WO2014000613A1 - 系统修复方法、装置及存储介质 - Google Patents

系统修复方法、装置及存储介质 Download PDF

Info

Publication number
WO2014000613A1
WO2014000613A1 PCT/CN2013/077782 CN2013077782W WO2014000613A1 WO 2014000613 A1 WO2014000613 A1 WO 2014000613A1 CN 2013077782 W CN2013077782 W CN 2013077782W WO 2014000613 A1 WO2014000613 A1 WO 2014000613A1
Authority
WO
WIPO (PCT)
Prior art keywords
registry
repair
file
repaired
files
Prior art date
Application number
PCT/CN2013/077782
Other languages
English (en)
French (fr)
Inventor
梅书慧
尚鸿
Original Assignee
腾讯科技（深圳）有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 腾讯科技（深圳）有限公司 filed Critical 腾讯科技（深圳）有限公司
Publication of WO2014000613A1 publication Critical patent/WO2014000613A1/zh
Priority to US14/575,680 priority Critical patent/US20150106652A1/en

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0706—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation the processing taking place on a specific hardware platform or in a specific software environment
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/14—Error detection or correction of the data by redundancy in operation
    • G06F11/1402—Saving, restoring, recovering or retrying
    • G06F11/1446—Point-in-time backing up or restoration of persistent data
    • G06F11/1458—Management of the backup or restore process
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0793—Remedial or corrective actions
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/14—Error detection or correction of the data by redundancy in operation
    • G06F11/1402—Saving, restoring, recovering or retrying
    • G06F11/1446—Point-in-time backing up or restoration of persistent data
    • G06F11/1448—Management of the data involved in backup or backup restore
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/14—Error detection or correction of the data by redundancy in operation
    • G06F11/1402—Saving, restoring, recovering or retrying
    • G06F11/1446—Point-in-time backing up or restoration of persistent data
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2201/00—Indexing scheme relating to error detection, to error correction, and to monitoring
    • G06F2201/82—Solving problems relating to consistency
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2201/00—Indexing scheme relating to error detection, to error correction, and to monitoring
    • G06F2201/84—Using snapshots, i.e. a logical point-in-time copy of the data

Definitions

  • the present invention relates to the field of operating system repair technologies, and in particular, to a system repair method, device, and storage medium.
  • BACKGROUND [0003]
  • System files and a registry are important contents of the Windows operating system.
  • the system file is the main file of the operating system and is automatically created and stored in the corresponding folder during the process of installing the operating system.
  • System files directly affect the normal operation of the system, and most system files are not allowed to change at will. Therefore, the existence of system files plays an important role in maintaining the stability of the computer system.
  • the registry is an important database in the Windows operating system for storing system and application settings information.
  • the registry consists of a key (or "item";), a subkey (child), and a value item.
  • a key is a folder in the branch; a subkey is a subfolder in the folder, and the subkey is the same.
  • a value item is the current definition of a key, consisting of the name, data type, and assigned value.
  • a key can have one or more values, each with a different name. If the value of a value is empty, the value is the default value for the key.
  • the main object of the present invention is to provide a system repair method, device and storage medium, which are intended to avoid abnormal repairs that may exist during system repair and ensure the reliability of system repair.
  • the present invention provides a system repair method, including the following steps: [0007] Perform security check on system files and a registry in the system;
  • the present invention also provides a system repair apparatus, including:
  • a security check module configured to perform security check on system files and a registry in the system
  • a repair judging module configured to determine whether the system file and/or the registry needs to be repaired according to a preset system repair rule when there is an abnormality in the detection result
  • a repair module configured to repair the system file and/or the registry when the repair determination module determines that the system file and/or the registry needs to be repaired.
  • the present invention also provides a computer readable storage medium on which is stored a program that enables a computer to run, after the program is loaded into a memory of the computer, causing the computer to system files in the system and
  • the registry performs a security check; when there is an abnormality in the detection result, it is determined whether the system file and/or the registry needs to be repaired according to a preset system repair rule; if the repair is required, the system file and/or registration is repaired. table.
  • the system repair method, device and storage medium provided by the invention avoid abnormal repairs that may exist during system repair, reduce the risk of system repair, improve the safety and accuracy of system repair, and ensure The reliability of the system repair.
