CN113010481A - 文件捕获方法、装置、终端和存储介质 - Google Patents

Abstract

本申请涉及一种文件捕获方法、装置、终端及存储介质，属于终端技术领域。该方法包括：对目标文件的文件类型进行检测，若目标文件的文件类型为目标类型，获取目标文件的文件路径，目标文件为正在执行的进程对应的文件；以及，获取用于临时存储待上报文件内容的埋点的埋点路径；基于文件路径，读取目标文件的文件内容；基于埋点路径，将读取到的文件内容，存储至埋点路径对应的目标文件夹中；响应于文件回传操作，从埋点路径对应的目标文件夹中读取文件内容，将文件内容上报给服务器。这样通过埋点回传能够将目标文件的文件内容直接上报给服务器，从而无需人工再对目标文件进行拷贝，降低了目标文件的获取难度，提高了目标文件的获取效率。

Description

文件捕获方法、装置、终端和存储介质

技术领域

本申请实施例涉及终端技术领域，特别涉及一种文件捕获方法、装置、终端和存储介质。

背景技术

目前，终端一般通过埋点和回传的方式来对恶意文件、威胁情报等可执行文件的相关信息进行获取。通过埋点的方法能够将可执行文件的重要信息存储在埋点中。其中，该重要信息一般包括该可执行文件的用户标识、设备标识、发生的时间戳、位置等环境信息等信息。相应的，终端在回传该可执行文件时，回传埋点中存储的该可执行文件的重要信息。

发明内容

本申请实施例提供了一种文件捕获方法、装置、终端及存储介质，能够降低获取文件内容的难度，提高获取文件内容的效率。所述技术方案如下：

一方面，提供了一种文件捕获方法，所述方法包括：

对目标文件的文件类型进行检测，若所述目标文件的文件类型为目标类型，获取所述目标文件的文件路径，所述目标文件为正在执行的进程对应的文件；以及，获取用于临时存储待上报文件内容的埋点的埋点路径；

基于所述文件路径，读取所述目标文件的文件内容；

基于所述埋点路径，将读取到的文件内容，存储至所述埋点路径对应的目标文件夹中；

响应于文件回传操作，从所述埋点路径对应的目标文件夹中读取所述文件内容，将所述文件内容上报给服务器。

另一方面，提供了一种文件捕获装置，所述装置包括：

获取模块，用于对目标文件的文件类型进行检测，若所述目标文件的文件类型为目标类型，获取所述目标文件的文件路径，所述目标文件为正在执行的进程对应的文件；以及，获取用于临时存储待上报文件内容的埋点的埋点路径；

读取模块，用于基于所述文件路径，读取所述目标文件的文件内容；

存储模块，用于基于所述埋点路径，将读取到的文件内容，存储至所述埋点路径对应的目标文件夹中；

回传模块，用于响应于文件回传操作，从所述埋点路径对应的目标文件夹中读取所述文件内容，将所述文件内容上报给服务器。

另一方面，提供了一种终端，所述终端包括处理器和存储器；所述存储器存储有至少一条程序代码，所述至少一条程序代码用于被所述处理器执行以实现如上述方面所述的文件捕获方法。

另一方面，提供了一种计算机可读存储介质，所述存储介质存储有至少一条程序代码，所述至少一条程序代码用于被处理器执行以实现如上述方面所述的文件捕获方法。

另一方面，还提供了一种计算机程序产品，该计算机程序产品存储有至少一条程序代码，所述至少一条程序代码由处理器加载并执行以实现上述方面所述的文件捕获方法。

在本申请实施例中，在检测到目标文件的文件类型为目标类型时，能够基于该目标文件的文件路径，获取将目标文件的文件内容，将该文件内容存储在埋点路径下的目标文件夹中，从而在对文件进行回传时，能够读取该文件的文件内容，将该文件内容回传给服务器，这样通过埋点回传能够将目标文件的文件内容直接上报给服务器，从而无需人工再对目标文件进行拷贝，降低了目标文件的获取难度，提高了目标文件的获取效率。

