CN113821796A

CN113821796A - 一种文件病毒查杀方法、装置及电子设备和存储介质

Info

Publication number: CN113821796A
Application number: CN202010558790.0A
Authority: CN
Inventors: 位凯志; 李强
Original assignee: Sangfor Technologies Co Ltd
Current assignee: Sangfor Technologies Co Ltd
Priority date: 2020-06-18
Filing date: 2020-06-18
Publication date: 2021-12-21

Abstract

本申请公开了一种文件病毒查杀方法、装置及电子设备和可读存储介质，该方法包括：获取到待检测文件后，判断待检测文件是否为使用断点续传的文件；若待检测文件为使用断点续传的文件，则获取待检测文件的下载链接；基于下载链接获取待检测文件对应的完整文件；获取针对完整文件进行病毒查杀后得到的目标查杀结果。本申请在需要对待检测文件进行病毒查杀时，将首先判断待检测文件是否为断点续传。如果是，则表征当前的待检测文件为部分文件，不直接对该文件进行病毒查杀，而是先获取待检测文件对应的完整文件，以便对完整文件进行病毒查杀，得到目标查杀结果，能够避免断点续传场景下对部分文件进行病毒查杀导致的误报率，提高了病毒查杀的准确率。

Description

一种文件病毒查杀方法、装置及电子设备和存储介质

技术领域

本申请涉及计算机技术领域，更具体地说，涉及一种文件病毒查杀方法、装置及一种电子设备和一种计算机可读存储介质。

背景技术

客户端软件断点续传是指在下载或上传时，将下载或上传任务，例如一个文件或一个压缩包人为地划分为几个部分，每一个部分采用一个线程进行上传或下载，如果碰到网络故障，可以从已经上传或下载的部分开始继续上传下载未完成的部分，而没有必要从头开始上传下载，从而可以节省用户时间，提高工作效率。

然而，病毒的查杀需要依赖整个文件。在多线程或断点续传的应用场景下，每个线程只是下载了部分的文件内容进行上传或下载，若将其送到杀毒引擎进行查杀，非完整的文件对杀毒引擎来说均为未知威胁样本，导致杀毒引擎不能准确识别，从而造成较高的误报率。

因此，如何解决上述问题是本领域技术人员需要重点关注的。

发明内容

本申请的目的在于提供一种文件病毒查杀方法、装置及一种电子设备和一种计算机可读存储介质，提高了病毒查杀的准确率。

为实现上述目的，本申请提供了一种文件病毒查杀方法，包括：

获取到待检测文件后，判断所述待检测文件是否为使用断点续传的文件；

若所述待检测文件为使用断点续传的文件，则获取所述待检测文件的下载链接；

基于所述下载链接获取所述待检测文件对应的完整文件；

获取针对所述完整文件进行病毒查杀后得到的目标查杀结果。

可选的，所述基于所述下载链接获取所述待检测文件对应的完整文件；获取针对所述完整文件进行病毒查杀后得到的目标查杀结果，包括：

将所述下载链接发送至云端服务器，以使云端服务器基于所述下载链接下载对应的完整文件；

利用所述云端服务器对所述完整文件进行病毒查杀，以接收所述云端服务器返回的目标查杀结果。

可选的，所述将所述下载链接发送至云端服务器，以使云端服务器基于所述下载链接下载对应的完整文件之后，还包括：

在样本库中查找是否存在所述完整文件对应的第一目标样本文件；

相应的，所述获取针对所述完整文件进行病毒查杀后得到的目标查杀结果，包括：

若所述样本库中存在所述第一目标样本文件，则获取所述样本库中存储的所述第一目标样本文件对应的第一病毒查杀结果，将所述第一病毒查杀结果作为所述完整文件的目标查杀结果。