  • 1 is a schematic flow chart of a system repairing method according to a first embodiment of the present invention
  • 2 is a schematic flow chart of a system repairing method according to a second embodiment of the present invention
  • FIG. 3 is a schematic diagram showing a setting of a registry entry of a user in a system repairing method according to a second embodiment of the present invention
  • FIG. 4 is a schematic flow chart of a system repairing method according to a third embodiment of the present invention.
  • FIG. 5 is a schematic structural diagram of a system repairing apparatus according to an embodiment of the present invention.
  • FIG. 6 is a schematic structural diagram of a system repairing apparatus according to another embodiment of the present invention.
  • FIG. 7 is a schematic structural diagram of a system repairing apparatus according to still another embodiment of the present invention.
  • a security check is performed on the system file and the registry, and the system determines whether the system needs to be repaired according to the check result, and if the repair is needed, repairs the system file and/or the registry; After the system repair operation is completed, check whether the system repairs an abnormality. If there is an abnormality, it will fall back to the normal state of the system according to the previously recorded system status information, or manually restore the specified content to improve the system repair reliability.
  • a first embodiment of the present invention provides a system repair method, including steps S101-S103.
  • Step S101 Perform a security check on the system file and the registry in the system.
  • the security check for the system file includes viewing when Whether the pre-system file is a system file that matches the current operating system. For example, you can scan the system file and query the system file as a risk file according to MD5 to the background of the system file. If the background report is abnormal, it indicates that the system file needs to be repaired. If the system file is not a risk file, the system file is If it is an important file, it will detect its signature. If the signature of the system file does not pass the test, it indicates that the system file does not match the current system. There is a risk. The system file is a file that needs to be repaired. If the system file is signed, If it is passed, it indicates that the security status of the system file is normal.
  • the security check for the registry includes checking the current information of the registry for the presence of malicious modifications. For example, compare the current value of the registry with the default value of the registry to determine whether the current value of the registry has been modified. If there is any modification, and the modification complies with the abnormal modification (such as changing the value from 0 to 1), then the The registry needs to be repaired; if the modification of the registry is a file pointed to, the file is checked, according to the MD5 of the file to the background to query whether the file is a risky file, and if so, the registration is The table needs to be fixed, if not, it means that the registry does not need to be fixed.
  • the system security check can be determined by system file check and registry check.
  • the Trojan horse Troj an. Neprodoor will infect the system's ndis .sys file, and at the same time, the Trojan will modify the system's boot entry registry to load the Trojan process at system startup.
  • the Trojan not only keeps the driver file ndis.sys intact, but also injects the backdoor into the Service.exe program. After the Trojan runs, it may accept remote commands and steal user information. Therefore, through the system security check, it will be checked that the system file ndis.sys is modified by the virus, so the file is abnormal; in addition, through the security check, the boot entry checked to the registry is also modified to point to the virus process.
  • the startup item, so the startup item pointing to the virus process in the registry also has an exception.
  • Step S102 When the detection result is abnormal, determine whether the system file and/or the registry needs to be repaired according to the preset system repair rule; if yes, proceed to step S103.
  • step S101 When the security check result of the system in step S101 is abnormal, according to a preset system The rules are fixed to determine if the system needs to be repaired.
  • the system repair rule may be set in the following manner:
  • the system file is classified as important and non-important, wherein the important level file refers to starting and running the operating system. Very important files, if these files are infected or destroyed, the system will not start, can not run normally or cause the virus process to be loaded. Therefore, such important system files need to be repaired if they are damaged, such as windows.
  • the kernel32.dll file in the ⁇ system32 directory; non-critical files are system files that have less impact on system security, or system files that do not affect the security of the system, and are generally not infected by virus processes. System files, such system files do not need to be reconciled to system files without affecting system security.
  • the system repair rule may be set by: comparing the current information of the registry with the default setting of the registry corresponding item, thereby determining whether it is needed repair.
  • Registry entries are classified into important items and non-important items. Important items include: Easy to be modified by Trojans or viruses to load process items, and user or application software modifications; Non-critical items are items that are rarely changed.
  • Step S103 repairing the system file and/or the registry.
  • the repair of the system file may include, if the system file is found to be modified, first checking the version information of the system file, and then calling the background query to modify the security of the file. If the system file is found to be deleted or modified, import the corresponding system file from the preset standard library or replace it. Change the corresponding system file.
  • the repair of the registry may include restoring the modified options in the registry to the system default security settings, or reverting to the user's modified information in the registry.