附图说明

图1示出了本申请一个示例性实施例示出的文件捕获方法的流程图；

图2示出了本申请一个示例性实施例示出的文件捕获方法的流程图；

图3示出了本申请一个示例性实施例示出的文件捕获方法的流程图；

图4示出了本申请一个示例性实施例示出的编码后的文件的示意图；

图5示出了本申请一个示例性实施例示出的文件捕获方法的流程图；

图6示出了本申请一个实施例提供的文件捕获装置的结构框图；

图7示出了本申请一个示例性实施例示出的终端的结构框图。

具体实施方式

为使本申请的目的、技术方案和优点更加清楚，下面将结合附图对本申请实施方式作进一步地详细描述。

在本文中提及的“多个”是指两个或两个以上。“和/或”，描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。字符“/”一般表示前后关联对象是一种“或”的关系。

目前，终端在对恶意文件信息、威胁情报等文件的收集，大部分源于埋点和回传的方式。通常在文件执行时，终端通过埋点将文件的关键数据保存到埋点中，在连接网络时将埋点中的重要信息进行回传。埋点的作用是保存执行的文件的关键数据。该关键数据包括用户标识、设备标识、文件执行的时间戳、当前的位置、环境、场景、该文件执行时产生的页面详情等信息。

相关技术中，只能通过埋点存储文件的关键数据。因此，在回传时，也只能回传文件的关键数据，并不能回传文件本身。如果需要获取文件本身，无法简单地通过埋点实现，需要开发人员再人工获取，而恶意文件等文件可能会在执行后自动删除，导致文件的获取难度较大，获取效率较低。

而本申请实施例中，在检测到目标文件的文件类型为目标类型时，能够基于该目标文件的文件路径，获取将目标文件的文件内容，将该文件内容存储在埋点路径下的目标文件夹中，从而在对文件进行回传时，能够读取该文件的文件内容，将该文件内容回传给服务器，这样通过埋点回传能够将目标文件的文件内容直接上报给服务器，从而无需人工再对目标文件进行拷贝，降低了目标文件的获取难度，提高了目标文件的获取效率。

请参考图1，其示出了本申请一个示例性实施例示出的文件捕获方法的流程图。本申请实施例中的执行主体可以为终端，也可以为终端中的处理器或终端中的操作系统，本实施例以执行主体为终端为例进行说明。在本申请实施例中，为例进行说明。该方法包括：

步骤101：终端对目标文件的文件类型进行检测。

其中，该目标文件为正在执行的进程对应的文件。本步骤中，终端确定该目标文件对应的进程；若该进程为未被授权的进程，确定该目标文件的文件类型为目标类型。例如，终端对终端的内核关键函数执行的进程进行卡点检测。例如，对终端中执行的execve文件进行检测。若终端检测到该进程修改了用户身份证明(User Identification，UID)，或者，该进程执行时不具备执行的权限，则终端确定该进行为未被授权的进程，将该进程对应的目标文件的文件类型确定为目标类型，执行步骤102。若该进程为被授权的进程，则终端不对该进程进行埋点，或者，在埋点时只存储该进程的关键数据。

在本实现方式中，终端在通过埋点存储数据之前，先检测目标文件的类型，将目标类型的目标文件的文件内容存储到埋点中，而对于非目标类型的文件，通过一般的埋点方式进行存储，从而防止埋点存储的数据过多，造成资源浪费。

步骤102：若该目标文件的文件类型为目标类型，终端获取该目标文件的文件路径。

在本步骤中，终端拦截该目标文件，获取该目标文件的文件路径。在一些实施例中，终端通过拦截目标文件，读取目标文件的头文件，从头文件中解析出该目标文件的文件路径。

步骤103：终端获取用于临时存储待上报文件内容的埋点的埋点路径。

该埋点路径为用户临时存储待上报文件的文件内容的文件夹的路径。

在一些实施例中，终端预先设置埋点的埋点路径，在本步骤中，终端直接获取预先设置的埋点的埋点路径。在一些实施例中，终端在确定目标文件的文件类型为目标类型后，生成用于临时存储该目标文件的文件内容的埋点，获取该埋点的埋点路径。

需要说明的是，终端确定该目标文件后，对该目标文件进行检测，若该目标文件为未存储过的文件，基于该埋点路径生成新的文件夹，将该新的文件夹的问价名称添加到该埋点路径中。若该目标文件为已存储过的文件，将该已存储的文件的文件夹所在的埋点目录确定为用于临时存储待上报文件内容的埋点的埋点路径，以便存储文件内容时，将之前存储的文件内容覆盖。

