群中的任意一个计算机终端中，或者位于移动终端群中的任意一个移动终端中。

可选地，在本实施例中，存储介质被设置为存储用于执行以下步骤的程序代码：获取待检测文件，其中，待检测文件为二进制文件；将待检测文件与历史文件库中的恶意文件样本进行比对，得到检测信息；在检测信息指示待检测文件为恶意文件的情况下，确定待检测文件为告警文件，并将待检测文件的文件类型由二进制文件转换成图像；将检测信息和图像返回至用户。

可选地，在本实施例中，存储介质被设置为存储用于执行以下步骤的程序代码：获取待检测文件包括：接收用户通过客户端提交的待检测文件；或，接收运行于云主机上的客户端根据周期巡检上报的待检测文件。

进一步地，可选地，在本实施例中，存储介质被设置为存储用于执行以下步骤的程序代码：待检测文件包括：文件类型由二进制文件转换为图像的文件，和/或，二进制文件。

可选地，在本实施例中，存储介质被设置为存储用于执行以下步骤的程序代码：将待检测文件与历史文件库中的恶意文件样本进行比对，得到检测信息包括：将待检测文件与历史文件库中的文件进行比对，得到待检测文件所属的文件类型；依据文件类型检测待检测文件是否为恶意文件样本；在检测结果为是的情况下，生成检测信息。

可选地，在本实施例中，存储介质被设置为存储用于执行以下步骤的程序代码：依据预设周期更新属于恶意文件类型的标准图片；将标准图片返回至用户。

实施例8

根据本发明再一实施例的另一方面，提供了另一种数据处理的方法，在客户端侧，包括：

步骤S802，第一计算设备，将待检测文件发送给第二计算设备；

在步骤S802中，第一计算设备可以为智能终端，其中，智能终端包括：智能手机，平板电脑，笔记本电脑，台式电脑，智能穿戴设备等能够接入网络传输数据并具备数据处理能力的设备；第二计算设备可以为服务器，在本申请实施例中优选的以运行有云查杀平台的云服务器为例进行说明。

具体的，第一计算设备以安装有客户端的计算机为例，通过客户端将待检测文件上传至云服务器。其中，待检测文件可以包括：文件格式为二进制文件，二进制文件可以包括：与客户端处于同一运行系统的运行日志，与客户端运行于同一设备的插件信息等；或，

通过云端二进制转图像工具产出的图片，即，将文件格式为二进制文件通过云端二进制转图像工具转换为图像格式的文件。

这里本申请实施例以收到的待检测文件的格式为二进制文件为优选示例进行说明。除此之外，待检测文件通过云端二进制转图像工具转换为图像格式的文件作为可选示例，同时，在对云查杀平台获取多个客户端上传的待检测文件的情况下，云查杀平台所接收的待检测文件可以同时包括二进制文件和图像两种类型的文件。

此外，云查杀平台在获取客户端上传的待检测文件的过程中，除了接收客户端主动上传的待检测文件外，还可以包括：依据预设周期从客户端提取可疑的文件，将该文件作为待检测文件进行处理。

步骤S804，第一计算设备从第二计算设备，接收反馈信息，其中，反馈信息包括反馈图像；

在步骤S804中，基于步骤S802发送的待检测文件，接收云查杀平台返回的反馈信息，该反馈信息包含有待检测文件图形化后的图像。

步骤S806，第一计算设备，依据反馈信息，确定待检测文件是否为预设类型文件。

在步骤S806中，基于步骤S804得到的反馈信息，基于该反馈信息通过与预先存储的标准图像进行比较，确定该待检测文件是否为预设类型文件。

这里该预设类型文件可以包括具备恶意行为的文件。

可选的，本申请实施例提供的数据处理的方法还包括：第一计算设备从第二计算设备，接收标准图像，其中，标准图像为预设类型文件对应的图像。

可选的，本申请实施例提供的数据处理的方法还包括：当待检测文件为预设类型文件，修改待检测文件的执行权限。

具体的，该执行权限可以包括：该待检测文件所处的存储空间在调用过程中基于预设运行安全条件，限制该待检测文件的执行次数，或，所适用于的应用程序执行该待检测文件。

可选的，本申请实施例提供的数据处理的方法还包括：当待检测文件为预设类型文件，展示预设提示信息。

具体的，展示的预设提示信息可以包括：显示该待检测文件为恶意文件。

上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。

在本发明的上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其他实施例的相关描述。

在本申请所提供的几个实施例中，应该理解到，所揭露的技术内容，可通过其它的方式实现。其中，以上所描述的装置实施例仅仅是示意性的，例如所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，单元或模块的间接耦合或通信连接，可以是电性或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可为个人计算机、服务器或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、只读存储器(ROM，Read-OnlyMemory)、随机存取存储器(RAM，Random Access Memory)、移动硬盘、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (18)