  • the file is found and replaced in the standard library file; for the repair of the registry, it is first determined whether the registry needs to be deleted, if it points to a dangerous file.
  • the startup item needs to delete the startup item registry, and the other security startup item registry modified by the user or the application software is retained; for example, if the IE home page of the registry item is detected as pointing to a hang-up URL, It can be modified to the default value of blank.
  • the security check is performed on the system file and the registry, and the system determines whether the system needs to be repaired according to the check result. If the repair is needed, the system file and/or the registry are repaired, thereby reducing the existence of the system repair. Risk, improve the safety and accuracy of system repair.
  • a system repair method according to a second embodiment of the present invention is provided. Based on the first embodiment, the system repair method further includes steps S104, S105 and S106.
  • the repairing method further includes the step S104 of recording the system state information.
  • the repairing method further includes:
  • Step S105 determining whether the user selects system restoration; if yes, proceeding to step S106; and step S106, restoring the system.
  • the difference between the embodiment and the first embodiment is that, after the system is repaired, the system can also restore the system when the user selects the system to be restored.
  • the present embodiment records status information of the system when it is judged that the system file and/or the registration table need to be repaired.
  • the status information record of the system includes two parts: a record of system file status information and a record of registry status information, and form a system file status letter, respectively.
  • Information table and registry status information table are used, for example, when the system repair fails or when the user chooses to restore the system.
  • the following system status information recording method is employed in this embodiment:
  • the system file status information may include: a number of system files, a file name, and version information of the system file, and verification information. This information is backed up while recording system file status information.
  • the record format of the system file status information can be as shown in Table 1 below:
  • a mobile compression method may be employed, including: for a system file that is difficult to modify, using a folder record method, only recording the number of files in the folder and verifying information, and The version information of each file is not recorded to reduce the storage amount of the recorded information and improve the efficiency of the recording.
  • the MD5 information of each category file is also recorded, and MD5 encryption is performed for subsequent system restoration determination.
  • MD517 records the status information of the entire system file.
  • the registry status information record of the system may include a key value of the default status table of the system, and a key value of the registry key modified by the user or the application software.
  • the record format can be as shown in Table 2 below:
  • registry state information can be compressed while the registry state information is being recorded to improve storage efficiency and subsequent query speed.
  • An exemplary implementation is as follows: The registry is divided into five parts, corresponding to five categories of the registry. For each type of registry, the entries are divided into important entries and non-important entries.
  • the important entries refer to the entries related to system security that are often used by Trojans or virus software, such as system startup items and IE defaults. Items, system services, protocol-related entries, and entries that the user may modify, such as: Open-mode registry entries modified by the installation software; Non-key entries are entries that are rarely modified.
  • FIG. 3 is a schematic diagram of setting a registry item information of a user.
  • the registry key 1 is the registry key for installing PPlive
  • the registry key 2 is the default home registry key of IE
  • the registry key 1 and the registry key 2 are all important registry entries.
  • Registry key 3 is not a registry key that is often easily exploited and a registry key that is frequently modified, and therefore is a non-critical registry key.
  • the registry status information is recorded in a manner similar to the system file status information, recording important items and non-important items separately, combining important items and non-important items into records of the registry, and then registering various types.
  • the record information of the table is merged into the information of the entire registry.
  • MD52 encrypts the information of two important types of registry keys 1, 2 and obtains MD512 (MD51, MD52).
  • the information of non-critical registry key 3 is: HKEY_CURRENT_CONFIG ⁇ Software ⁇ Fonts, the above characters are encrypted to get MD53, and finally get MD513 (MD512, MD53) represents the record information of the entire registry.
  • the encryption method used here is the MD5 method, but in the actual operation, other information encryption methods may be used to acquire the overall information of the system.
  • An exemplary method of restoration includes:
  • For the system file first find the status information table of the system file, determine the system file modification category by using the MD5 information, and then use the same method to find the corresponding important level file or non-important level file set, and finally find the corresponding version information and Verify the information, find the corresponding system file from the backup file and restore it.
  • the registry restore uses a method similar to system file restore: finds the corresponding category, then finds the corresponding registry key and restores it to the recorded state until the restore is complete.