可选的，所述在样本库中查找是否存在所述完整文件对应的第一目标样本文件之后，还包括：

若所述样本库中不存在所述第一目标样本文件，则在所述获取针对所述完整文件进行病毒查杀后得到的目标查杀结果之后，将所述目标查杀结果和所述完整文件存入所述样本库中。

可选的，所述判断所述待检测文件是否为使用断点续传的文件，包括：

获取所述待检测文件对应的下载/上传请求；

确定所述下载/上传请求中的目标字段；所述目标字段用于表示所述待检测文件的下载/上传范围；

基于所述目标字段判断所述待检测文件是否为使用断点续传的文件。

若所述完整文件下载失败，则获取所述完整文件对应的关键信息；

基于所述关键信息在样本库中查找是否存在对应的第二目标样本文件；

若所述样本库中存在所述第二目标样本文件，则获取所述第二目标样本文件对应的第二病毒查杀结果，将所述第二病毒查杀结果确定为所述完整文件的目标查杀结果。

可选的，所述获取所述完整文件对应的关键信息，包括：

获取所述完整文件在断点续传时的第一段文件；

确定所述第一段文件的哈希值和文件长度，将所述哈希值和文件长度作为所述完整文件对应的关键信息。

为实现上述目的，本申请提供了一种文件病毒查杀装置，包括：

判断模块，用于获取到待检测文件后，判断所述待检测文件是否为使用断点续传的文件；

获取模块，用于若所述待检测文件为使用断点续传的文件，则获取所述待检测文件的下载链接；

下载模块，用于基于所述下载链接获取所述待检测文件对应的完整文件；

查杀模块，用于获取针对所述完整文件进行病毒查杀后得到的目标查杀结果。

为实现上述目的，本申请提供了一种电子设备，包括：

存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序时实现前述公开的任一种文件病毒查杀方法的步骤。

为实现上述目的，本申请提供了一种计算机可读存储介质，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现前述公开的任一种文件病毒查杀方法的步骤。

通过以上方案可知，本申请提供的一种文件病毒查杀方法，包括：获取到待检测文件后，判断所述待检测文件是否为使用断点续传的文件；若所述待检测文件为使用断点续传的文件，则获取所述待检测文件的下载链接；基于所述下载链接获取所述待检测文件对应的完整文件；获取针对所述完整文件进行病毒查杀后得到的目标查杀结果。由上可知，本申请在需要对待检测文件进行病毒查杀时，将首先判断待检测文件是否为断点续传。如果是，则表征当前的待检测文件为部分文件，不直接对该文件进行病毒查杀，而是先获取待检测文件对应的完整文件，以便对完整文件进行病毒查杀，得到目标查杀结果，能够避免断点续传场景下对部分文件进行病毒查杀导致的误报率，提高了病毒查杀的准确率。

本申请还公开了一种文件病毒查杀装置及一种电子设备和一种计算机可读存储介质，同样能实现上述技术效果。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性的，并不能限制本申请。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本申请实施例公开的一种文件病毒查杀方法的流程图；

图2为本申请实施例公开的另一种文件病毒查杀方法的流程图；

图3为本申请实施例公开的一种文件病毒查杀装置的结构图；

图4为本申请实施例公开的一种电子设备的结构图；

图5为本申请实施例公开的另一种电子设备的结构图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

在多线程或断点续传的应用场景下，每个线程只是下载了部分的文件内容进行上传或下载，若将其送到杀毒引擎进行查杀，非完整的文件对杀毒引擎来说均为未知威胁样本，导致杀毒引擎不能准确识别，从而造成较高的误报率。

因此，本申请实施例公开了一种文件病毒查杀方法，能够避免断点续传场景下对部分文件进行病毒查杀导致的误报率，提高了病毒查杀的准确率。

参见图1所示，本申请实施例公开的一种文件病毒查杀方法包括：

S101：获取到待检测文件后，判断所述待检测文件是否为使用断点续传的文件；

本申请实施例中，在文件的上传/下载过程中，防火墙拦截到上传/下载的文件之后，将其作为待检测文件以对其进行病毒查杀。具体地，本实施例首先判断待检测文件是否为使用断点续传的文件，即判断当前待检测文件是否为完整的文件。

在具体实施中，判断待检测文件是否为使用断点续传的文件时，可以具体获取待检测文件对应的下载/上传请求，并确定下载/上传请求中用于表示待检测文件的下载/上传范围的目标字段，从而可基于目标字段判断待检测文件是否为使用断点续传的文件。上述目标字段可以具体为HTTP请求中的Range字段，Range字段表示文件的下载/上传范围，例如，Ranges:bytes＝4000-表示下载/上传的范围从4000字节开始到文件结束，Ranges:bytes＝0-N表示下载/上传的范围从0到第N个字节。

S102：若所述待检测文件为使用断点续传的文件，则获取所述待检测文件的下载链接；

若判断得到待检测文件为使用断点续传的文件，则表征待检测文件不是完整的文件，若直接对其进行病毒查杀，很可能会导致误报。由此，在本步骤中，首先需要获取待检测文件的下载链接URL。

需要指出的是，若待检测文件不是使用断点续传的文件，则表征待检测文件是完整的文件，可以直接对其进行病毒查杀，即可以直接利用本地杀毒引擎对待检测文件进行病毒查杀。

S103：基于所述下载链接获取所述待检测文件对应的完整文件；

可以理解的是，获取待检测文件的下载链接之后，可以基于该链接获取待检测文件对应的完整文件。在一种具体的实施方式中，可以由本地将下载链接发送至云端服务器，云端服务器即可基于该下载链接下载得到对应的完整文件。

