TW200825836A

TW200825836A - Improvements in resisting the spread of unwanted code and data

Info

Publication number: TW200825836A
Application number: TW096142679A
Authority: TW
Inventors: Samuel Harrison Hutton; Goddard Trevor
Original assignee: Glasswall Ip Ltd
Priority date: 2006-12-04
Filing date: 2007-11-12
Publication date: 2008-06-16
Also published as: JP5628455B2; US20130326624A1; JP2010511951A; MY149569A; GB0624224D0; CN101611412A; TW201525746A; US9038174B2; AU2007330580B2; CA2671804C; AU2007330580A1; TWI534650B; US20150269382A1; CA2671804A1; JP2012230704A; CN101611412B; JP2014194822A; US20100154063A1; EP2089829A2; GB2444514A

Description

200825836 九、發明說明：【發明所屬之技術領域】 —本發明係有關於電腦系統以及用於防止不想要的碼和貝料傳播散佈系統之操作方法。本發明特別有關於改善申月多考文件GB專利申請第051 1 7494號中所說明的系统與方法。、 L先前技術】在匕去十年中’電腦系統漸漸的受到不想要的碼的攻擊截至目則為止所遭遇最嚴重的不想要的碼的攻擊為電腦病毒。電腦病毒（如同复 _ ，、生物子上的名稱）可以感染機益’並且藉由對電子郵件 ^ 丨仵糸統的資源下指令而將帶有病毒的電子郵件從病毒所在的電傳通訊錄中的其他電腦而感染其他機器。其中所斤/良費的頻寬對使用者來說是件惱、事清。另外，許多病毒會么行一此不相要的叙I 玲在母口病毒所在的電腦上執 '^要的動作，例如清除電腦令的權案。病毒及其他惡意的# 其可能會隱藏為部分的電：不同的附加檔案，然時無法將其拆離並且會執::;牛广得接收者於接收病毒子處理盗、斌异表以及資料庫又語言，以允許文件/檔案包括了^括強有力的巨指令腳本病毒者可使用這樣的腳本語:某些操作的腳本。撰寫有附加文件/槽案的電子郵件;4撰帶寫巨指令病毒，使得具彳午了挾帶隱藏的病羞。不想要的碼並不單單只包括包含隱藏惡意刺探 3044-9246-PF/Ahddub 5 200825836 軟體（spyware)的免費程式可隱藏地安裝於使用者電腦，並且將所瀏覽的網站或是其他異動回報至遠端電腦。某些惡思刺楝軟體將會企圖使數據機重複的撥打高費率電話，而惡意刺探軟體的撰寫者便可從中取得來自電信運營商 (telecom operator)的利潤。其他類型有害的程式碼包括有毒軟體、蟲以及破解密碼。病毒是從一電腦自我傳輸至其他電腦，其他類型之不想要的碼係藉由濫發（S p a m)電子郵件而隱藏地發佈至光碟或是非故意的從所瀏覽的網站下載而發佈。所有這種類型之不想要的碼存在或真實目的通常隱藏於目標擁有者與電腦使用者中。儘管某些類型之不想要的碼相對無害，而其他類型之不想要的碼可能可以消滅有價值的商務資料，因此產生了提供防毒軟體的公司。

^目前已知的防毒軟體係由程式所構成，並且可執行於待保護的電腦。這樣的程式通常操作於監控模式，並於每，存取檔案時檢查即將存取之棺案中的病毒；或可操作於知r田模式，在掃⑽模式巾，所有特定位置中（例播f皆會被掃i防毒程式供應者係監控病毒的爆發、，= 新的病毒時，防毒程式會伴隨著分析病毒並且電腦可取得該資料，並且會將該資料上傳 = 的網站以供下載。々t担式么司藉由各種不同的方式部分病毒的特徵程式碼串皆可以偵測到病毒。所儲存形成列以及掃瞄該串列出現與否的輸 3044-9246^PF;Ahddub 200825836 檔案可作為病毒的特性，，$ b ,, 指定特徵可偵測病主^ 疋指紋”。另外，藉由闲㈧病t,並且可藉來偵測病毒特性的預定操作。曰解析來源碼或腳本檔案不幸的，病毒如同其生物學要對程式碼猶作改變(取代大：“容易被改變’只性。藉由任意方法可將用來伯測病二):可改變病毒的特大，且防毒# ^ # 、…f的 > 料槽案變成無限 π母私式所花費的時間的成長而增加。_ 思耆必須檢查特性或規則曰刀 4在病毒掃瞄模式φ Α π、、丄在監柝掇△处& 、式中南可以被接受，然而牡孤控挺式中會持續增加外，合m w ^案所需要的等待時間。另田下載罝變大並且更常需要執承受1 τ # 下載時，使用者必須又…、去下載必要的更新並將因的）疝主峑斗士 1 …、去對最新的（最危險的）病毋產生有效的防護的風險。因此，本發明係透過全麸裎气踩^ ^ 、、'冋的方式來防護不想要的六次把恭捉仏種接收包含預定資料格式内谷貝科之電子檔案的方法，該 w 7 忐包括下列步驟··藉由接收電子樓案、判斷資料格式奸人. 貝1^式以及解析内容資料來判定是否付0預疋資料袼式，若内容資合貝枓付合預定資料袼式，則再生解析的資料而產生該資料格式的再生電子權案。本發明亦提供具有這種程式的電腦系統、程式以及媒费t 〇本發明實施例係分析每個接收槽案並接著根據接收槽案重建-替代檔案。由於受保護的電腦尚無法直接儲存或存取原始擋案，因此不會直接危害電腦。例如，可將其儲存為無法被執行的位元反置形式或其他型式。另一方面， 3044-924 5-PF;Ahddub 7 200825836 • 使用只產生清除碼與資料的產生器常式將可產生替代檔案。因此可以產生符合接收檔案中任何碼之不想要的碼。本發明關於電腦檔案的某些部分係取決於與電腦檔案中長久以來被視為事實相關之新的應用程式。輸入電腦的大量檔案現今為標準的檔案格式。私有軟體（pr〇prietary program)係建立自己的檔案格式（這些程式使用的資料必須符合這些格式），然其足以提供對不同私有軟體之間資料交換的需求，首先，私有軟體通常具有輸入濾波器來讀取 ( 被其他私有軟體寫入的資料，第二，存在與任何私有軟體不相關的許多袼式。這種同屬格式的例子為ASCn文字、豐富文字格式（rich text f0rmat，RTF)、超文本標記語言 (Hyper Text Markup Language, HTML)以及擴展標記語言 (eXtendible Markup Language， XML)。因此，若檔案中的資料即將被任何應用程式讀取，則必須精確地符合硬性標準（rigid standard)，且不同檔案 (所使用的格式係廣泛的被瞭解。本發明的發明者瞭解，即使允許檔案使用廣泛變異的格式，大部分的檔案包含符合某些相對有限實體限制的資料。例如，大部分的作業系2 與應用程式將會接受較長標題的檔案，但大部分的使用者在大部分的時候係使用較短且易於辨識的檔案名稱。因此，本發明實施例所執行的分析可包括偵測資料是否符合用於違反實際限制之指定檔案類型的規格。這些實際的限制致能本發明來偵測一般可接受的檔案。任何不對應至此類型之實際限制之檔案内容不會被遞送至產生器程 3044-9246-PF；Ahddub 8 200825836 式，並因而無法以可執行形式到達使用者電腦。因此可以看見本發明實施例藉由不同的方法來操作傳’充防毋％式。傳統防毒程式係用來偵測病毒，並且略過未被侦測為病毒的任何資料。因&，傳統防毒程式總是益法避免使用者遭受較大的危害，也就是未知的病毒。在防毒公司注意到所發射的每個新病毒之前，這些新病毒必定已經感染數台電腦。另外’即使已安裝了防毒軟體並且持有最新組已谓測資料，在防毒軟㈣測到病毒之前，病毒通常會健存於已防護電腦的硬碟或其他媒體中。若基於某些原因使得防毒軟體無法執行，則病毒會被啟動。在美國專利公開第2003/0145213號中係揭露一系統’在該系統的檔案中偵測到巨指令或是惡意㉟，接下來將檔案重建為樣版，並域樣版中移除非惡意豸，未受感染版本的播案。 ’、藉由完全對比的方式使得本發明不需要或是甚至拒絕類病毒的特性。反之，其可以完全拒絕= 的輸入播案並取代其位置’該位置可能產生無法望碼與資料的檔案。因而可避免不期望碼與資料 j 的形式到達受防護電腦的硬碟，也無法從一電腦傳遞至： -電腦。另外，本發明係提供對未知病毒的即時防護，其不必維持所有已知病毒的最新資料庫。使在此提到美國專利公開第2003/22981 0號，f + 丹干揭靈避免病毒之光學防火牆的提案。在說明書中揭纷糸統， 9 3044-9246-PF;Ahddub 200825836 , 系統中的防火牆電腦接收一檔案（例如影像檔案），並且將影像顯示於防火牆電腦的顯示器。光學感測陣列掃瞄影像，接下來將已掃瞄的影像提供至指定收件者。任何隱藏於影像中的病毒不會顯示，並且因而不會傳送至已掃瞄的影像中。在變異中可使用螢幕的位元映像（bitmap)來取代實際的螢幕顯示。基於各種理由，上述美國專利所揭露的光學耦合器防火牆無法提供對病毒有效且可信賴的防護。、例如，使用光學字元辨識（optical charactei· π⑶gnition，0CR)軟體再生可提供不精確的資訊。另外，使用視訊科技來再生影像可提供比指定更低品質的影像。同樣的，若輸入檀案包含病毒，則接收輸入槽案的電腦將會受到感染。一另一方面，藉由分析以及再生檔案來取代執行檔案、顯不播案以及光學的掃瞒檔案，本發明實施例可提供替代；檔案，大部分例子中的替代檔案很接近模擬的原始檔案(若不具有不期望碼），使得產生替代檔案透明化。檔案格式在複雜度上有所變化。一方面，文字檔案具 =易格式。包含腳本或巨指令例如文字處理或試二紙標案）的杬案具有甲等複雜度，反 *另稭田碼剖析态才能完 :^碼的檔案。根據本發明實施例，這樣來將所有巨指令以及腳本從播案中移除，並且不曰傳遞包含單㈣式、碼、巨指令或是腳本的任何檀案。句頁瞭解的是，有些時候使用者可能會想要接收這樣 3〇44-9246-pF；Ahddub 1〇 200825836 的檔案。因此，在本發明較佳實施例中可沿著用來過濾檔案來源的濾波器操作，以便從某些來源傳遞檔案（或是某些類型的檔案），並且拒絕來自其他電腦中這樣的檔案。因此，本發明實施例可封鎖使用者接收中的碼，平㈣波器僅允許接收來自已知來源中這案。因此，使用者可接收可能會被發明所拒絕之例如來自系統管理員或是已認證網站的檔案。本發明係藉由辨識使用者想接收碼的這些來源來封鎖不想要的碼。辨識使由於本發明可藉由偵測與播案標準的符合度以及一妒使用免的特徵而不是藉由偵測病毒來操作，因此不需要頻又繁的進行更新，只右尤挪、、隹μ# 、有在‘準增盈普及接收度有重大改變或疋使用者特性有實質改微士毒更新的速度相比，、上^= 行更新’與分散式防上述兩者皆為較慢的處理程序。【發明内容】本發明係揭露_籍_ 田+ 部分内容資料並判斷=理f法’藉由辨識電子播案中的 _被動内容資料或是：固二内谷資料皆為具有固定處理電子權案。若部分:被f主動内容資料來重新產生該部分被動内貝丁寸右部分為主動内交咨粗，則藉由分析該部|來匈斷、’ 容資料。接下來，從匈定為，頁重新產生該部分主動内產生再生電子楷案。為即將重新產生之部分内容資料 3044-924β-PF/Ahddub 11 200825836 【實施方式】為讓本發明之上述和其他目的、特徵、和優點能更明顯易僅，下文特舉出較佳實施例’並配合所附圖式，作說明如下：實施例：第1圖顯示根據本發明第一實施例所述之基本系統配置圖。於來源102處產生電子檔案並藉由傳輸媒介1〇3傳送該電子檔案。傳輸媒介1〇3可以為任何用來傳送電子檔案的媒體，例如固線式（hardwired)或是無線系統或網路。一般的方法為透過傳輸媒介103傳送電子檔案，直到電子檔案到達目的地。在此實施例中，防毒（anti-virus，Av) 應用程式105係安裝於目的地系統1〇9中。AV應用程式1〇5 的操作將使得輸入電子檔案資料無法進入目的地系統之作業系統107,直到輸入電子檔案資料被分析或重新產生並且被判疋為允許進入作業系統1 〇 7。如下所述，接收電子檔案的某些部分可能被分析為違反預定義的許可格式，對於接收電子檔案的其他部分而言，可產生湊雜（hash)並且查找先前辨識為非惡意内容的湊雜資料庫i 〇6。AV應用程式105包括付合度分析器（C〇nfQrmity analySer)131、湊雜產生器133、湊雜核對器134以及内容再生器 (re-generator)135,用以判斷電子檔案ι〇1是否具有傳送至作業糸統1 〇 7的許可以及用來再生的許可内容。第2圖顯示使用第1圖目的地系統1 〇9之電腦系統的方塊圖。系統109於輸入介面111接收輸入電子檔案1〇1。 12 3044-9246-PF;Ahddub 200825836 輸入"面111係連接至處理器113，處理器j j 3 收槽案的各種處理#皮U 〇 /、貫現接子"μΛ 113包㈣來剖析接收電剖析器115。處理器⑴更連接至記憶體驅動琴119Γ:除式媒體驅動器119而讀取可移除式媒 =動：119的資料或是將資料寫入可移 1 (例…。或是軟碟(未圖示))。處理器1 = ;=:及介面(121，123)，以致能作為輸出裝^ 不态125以及鐽盤127)的連結。因此，當輸入可執行檔案進入防毒應用程式時不允許檔案自動執行，系統將會以任意適當 ° 子檔案鍺存於記憶體中。、”、將輸入電在此實施例中，擾虜匕方法合一倒。也^ ^ 凡組内的位元順序顛也就疋，依序接收位元7,但是以位元反置的方式儲存，例如位元0與位元7交換、位元！與位元6交換、 P 2與位疋5交換以及位元3與位元4交換。因此，包 3 1 ° 11 " ο 〇的位元組可依下列順序儲存"〇 " ='=中’任何可執行碼皆無法自動執行，同樣的任何文感染的電子權案皆無法感染防毒的地作業系統。飞疋目第3圖顯示在本發明實施例中由防毒應用程式105所實現之處理步驟流程圖，用來判斷是否允許電子檔案⑴