  • the security check is performed on the system file and the registry, and the system determines whether the system needs to be repaired according to the check result. If the repair is needed, the system file and/or the registry are repaired accordingly; After the operation is completed, if the user needs to manually restore the system, the specified content is manually restored by the user according to the previously recorded system state information, thereby reducing the risk of system repair, improving the security and accuracy of the system repair, and Conducive to the restoration of the system.
  • a system repair method is proposed. On the basis of the second embodiment, after the system file and/or the registry is repaired in the above step S103, the repair is performed.
  • the method also includes:
  • Step S107 determining whether the system repair is abnormal; if yes, proceeding to step S106; Otherwise, the process proceeds to step S105.
  • the present embodiment records the state information of the system when the system file and/or the registry needs to be repaired.
  • the process is the same as that of the second embodiment, and details are not described herein. .
  • the recovery policy for the registry employs a recovery of the default registry value, and the Trojan or virus is taken in such a way as to check whether the registry key is repaired at a later time, and if it is found to be fixed, write back. Therefore, it is not reasonable to restore the registry to the default value directly during the registry repair. There are also cases where it is written back after repair. If some of the system security software repair items are written back, it is determined as a repair abnormality in the above repair determination.
  • the determining strategy for the system file repair abnormality is: performing abnormal monitoring on the repaired system file and the registry information, for example, may include: for the system file, the system file to be repaired and the system file for repairing Submitted to the background server for testing, confirming that the repaired system files will cause system security problems, and the system files used for repair will not cause security problems.
  • the abnormal monitoring of the system files used for repair it can be found that the repaired file is infected again, and thus it is determined that the abnormality is repaired to avoid repeated write-back of the virus.
  • the registry repair policy uses the user or system security software to perform the registry If the modification is made, the modified registry will be compared with the modification of the registry by the user or system security software before the system is repaired, and the attributes of the file corresponding to the registry modification item are checked, and the security check is performed. If the modified item does not have the user's modified value, it is modified to the default value, and it is determined to be normal repair; if the modified item has the user set value, the user set value is determined, and then the set value is pointed to the content and submitted to the background processing. In order to detect whether there is a safety risk, if there is a safety risk, it is determined that the repair is abnormal, otherwise, it is determined that the repair is normal.
  • For the system file find the status information table of the system file, determine the system file modification category by using the MD5 information, and then use the same method to find the corresponding important level file or the non-important level file set, and finally find the corresponding version information and the school. Check the information, find the corresponding file from the backup file and restore.
  • Registry Restore uses a similar method to system file restore: finds the corresponding category, then finds the corresponding registry key and restores it to the logged state until the restore is complete.
  • the security check is performed on the system file and the registry, and the system determines whether the system needs to be repaired according to the check result. If the repair is needed, the system file and/or the registry are repaired. In addition, the system repair operation is completed. After that, the detection system repairs whether there is an abnormality. If there is an abnormality, it returns to the normal state of the system according to the previously recorded system state information, and the specified content can also be manually restored. If there is no abnormality in the system repair, it is determined that the system repair is completed, thereby avoiding the abnormal repair that may exist during the system repair, reducing the risk of system repair, and improving the security, accuracy and reliability of the system repair.
  • a system repair apparatus includes: a security check module 501, a repair judgment module 502, and a repair module 503, wherein:
  • a security check module 501 configured to perform security check on system files and a registry in the system
  • the repair judging module 502 is configured to judge whether the system file and/or the registry needs to be repaired according to a preset system repair rule when the detection result is abnormal;
  • the repair module 503 is configured to repair the system file and/or the registry when the repair determination module determines that the system file and/or the registration table needs to be repaired.
  • the security check module 501 performs a security check on the system files and the registry in the system to determine whether there is a security risk.
  • the security check for the system file may include, for example, checking whether the current system file is A system file that matches the current operating system. Scan the system file, according to the MD5 of the system file to the background to query whether the system file is a risk file. If the background report is abnormal, it indicates that the system file needs to be repaired. If the system file is reported to be not a risk file, the system file is classified. If it is an important file, its signature is detected. If the signature of the system file does not pass the test, it indicates that the system file does not match the current system, there is a risk, the system file is a file that needs to be repaired; if the signature of the system file passes , indicating that the security status of the system file is normal.