S104：获取针对所述完整文件进行病毒查杀后得到的目标查杀结果。

本申请实施例中，在得到完整文件之后，即可对完整文件进行病毒查杀，得到对应的目标查杀结果。

作为一种可行的实施方式，本申请实施例可以在云端服务器下载得到完整文件后，将完整文件返回至本地，以利用本地引擎对完整文件进行病毒查杀，得到目标查杀结果。

作为另外一种可行的实施方式，为了进一步减少文件的传输，提高整体的工作效率，可以在云端服务器下载得到完整文件后，直接利用云端服务器对完整文件进行病毒查杀，以减少本地的工作量以及文件的传输工作，在云端服务器查杀得到目标查杀结果后，可将目标查杀结果返回至本地。

在一种优选的实施方式中，在将下载链接发送至云端服务器，以使云端服务器基于下载链接下载对应的完整文件之后，还可首先在样本库中查找是否存在与完整文件对应的第一目标样本文件，具体可以利用第一目标样本文件对应的关键信息，例如哈希值等信息进行样本文件的查找。若样本库中存在对应的第一目标样本文件，则不再对当前文件进行重复的病毒查杀，可以直接获取样本库中存储第一目标样本文件对应的第一病毒查杀结果，并将第一病毒查杀结果作为完整文件的目标查杀结果。若样本库中并不存在对应的第一目标样本文件，可以再对其进行病毒查杀。上述样本库具体保存有预先收集的各种文件以及对应的病毒查杀结果，其具体可以存储在本地，也可存储在云端。

可以理解的是，若在样本库中查找是否存在完整文件对应的第一目标样本文件之后，发现样本库中并不存在对应的第一目标样本文件，则可以在获取针对当前完整文件进行病毒查杀后得到的目标查杀结果之后，将目标查杀结果和完整文件存入样本库中，实现样本库的更新和扩充。

本申请实施例公开了另一种文件病毒查杀方法，相对于上一实施例，本实施例对技术方案作了进一步的说明和优化。参见图2所示，具体的：

S201：获取到待检测文件后，判断所述待检测文件是否为使用断点续传的文件；

S202：若所述待检测文件为使用断点续传的文件，则获取所述待检测文件的下载链接；

S203：基于所述下载链接获取所述待检测文件对应的完整文件；

S204：获取针对所述完整文件进行病毒查杀后得到的目标查杀结果；

S205：若所述完整文件下载失败，则获取所述完整文件对应的关键信息；

本申请实施例中，获取到待检测文件后，首先判断待检测文件是否为断点续传。如果是，则可下载待检测文件的完整文件并对其进行病毒查杀。若完整文件下载失败，可以进而获取完整文件对应的关键信息。

上述获取完整文件对应的关键信息的过程，可以具体包括：获取完整文件在断点续传时的第一段文件，即Range字段以0开头的HTTP请求对应的待传输文件。进而确定第一段文件的哈希值和文件长度，将哈希值和文件长度作为完整文件对应的关键信息。例如，Range字段值为0-100，则文件长度为100，将对应的哈希值和文件长度作为关键信息。

S206：基于所述关键信息在样本库中查找是否存在对应的第二目标样本文件；

本步骤中，若样本库存储于本地，可以直接基于上述关键信息在样本库中进行查找，判断是否存在对应的第二目标样本文件。若样本库存储于云端，则将上述关键信息发送至云端服务器，以使云端服务器在样本库中查找是否有对应的第二目标样本文件。