在本实现方式中，终端以覆盖的方式将已经存储过的目标文件的文件内容存储在埋点中，防止目标文件的文件内容多次存储造成浪费存储资源。

需要说明的一点是，终端可以先获取目标文件的文件路径再获取埋点路径；终端还可以先获取埋点路径再获取目标文件的文件路径；终端还可以同时获取该目标文件的文件路径再获取该埋点路径。也即，终端显执行步骤102再执行步骤103，或者，终端先执行步骤103再执行步骤102，或者，终端同时执行步骤102和步骤103。在本申请实施例中，对步骤102和步骤103的执行顺序不作具体限定。另外，该埋点路径可以为预先设置的路径，在步骤103中，终端获取预先设置的路径。

步骤104：终端基于该文件路径，读取该目标文件的文件内容。

终端通过任一方式读取目标文件的文件内容。例如，在本申请实施例中，终端通过vfs_read/vfs_write的方式读取目标文件的文件内容。

步骤105：终端基于该埋点路径，将读取到的文件内容，存储至该埋点路径对应的目标文件夹中。

在本步骤中，终端将读取到的文件内容存储至该埋点路径对应的目标文件夹中。在一些实施例中，终端直接将读取到的文件内容存储到目标文件夹中。在一些实施例中，终端将该文件内容转换为二进制，将转换得到的二进制文件存储至目标文件夹中。参见图2，该过程通过以下步骤(A1)-(A3)实现，包括：

(A1)终端将该文件内容，转换为二进制数据。

在本步骤中，终端通过vfs_read/vfs_write将文件内容转换成二进制数据。

(A2)终端基于该埋点路径，启动该埋点路径对应的目标文件夹。

在本步骤中，终端基于该埋点路径，确定该二进制文件对应的目标文件夹。例如，该目标文件夹为新文件夹exec_tmp，将该二进制文件存储值文件夹exec_tmp中。

(A3)终端将该二进制数据存储到该目标文件夹中。

在本实现方式中，终端将读取到的文件内容以二进制的形式存储至目标文件夹中，实现捕获目标文件，并且，以二进制的形式存储，减少了文件占用的存储空间。

终端在存储该目标文件时，需要对该目标文件进行检测，确定该目标文件是否满足存储条件，若该文件内容满足该存储条件，终端才基于该埋点路径，将读取到的文件内容，存储至该埋点路径对应的目标文件夹中。

其中，该存储条件包括文件内容是否重复。相应的，终端对该文件内容进行重复校验；若该埋点路径下不存在与该文件内容重复的其他文件内容，确定该文件内容满足该样本存储条件。

其中，终端通过该文件内容的哈希值确定该文件内容是否与已存储的文件内容重复。相应的，终端确定该文件内容的第一哈希值；以及，获取该埋点路径中已存储的其他文件的文件内容的至少一个第二哈希值；若至少一个该第二哈希值中不存在与该第一哈希值匹配的第二哈希值，确定该埋点路径下不存在与该文件内容重复的其他文件内容。其中，终端通过任一哈希值算法确定该文件内容的第一哈希值和其他文件的文件内容的至少一个第二哈希值。例如，该哈希算法为SHA256算法等。

并且，终端在存储该目标文件时，还可以对该文件内容进行压缩。在一些实施例中，终端对所有的文件内容使用相同的压缩方式进行压缩。在一些实施例中，终端对不同文件体积的文件内容采用不同的压缩方式进行压缩。相应的，参见图3，该过程通过以下步骤(B1)-(B3)实现，包括：

(B1)终端确定文件内容的文件体积。

(B2)若该文件体积小于第一预设体积，终端对该文件内容进行压缩，将压缩后的文件内容存储在该埋点路径对应的目标文件夹中。

其中，该第一预设提示根据需要进行设置，在本申请实施例中，对该第一预设体积不作具体限定。例如，该第一预设体积为1MB、2MB等。

本步骤中，终端采用任一压缩方式对该文件内容进行压缩，例如，终端采用GZIP压缩算法对该文件内容进行压缩。

(B3)若该文件体积不小于该第一预设体积，终端提取该文件内容中的目标数据，对该目标数据进行压缩，将压缩后的目标数据存储在该埋点路径对应的目标文件夹中。

该目标数据为该文件内容中主要函数的数据。例如，终端通过strings操作，得到函数输入表、输出表，将该输入表和输出表确定为目标数据。

本步骤中，终端对提取到的目标数据进行压缩，其中，终端对目标数据进行压缩的方式与步骤(B2)中，终端对文件内容进行压缩的方式相同或者不同，在本申请实施例中，对此不作具体限定。