  • a security check for the registry may include, for example, viewing the current information of the registry for malicious modification items. Compare the current value of the registry with the default value of the registry to determine whether the value of the current registry has been modified. If there is any modification, and the modification complies with the abnormal modification (such as changing the value from 0 to 1), the registry is considered Need to repair; If the modification of the registry is a file pointed to, check the file, according to the MD5 of the file to the background to query, determine whether the file is a risky file, and if so, it indicates that the registry needs Fix, if not, indicates that the registry does not need to be fixed.
  • the system security check can be determined by system file check and registry check.
  • the Trojan horse Troj an. Neprodoor will infect the system's ndis .sys file, and at the same time, the Trojan will modify the system's boot entry registry to load the Trojan process at system startup.
  • the Trojan not only keeps the driver file ndis.sys intact, but also injects the backdoor into the Service.exe program. After the Trojan runs, it may accept remote commands and steal user information. Therefore, through the system security check, it will be checked that the system file ndis.sys is modified by the virus, so the file is abnormal; in addition, through the security check, the boot entry checked to the registry is also modified to point to the virus process.
  • the startup item, so the startup item pointing to the virus process in the registry also has an exception.
  • the repair judging module 502 detects the security check result of the obtained system according to the above-mentioned security check module 501, and the system repair rule set in advance to determine whether the system needs to be repaired.
  • the system repair rule may be set in the following manner: It is important and non-important to classify system files. Important files are files that are very important for the startup and operation of the operating system. If these files are infected or destroyed, the system will not start, will not work properly or cause virus processes. Is loaded, therefore, such critical system files need to be repaired, such as the kernel32.dll file in the windows ⁇ system32 directory; non-critical files are system files that have less impact on system security. , or system files that do not affect the security of the system, and system files that are not normally infected by virus processes. Such system files do not need to be repaired without affecting system security.
  • the system repair rule may be set by: comparing the current information of the registration table with the default setting of the corresponding entry of the registry, thereby determining whether repair is needed.
  • Registry entries are classified into important items and non-important items. Important items include: Easy to be modified by Trojans or viruses to load process items, and user or application software modifications; Non-critical items are items that are rarely changed.
  • the repair module 503 repairs the system file or repairs the registry key according to the judgment result.
  • the repair module 503 is configured to:
  • the version information of the system file is first checked, and then the background query is invoked to modify the security of the file. If the system file is found to be deleted or modified, import the corresponding system file from the default standard library or replace the corresponding system file.
  • the modified option in the registry is restored to the system default.
  • the security settings are either restored to the user's modified information in the registry.
  • the recovery module 503 is configured to find the file from the standard library file and replace it; for the repair of the registry, the registry is first determined. Whether it needs to be deleted, if it is a startup item pointing to a dangerous file, the repair module 503 is configured to delete the startup item registry, and other safe startup item registry modified by the user or the application software is retained by the repair module 503. For another example, if the IE home page of the registry key is detected to be a hang-up URL, the repair module 503 is configured to modify it to the default value blank.
  • the security check is performed on the system file and the registry, and the system determines whether the system needs to be repaired according to the check result. If the repair is needed, the system file and/or the registry are correspondingly repaired, thereby reducing the system repair. The risks that exist increase the safety and accuracy of system repair.
  • a system repair apparatus further includes: a status recording module 504 and a restoration module 505, wherein:
  • a status recording module 504 coupled to the repair determination module 502 and the repair module 503, for recording system status information
  • the restore module 505 is connected to the repair module 503 for restoring the system.
  • the difference between the embodiment and the first embodiment is that, after the system is repaired, the system can also restore the system when the user selects the system to be restored.
  • the present embodiment records the state information of the system through the state recording module 504 when it is judged that the system file and/or the registration table need to be repaired.
  • the status information record of the system comprises two parts: a record of system file status information and a record of registry status information, and form a system file status information table and a registry status information table, respectively.
  • the recorded system status information is used for restores when system repair fails.
  • the system file status information includes: the number of system files, the file name, and version information of the system file, and the verification information. The information is backed up while the system file status information is being recorded.
  • the recording format of the system file status information can be as shown in Table 1 above.
  • a mobile compression method may be used, including: for a system file that is difficult to modify, a folder record is used, and only the number of files in the folder and the verification information are recorded. The version information of each file is not recorded to reduce the storage amount of the recorded information and improve the efficiency of the recording.
  • MD5 information of each category file is also recorded, and MD5 encryption is performed for subsequent system restoration determination.
  • MD5 encryption is performed for subsequent system restoration determination.
  • MD517 records the status information of the entire system file.