傳送至目的地作業系統107。在步驟則中係藉由*任何適當的裝置將電子檔f 1Q1輸人防毒應用程式郎，使防毒應用程式m接收電子檔案1G1。輪入裝置可㈣所接Z 13 3044-924β-PF/Ahddub 200825836 之電子檔案101類型以及待傳送的介質而有所不同。在此貫施例中，允許電子播案1〇1輸入防毒應用程式。. 在此貫施例中，系統工〇 9接收的電子權帛⑻包括即將被防毋應用程式i 〇5分析之至少—部分的内容資料。該 °P刀内谷貝料可以為被動的内容資料，其為具有固定指定資料型態的内容’例如文字、圖片、影音或是影像内容資抖。另外，該部分的内容資料亦可以為主動内容資料，例士腳本（script)、巨指令（macr〇s)或是可執行碼。 :在此實施例中，防毒應用程式僅允許透過符合複數所儲存已知、可允許、預定義格式之一者的被動内容資料以及辨識為非惡意的主動内容資料來傳送。根據本發明實施例’電子檔案可由根據包括特定規則組播案類型規格所編碼與設置的内容資料所組成，每個檔案類型(文字、HTML、 m以及試算表等等)皆具有相關的規則組。一般檔案類型通常由權案名稱的下標（例如.pdf，txt，doc)或是槽案貝料的前幾個位元組來標示。許多檔案類型包括代表槽案結構的標頭，接著為内容資料（例如文字、數量、影音或是料、腳本、巨指令）。電子檔案101可包括複數部分 6谷貝料’其中某些部分為被動内容而某些部分為主動内容。被動内容資料可包括參數（例如標示内容資料的 4示為粗體）。形成檔案類型規格的規則可用來Μ 值與範圍。〃熟悉此技藝之人士皆瞭解’應用程式可開啟特定類型 3〇44-9246-PF;Ahddub 14 200825836 ^案^包合剖析器而將形成檔案類型規袼的規則應用至 “案以萃取待顯示或處理的内容資料。例如，文字處理 Μ矛式可依照其專屬檔案格式（例如微軟的Word)、其他文子處理應用程式的專屬檔案程式、以及同屬（generic) 檔案袼式（例如豐富文字格式（rich text format，RTF)、、I 乂及HTML)來開啟槽案。應用程式可以將被動内容資料儲存為包含產生器而將形成檔案類型規格的規則應用至被動内谷身料之特定類型檔案，以產生請求格式的檔案。在此實施例中，每個檔案類型係儲存為預定袼式。預疋才α式通吊包括形成檔案規格的規則。然而，預定格式僅包括關於時常使用部分袼式的規則。另外，預定格式包括限制内容和參數之值以及/或範圍的規則，使得只能包括一般以及時常使用之值與範圍。因此，只有部分被動内容的既定類型檔案以及包含除了常常發生的資料與參數之外可根據本發明所儲存之預定格式來進行解析。 HTML頁面的I —資料框以及ΜΡ3檔案的一般封裳物件 (general encapsulation object，GE0B)標籤為不被允許傳送至系統的被動内容資料類型元件。不被允許傳送至系統之不常使用的資料值為在ASCII檔案中除了一般所使用 TAB，CR/LF以及LF字元之外的控制字元。上述内容資料也可以為主動内容資料。所接收的電子檔案101可以為包含標準HTML標籤以及相關文字内容的數個部分被動内容資料或是包含可執行腳本（例如 javascript或是VB script功能）的至少一部分主動内容 3044-9246~PF;Ahddub 15 200825836 的特定組規則可用文件的該組規則將

資料之HTML頁面。所接收電子檔案1〇l 來判斷主動内容資料。例如’用於HTML 匕括對〈javascript〉標籤的定義，其係用於定義作為 javascript可執行瑪的部分醜檔案。根據本發明另一 =施例，用於MiCrQS〇ft w〇rd槽案/文件的特定組規則係定義子檔案的目錄結構以及包含於特定.⑽旧㈣播案内的子目錄。-種標不為，’ VBA”的特定子目錄係用來定義Microsoft…以檔案内的巨指令。定義部分主動内容的子檔案的另一實施例為檔案，，-VBA-PR〇 JECT” 。其他具有

Microsoft Word 檔案内其非標準名稱的子檔案可列於定義他主動内容部分的” PR0JECTwm，，檔案中。因此，在步驟S3-3中，處理器113辨識即將被處理的下個部分内纟，這是第一次執行已接收電子檔帛1〇1内容的第一部份。在此實施例中，如擋案類型規袼的定義，辨識此部分的方法係取決於電子檔案的結構。因此，處理器 113係根據所接收檔案的類型對已接收電子檔案ι〇ι進行處理，以根據與該檔案類型之檔案類型規袼相關的特定組規則辨識下個部分内容。例如，用於JPEG檔案的檔案類型規格包括定義包含關於JPEG圖片資料之數個標籤的一組規則。根據本發明另一實施例，HTML檔案係由根據定義用於HTML檔案元件之不同組標籤的特定組規則而設置的内容資料所構成。在步驟S3-4中，處理器113會判斷目前已辨識部分内容是否與已接收電子檔案101的類型相關且對應至被特定 3044-924 6-PF;Ahddub 16 200825836 組規則辨識的部分。若處理益11 3判定該部分内容並非由特定檔案類型規則的定義，則已接收電子檔案i 〇丨在步驟 S3-15中係藉由取代隔離中的電子稽案而被封鎖。因此，已接收電子槽案將不會以任何型式再生，並且中止對該檔案的處理。換句話說’若處理器113判定部分内容資料已經過辨識’則在步驟S3-5中’處理器113將判定目前已辨識的部分内容為被動或主動内容資料。另外，在此實施例中，處理器113根據與已接收電子檔案ι〇1相關的特定組規則來進行判斷。若處理器113在步驟S3-5中判定部分内容為被動内容資料，則符合度分析器131係於步驟S3 — 6處理該部分被動内容資料，以判斷該部分内容是否符合上述預定格式。熟悉此技藝之人士皆瞭解，已辨識部分被動内容可包括複數子部分，每個部分皆具有不同的相關預定格式。在此實施例中，在步驟S3-6中可遞迴的呼叫符合度分析器131來輪