在本实现方式中，终端基于文件内容的大小，采用不同的方式对文件内容进行压缩，减小了文件存储所占的资源。

另外，若该文件体积不小于该第一预设体积，在该将压缩后的目标数据存储在该目标文件夹中之前，终端还确定压缩后的文件的文件体积，将压缩后的文件体积小于第二预设体积的目标数据存储至目标文件夹中，该过程为：终端确定压缩后的文件内容的文件体积；若该压缩后的文件内容的文件体积小于第二预设体积，执行该将压缩后的目标数据存储在该目标文件夹中的步骤。若该压缩后的文件内容的文件体积不小于第二预设体积，终端舍弃该目标文件的文件内容，重新对目标类型的其他目标文件进行截获。

其中，该第二预设体积根据需要进行设置，在本申请实施例中，对该第二预设体积不作具体限定。例如，该第二预设体积为5M、6M或8M等。

需要说明的一点是，在终端确定文件内容的文件体积之前终端还可以对埋点目录的大小进行确定。若埋点目录的目录体积小于第三预设体积，终端执行确定文件内容的文件体积的步骤，若埋点目录的目录体积不小于第三预设体积，终端舍弃该目标文件。其中，该第三预设体积根据需要进行设置，在本申请实施例中，对该第三预设体积不作具体限定。例如，该第三预设体积为20M、25M或30M等。

在本实现方式中，通过确定埋点目录的目录体积，避免恶意文件大量调用时，埋点会无限制消耗内存，从而减小埋点占用的内存。

终端在存储该目标文件时，需要对该木笔文件进行编码，将编码后的文件存储至目标文件中。该过程为：终端对该压缩后的文件内容进行可逆编码，得到编码文件；将该编码文件存储到该目标文件夹中

其中，终端通过任一编码算法对该文件内容进行编码。例如，该编码算法为base64编码算法。参见图4，图4为根据一示例性实施例示出的编码后的文件内容。在本实现方式中，终端对文件内容进行编码再存储，能够减少存储该文件占用的内存资源，防止终端内存被恶意消耗。

在一些实施例中，终端在存储该目标文件之前，还对该目标文件对应的事件类型进行区分，将指定事件类型对应的目标文件进行存储，其他事件对应的目标文件删除。例如，该指定时间类型为exec事件类型。

步骤106：响应于文件回传操作，终端从该埋点路径对应的目标文件夹中读取该文件内容，将该文件内容上报给服务器。

在本步骤中，终端每存储一个目标文件，就将该目标文件回传给服务器。终端还可以基于该目标文件生成回传日志，周期性向服务器回传该回传日志中的内容。其中，回传周期根据需要进行设置，在本申请实施例中，对该回传周期不作具体限定。例如，该回传周期为1天、1周等。

需要说明的一点是，终端在向服务器回传目标文件之前，需要获取用户的回传授权。相应的，终端生成回传确认消息，展示该回传确认消息，若接收到基于该回传确定消息的授权操作，确定获取到用户的回传授权。例如，该回传确认消息为“是否上报问题”，该确认消息中还包括确认按钮，若该确认按钮被触发，确定接收到该回传确定消息的收取前操作。

其中，终端可以在每次回传之前都获取用户的回传授权。终端还可以在第一次回传时，获取一次回传授权，之后默认获取到了用户的回传授权。在本申请实施例中，对此不作具体限定。

需要说明的另一点是，参见图5，在本申请实施例中，终端通过其操作系统(Kernel进程)执行步骤101-105，在本步骤中，终端通过将截获到的目标文件传输至终端的Native进程，通过Native进程存储该目标文件以及回传该目标文件。其中，终端的Kernel进程与Native进程通过端点(socket)进行数据交互。

其中，请继续参见图5，终端通过Kernel进程拦截目标文件，获取目标文件的文件路径，基于埋点路径打开目标文件夹，对目标文件的文件内容进行复制，将复制的内容输入至目标文件夹中。终端在通过Kernel进程向Native进程发送目标文件时，可以不发送目标文件的内容，而是基于目标文件的内容生成第一哈希值，将该第一哈希值发送给Native进程。相应的，终端通过Kernel进程确定该目标文件的文件内容的第一哈希值，将该第一哈希值发送给Native进程。