  • the registry status information record of the system refers to the key value of the default status table of the recording system, and the key value of the registry key modified by the user or the application software. Its record format is as shown in Table 2:
  • An exemplary implementation includes: The registry is divided into five parts, corresponding to five categories of the registry. For each type of registry, the entries are divided into important entries and non-important entries.
  • the important entries refer to the entries related to system security that are often used by Trojans or virus software, such as system startup items and IE defaults. Items, system services, protocol-related entries, and entries that the user may modify, such as: Open-mode registry entries modified by the installation software; Non-key entries are rarely repaired Changed entry.
  • FIG. 3 is a schematic diagram of setting a registry item information of a user.
  • the registry key 1 is the registry key for installing PPlive
  • the registry key 2 is the default home registration table entry of IE
  • the registry key 1 and the registry key 2 are all important registry entries.
  • Registry key 3 does not belong to registry entries that are often easily exploited and registry entries that are frequently modified, and are therefore non-critical registry entries.
  • the registry status information is recorded in a manner similar to the system file status information, recording important items and non-important items, merging important items and non-important items into records of the registry, and then registering various types.
  • the record information of the table is merged into the information of the entire registry.
  • MD52 encrypts the information of two important types of registry keys 1, 2 and obtains MD512 (MD51, MD52).
  • the information of non-critical registry key 3 is: HKEY_CURRENT_CONFIG ⁇ Software ⁇ Fonts, the above characters are encrypted to get MD53, and finally get MD513 (MD512, MD53) represents the record information of the entire registry.
  • the encryption method used here is the MD5 method, but in the actual operation, other information encryption methods can be used to acquire the overall information of the system.
  • the restore module 505 is based on the previous record. Record the status information before the system is repaired, and restore the system file and registry information to the state before the repair.
  • the restore module 505 is configured to:
  • For the system file first find the status information table of the system file, determine the system file modification category by using the MD5 information, and then use the same method to find the corresponding important level file or non-important level file set, and finally find the corresponding version information and Verify the information, find the corresponding system file from the backup file and restore it;
  • Registry restore uses a method similar to system file restore: The corresponding category is found by category, and then the corresponding registry key is found, and restored to the record state until the restore is completed.
  • the security check is performed on the system file and the registry, and the system determines whether the system needs to be repaired according to the check result. If the repair is needed, the system file and/or the registry are repaired. In addition, the system repair operation is completed. After the user needs to manually restore the system, the user manually restores the specified content according to the previously recorded system state information, thereby reducing the risk of system repair, improving the security and accuracy of the system repair, and facilitating the System restore.
  • a system repair apparatus according to another embodiment of the present invention, further comprising: an abnormality determining module 506, wherein:
  • the abnormality determination module 506 and the restoration module 505 are both connected to the repair module 503.
  • the abnormality determining module 506 is configured to determine whether the system repair is abnormal; if the system repairs an abnormality, the system is restored by the restoring module 505.
  • the system can also determine the system repair abnormality. If the system repairs the abnormality, the system is restored. [0127] In order to implement the restoration of the system, in this embodiment, when it is determined that the system file and/or the registry needs to be repaired, the state information of the system is recorded by the state recording module 504, which is the same as the second embodiment described above, and is not Let me repeat.
  • the recovery policy for the registry uses a recovery default registry value, and the Trojan or virus is taken by: Checking whether the registry key is fixed at a time interval, and writing back if it is found to be fixed. Therefore, it is not reasonable to restore the registry to the default value directly during the registry repair. There are also cases where it is written back after repair. If some of the system security software repair items are written back, the above repair is determined to be a repair exception.
  • the abnormality judging module 506 determines the system file repair abnormality by performing abnormal monitoring on the repaired system file and the registry information, and may include: for the system file, the system file to be repaired and the system file for repairing Submitted to the background server for testing, confirming that the repaired system files will cause system security problems, and the system files used for repair will not cause security problems. By monitoring the abnormality of the system files used for repair, it can be found that the repaired file is infected again, and it is determined that the abnormality is repaired to avoid repeated write-back of the virus.
  • the repair policy of the registry uses the user or system security software to modify the registry
  • the registry modified according to the modification policy is compared with the modification of the registry by the user or system security software before the system is repaired.
  • For the system file find the status information table of the system file, determine the system file modification category by using the MD5 information, and then use the same method to find the corresponding important level file or non-important level file set, and finally find the corresponding version information and school. Check the information, find the corresponding file from the backup file and restore.