流處理每個子部分，以騎每個子部分是否符合個別的預定格式。在步驟S3-7中，若符合度分析器131判定該電子播案為上述格式，且所有的參數符合與特定電子播案類型相關之預定格式’則在步驟S3_9中被允許的部分被動内容資料會傳送至内容再…35來執行再生。在此實施例中’内容資料再生$ 135係用以根據與原始已接收電子檔案類型相關的預定格式之部分已許可内容資料來再生替= 檔案。 17 3044-9246~PF;Ahddub 200825836 接下來，處理步驟繼續進行至步驟S3 i3 s⑽處理器113係判斷是否具有任何其他内容=步驟 =理。若判斷具有其他内容需要執行處理，則處二進: 曰返回步驟S3-3來辨識下-部分即將被處理的内容若在步驟S3_7中符合度分析1131判定該部二。谷不符合任何預定格式，則在步驟S3_u中處會判疋在防毒應用程式1G5 t是否設定為清 113 在此實施例中，電子檔案1。1中不符合部分不會，：除已接收電子檔案m的處理步驟可藉由設定於記= 17中的旗幟所控制。藉由將清除模式旗幟設定為，，”， =步驟㈣的清除處理程序，使得已接：二的不符合部分被移除或清除，並且不會出現於再：曰案中。在此清除處理的例子中，檀案中包含任何片段或部分會因而被移除，但仍舊提供使用者可使= 的再生檔案。換句話說，清除旗幟可能被設定為，，否，，來去能清除處理程序。若清降盧 i 右，月除處理耘序被去能’則信息或電案的任何部分會被判定為不一致，使得電子檔案完全被封鎖，並且不會以任何型式進行再生。若已設定清除旗織且於步驟S3_12中執行清除處理程序’則處理程序進行至步驟S3_9,其中内容再生器135係用來再生對應於已接收電子檔案ι〇ι中不符合部分之再生檔案中的’月除部分。在此實施例中，剩餘的清除部分可包括不具有不符合原始電子播案資料之相關部分的標藏。另外，可插入標籤使得結果檔案維持與原始接收電子檔案類 18 3044-9246-PF;Ahddub 200825836 型相關的預定格式。一旦清除部分以預定格式再生，則在步驟S3-13中，處理器113係判定是否有如上所述之任何其他需要處理的内容。如第3圖之實施例，若已辨識的部分被動内容資料包括複數子部分，則符合度分析器1 31在步驟S3-6中將會遞迴地依序處理每個複數子部分，以於步驟S3-7中判定是否全部的被動内容資料皆符合預定格式。另外’可能可以對符合度分析器1 3丨判定不符合預定格式的每個子部分執行清除處理程序。以上對步驟S3-7至S3-15的描述係有關於對已接收電子槽案101中被動部分内容資料的處理程序。然而，如上所述，該部分内容資料可以為主動容資料。因此，若處理器113在步驟S3-5中判定目前的部分内容為主動内容資料’則在步驟S3-17中，湊雜產生器133係用來產生用於部分主動内容的湊雜。在步驟S3-19中，湊雜核對器134 係核對湊雜資料庫來判斷所產生的湊雜是否以存在於湊雜資料庫1G6中。若湊雜已存在於湊雜資料庫1()6中，表示相關的部分主動内容在先前已辨識為非惡意的，且已允許的主動内容係於步驟S3 —9中傳送至内容再生器135而由再生器135來進行再生。換句話說，若在步驟S3-19中判定湊雜不存在於湊雜資料庫1〇6中，則在步驟s3 —21中處理程序繼續進行至步驟S3 —u，其中處理器113係判定是否需，對該部分主動内容資料執行清除處理程序或是電子標案是否需要被封鎖。處理程序接τ來進行至㈣.Η，八中處理《11 3係判定是否有其他内容需要被處理。若判 3044-9246-PF;Ahddub 19 200825836 ^有其他内容需要被處理’則處理器⑴重複步 S3-21直到接收雷早梦茔 " 3至接收電子檔案1〇1的所有部分理

分為許可的内容資料，則進行再生。右該。P -旦完成對所有部分已接收電子檔案的處理程在步驟S3-25中再生電子稽宰係、丁鈿系係依序正向遞送至目統109的作業系統1〇7 糸掏泡- 便，、了以正常的方式進行處理。再生猎由形成該預定格式規則㈣案中操取出的所有被動内容資料以及被辨識為非惡意的所有主動内容資料，且無法擷取出的任何部分也無法進行再生。、在此方法中，由於檔案的符合度核對以及再生，病主無法進入並感染作業系統，事實上是藉由摘取—般格式^ 被動内容資料以及非惡意的主動資料來進行再生。熟悉此技藝之人士皆瞭解’當沒有重新產生不一致的部分已接收電子㈣101時，防毒應用程式m的内容再生器135可於再生電子㈣中插入相關的警告文字來通知接收者不允許部分的信息通過1外，可選擇性的使此警告文字顯示不允許該部分通過的原因。另外，電子檔案1 〇 1中部分被動内容的子部分可能會被封鎖，也就是若該部分與經過許可的預定格式不一致則不會重新產生並且較佳為將其抹除。也就是，若Ascn電子檔案中的字元串列包括控制字元（例如，BBL，字元），此子元串列可以被由防毒應用程式1 0 5所插入的警告文字取代，以通知接收者由於串列的該部分不符合預定格式，因此不會對該部分重新產生電子檔案。符合度分析器131並 3044-9246-PF;Ahddub 20 200825836 非特定用來尋找未經許可的控制字元（例如，BBL，字疋），而是僅使通過許可的控制字元通過（如預定經過許可的格式所定義）。登記湊雜在上述說明中，湊雜資料庫106包含先前分析並且標不為好的或非惡意主動内容資料的湊雜值。熟悉此技藝之人士❾瞭解’需要持續的維護這樣的資料庫來維持並更新新遭遇之非惡意腳本、巨指令以及可執行碼，使得系統與 f 方法可以達到最佳效能。現在我們將簡單的描述如何於管理模式期間分析這些新遭遇的主動内容資料並使其包含於湊雜資料庫1 〇 6中。在此實施例中，第1圖所顯示之目的地系統1〇9為網頁代理伺服器（web proxy server)，用來接收來自系統管理者的請求，並且將腳本註冊於HTMl頁面中。在此實施例中系統管理者係使用不同於一般用來瀏覽網頁的連接埠 (例如連接埠8181)將該HTML頁面與即將註冊為HTTP請求的腳本一同傳送至網頁代理伺服器1 09。使用不同於一般網頁流量請求的連接埠也會讓註冊腳本更安全，因為存取此連接埠可以受到防火強的限制。雖然使用這樣獨特的連接埠會讓網頁代理伺服器1〇9瞭解系統管理者正在請求註冊腳本’額外的安全性可以藉由執行另外的驗證查核（例如限制許可的ip位址以及使用密碼）而達成。

一旦成功地完成驗證，網頁代理伺服器丨〇 9係將請求傳遞至網際網路並且等待HTTP的回應，接下來會將HTTP 3044-9246-PF；Ahddub 21 200825836 回應回傳至網頁代理伺服器1〇9。網頁代理伺服器1〇9會將已接收的回應;^ §己為註冊請求而不是當作一般的劉覽回應，且該回應將會傳遞至防毒應用程式105。在此實施例 :具有將要註冊腳本之眶網頁的已接收回應係藉由防毒應用程式105以相同於第3圖的上述方法來操作，但是在此實施例中的例外是’由於已接收檔案被標記為註冊請 ^因此防毒應用程式105係定義為操作於註冊模式而不是操作於上述正常查核模式。

在註冊處理程序中，符合度分析器131係檢查已接收檔案之HTML部分是否符合眶規格並且具有合理的值。在處理已接收檔案的javascript部分時，湊雜產生器⑼ 係產生用於特定^町ipt功能的凑雜，且防毒應用程式 1〇1會檢查該凑雜目前是否存在於湊雜資料庫⑽中。若先前已註冊過該腳本，則不需要對該特定腳本進行任何動作。然而’㈣腳本未出現於湊雜資料庫⑽巾，則防毒將會笼集關於該特定聊本的資訊並呈現給系將:產二二斷…該註冊該腳本。在此實施例中， θ顯不，·，。系統管理者的Η T M L形式，讓系統管理者尸不出應該將哪一些腳本註冊於凑雜資料庫：生職形式，資料結構係用來惹集中為了產頁面的所有湊雜。為了提供充足的：“冊至待處理則L 做決定,在此實施例中給系統管理者使其 -同包含於資料結射。一旦防\:文,與所產生的凑雜部分的已接收ΗΤΜ槽案，使得資=式+ 105處理所有、科、、、°構卩思者系統管理員將 22 3〇44-9246-PF；Ahddub 200825836 要檢視的凑雜與功能而增加，式仆& TTTm ^丄铒甲的母個項目係格、為TML形式中的項目。當資料結構中的所有項換為HTML型式之後，會將該型式者那個新遭遇的腳本為非"的並…糸理者來辨識非心思的並將其包含於湊雜資料庫鮮-。I旦接收到來自系統管理者的註冊回應，則會將所私不腳本的湊雜加入湊雜資料庫1〇6中。發展階段

以上為對處理槽案資料以及藉由已知的資料重寫播案之糸統與方法的說明，豸資料為適用於檔案格式規格以及其他特定限制的資料，或是在先前被辨識為非惡意資料，以確保檔案接收者接收到非惡意資料。為了確保接下來整個發展階段操作的正確性，因此在防毒應用程< 阳的測试發展期間出現幾個爭議性的問題。現在就_ —的說明這些爭議的問題。 5 雙層錯誤彳貞測在重寫處理程序期間，所執行的錯誤可能會產生再生槽案的可能性，再生檔案不適用於假設要執行之上述系統與方法的樓案袼式規格以及其他特定限制。因&，在發展内谷再生ϋ 135期間必須測試再生檔案以確保整個發展階丰又知作的正確性。第4圖顯示再生器135的發展與測試階段期間的處理程序。如第4圖所示，再生器135的測試開始於步驟34—^ 在步驟S4-1中係接收電子檔案。這相同於第3圖中接收電子檔案的步驟。在步驟S4一3中，處理器113係處理電子檔 3044-9246-PF;Ahddub 23 200825836 案，以判斷電子檔案中經過定柊式之& 十了的内容並因此重新產生預疋心式之祂案。步驟S4-3所勃介从名 _的牛驟斤執仃的處理步驟與上述第3圖 r的γ驟類似。如上所述， c〇第3圖的處理結果不是產生再生檔案S3-25)就是隔離該名牛騍山电于镉案（S3-15)。因此，在^S4-5中，處理器113係匈斷是沒有產生再生檔案，則在步驟再生枯案右因為不符合預定格式而被隔離。 -的電子枯案換句話說，若已產生再生檔案，旗幟會被設定為去能，使得、厂 /月除再…# ! 驟^9的二次處理中處理再生檔案時，當碰到任何不符人制的任何内容時，處理將會立;失/;_式或是其他特定限 0 即失效。在步驟S4-9中所執 -的步驟為第3圖中所說明的步驟理器U3再次判斷是否產生中處結果為產生再生播案，則在步驟:案。右步驟Μ的處理的功能性是正確的。換句話說，若在生器135 -t 右在步驟S4-9中沒有荖吐再生播案\則代表在步驟㈣中再生器135已失效。任何炉誤=』S4-3中一次處理的再生步驟期間產生 14些錯誤會呈現於在步驟S4-9中進行二-欠處理的再生檔案中。接下來-地里為不餘人日一 I在—處理中會將這些錯誤標示制之統與方法所執行之槽案格式或其他特定限制之具有錯誤的再生檔案。例。：：將說明於發展與測試期間錯誤偵測的具體實施檔/ 上34方法來處理酌音樂般末說’在這樣的MP3檔案内具有各種不同包含 3〇44-9246-PF;Ahddub 24 200825836 關於特定音樂之額外資訊的標籤，這些標籤係與編碼音樂資料隔離。一旦這樣的MP3標籤為，，TC0M”標籤，該標籤詳細說明了關於特定MP3檔案之音樂資料内容組合器 (composer)的資訊。第5圖顯示根據本發明實施例所述之雙層測試與發展方法中待處理之MP3音樂檔案的示意圖。第5圖所顯示儲存於未交換原始資料緩衝器中的範例MP3檔案501包括標籤’’ TC0M” 、ΊΧ0Μ資料以及音樂資料内容。處理器113係於步驟S4-3的一次處理期間讀取Mp3檔案5〇1。在第5圖的貫施例中，再生器i35的執行錯誤係導致錯誤# 將’’ TC0M”標籤重新寫入至輸出緩衝器，使得再生的Mp 檔案503包含無效的標籤” TCM〇” 。因此，此標籤不符名 MP3檔案格式規袼，因而當於步驟s[g之二次處理期間肩理再生檔t 5G3時將會遭遇不合法的” 『標籤且再连播案503將會被隔離。由於在二次處理期間無法重新產逢