终端的Native进程接收该第一哈希值，基于该第一哈希值确定该目标文件，对该目标文件所在的埋点路径的大小，若小于第三预设体积，获取该目标文件的文件体积，基于该文件内容的文件体积对该目标问价内进行压缩，对压缩后的文件进行编码，将编码后的文件存储至埋点中。

本申请实施例中，在检测到目标文件的文件类型为目标类型时，能够基于该目标文件的文件路径，获取将目标文件的文件内容，将该文件内容存储在埋点路径下的目标文件夹中，从而在对文件进行回传时，能够读取该文件的文件内容，将该文件内容回传给服务器，这样通过埋点回传能够将目标文件的文件内容直接上报给服务器，从而无需人工再对目标文件进行拷贝，降低了目标文件的获取难度，提高了目标文件的获取效率。

请参考图6，其示出了本申请一个实施例提供的文件捕获装置的结构框图。该文件捕获装置可以通过软件、硬件或者两者的结合实现成为处理器的全部或一部分。该装置包括：

获取模块601，用于对目标文件的文件类型进行检测，若该目标文件的文件类型为目标类型，获取该目标文件的文件路径，该目标文件为正在执行的进程对应的文件；以及，获取用于临时存储待上报文件内容的埋点的埋点路径；

读取模块602，用于基于该文件路径，读取该目标文件的文件内容；

存储模块603，用于基于该埋点路径，将读取到的文件内容，存储至该埋点路径对应的目标文件夹中；

回传模块604，用于响应于文件回传操作，从该埋点路径对应的目标文件夹中读取该文件内容，将该文件内容上报给服务器。

在一些实施例中，该装置还包括：

第一确定模块，用于确定该文件内容是否满足存储条件；

该存储模块603，还用于若该文件内容满足该存储条件，基于该埋点路径，将读取到的文件内容，存储至该埋点路径对应的目标文件夹中。

在一些实施例中，该第一确定模块，包括：

校验单元，用于对该文件内容进行重复校验；

第一确定单元，用于若该埋点路径下不存在与该文件内容重复的其他文件内容，确定该文件内容满足该样本存储条件。

在一些实施例中，该校验单元，用于确定该文件内容的第一哈希值；以及，获取该埋点路径中已存储的其他文件的文件内容的至少一个第二哈希值；若至少一个该第二哈希值中不存在与该第一哈希值匹配的第二哈希值，确定该埋点路径下不存在与该文件内容重复的其他文件内容。

在一些实施例中，该存储模块603，包括：

第二确定单元，用于确定文件内容的文件体积；

第一压缩单元，用于若该文件体积小于第一预设体积，对该文件内容进行压缩，将压缩后的文件内容存储在该埋点路径对应的目标文件夹中；

第二压缩单元，用于若该文件体积不小于该第一预设体积，提取该文件内容中的目标数据，对该目标数据进行压缩，将压缩后的目标数据存储在该埋点路径对应的目标文件夹中。

在一些实施例中，该存储模块603，包括：

编码单元，用于对该压缩后的文件内容进行可逆编码，得到编码文件；

存储单元，用于将该编码文件存储到该目标文件夹中。

在一些实施例中，该装置还包括：

第二确定模块，用于确定压缩后的文件内容的文件体积；

该存储模块603，还用于若该压缩后的文件内容的文件体积小于第二预设体积，将压缩后的目标数据存储在该埋点路径对应的目标文件夹中。

在一些实施例中，该读取模块602，包括：

转换单元，用于将该文件内容，转换为二进制数据；

启动单元，用于基于该埋点路径，启动该埋点路径对应的目标文件夹；

该存储单元，用于将该二进制数据存储到该目标文件夹中。

在一些实施例中，该装置还包括：

第三确定模块，用于确定该目标文件对应的进程；

第四确定模块，用于若该进程为未被授权的进程，确定该目标文件的文件类型为目标类型。

本申请实施例中，在检测到目标文件的文件类型为目标类型时，能够基于该目标文件的文件路径，获取将目标文件的文件内容，将该文件内容存储在埋点路径下的目标文件夹中，从而在对文件进行回传时，能够读取该文件的文件内容，将该文件内容回传给服务器，这样通过埋点回传能够将目标文件的文件内容直接上报给服务器，从而无需人工再对目标文件进行拷贝，降低了目标文件的获取难度，提高了目标文件的获取效率。