  • the registry restore adopts a method similar to the system file restore: the corresponding category is found by the category, and then the corresponding registry key is found, and the status is restored to the record state until the restoration is completed.
  • the security check is performed on the system file and the registry, and the system determines whether the system needs to be repaired according to the check result. If the repair is needed, the system file and/or the registry are repaired. In addition, the system repair operation is completed. After that, the detection system repairs whether there is an abnormality. If there is an abnormality, it returns to the normal state of the system according to the previously recorded system state information, and the specified content can also be manually restored.
  • the present invention also provides a computer readable storage medium having stored thereon a program enabling a computer to be executed, after the program is loaded into a memory of the computer, causing the computer to be in a system in the system
  • the file and the registry are checked for security; when there is an abnormality in the detection result, it is determined whether the system file and/or the registry needs to be repaired according to a preset system repair rule; if the repair is needed, the system file is repaired and/or Or the registry.

Abstract

一种系统修复方法、装置及存储介质。该系统修复方法包括：对系统中的系统文件以及注册表进行安全性检查；当检测结果存在异常时，根据预置的系统修复规则，判断系统文件和/或注册表是否需要修复；若是，则修复系统文件和/或注册表。本发明避免了系统修复时可能存在的异常修复，减小了系统修复存在的风险，提高了系统修复的安全性和准确性，保证了系统修复的可靠性。

Description

系统修复方法、 装置及存储介质
[0001] 本申请要求于 2012 年 6 月 25 日提交中国专利局、 申请号为 201210210425.6、 发明名称为"系统修复方法、 装置及存储介质"的中国专利 申请的优先权， 其全部内容通过引用结合在本申请中。 技术领域
[0002] 本发明涉及操作系统修复技术领域， 尤其涉及一种系统修复方法、 装置及存储介质。 背景技术 [0003] 系统文件和注册表是 windows操作系统的重要内容。 其中， 系统文 件是操作系统的主要文件， 一般在安装操作系统过程中自动创建并存放在 对应的文件夹中。 系统文件直接影响系统的正常运行， 多数系统文件都不 允许随意改变。 因此， 系统文件的存在对维护计算机系统的稳定具有重要 作用。 注册表是 windows操作系统中的一个重要的数据库， 用于储存系统 和应用程序的设置信息。 注册表由键（或称 "项"；)、 子键（子项）和值项构 成， 一个键就是分支中的一个文档夹； 子键则是这个文档夹中的子文档夹， 子键同样是一个键； 一个值项则是一个键的当前定义， 由名称、 数据类型 以及分配的值组成。 一个键可以有一个或多个值， 每个值的名称各不相同， 如果一个值的名称为空， 则该值为该键的默认值。
[0004] 现有的系统修复方法存在着不足， 亟待提出改进的系统修复方法。 发明内容 [0005] 本发明的主要目的在于提供一种系统修复方法、 装置及存储介质， 旨在避免系统修复时可能存在的异常修复， 保证系统修复的可靠性。