播案’使得再生器135 |、、表认 I ^ …、法於一乂處理期間正確的生電子檔案。錯誤分離（faul tspl i t) 2發明相與方法發展期間的另_爭議性的心處理私序必須對數個電子檔案進行測好的檔案的資訊並且產生已知㈣咅、/集關於c 他特定限制之資料庫。檢查電子二二檔案袼式以石產品發展者處理發展模4 ^、、处理程序通常依定所需執行的動作。此處理程序需要相當;出來 25 3044-9246-PF；Ahddub 200825836 為了克服此問題，因而設計一種可有並且幫助產品發展去彳士 4认自動&查程序係透過蒐集檔案之目钎方法。該方法執行第3圖之處理虚再錄中的母個檔案的每個檔案進行操作， ^ 序係對目錄中、因此處理程序係回值扯At 誤串列，並且譯知々叫恶碼以及錯尤且砰細說明隔離檔案或是取代原因。對於處理程序的每個可能錯誤原因將會二的:何錯誤碼以及原因串列。本發展與測試方法係❹這^ : 二列來產生具有以錯誤碼以及原因串列作為子目：:二移動至個別的子g掉 T應播案㈣子目錄。-旦完成對所有檔宰的卢理立發展可体诘沾认、日Vα細系的處理，產品展了決速的私視所有封鎖檔案清單。另林，太π々尺％ η丨阳離播案的原因另卜產印赉展者可藉由察看每播幸而氺ΒΒ、丄nr 于目錄内的數個棕案而查明思些原因的相對重要性展者可找出導致笋夕由 ’中’產品發导致最多中止的錯誤原因。第顯示此發展與測試處縣序的示意圖。第 =可藉由錯誤分離發展與測試模組 ^^t601§i,〇s^6〇1 " ^ JPE^t, m ^ , 1nc 丁町母個檔案係傳送至防毒應二，防，應用程式1G5對每個檔案的操作係說明。當完成每個特定播案的處理，若於疋私案時發生錯誤，防毒應寺因。〜私式1〇5會回傳其狀態與原在第6圖的實施例中，防毒 ” 母應用私式105於處理檔案” ….㈣時發現具有原因串列，，錯誤標頭值 3〇44-9246-PF;Ahddub 26 200825836

Uncorrect header value)”的錯誤〇〇54。此錯誤碼與原因串列係回傳至錯誤分離模組6〇3。錯誤分離模組6〇3係判斷子目錄是否已存在相同的錯誤串列，若是，則只需要將對應的㈣複製至子目錄^在第6圖之實施例中不具有其他的子目錄，因此錯誤分離模組6〇3產生錯誤串列名稱為” failUre_〇〇54_incorrect_header—value，，的新子目錄607旦產生子目錄607，則會接著將對應的檔案” 圖片1. jpg”複製至此子目錄6〇7中。錯誤分離模組603處理原始目錄6〇1中的每個檔案直到該目錄中的所有檔案皆被處理為止。在此方法I 完成發展與測試處理程序，當處理原始請6()1中的楷案並且將對應檔案複製至個別子目錄時，目錄結構6〇7將會包含適用於所遭遇之每個錯誤碼的子目錄。第二實施例接下來的第二實施例係與第一實施例類似，電子播案為透過網際網路將電子郵件從發信者傳送至目的裝置（在此實施例中為網際網路服務業者Internet P^vider，ISP))。ISP將電子郵件轉寄至電子郵件客戶飼服器’當接收時’電子郵件客戶飼服器將電子郵件轉寄至指定的接收者收件g。第7圖顯示根據本發明實施例之電子郵件系統的配置圖’其中包含本發明之防毒應用程式。傳送者係從來源位置201轉寄電子郵件。藉由電子郵件中的網域名稱可以將電子郵件透過網際網路2〇3轉寄至網際網路服務業者 3044-9246-PF;Ahddub 27 200825836 (ISP)205。收件者的電子郵件客戶伺服器2Q7係透過開啟連”、σ而連接至ISP2〇5。第一連結為用來將輸出電子郵件從電子郵件客戶飼服器2〇7轉寄至脱2〇5的簡單郵件傳 ^^ti(SimpleMail Transfer Pr〇t〇c〇1, SMTP)^^# 2091二連結為從lsp 操取電子郵件的郵局協議 Office Protocol)輸入連結 211。防毒應用程式m係設置於ISP2G5。防毒應用程式 105係常·㈣連接至收件者電子郵件客戶飼服器聊的輪入/輸出連接槔1來分析電子郵件客戶健器⑽待傳送與接收之所有輸出與輸入電子郵件。在此實施例中，防毒應用程式1〇5為藉程技術來執行的-組電腦程式碼。在電子郵件進入電= 件客戶何服器207之前，所有傳送至電子郵件客戶词服号 m的電子郵件皆必須通過防毒應用程式ig 由進入ISP 205之前皆必須通過防毒應用程式1〇5。防毒應用程式m藉由解析進入應用程式的資料來分斤輸入電子郵件訊息。如同第式儲存，以中止任何可執行 J貝抖係以編碼模丨J』矾仃檔案的執行。防毒應链係判定個別部分的輸入電子郵/ " ,Λ , 疋否付合通過許可的預宏 Γ 不符合，則重新產生每個部分的電子郵件气自因此，不允許電子郵件中的任何 " 他 . J届母進入感染收件者的备、、4 ’或是透過收件者的系統感染ISP。糸如第一實施例的說明，在.者在此例中的符合度分析器 3〇44>9246-PF；Ahddub 28 200825836 131係藉由分析每個特定資料類型來判斷是否符合適用於該資料類型的預定格式，並且擷取符合的内容資料。接下來，内容再生器135係使用預定許可格式重新產生適用於該資料類型的資料。在此實施例中係藉由特定的符合度分析器以及内容再生器來分析並再生每個型態的資料。每個符合度分析器131係根據所接收的資料類型對資料執行特定組規則。該規則係由適用於該檔案類型以及實際發生於已知資料類型的例子之官方預定規格所定義。一般來說’該規則僅允許小部分符合檔案類型規袼的槽案，但也可能放寬官方規格中通常會被違背的某些規則。例如’電子郵件位址不應該包含空白，但是一些常用的電子郵件應用程式係違反此規則，使得電子郵件通常在這方面會違反規格，因此根據此實施例所接受包含空白之電子郵件位址來分析電子郵件的預定格式，因此該實施例可分析並擷取這樣的電子郵件位址。同樣的，符合度分析裝置可檢查資料檔案中的某些參數。例如，若標頭顯示該檔案為RTF檔案，則讀取資料的前幾個位元組並根據RTF檔案格式規格來判斷是否正確。第8圖顯示根據本發明實施例所述之系統如何與防毒應用私式合作的流程圖。如第8圖所示，在步驟Sg — 1中， ISP係透過SMTP輸入連結接收電子郵件。在步驟S8-3中，通訊協定符合度分析裝置係執行讀取輸入電子郵件基本格式並重新產生電子郵件的程序，使其符合基本電子郵件通訊協定。電子郵件讀取器係藉由不符 3044-9246-PF;Ahddub 29 200825836 見"^的方式㊉取電子郵件。接下來，該讀取資料係傳送至符合基本電子郵件通訊協定的電子郵件寫入器。在此方法中，一般的不符合規袼的電子郵件會被轉換為符合規袼的電子郵件。例如’若收件者的電子郵件位址是不好的格弋電子郵件寫入器係重新寫入使其符合規格（例如藉由移、或疋在末鳊插入結束角括號（closing angle bracket)) 〇另一實施例為當接收到不具有標頭，，寄件者，，的電子郵，件訊息。在此實施例中係將電子郵件訊息封裝為包含標頭”寄件者’’的全新電子郵件訊息。電子郵件中的其他參數也必須符合規格。例如，行長度、使用正確的AseiI字元碼、使㈣#且正確的基本μ 編瑪、完整的標頭資訊（‘收件者，，、旨，#等）、介於電子郵件標頭與内容之間的間距等等。、若電子郵件不符合規袼，則部分的電子郵件無法重先寫入，因此當不符合規格的部分遺失時必須判斷是合理的電子料。若騎結果為存在合理㈣子郵件重新寫入不具有不符合規格部分的電子郵件。並會出現警告文字。社此出同樣的，通訊協定符合度分析裝置可能會拒絕整 :郵件。例如，若通訊協定符合度分析裝置偵測到件内的大量資料係使用不符合規格的基本64編喝牛驟S8-17中會徹底的拒絕該電子郵件。、y 若通訊協定符合度分析裝置判斷該電子郵件不符合電 3044-924 6-PF；Ahddub 30 200825836 子郵件協定，則通訊協定符合度分析裝置會重新產郵件並傳送至下一步驟進行處理。所有的電子郵件皆應當符合當前用於電子郵件的rfc 標準（例如RFC 822及其後續）^在此標準中係定義如” 生電子郵件。當電子郵件通過通訊協定符合度分析J = 後，RFC 822符合度分析裝置係檢查判定電子郵件是否》合該RFC 822標準。RFC 822符合度分析裝置係藉:將電寸子郵件分成數個分開的元件，尋找電子郵件中的邊界（如述）’並接著解析電子郵件的每個成分部分來判斷是否符合 RFC 822來執行符合度檢查。 σ 必須瞭解的是，當更新RFC標準時必須進行更新，以確保RFC 822符合度分析裝置可檢查所有已知資料符合度。、眾所皆知的是，電子郵件是由數個個別部分所組成（如第9圖所示）。電子郵件的開頭為似標頭9〇ι，在標頭中定義了幾個攔位，例如寄件人、收件人以及主旨等等^ 接下來為MIME標頭903，定義用私κ拙功〜仏土心我用於延伸協定的數個欄位，例如”内容類型”，其中定義用*社-# ^ ^ t 我用來才曰不電子郵件不同部分之間邊界的文字。在標頭（，_之後係為第—邊界9Q5。電子郵件的下-部份開始於另一個MIME標頭9〇?，定義用於此部分的格式。在此實施例中的此部分包括即將以文字格式顯示的文字。因此接著為文字909區塊。在文字區塊9〇9的末端具有另一個邊界911。 3044-9246-PF;Ahddub 31 200825836 另—個MIME標頭913代表電子郵件下一部分的格式。在此實施例中，電子郵件的下一部份係為混合了文字與 HTML格式的區塊915。另_邊界917係用來表示電子郵件此部分的結尾。對下一部份的電子郵件來說，MIME標頭919代表電子郵件附加檔案的資料類型，在此實施例中為ζιρ檔案。檔案921為基本64編碼並且附加至電子郵件中。另一邊界 923代表ZIP檔案區塊的結尾。對電子郵件的最後部分來說，MIME標頭925代表電子郵件另一附加檔案的資料類型，在此實施例中為部分的可執仃碼。可執打碼927為電子郵件中部分主動内容資料的範例。接下來為代表可執行碼區塊結果的最後邊界929。在第8圖的步驟S8-7中，RFC 822符合度分析裝置係透過解析器來解析形成電子郵件的Ascn字元❶rfc 822 符合度分析裝置可用來偵測電子郵件的邊界並檢查某些參數是否符合已知可接受預定格式。例如’ RFC 822符合度分析裝置係藉由檢查行長度來判斷其是否符合rfc 822 ^ 準’並且僅於行長度為2〇〇〇或小於2〇〇〇時才執行再生。進一步的檢查可以判斷電子郵件中以解析的資料是否符合RFC 822標準。例如，檢查電子郵件中的字元是否為定義於標準中的已知可接受ASCII字元，以及標頭長度是否符合標準定義。這些檢查清單僅為RFc 822符合度分析裝置用來檢查的一些例子（熟悉此技藝之人士皆瞭解rfc 822符合度分析裝置用來檢查的其他部分），然而本發明並 3044-9246-PF;Ahddub 32 200825836 未限定於上述範圍。如同分析該已解析資料來判斷其是否符合基本RFC 822私準’ RFC 822符合度分析裝置亦可檢查某些參數是否付口實際RFC 822標準電子郵件㈣例。也就是，某些參數的規;^ 乃保留給使用者來定義，因此，實際上只能使用合理的值。例如，電子郵件通常只包括少數的部分。因此，右所接收的電子郵件包括1〇〇〇個邊界，其必定不是實際 RFC 822才票準電子郵件的例子並因而會被RFC 822符合度刀析裝置封鎖，也就是不會再生且較佳為被抹除。對包含資料之電子郵件的每個元件部分皆需要執行進一步的符合度檢查，防毒應用程式係判斷元件部分是否由 2動，主動内容資料所構成，如上述第—實施例中的討淪。若判定元件部分為被動内容資料，則在步驟s8 —9中，疋件部分係根據對應部分的資料類型而平行的正向遞送至個別的被動内容資料符合度分析器。也就是，若被分析的〔、電:郵件部分定義為文字，組成文字的A·字元則正向遞运至文子符合度分析裝置。若被分析的電子郵件部分定義為TIFF㈣，則組成而檔案的字元係正向遞送至而符合度分析裝置。在步驟S8-9中’每個被動資料符合度分析裝置係藉由分析正向遞送來的資料來判斷是否符合主旨格式。若資料符合，則透過符合度分析裝置重新產生資料。若資料T包含任何不符合的資料’則排除該資料，或是有可能的話藉由符合度分析裝置執行再生使其成為符合的資料。執心 3044-9246-PF;Ahddub 33 200825836 生使其符合資料的實施例為，不論標案中增加巢狀括號。逍失貝枓’皆在rtf 若電子郵件包括巢狀之不同類型的資料呼叫被動資料符合度分、《遞迴的仃，且每個特定裝置佤序執個點。在此方法中，貝料類型被發現的每〃、有zip檔案的電子郵件包〜理文件’包括JPEG圖片檔的電子：处分析装置(〜、文字處理、觸來執广不_付合度 ^ ;术執仃，以下拉巢肤柃安並且/刀析序列中的每個檔案。田案換句話說，若防毒應用程式判定容資斜所播士 n , 丨刀你由主動内、讨斤構成，則在步驟1〇中分析該資料，以剌齡脸士 , 貝才叶刀析态會彳以判斩腳本、巨指令或是可執行碼為非亞咅二：主動内容資料分析器所執行的處理步驟係產生：：於主動内容的湊雜，並、用斷凑雜疋否出現於凑雜資料庫在第一貫轭例中已說明此處理程序。化斤的最後’檔案係藉由符合度再生部分而合理化0糟由在步驟S8 — 1]t中判斷爯形成適當的同調、可瞭解…一刀電子郵件以鱼使用再生邱八的電子郵件，該資料係 S813: P刀之RFC 822符合度分析裝置相似，如步驟技水此確保再生的電子郵件係以正確的格式轉寄。下，在驟S8'15中，應用程式係使用SMTP協定將再生電子郵件轉寄至收件者。 Λ然而’若在步驟S8_U中，防毒應用程式判斷再生的 ^分電子郵件不足以形成有用的電子郵件，則在步驟S8_17 3044-9246-PF;Ahddub 34 200825836 令會拒絕該電子郵件。在步驟S8-17期間係將尊告文字轉寄至電子郵件的收件者，以告知本來要記送的電子郵件被系統所拒絕。警告文字可包括訊息被删除的詳細資訊，以及幫助接收者辨識傳送者或是電子郵件被原因之進一步的資訊。以下為用於此實施例之被動内容資料符合度分析器之些實加例的詳細說明，其可使用於步驟S8 — g。例如，若電子郵件的元件部分根據RFC 822標頭、標頭或是檔案延伸主旨為文字資料，文字元件部分係遞送至文字符合度刀析裝置。文字符合度分析裝置係透過解析文字資料來判斷是否符合其預定許可格式（如下述）。在此有數種不同類型的文字檔案，例如逗號分隔變量 (Comma Separated Variable， CSV)以及豐富文字袼式 (Rich Text Format, RTF)，文字符合度分析裝置首先必須辨別已解析資料主旨為哪一種類型的文字檔案。附加至電子郵件的所有檔案將具有關於代表應該為哪種檔案類型的檔案延伸（file extension)。文字符合度分析裝置係分析該MIME標頭内的已解析檔案延伸，以判斷文字檔案是否為傳ASCI I檔案。若是，僅必須使用ASCI丨符合度分析裝置（如下述）。然而，若文字符合度分析裝置於分析時判斷文字檔案為除了純ASC11之外的檔案類型，例如CSV檔案，則將會啤叫CSV符合度分析裝置來分析並重新產生該CSV資料。首先，由於該ASCII符合度分析裝置係分析構成電子郵件 35 3044-9246-PF;Ahddub 200825836 内文字檔案的ASCI I字元，以判斷文字串列是否符合ASCI j 預定格式，若是，則重新產生該ASCI I檔案。 ASC11符合度分析裝置係解析該資料，以確保檔案符合最小ASCII預定格式。例如，Ascn符合度分析裝置僅允許ASCII字元32至127，以及即將被再生且遞送至系統的四個控制字元，，換行（line feed)，，（LF = l〇)，，，回車 (carriage return)” （CR=13)，，，標記（tab)，，（TAB = 9) 以及”垂直標記（vertical tab)，，（VT=11)。