1.一种文件检测的方法，其中，

获取待检测文件；

将所述待检测文件与历史文件库中的恶意文件样本进行比对，得到检测信息；

在所述检测信息指示所述待检测文件为恶意文件的情况下，确定所述待检测文件为告警文件，并将所述待检测文件的文件类型由二进制文件转换成图像；

将所述检测信息和所述图像返回至用户。

2.根据权利要求1所述的文件检测的方法，所述获取待检测文件包括：

接收用户通过客户端提交的待检测文件；或，

接收运行于云主机上的客户端根据周期巡检上报的待检测文件。

3.根据权利要求2所述的文件检测的方法，所述待检测文件包括：文件类型由二进制文件转换为图像的文件，和/或，二进制文件。

4.根据权利要求1所述的文件检测的方法，所述将所述待检测文件与历史文件库中的恶意文件样本进行比对，得到检测信息包括：

将所述待检测文件与所述历史文件库中的文件进行比对，得到所述待检测文件所属的文件类型；

依据所述文件类型检测所述待检测文件是否为所述恶意文件样本；

在检测结果为是的情况下，生成所述检测信息。

5.根据权利要求1所述的文件检测的方法，所述方法还包括：

依据预设周期更新属于恶意文件类型的标准图片；

将所述标准图片返回至所述用户。

6.一种文件检测的方法，其中，

将待检测文件上传至云查杀平台；

接收所述云查杀平台返回的检测信息和图像；

依据所述图像和所述检测信息确定所述待检测文件是否为恶意文件。

7.根据权利要求6所述的文件检测的方法，所述将待检测文件上传至云查杀平台包括：

通过客户端提交的待检测文件，所述待检测文件包括：文件类型由二进制文件转换为图像的文件，和/或，二进制文件。

8.根据权利要求6所述的文件检测的方法，所述方法还包括：

接收所述云查杀平台在预设周期更新的标准图片，所述标准图片包括：属于恶意文件类型的图片；

依据所述标准图片更新预存恶意文件类型图片。

9.根据权利要求8所述的文件检测的方法，所述依据所述图像和所述检测结果确定所述待检测文件是否为恶意文件包括：

判断所述云查杀平台返回的图像是否与所述标准图片相似；

在判断结果为是的情况下，向所述云查杀平台反馈确认信息，其中，所述确认信息用于指示所述待检测文件与所述标准图片相似。

10.根据权利要求9所述的文件检测的方法，所述判断所述云查杀平台返回的图像是否与所述标准图片相似包括：

通过图片像素对比工具判断所述云查杀平台返回的图像是否与所述标准图片相似。

11.一种文件检测的装置，其中，

获取模块，用于获取待检测文件；

检测模块，用于将所述待检测文件与历史文件库中的恶意文件样本进行比对，得到检测信息；

转换模块，用于在所述检测信息指示所述待检测文件为恶意文件的情况下，确定所述待检测文件为告警文件，并将所述待检测文件的文件类型由二进制文件转换成图像；

发送模块，用于将所述检测信息和所述图像返回至用户。

12.一种文件检测的装置，其中，

上传模块，用于将待检测文件上传至云查杀平台；

接收模块，用于接收所述云查杀平台返回的检测信息和图像；

检测模块，用于依据所述图像和所述检测信息确定所述待检测文件是否为恶意文件。

13.一种文件检测的系统，所述系统包括：云查杀平台和客户端，其中，

所述客户端，用于将待检测文件上传至云查杀平台；

所述云查杀平台，用于获取待检测文件；将所述待检测文件与历史文件库中的恶意文件样本进行比对，得到检测信息；在所述检测信息指示所述待检测文件为恶意文件的情况下，确定所述待检测文件为告警文件，并将所述待检测文件的文件类型由二进制文件转换成图像；将所述检测信息和所述图像返回至用户；

所述客户端，还用于接收所述云查杀平台返回的检测信息和图像；依据所述图像和所述检测信息确定所述待检测文件是否为恶意文件。

14.一种存储介质，所述存储介质包括存储的程序，其中，在所述程序运行时控制所述存储介质所在设备执行：权利要求1至10中任意一项所述的文件检测的方法。

15.一种数据处理的方法，包括：

第一计算设备，将待检测文件发送给第二计算设备；

所述第一计算设备从所述第二计算设备，接收反馈信息，其中，所述反馈信息包括反馈图像；

所述第一计算设备，依据所述反馈信息，确定所述待检测文件是否为预设类型文件。

16.根据权利要求15所述的方法，所述方法还包括：

所述第一计算设备从所述第二计算设备，接收标准图像，其中，所述标准图像为所述预设类型文件对应的图像。

17.根据权利要求15所述的方法，所述方法还包括：

当所述待检测文件为预设类型文件，修改所述待检测文件的执行权限。

18.根据权利要求15所述的方法，所述方法还包括：

当所述待检测文件为预设类型文件，展示预设提示信息。

Images