请参考图7，其示出了本申请一个示例性实施例提供的终端700的结构方框图。终端700可以是电脑、智能手机、平板电脑、可穿戴设备等能够执行目标文件的终端。本申请中的终端700可以包括一个或多个如下部件：处理器710、存储器720。

处理器710可以包括一个或者多个处理核心。处理器710利用各种接口和线路连接整个终端700内的各个部分，通过运行或执行存储在存储器720内的指令、程序代码、代码集或指令集，以及调用存储在存储器720内的数据，执行终端700的各种功能和处理数据。可选地，处理器710可以采用数字信号处理(Digital Signal Processing，DSP)、现场可编程门阵列(Field－Programmable Gate Array，FPGA)、可编程逻辑阵列(Programmable LogicArray，PLA)中的至少一种硬件形式来实现。处理器710可集成中央处理器(CentralProcessing Unit，CPU)、图像处理器(Graphics Processing Unit，GPU)、神经网络处理器(Neural-network Processing Unit，NPU)和调制解调器等中的一种或几种的组合。其中，CPU主要处理操作系统、用户界面和应用程序等；GPU用于负责显示屏所需要显示的内容的渲染和绘制；NPU用于实现人工智能(Artificial Intelligence，AI)功能；调制解调器用于处理无线通信。可以理解的是，上述调制解调器也可以不集成到处理器710中，单独通过一块芯片进行实现。

存储器720可以包括随机存储器(Random Access Memory，RAM)，也可以包括只读存储器(Read-Only Memory)。可选地，该存储器720包括非瞬时性计算机可读介质(non-transitory computer-readable storage medium)。存储器720可用于存储指令、程序代码、代码、代码集或指令集。存储器720可包括存储程序区和存储数据区，其中，存储程序区可存储用于实现操作系统的程序代码、用于至少一个功能的程序代码(比如触控功能、声音播放功能、图像播放功能等)、用于实现下述各个方法实施例的程序代码等；存储数据区可存储根据终端700的使用所创建的数据(比如音频数据、电话本)等。

该终端还包括显示屏，显示屏是用于显示用户界面的显示组件。可选的，该显示屏为具有触控功能的显示屏，通过触控功能，用户可以使用手指、触摸笔等任何适合的物体在显示屏上进行触控操作。

显示屏通常设置在终端的前面板。显示屏可被设计成为全面屏、曲面屏、异型屏、双面屏或折叠屏。显示屏还可被设计成为全面屏与曲面屏的结合，异型屏与曲面屏的结合等，本实施例对此不加以限定。

除此之外，本领域技术人员可以理解，上述附图所示出的终端700的结构并不构成对终端700的限定，终端700可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件布置。比如，终端700中还包括麦克风、扬声器、射频电路、输入单元、传感器、音频电路、无线保真(Wireless Fidelity，Wi-Fi)模块、电源、蓝牙模块等部件，在此不再赘述。

本申请实施例还提供了一种计算机可读介质，该计算机可读介质存储有至少一条程序代码，该至少一条程序代码由该处理器加载并执行以实现如上各个实施例示出的文件捕获方法。

本申请实施例还提供了一种计算机程序产品，该计算机程序产品存储有至少一条程序代码，该至少一条程序代码由该处理器加载并执行以实现如上各个实施例示出的文件捕获方法。

本领域技术人员应该可以意识到，在上述一个或多个示例中，本申请实施例所描述的功能可以用硬件、软件、固件或它们的任意组合来实现。当使用软件实现时，可以将这些功能存储在计算机可读介质中或者作为计算机可读介质上的一个或多个程序代码进行传输。计算机可读介质包括计算机存储介质和通信介质，其中通信介质包括便于从一个地方向另一个地方传送计算机程序的任何介质。存储介质可以是通用或专用计算机能够存取的任何可用介质。

以上所述仅为本申请的可选实施例，并不用以限制本申请，凡在本申请的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本申请的保护范围之内。

Claims (12)

1.一种文件捕获方法，其特征在于，所述方法包括：

对目标文件的文件类型进行检测，若所述目标文件的文件类型为目标类型，获取所述目标文件的文件路径，所述目标文件为正在执行的进程对应的文件；以及，获取用于临时存储待上报文件内容的埋点的埋点路径；