如防毒應用程式的定義，其他控制字元（例如1】字元（BEL=7))並未在適用於ASCII格式之預定許可格式中。因此，ASCII符合度分析裝置在帶解析之Ascn碼區塊中並不會重新產生BEL字元，但其將會拒絕ASCI工字元。 ASC 11符合度分析裝置執行分析的其他例子： •自然行長度是否小於1 024字元？ •字長度是否小於25字元？ •空白對字元的百分比是否小於預定限制？若在任何時候該ASCII符合度分析裝置因為不符合基本預定格式而無法重新產生適用於該部分ascii碼的資料，則ASCII符合度分析裝置係檢查資料並判斷是否符合其他類型的ASCII碼。例如，來源碼、BinHex以及基本^ 等等。若該資料符合其他類型的Ascn碼’則將資料正向遞送至與該ASCII類型相關的符合度分析裝置，其他的 ASCII類型可以為上述的來源碼符合度分析裝置、符合度分析裝置或是基本64符合度分析裴置。可以瞭解的 3044-9246-PF;Ahddub 36 200825836 是，基本64 ASCI I編碼檔幸汰7 1 類遞 Θ田茶亦可包含該編碼資料中其他型的檔案。接下來，這4b其# # ----他頰型的檔案亦可以被正向送至相關的檔案類型符合度分析袭置等等。適用於其他ASC11編蜗類型的被動内容資料符合度分析器更可具有適用於電子郵件此部分内資料之符合度限制。例如，可藉由檢查檔案來判斷其是否為適當結構的編碼，是否具有正確的行長度等等。一旦每個被動内容資料