S207：若所述样本库中存在所述第二目标样本文件，则获取所述第二目标样本文件对应的第二病毒查杀结果，将所述第二病毒查杀结果确定为所述完整文件的目标查杀结果。

若样本库中存在第二目标样本文件，则可以获取样本库中存储的第二目标样本文件对应的第二病毒查杀结果，将第二病毒查杀结果确定为完整文件的目标查杀结果。

下面对本申请实施例提供的一种文件病毒查杀装置进行介绍，下文描述的一种文件病毒查杀装置与上文描述的一种文件病毒查杀方法可以相互参照。

参见图3所示，本申请实施例提供的一种文件病毒查杀装置包括：

判断模块301，用于获取到待检测文件后，判断所述待检测文件是否为使用断点续传的文件；

获取模块302，用于若所述待检测文件为使用断点续传的文件，则获取所述待检测文件的下载链接；

下载模块303，用于基于所述下载链接获取所述待检测文件对应的完整文件；

查杀模块304，用于获取针对所述完整文件进行病毒查杀后得到的目标查杀结果。

上述模块301至304的具体实施过程可参考前述实施例公开的相应内容，在此不再进行赘述。

本申请还提供了一种电子设备，参见图4所示，本申请实施例提供的一种电子设备包括：

存储器100，用于存储计算机程序；

处理器200，用于执行所述计算机程序时可以实现上述实施例所提供的步骤。

具体的，存储器100包括非易失性存储介质、内存储器。该非易失性存储介质存储有操作系统和计算机可读指令，该内存储器为非易失性存储介质中的操作系统和计算机可读指令的运行提供环境。处理器200在一些实施例中可以是一中央处理器(CentralProcessing Unit，CPU)、控制器、微控制器、微处理器或其他数据处理芯片，为电子设备提供计算和控制能力，执行所述存储器100中保存的计算机程序时，可以实现前述任一实施例公开的文件病毒查杀方法的步骤。

在上述实施例的基础上，作为优选实施方式，参见图5所示，所述电子设备还包括：

输入接口300，与处理器200相连，用于获取外部导入的计算机程序、参数和指令，经处理器200控制保存至存储器100中。该输入接口300可以与输入装置相连，接收用户手动输入的参数或指令。该输入装置可以是显示屏上覆盖的触摸层，也可以是终端外壳上设置的按键、轨迹球或触控板，也可以是键盘、触控板或鼠标等。

显示单元400，与处理器200相连，用于显示处理器200处理的数据以及用于显示可视化的用户界面。该显示单元400可以为LED显示器、液晶显示器、触控式液晶显示器以及OLED(Organic Light-Emitting Diode，有机发光二极管)触摸器等。

网络端口500，与处理器200相连，用于与外部各终端设备进行通信连接。该通信连接所采用的通信技术可以为有线通信技术或无线通信技术，如移动高清链接技术(MHL)、通用串行总线(USB)、高清多媒体接口(HDMI)、无线保真技术(WiFi)、蓝牙通信技术、低功耗蓝牙通信技术、基于IEEE802.11s的通信技术等。

图5仅示出了具有组件100-500的电子设备，本领域技术人员可以理解的是，图5示出的结构并不构成对电子设备的限定，可以包括比图示更少或者更多的部件，或者组合某些部件，或者不同的部件布置。

本申请还提供了一种计算机可读存储介质，该存储介质可以包括：U盘、移动硬盘、只读存储器(Read-Only Memory，ROM)、随机存取存储器(Random Access Memory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。该存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现前述任一实施例公开的文件病毒查杀方法的步骤。

本申请在需要对待检测文件进行病毒查杀时，将首先判断待检测文件是否为断点续传。如果是，则表征当前的待检测文件为部分文件，不直接对该文件进行病毒查杀，而是先获取待检测文件对应的完整文件，以便对完整文件进行病毒查杀，得到目标查杀结果，能够避免断点续传场景下对部分文件进行病毒查杀导致的误报率，提高了病毒查杀的准确率。

说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例公开的系统而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。应当指出，对于本技术领域的普通技术人员来说，在不脱离本申请原理的前提下，还可以对本申请进行若干改进和修饰，这些改进和修饰也落入本申请权利要求的保护范围内。

还需要说明的是，在本说明书中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

Claims

1.一种文件病毒查杀方法，其特征在于，包括：

基于所述下载链接获取所述待检测文件对应的完整文件；

2.根据权利要求1所述的文件病毒查杀方法，其特征在于，所述基于所述下载链接获取所述待检测文件对应的完整文件；获取针对所述完整文件进行病毒查杀后得到的目标查杀结果，包括：

3.根据权利要求2所述的文件病毒查杀方法，其特征在于，所述将所述下载链接发送至云端服务器，以使云端服务器基于所述下载链接下载对应的完整文件之后，还包括：

4.根据权利要求3所述的文件病毒查杀方法，其特征在于，所述在样本库中查找是否存在所述完整文件对应的第一目标样本文件之后，还包括：

5.根据权利要求2所述的文件病毒查杀方法，其特征在于，所述判断所述待检测文件是否为使用断点续传的文件，包括：

获取所述待检测文件对应的下载/上传请求；

6.根据权利要求2至5任一项所述的文件病毒查杀方法，其特征在于，所述将所述下载链接发送至云端服务器，以使云端服务器基于所述下载链接下载对应的完整文件之后，还包括：

7.根据权利要求6所述的文件病毒查杀方法，其特征在于，所述获取所述完整文件对应的关键信息，包括：

获取所述完整文件在断点续传时的第一段文件；

8.一种文件病毒查杀装置，其特征在于，包括：

9.一种电子设备，其特征在于，包括：

存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序时实现如权利要求1至7任一项所述文件病毒查杀方法的步骤。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1至7任一项所述文件病毒查杀方法的步骤。