基于所述文件路径，读取所述目标文件的文件内容；

基于所述埋点路径，将读取到的文件内容，存储至所述埋点路径对应的目标文件夹中；

响应于文件回传操作，从所述埋点路径对应的目标文件夹中读取所述文件内容，将所述文件内容上报给服务器。

2.根据权利要求1所述的方法，其特征在于，所述基于所述埋点路径，将读取到的文件内容，存储至所述埋点路径对应的目标文件夹中之前，所述方法还包括：

确定所述文件内容是否满足存储条件；

若所述文件内容满足所述存储条件，执行所述基于所述埋点路径，将读取到的文件内容，存储至所述埋点路径对应的目标文件夹中的步骤。

3.根据权利要求2所述的方法，其特征在于，所述确定所述文件内容是否满足存储条件，包括：

对所述文件内容进行重复校验；

若所述埋点路径下不存在与所述文件内容重复的其他文件内容，确定所述文件内容满足所述样本存储条件。

4.根据权利要求3所述的方法，其特征在于，所述对所述文件内容进行重复校验，包括：

确定所述文件内容的第一哈希值；以及，获取所述埋点路径中已存储的其他文件的文件内容的至少一个第二哈希值；

若至少一个所述第二哈希值中不存在与所述第一哈希值匹配的第二哈希值，确定所述埋点路径下不存在与所述文件内容重复的其他文件内容。

5.根据权利要求1所述的方法，其特征在于，所述基于所述埋点路径，将读取到的文件内容，存储至所述埋点路径对应的目标文件夹中，包括：

确定文件内容的文件体积；

若所述文件体积小于第一预设体积，对所述文件内容进行压缩，将压缩后的文件内容存储在所述埋点路径对应的目标文件夹中；

若所述文件体积不小于所述第一预设体积，提取所述文件内容中的目标数据，对所述目标数据进行压缩，将压缩后的目标数据存储在所述埋点路径对应的目标文件夹中。

6.根据权利要求5所述的方法，其特征在于，所述将压缩后的文件内容存储在所述埋点路径对应的目标文件夹中，包括：

对所述压缩后的文件内容进行可逆编码，得到编码文件；

将所述编码文件存储到所述目标文件夹中。

7.根据权利要求5所述的方法，其特征在于，在所述将压缩后的目标数据存储在所述埋点路径对应的目标文件夹中之前，所述方法还包括：

确定压缩后的文件内容的文件体积；

若所述压缩后的文件内容的文件体积小于第二预设体积，执行所述将压缩后的目标数据存储在所述埋点路径对应的目标文件夹中的步骤。

8.根据权利要求1所述的方法，其特征在于，所述基于所述埋点路径，将读取到的文件内容，存储至所述埋点路径对应的目标文件夹中，包括：

将所述文件内容，转换为二进制数据；

基于所述埋点路径，启动所述埋点路径对应的目标文件夹；

将所述二进制数据存储到所述目标文件夹中。

9.根据权利要求1所述的方法，其特征在于，所述确定所述目标文件的文件类型是否为目标类型的过程包括：

确定所述目标文件对应的进程；

若所述进程为未被授权的进程，确定所述目标文件的文件类型为目标类型。

10.一种文件捕获装置，其特征在于，所述装置包括：

获取模块，用于对目标文件的文件类型进行检测，若所述目标文件的文件类型为目标类型，获取所述目标文件的文件路径，所述目标文件为正在执行的进程对应的文件；以及，获取用于临时存储待上报文件内容的埋点的埋点路径；

读取模块，用于基于所述文件路径，读取所述目标文件的文件内容；

存储模块，用于基于所述埋点路径，将读取到的文件内容，存储至所述埋点路径对应的目标文件夹中；

回传模块，用于响应于文件回传操作，从所述埋点路径对应的目标文件夹中读取所述文件内容，将所述文件内容上报给服务器。

11.一种终端，其特征在于，所述终端包括处理器和存储器；所述存储器存储有至少一条程序代码，所述至少一条程序代码用于被所述处理器执行以实现如权利要求1至9任一所述的文件捕获方法。

12.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有至少一条程序代码，所述至少一条程序代码用于被处理器执行以实现如权利要求1至9任一所述的文件捕获方法。

Images