符合度分析器判定内容符合參數時，則擷取其内容，並藉由被動内容資料符合度分析器將所揭取的内容資料再生為許可預定格式。一 ASCI I符σ度为析裝置完成其任務，再生的A% η 資料會被正向遞送至資料主旨所屬的相關文字符合度分析裝置。在此實施例中，文字檔案“sv檔案，因此資料會被正向遞送至CSV符合度分析裝置。、下為由csv付a度分析裝置執行檢查的實施例。csv 2合，分析裝置係解析ASGII f料，以確保其中沒有長文字奴落樣的段落並不是csv檔案的部分預定格式。由於：符合的資料會被csv符合度分析裝置拒絕，因此任何的資料皆無法被解析。csv符合度分析裝置亦會檢查並判 =其定界符號數量是否符合csv檔案預定的定界符號數量。當CSV符合度分析裝置判定資料不符合時，會將該資料再生為相同的格式。、 …在此方法中，只有部分符合預定格式的文字播案被允許通過防毒應用程式的下-階段。在資料被重編並且遞送 3〇44-9246-PF;Ahddub 37 200825836 • 至目的地之前’只有符合的部分文字檔案會與其他已再生貝料類型一同被再生。因此，任何包含病毒的電子郵件部分不符合併且會被封鎖，也就是不會被再生並且較隹的被抹除。任何不符合的部分不被允許通過防毒應用程式並且感染作業系統。另一種符合度分析裝置為標籤圖像文件格式（Tagged Image File Format，TIFF)符合度分析裝置，用來分析並再生TIFF檔案。 ( TIFF檔案為具有設置於預定格式中的一組目錄以及標鐵之結構格式。無法判斷圖像資料本身是否代表有意義的圖像。然而，TIFF符合度分析裝置係解析並分析圖像資料，以確保其處於預定限制内。藉由解析並分析TIFF檔案中的標頭資訊來判斷正確的貝料疋否完整。例如，TIFF符合度分析裝置係執行檢查來判斷標頭資訊是否包括合理TIFF圖像限制内的解析度、尺寸以及深度攔位。另外，TIFF符合度分析裝置係判 i 斷標頭中所標示的條紋數量是否符合該圖像資料。 TIFF檔案通常係藉由LZW(Lempel-Ziv-Welch)壓縮技術來進行壓縮。TIFF檔案包括複數TIFF條紋，在此實施例中的每個TIFF條紋為防毒應用程式1〇5所操作圖像中的最小單位、原子或是元件，並且可應用於實際的限制中。每個TIFF條紋係藉由符合度分析裝置進行壓縮，並且判斷條紋長度是否在合理預定限制内。例如，若條紋長度不等於或小於最大圖像尺寸限制（例如，大於標準A〇紙張尺 3044-9246-PF;Ahddub 38 200825836 •八J該條紋會被拒絕。若其中一個條紋被TIFF符合度为析裝置拒絕，則整個^吓檔案會被拒絕。 s符合度分析裝置亦會對TIFF檔案内的標籤（也就貝料）進行分析。藉由檢查標籤是否違反狀許可格二:斷標藏是否位於特定階(根據標頭中的標鐵資訊目、/且輯標籤是否以正確的方法彼此關聯。切田_JIFF付合度分析裝置判定該f料符合狀許可格式寺，會重新產生資料以建立 HFF檔案（其^ & Μ %的再生郵m 預定格式）。袋重編入電子 ^生TIFF播案係正向遞送至電子郵件伺服器。圖像可本身巾可具有其他®像類型。例如，JPEG ㈡像了以破封裝於TIFiM#案中。谓測到不同的圖像類型，則會將二〜度分析裝置其他的符合度分析裝置，在此像相關的資料遞送至裝置。_符合；^析穿置/施例中為JPEG符合度分析斷是否符合期望的卿格析，刀析貝枓’以判格式資料。接下士右符合則將其再生為JPE(；子郵件的再…式。此電子二重編再生電件伺服器。丨仟曰接者遞迗至電子郵本實施例的另一選擇為讓防毒靡來取帶電子郵件中不符合的部分。：就告文字度分析器解析部分資料來判定該部分不符合：：二付合再生電子郵件時，符合度：取…合的部分，以通知電子郵件的指定收二;:： 3044-9246-PF/Ahddub 39 200825836 件的部分被防毒應用程式拒絕。另外，—* 於不符合的因素而拒絕整個電子郵仲口度分析汽油於電子郵件…警告文字來通知指二 -：分被封鎖，也就是不會執行再生且：程式抹除。 q攸丨万毋應用第三實施例參照第10圖，現在將要說明本發第三實施例結合了第一盥第—貫把例。此、卜 /、弟一貫施例的特徵，包括在第一或第二實施例中所討論的任何選擇性。此實施例係有關於防毒應用程式封鎖部分或是整個電子郵件時的狀態（代表此實施例中不符合的部分）。夫一實施例所討論的第3®，基料多理由都會發生這樣的 ^兄，例如在步驟S3_15中’由於部分的被動内容資料不付合預定格式且並未設定清除格式，因此可能將整個播案置放於隔離所。另外’若在步驟S3_n中設定清除模式旗幟，則可忽略部分的被動内容資料。、在此實施例中，當防毒應用程式判定電子槽案或是其子部分不符合日夺，則不允許電子槽案通過㈣地作業= 統’而疋將原始電子檔案傳遞至來源過濾器應用程式，以判定該電子檔案是否在來自可靠的來源。 k疋根據預期接收來自某些可靠來源的系統所判定。系統藉由檢視儲存於技藝體中違反預定來源清單的資料類型α單來執行判定，以判斷資料類型是否為來源所接受，換句話說就是透過來源來過濾電子郵件。因此，若接收來 3044-9246-PF;Ahddub 40 200825836 自可靠來源中包含不符合資浐幸禎A夾白w 、枓的祂案’則將不符合資料的才田案視為來自可靠來源的資私T ^入次叙為非惡思的，並允許原始不付合資料的檔案通過作業主、、作業糸統。在此方法中，包括防 Γ式以及來源過遽應用程式的系統係動態地允許大分安全的電子檔案傳遞至其指定目的地。第10圖顯不根據第三實施例所述之處理程序的流程圖。在步驟训]巾’防毒應用程式係判定部分權荦是否為不符合的資料，若是則封鎖檔案。若被防毒應用程式封鎖’則會將不符合的部分傳遞至來源過濾應用程式確定所接收播案是否來自可靠來源（如步驟S1G-3所示）。來源過遽應用程式係根據系統使用者偏好來判定不符合部^是否來自可靠來源。系統的技藝體中係儲存檔案類型’月早以及關於這些不被視為可靠來源的來源（例如寄件者的位址)。因此’系統可根據檔案寄件者以及檔案類型來判斷是否允許檔案通過。若在步驟S10-3中判定檔案類型不在允許來源的清單中則於步驟S10-5中封鎖之。若判定為允許通過的檀案類型’則不符合部分在步驟S10 —7中係略過防毒應用程式。在步驟S10-9中防毒應用程式係重新產生剩餘的已接檔案重編該已再生的符合部分，並且在步驟S1 丨中略過檔案中的不符合部分。例如，銀行系統接收來自已知寄件者的大量電子郵件，包括與複雜巨指令結合的試算紙，對於附加試算紙中的巨指令可能不是預定許可格式，使得巨指令符合度分析 3044-9246 -PF;Ahddub 41 200825836 衣置可封鎖此部分的電子郵件。然由於銀㈣統可賴傳送此電子郵件者’且在檔案類型資料庫牛 ± 巾寄件者被4定為銀行系統可此/則電子郵件中的試算紙會被視為非惡意的。因，糸統使用者可設定來源過濾制程式，以允許不符人令部分略過防毒應靠式並且電子郵件的再生部: 共同重編入電子郵件。主另外，來源過濾、應用程式可操作於判斷所接收來毋應用程式的已再生於岽日的模式。⑼^ 過目的地系統防，應用程式接收包含不符合部分的擋案（作不足以讓防毒應用程式拒絕整個檔案），使得再生的符合播案不同於原始播案，則兮真& 八 3再生㈣會被遞送至來源過濾應用王"。列如’由於防毒應用程式執行清除權案程序，使得原始權案尺寸可能比再生檔案的檔案尺寸大。來原過濾應用私式係用來判斷所接收標案類型是否來 :經：認可的來源’若是，則允許該檔案類型通過系統。其他貫施例必須瞭解的是’在此所揭露的僅作為本發明的實施例’任何熟習此項技藝者，在不脫離本發明之精神和範圍内，當可做些許的更動與潤飾。、必須瞭解的是，本發明可應用於可以將電子稽案從來原私動至目的地的任何系統。本發明傳送電子並未限定為任何特定方法。士就Η φ 也就疋’電子檔案可從電腦系統硬體内的一元件值、矣$ 一騎傳送至另-兀件。另外，電子檔案可以 3044-9246-PF；Ahddub 42 200825836 藉由空氣從基地台傳送至行動電話裝置。同樣的，電子檔案可错由區域網路(local area netw〇rk，UN)、廣域網路 (wide area network, WAN)或是網際網路來傳送。熟悉此技藝之人士皆瞭解，在資源受限於目的地裝置 (例如行動電話）的網路環境中，由於受限的資源，使得每個裝置可具有執行上述實施例中部分處理步驟的功能性。在這樣的實施例巾，網$上可具有其他具有全功能性的網路裝置。其他網路裝置亦可藉由將較新的功能性與其他網路裝置結合而具有任何較新的功能性。在此方法中，不需要更新網路上每個資源受限的裝置。在行動電話網路中，每個行動電話被製造時可具有初始的限制功能。行動電話功能可藉由手持裝置使用者安裝其他軟體而被更新。若新安裝的軟體係用來請求並接收未知袼式的電子檔案至行動電話的防骨應用程式上，接下來防毒應用程式將會辨識何時不具有處理接收電子擋案的能力，並且會將該電子檔案遞送至具有全功能性的網路裝置。網路裝置將會被更新以辨識新的功能性，並因而可於行動電話上處理已接收電子檔案。接，網路裝置可將再生版本的電子㈣遞送回打動電話。另外，具有全功能性的網路裝置可設定為用來擷取傳送至行動電話的資料。接下來，在將再生版本傳送至仃動電話之前，網路裝置可在功能性受限的行動電話上處理特定電子檔案。在上述第一實施例中，防毒應用程式係設置於目的地系統中。热悉此技藝之人士皆瞭解，當防毒應用程式可在 3044-9246-PF;Ahddub 43 200825836 沿者傳輸路控上的點分折雷早於空主刃點刀祈冤千棕案時，可以將防毒應用程式設置於來源或是傳輸媒體中。在上述第一實施例中，電子檔案係由根據包含特定組規則的檔案類型規格來編碼與設置的内容資料所構成。熟悉此技藝之人士皆瞭解，所接收的電子槽案ι〇ι可以為串流資料(例如視訊或影音串流中的串流資料）。在這樣的例子中，除了根據包含特定組規則的檔案類型規格而編碼血設置之外’所接收的資料可根據協定規格（例如用於串流資料的傳輸協定）來編碼與設置。因此，為了儲存用於每_ 案類型規格的預定格式以及規則，防毒應用程式亦可儲= 用於各種協定規格的預定格式與規則。接下來，防毒應用程式可處理已接收串流資料來判斷資料是否根據用於協的預定格式來編碼與設置。、在上述第-實施例的目的地系統109内具有湊雜資料庫106以及湊雜產生器133。熟悉此技藝之人士，對電子播案中部份主動内容資料的處理程序可藉由傳其他防毒應用程式來實現。例如，若已接收電诗案為呈 :巨指令―Word文件，防毒應用程。。5將會處理構成被動内容資料的大量的WQrd文件，以判斷並，安全的文件，且傳統的防毒產品可藉由掃晦構成^内谷資料的巨指令内容’以判斷其是否包括已知的開發。妙而’這樣的選擇具有可依賴第三防毒應用程式的優點，:：應用程式的資料庫不是最新時容易受到零天的攻擊右外’目的地可藉由與下載病毒特性資料庫相同= 3044-9246-PF;Ahddub 44 200825836 機制下載來自可靠第三者的已知好腳本、巨指+、可行碼等等的湊雜資料庫來更新其湊雜資料41G6e此機制亦可用來提交包含於第三者凑雜資料庫中的巨指令、可執行碼。在上述第一實施例中，若被動内容資料不符合預定格式且/月除模式旗幟被去能，則會隔離整個電子播案。熟系此技藝之人士皆瞭解’當整個檔案被置放於隔離所時，未知格式/規格的部分電子檔案可透過處理主動内容資料的方法來執行操作。因此，會產生適用於這些部分未知内容、、雜並且會私查該溱雜是否違背好的内容之湊雜資料庫0 在上述第一實施例中，若致能清除模式旗幟，則會朝行清除處理程序來移除不符合的部分，且内容再生号:相據預定槽案類型重新產生再生檔案中必要的空白或乾淨的區段。熟悉此技藝之人士皆瞭解，在此清除處理程序中，可額外的將處理器設定為對部分内容資料執行明顯的校正。例如，由於明顯的省略某些資料位元而形成壞的聰檔案。在具有這樣明顯錯誤的例子中，可於清除處理程序 d門加入遺失的位元，以修改部分的内容資料。次在上述第一實施例中所產生的湊雜係適用於主動内容資料的任何部分。若該腳本、巨指令以及可執行碼被修正 ,不具有語意上的差異，則所有不同版本的主動内容資料可=會產生不同的凑雜，並且必須將所有的湊雜登記於凑雜貝料庫中。為了避免這個狀況，因此可以將腳本、巨指 45 3〇44~9246-PF；Ahddub 200825836 令以及可執行碼正規化，因此可於產生即將儲存於湊雜資料庫中的湊雜之前移除配置與變異名稱改變。例如，可移除所有的空白與換行，並且以標準符號取代所有的變異名稱。即使所產生的腳本、巨指令或是可執行碼可能表現為無效的，當功能性相同但是具有不同潤釋的腳本、巨指令或是可執行碼被正規化為相同的文字時，這個問題就變得不重要了。例如，下列部分程式碼係定義了可於HTML檔案内所接收的Javascript功能。

function detectBrowserO { var browser=navigator. appNarae; var b一version=navigator· appVersion; var version=parseFloat(b— version); if ((browser=” Netscape” 11 browser==,> Microsoft Internet Explorer” ） M (version>=4)) { /^Browser okay, do nothing*/ } else、 { “ alert( “To get full functionality you need to upgrade your browser” ); } } 藉由移除所有的空白（字串外部）並且以標準名稱（在此例中為$<n>，其中<n>為對每個變數增加的次數）取代所有變數可以將此部分的程式碼正規化。在此實施例中，正規化後的程式碼如下： funct i ondetectBrowser(){var$1=nav i gator. appName;var$2=navi gator. appVersion;var$3=parseFloat($2);if(($l==” Netscape” I|$1==” Micr 3044-9246-PF;Ahddub 46 200825836 osoft Internet Explorer" )&&($3>=4)){/^Browser okay, do nothingV}else{alert( "To get full functionality you need to upgrade your browser” )；}} 在上述第一實施例中所產生的湊雜係適用於部分的主動内容資料。熟悉此技藝之人士皆瞭解，兩種不同腳本、巨才0令或疋可執行碼的函式可產生相同的凑雜。為了降低此情況發生的可能性，可以在產生湊雜之前藉由以預定且可重複的方法增加隨機位元來暗存（sa 11)腳本、巨指令咬是可執行碼，使其更難以如同已註冊腳本般的讓惡意腳本

通過。熟悉此技藝之人士皆瞭解，藉由這樣的方法修改主動内容資料，將使得熟悉湊雜資料庫的人更難產生如同許可主動内容資料般通過的惡意腳本、巨指令或是可執行碼，因為製造者在湊雜產生之前並不具有修改或變更内容之處理程序的知識。在上述第一實施例中，湊雜資料庫106為單一資料庫，用來儲存適用於先前標示為非惡意的主動内容資料之所有凑雜。熟悉此技藝之人士皆瞭解，凑雜資料庫可用來儲存複數資料庫，例如適用於每個已知類型之腳本、巨扑令或是可執行碼的資料庫。在此方法中係針對主動内容資料的類型來查找湊雜f料庫，例如由於該凑雜符合已註冊 Javascnpt，使得VB腳本無法錯誤地的通過。 :外’必須瞭解的是’對於前述任何實施例的其他選擇來任何㈣設備可讓制者於接收電切案時手動，驅動任㈣毒應用程式或是來源過據應用程式所做的決疋。也就疋’當防毒應用程式令的符合度分析裝置封鎖部 3044-9246-PF；Ahddub 47 200825836 刀或t封電子郵件時，由於其不一致性，使用者可選擇允許重新產生不一致的檔案並將其重編入電子郵件中。實現此垃擇的一種方法為供應指定收件者文字警告訊息，並詢門收件者疋否允許被分析為不一致的電子郵件如同符合預定許可格式般的通過系統。若可重編電子郵件，則對於此警告訊息的回應係提供符合度分析裝置再生指令。另外，允許原始電子郵件通過防毒應用程式以及來源過濾、應用程式並且在不執行再生的情況下通過系統。另外，必須瞭解的是，如上述第二實施例所述之防毒應用程式可設置於除了 ISp電子郵件伺服器之外的其他地方。例如，防毒應用程式可設置並安裝於收件者的電子郵件客戶伺服器t。在此方法中，任何從電子郵件客戶飼服器遞送至硬碟上收件者之收件夾的電子郵件為如上述之再生電子郵件。另外，必須瞭解的是，防毒應用程式可固線於半導體裝置中，例如矽、砷化_(GaAs)、磷化銦（Inp)，然其並非用以限定本發明的範圍。也就是，防毒應用程式可計，的任，，其不需要對處理程序更新對預定義符合格式的定義。實現防毒應用程式之任務所需要的指令包括可於任何適當半導體裝置上實現的解析、分析、再生以及重編程序另外，實現防毒應用程式所需要的指令可儲存於半永久或永久記憶裝置。接下來，記憶裝置可衣直了用來執行關於連結處理器的防毒應用程式。在這些例子 j钕供與本發明待防護之電腦不同的電腦，作為包含 U %侍防護電腦之 48 3044-9246-PF;Ahddub 200825836 處理器以及記憶體的個別裝置（例如數據卡、網路卡或是硬碟驅動控制器中的個別裝置）。其優點為可完全地將輸入電子檔案與檔案系統以及其他待防護電腦之資源隔離，並將其儲存於無法正常寫入或更新的位置，以避免防毒應用^ 式本身破解密碼的攻擊’換句話說也就是實體防護等級。半導體裝置係由處理器以及記憶裝置所構成，其中處理器係執行記憶裝置中的防毒應用程式，並且將輪入槽案儲存於記憶裝置中而隔離之。另外，必須瞭解的是統方法之任何適當網路卡的一部分。在此方法中，用於通訊網路中的網路卡為可藉由使用上述方法重新產生已接收電子檔案來確保網路對不期望碼或資料執行防護的裝置。另外，必須瞭解的是，藉由電腦裝置可接收第一實施例中所述之電子檔案，纟中電子權案係儲存於可移除二記憶裝置中°例如’電子檔案可儲存於直接連接或是透過無

線媒體連接至電腦裝置的USB磁碟裝置、知巷 ^ ^ 3慧卡、保全數位（secure digital，SD)記憶裝置、多媒夕綠體卡（multi media card，MMC)記憶裝置、XD卡、軟碟、乙丄r磁碟、可攜式硬碟或是其他適當的記憶裝置中。另外，必須瞭解的是，此應用 # A甲的作業系統可以為使用檔案的任何系統。例如，嵌路卡等等。入入式系、絶、路由器、網另外，必須瞭解的是’其他編碼方法可用已接收可執行槽案無法自動的被執行。例浚來確保任何編碼方法係 3044-9246-PF;Ahddub 49 200825836 4t 使用位元組交換方法來儲存每對輸入位元組。在此實施例中，若防毒應用程式依序接收6位元組ABcdef，並且依下列順序儲存於記憶體中BADCFE。第一位元組(A)係儲存於第二記憶體位置，且第二位元組⑻係儲存於第一記憶體位置。每-對已接收位元係倒置的出現於接下來的記憶體位置:在此方法中，任何可執行碼無法自動的執行，並且任何受感染的電子檔案無法感染防毒應用程式或是目的地作業統。纟上述實施例中，目的地“係接收電子檔案來進行處理。熟悉此技藝之人士皆瞭解，當處理通訊串流内的槽 f資料時’資料係以定量或封包的方式到達目的地系統：錯由計算定量或封包資料可形成整個待處理的電子播案。 -般來說，接收整個電子樓案並且儲存於連續的：憶體中。在這樣的例子中，若必須分析電子檔案中不同位置的資料以確認電子檔案，由於整個權案出現於記憶體中使得這樣的處理程序為可行的。例如，例如網路卡或路由琴之裝置通常具有受限的記憶體資源，且其可能不適用於暫存這些裝置内要執行的整個電子播案。在這樣的環境中，來源裝置（例如傳送者的電腦）將具有比資源受限網路裝置更多的資源。來源裝置可因而被設定為用來重新寫入電子广二：得所有必須由防毒應用程式一起處理的相關檔案：段將』序流至來源受限裝置。在此方法中，來源受置不需要暫存整個電子權案，且可使用較小的緩衝器來儲存待處理播案的這些部分。一旦部分電子權案經過處理並 304 4-924 6-PF;Ahddub 50 200825836 且被判定為非惡意的，該部分可以被再生並且立即傳送至目的地裝置（例如收件者的電腦）。若在此方法中使用全緩衝方法，則可達成相對於叢發性型態傳輸的串流資料傳輸，其中資料串流係持續開始並中止。本發明雖以較佳實施例揭露如上，然其並非用以限定本’X月的範圍’任何熟習此項技藝者，在不脫離本發明之精神和範圍内’當可做些許的更動與潤飾，因此本發明之保濩耗圍當視後附之申請專利範圍所界定者為準。【圖式簡單說明】第1圖顯不根據本發明實施例所述之電子檔案系統。第2圖顯示用於本發明實施例的電腦系統。第3圖顯示根據本發明實施例所述之處理程序的流程圖。第 ® ”、、員示根據本發明實施例所述之發展與測試方法的流程圖。第5圖顯示第4圖所示之發展與測試方法的示意圖。第6圖顯示根據本發明另一實施例所述之發展與測試的示意圖。第7圖顯示根據本發明第二實施例所述之電子郵件系統的方塊圖。第8圖顯示根據本發明第二實施例所述之處理程序的流程圖。第9圖顯示形成電子郵件之不同部分配置的示意圖。 3044-9246-PF；Ahddub 51 200825836 第ίο 的流程圖。圖顯示根據本s明第ζ實施例所i之處理程【主要兀件符號說明】 101〜電子檔案，· 102〜來源； 10 3〜傳輪媒介；〜防毒應用程式； 106〜凑雜資料庫； 107〜作業系統； 109〜目的地系統； 111〜輸入介面； 113〜處理器； 115〜剖析器； 117〜記憶裝置； 119〜可移除式媒體驅動器； 120〜CD ; 1 21、123〜輸出介面； 12 5〜顯示器； 127〜鍵盤； 131〜符合度分析器； 133〜湊雜產生器； 134〜湊雜核對器； 135〜内容再生器； 501〜MP3檔案； 503〜再生MP3檔案； 601〜JPEG影像檔案； 6 0 3〜錯誤分離模組； 607〜子目錄； 2 01〜來源位置； 203〜網際網路； 205〜網際網路服務業者； 209〜輸出連結； 207〜電子郵件客戶伺服器； 211〜輸入連結； 901 〜RFC822 標頭； 909〜文字； 915〜文字/HTML ; 9 2 7〜可執行碼； 921〜ZIP槽案（基本64編碼） 905 、 911 、 917 、 923 、 929〜邊界； 903 、 907 、 913 、 919 、 925〜MIME標頭。 3044-9246-PF;Ahddub 52

Claims

200825836 十、申請專利範圍： 1 · 一種處理方法，適爾HbV各用於處理一電子檔案，包括：辨識上述電子檔案中的、的部分内容資料；判斷上述已辨識部分内容、；斗疋否為具有一固定目的的被動内容資料，或是且右一 "、有相關功能的主動内容資料；若判定上述已辨識部分、 U谷貝杆為被動内容資料判斷上述部分被動内容眘、 —.、tt 鬥谷貝枓的一檔案型態或是通訊協疋，以及若上述被動内容資料符合包匕3對應於上述檔案類型或通訊協定的一組規則之一、頂疋貝料格式，則判斷上述部分被動内谷資料是否會被重新產生；若判定上述已辨識部分内容資料為主動内容資料，則分析上述部分主動内容資料貝针孓判疋上述部分主動内容資料疋否即將被重新產生；以及若判定即將重新產生上述部分内容資料，則上述部分内纟資料以建卜再生電子播案。 2.如申明專利範圍第j項所述之處理方法，其中上電子檔案包括複數部分内容資料，且其中上述處理方處理每個上述複數部分内容資料來判斷是否需要重新產味、每個部分主動内容資料，並且重新產生這些被判定必須重新產生的部分内容資料而產生一再生電子檔案。 3.如申凊專利範圍第2項所述之處理方法，更包括判定一清除模式為致能或去能的步驟，若至少一部份主| 容資料被判定為不需要重新產生且上述清除模式：去能内 3044-924β-PF/Ahddub 53 200825836 則不執行上述重新產生部分内容資料而產生再生電子播案的步驟。 4.如申請專利範圍第3項所述之處理方法，若至少_ 部分主動内容資料不需要被重新產生且上述清除模式為去能’則上述電子檔案會被設置於隔離所中。 5 ·如申請專利範圍第1至4項中任一項所述之處理方法’其中上述分析部分主動内容資料的步驟包括：產生用於上述部分主動内容資料的一湊雜； r 判斷所產生的上述湊雜是否出現於已知主動内容資料的一湊雜資料庫中；以及若所產生的上述湊雜出現於湊雜資料庫中，則判定上述部分主動内容資料即將被重新產生。 6.如申請專利範圍第丨至5項中任一項所述之處理方法，其中上述電子檔案甲的一部份被動内容資料包括複數子部分被動内容資料，纟中對上述每個子部分執行處理可用來判斷上述子部分被動内容資料是否符合一預定資料格式，右所有上述子部分皆符合一預定資料格式，則判定上述部分被動内容資料符合上述預定資料袼式。 7.如申請專利範圍第6項所述之處理方法，其中每個上述複數子部分被動内容資料皆具有不同的檔案類型。、8.如申請專利範圍第項中任_項所述之處理方法，其中上述分析部分主動内容資料的步驟係藉由使用一第三者防毒制程式處理上述部分主動内容資料來判定是否需要重新產生上述部分主動内容資料。疋 54 3044-9246-PF;Ahddub 200825836 1至8項中任一項所述之處理方料包括文字、圖像、影音或是視 9 ·如申請專利範圍第法，其中上述被動内容資訊内容資料。 .如中請專利範圍第1至9項中任-項所述之處理方法其中上述主動内容資料包括腳本、巨指令或是可執行碼0

、11.如中請專利範圍第i i 1G項中任—項所述之處理吹八中右無法判定上述部份被動内容資料之目的預定資料格式’則將分析該部分被動内容資料作為部分主動内容資料來分析。 12. 如申請專利範圍第5項所述之處理方法，更包括正規化部分主動内容資料的步驟，且其中上述產生湊雜的步驟係產生用於已正規化部分主動内容資料的—凑雜。 13. 如申請專利範圍第5項所述之處理方法，更包括以預定且可f複的方式變更部分主動内容資料的步驟，且其中上述產Μ雜的㈣係產生用於以變更部分主動内容資料的一湊雜。 14·如申請專利範圍第1 i 13項中項所述之處理方法’更包括將編碼格式的上述電子播案儲存於記憶體中。 15. 如申請專利範圍第14項所述之處理方法，其甲資料的每個位元組係以位元反置順序而儲存。 16. 如申請專利範圍第14項所述之處理方法，其甲儲存上述資料，使得所接收的每對資料位元組設置為反置記憶體順序。 3 〇 4 4-92 4 β-PF;Ahddub 55 200825836 、I7·如申請專利範圍第1至16項中任一項所述之處理法更包括以警告文字取代判定不需要重新產生的部分内容資料。 I8.如申請專利範圍第1項所述之處理方法，其中上述電子槽案係為—電子郵件，且上述方法更包括將重新產生的上述電子郵件轉寄至指定收件者。一 19.如申請專利範圍帛i項所述之處理方法，更包括從

可移除式記憶裝置接收上述電子檔案，並且將重新產生的上述電子檔案轉寄至一運算裝置。 2〇·—種預處理方法，用來預處理即將傳送至一處理模組的一電子檔案，包括：、、重新寫入上述電子播案，使得即將被上述處理模組共同處理的#分電子檔案依序的設置；以及將上述重新寫人的電子檔案傳送至上述處理模扭。 .21.如申請專利範圍第2〇項所述之預處理方法，更包

於上述處理模組處接收部分案；上述重新寫入的電子檔將上述所接收上述部分重新寫入的電子緩衝器中；以及一旦接收所有即將共同處理的部分後，處理緩衝号中所接收上述部分重新寫入的電子檔案。 22.-種測試方法，用來測試—電子檔案之— 生模組，包括：刀析與再 3044-9246-PF;Ahddub 56 200825836 接收上述電子檔案；使用上述分析與再生模組來處理所接收的上述電子檔案’以產生一再生電子檔案；使用上述分析與再生模組處理上述再生電子檔案；以及 … 右使用上述分析與再生模組來處理上述再生電子檔案而產生另-再生電子檔案，則判斷上述分析與再生模:是否正確的運作。 23·如申請專利範圍第22項所述之測試方法，其中上述分析與再生模組係根據申請專利範圍第丨項至第Μ項中的任一方法處理一電子檔案。、24· 一種處理方法，使用一處理模組來處理一目錄中的複數電子槽案，上述處理模組係分析一電子檀案並回傳一文子串列的處理結果，對每個上述複數電子檔案皆包括下列步驟：使用上述處理模組來處理上述電子檔案；接收文字串列的回傳處理結果；根據上述已接收文字串列產生具有一目錄名稱的一子目錄；將上述電子檔案移動至所建立的上述子目錄。 25.如申請專利範圍第24項所述之處理方法，其中上述處理模組係根據申請專利範圍第j項至第丨g項中的任一方法處理一電子檔案。 26· —種電腦可讀取媒體，包括一電腦程式，上述電腦 3044-9246-PF;Ahddub 57 200825836 述電腦程式執行於-電腦時用來執行申請專利靶圍第1項至第25項中的任—方法。 27·—種半導辦驴$ 裝置’包括包含複數指令的一記惰體置，用來執行申請專利r阁蚀已K體裝灯〒叫專利乾圍$ i項至第25項中的任一方法况如申請專利範圍第27項所述之半導體裝置，盆上述+導體裝置係為-半永久或永久記憶裝置。 29·—種網路卡’包括中請專利範圍第27或28項所述之上述半導體裝置。、斤之

30.—種處理裝置，用來處理一電子檔案，包括：用來辨識上述電子檔案中的一部份内容資料的裝置；用來判斷所辨識的上述部分内容資料為具有一固定目的的被動内容資料或是具有一相關功能的主動内容資料的 >用來判斷部分被動内容資料之一檔案類型或是通訊協定的裝置’藉由判斷上述被動内容資料是否符合包含對應於上述檔案類型或通訊協定的一組規則之一預定資料格式來判斷部分被動内容資料是否需要重新產生的裝置；用來分析部分主動内容資料以判斷部分主動内容資料是否必須重新產生的裝置；以及 ' 用以當部分内容資料被判定為必須重新產生時，用來重新產生部分内容資料而產生一再生電子檔案的裝置。 31·如申請專利範圍第30項所述之處理裝置，其中上述電子檔案包括複數部分内容資料，且其中上述裝置係用來處理每個上述複數部分内容資料，以判斷每個部分内容 3044-9246-PF;Ahddub 58 200825836 資料是否必須重新產生’並且重新產生這些判定必須重新產生的σ卩刀内谷資料以建立一再生電子檔案。 32,如申請專利範圍第31項所述之處理裝置，更包括用來判斷一清除模式為致能或去能的裝置，若至少—部份主：内容資料被判定為不需要重新產生且上述清除模式：去此’則不使用上述重新產生部分内容資料的裝置，因而不產生一再生電子檔案。 33· 士申明專利範圍第32項所述之處理裝置，其中當至少一部分被動内容資料被歡為不需要重新產生^上: 清除模式為去料，上述裝置將上料子_設置於隔離所0 # 34·如申請專利範圍第3〇至％項中任一項所述之處理竑置其中係使用上述用來分析部分主動内容資料的裝置產生用於上述部分主動内容資料的一湊雜；判斷所產生的上述湊雜是否出現於已知主動内容資料的一湊雜資料庫中；以及、 * “疋所產生的上述湊雜出現於已知主動内容資料的湊雜資料庫中，則判斷是否需要重新產生部分主動内容資料。 35·如申請專利範圍第3〇至“項中任一項所述之處理裝置丄其中用來判斷部分被動内容資料之權案類型或是通疋的裝置包括複數符合度分析器，每個上述符合度分析态係與特定檔案類型或通訊協定相關。 3044-9246-PF；Ahddub 59 200825836 36·如申請專利範圍第35項所述之處理裝置，其中上述電子槽案中的部分被動内容資料包括複數子部分被動内容資料，且個別的上述複數符合度分析器係處理每個上述子《卩分，以判斷上述子部分被動内容資料是否符合一預定資料格式。 37·如申請專利範圍第30至36項中任一項所述之處理裝置’其中上述用來重新產生部分内容資料的裝置包括複數内谷再生器，每個内容再生器係與特定檔案類型或是通 : 訊協定相關。 38·如申請專利範圍第3〇至37項中任一項所述之處理裝置’其中上述用來分析部分主動内容資料的裝置係藉由使用一第二者防毒應用程式處理上述部分主動内容資料來断上述σ卩为主動内容資料是否需要被重新產生。 39·如申請專利範圍第3〇至38項中任一項所述之處理凌置，其中上述被動内容資料包括文字、圖像、影音或是視訊内容資料。 I η •如申請專利範圍第30至39項中任一項所述之處理哀置，其中上述主動内容資料包括腳本、巨指令或是可執行ζ馬。 41·如申請專利範圍第3〇至4〇項中任一項所述之處理裝置其中若上述用來判斷部分被動内容資料之目的預定資料類型的裝置無法判斷用於該部分被動内容資料之目的預疋貝料類型，則上述用來分析部分主動内容資料的裝置更可用來分析部分被動内容資料。 3044-9246-PF;Ahddub 60 200825836 42·如申請專利範圍第3〇至41項中任一項所述之處理裝置’更包括用來正規化部分主動内容資料的裝置。 43·如申請專利範圍第3〇至42項中任一項所述之處理裝置’更包括用來將上述電子槽案以_編竭格式儲存於記憶體中的裝置。 44·如申請專利範圍第43項所述之處理裝置，其中每個位元組的資料係以位元反置順序儲存。 45·如申請專利範圍第43項所述之處理裝置，其中上

述資料係健存，使得所接收的每對資料位元組係以反置記憶體順序而設置。 46·如申請專利範圍第3()至45項中任_項所述之處理裝置，其中上述用來再生—電子檔案的裝置更以警告文字取代判定為不需要重新產生的部分内容資料。、47.如中請專利範圍第3{)項所述之處理裝置，述電子檔案係為一電子郵件，且上述裝置更包括用來將上再生電子郵件轉寄至指定收件者的裝置。 …48.如申請專利範圍第3〇項所述之處理裝置仗-可移除式記憶裝置接收上括 ±^ Μ ^ Φ ^ ^ ^ 电丁展置的裝置，以及將電子私案轉寄至一電腦裝置的裝置。 49. 一種預處理系統，用來卢測非惡意資料7即將被傳送至用來痛耦、、且的一電子郵件，包括·· 辨識在藉由上述處理模組八 Jt m ^ 、、’刀析非w忍碼的過程中必須 Π執仃之個別部分檔案的裝置；、用來重新寫入上述電子檔案使得即將共同處理的上述 3〇44-9246-PF;Ahddub 〇1 200825836 部分連續設置的裝置；以及用來將重新寫入之上述電子檔案傳送至上述處理模址的裝置。、、 50.如申請專利範圍第49項所述之預處㈣統，更包括一處理模組，用來·· 接收部分重新寫入的上述電子檔案，· 將上述所接收部分重新寫入的電子楷案儲存於一緩衝器中；以及 -旦在接收整個標案之前接收所有即將一起處理的部分，則處理已緩衝的上述已接收部分重新寫人的電子播案。 51.-種測試系統，用來測試一電子權案分析與再生模組，包括：、用來接收上述電子檔案的裝置；一分析與再生模組用來處理所接收的上述電子稽案而產生一再生電子檔案；其中上述系統係藉由倍用 _㈣上4分析與再生模組來執行上述再生電子彳當牵，Θ r〇 … 帛且右使用上述分析與再生模組來處理上述再生電子檔案而產生生電子祂案，則上述分析〃再生杈組被判定為正確的運作。述八Γ盘如申請專利範圍第51項所述之測試系統，其中上 ='、：生模組係為根據申請專利範圍第30項至第48 頁之任者所述之裳置。 53· —種處理系統，置，包括· 处里一目錄中的複數電子裝 62 3044-9246-PF；Ahddub 200825836 一處理模組，用來分析_電子檔 . …案並且回傳一文宝虫列處理結果；口丨矛又子串根據上述回傳的文拿虫哥扪文子串列建立具有一目目錄的裝置；置錄名稱之一子用來將上述電子檔案移動至上述所建立之子目錄的裝、54.如申請專利範圍第53項所述之處理系統，其中上述處理模組係為根據申請專利範圍第3〇項至第48項之任一者所述之裝置。附圖不所描述的電 55· —種處理裝置，用來處理參照所子檔案。 5 6 · —種測試系統’用來測試並發知展參照所附圖示所描达的電子檔案。 3044-9246~PF；Ahddub 63