[0006] 为了达到上述目的， 本发明提出一种系统修复方法， 包括以下步骤： [0007] 对系统中的系统文件以及注册表进行安全性检查；
[0008] 当检测结果存在异常时， 根据预置的系统修复规则， 判断所述系统 文件和 /或注册表是否需要修复； 以及
[0009] 若需要修复， 则修复所述系统文件和 /或注册表。
[0010] 本发明还提出一种系统修复装置， 包括：
[0011] 安全检查模块， 用于对系统中的系统文件以及注册表进行安全性检 查；
[0012] 修复判断模块， 用于当检测结果存在异常时， 根据预置的系统修复 规则， 判断所述系统文件和 /或注册表是否需要修复； 以及
[0013] 修复模块， 用于当所述修复判断模块判断所述系统文件和 /或注册表 需要修复时， 修复所述系统文件和 /或注册表。
[0014] 本发明还提出一种计算机可读取的存储介质， 在其上存储了使计算 机能够运行的程序， 在程序装入计算机的存储器内后， 使所述计算机对系 统中的系统文件以及注册表进行安全性检查； 当检测结果存在异常时， 根 据预置的系统修复规则， 判断所述系统文件和 /或注册表是否需要修复； 若 需要修复， 则修复所述系统文件和 /或注册表。
[0015] 本发明提出的一种系统修复方法、 装置及存储介质， 避免了系统修 复时可能存在的异常修复， 减小了系统修复存在的风险， 提高了系统修复 的安全性和准确性， 保证了系统修复的可靠性。 附图说明
[0016] 图 1是根据本发明第一实施例的系统修复方法的流程示意图； [0017] 图 2是根据本发明第二实施例的系统修复方法的流程示意图；
[0018] 图 3是根据本发明第二实施例的系统修复方法中一种用户的注册表 项设置示意图；
[0019] 图 4是根据本发明第三实施例的系统修复方法的流程示意图；
[0020] 图 5是根据本发明一实施例的系统修复装置的结构示意图；
[0021] 图 6是根据本发明另一实施例的系统修复装置的结构示意图； 以及 [0022] 图 7是根据本发明再一实施例的系统修复装置的结构示意图。
[0023] 为了使本发明的技术方案更加清楚、 明了， 下面将结合附图作进一 步详述。 具体实施方式
[0024] 根据本发明的一个实施例， 对系统文件以及注册表进行安全性检查， 根据检查结果判断系统是否需要修复， 若需要修复， 则对系统文件和 /或注 册表进行修复； 此外， 在系统修复操作完成后， 检测系统修复是否存在异 常， 如果存在异常， 则根据之前记录的系统状态信息回退到系统状态正常 的情况， 亦可手动还原指定内容， 以提高系统修复可靠性。
[0025] 如图 1 所示， 本发明第一实施例提出一种系统修复方法， 包括步骤 S101-S103。
[0026] 步骤 S101 , 对系统中的系统文件以及注册表进行安全性检查。
[0027] 当系统出现故障时， 本实施例在对系统进行修复时， 不仅要对系统 文件进行检查和修复， 而且还要对系统的注册表进行检查和修复， 以提高 系统修复的可靠性， 避免系统修复异常。
[0028] 首先要对系统中的系统文件以及注册表进行安全性检查， 判断是否 存在安全隐患。
[0029] 在一个示例性实施方案中， 对于系统文件的安全性检查包括查看当 前系统文件是否为与当前操作系统匹配的系统文件。 例如， 可以扫描系统 文件， 根据该系统文件的 MD5到后台去查询系统文件是否为风险文件， 如 果后台上报异常， 表明该系统文件需要修复； 如果后台上报该系统文件不 是风险文件， 则对系统文件进行分级， 若是重要级文件， 则检测其签名， 如果系统文件的签名没有通过检测， 则表明该系统文件与当前系统不匹配， 存在风险， 该系统文件是需要修复的文件； 如果系统文件的签名通过， 则 表明系统文件的安全状态正常。
[0030] 在另一个示例性实施方案中， 对于注册表的安全性检查包括查看注 册表的当前信息是否存在恶意修改项。 例如， 将注册表当前值与注册表默 认值进行比较， 判断注册表的当前值是否有修改， 如果有修改， 而且这种 修改符合异常修改（比如将值从 0改为 1 ), 则认为该注册表需要修复； 如 果注册表的修改是指向的一个文件， 则对该文件进行检查， 具体根据该文 件的 MD5到后台去查询， 判断该文件是否为存在风险的文件， 若是， 则表 明该注册表需要修复， 如果不是， 则表明该注册表不需要修复。
[0031] 通过系统文件检查和注册表检查，可以确定系统的安全状态。例如， 特洛伊木马 Troj an.Neprodoor会感染系统的 ndis . sys文件， 同时， 该木马会 修改系统的启动项注册表， 在系统启动时加载该木马进程。 该木马不但使 驱动文件 ndis.sys保持原有的功能，同时将后门程序注入到 Service.exe程序 中。 木马运行后可能接受远程指令而盗取用户信息。 因此， 通过系统安全 性检查， 会检查到系统文件 ndis.sys被病毒修改， 因此该文件存在异常； 另 夕卜， 通过安全性检查， 检查到注册表的启动项也被修改为指向病毒进程的 启动项， 因此注册表中指向病毒进程的启动项也同样存在异常。
[0032] 步骤 S102, 当检测结果异常时， 根据预置的系统修复规则， 判断所 述系统文件和 /或注册表是否需要修复； 若是， 则进入步骤 S103。
[0033] 当步骤 S101中系统的安全性检查结果为异常时， 根据预先设置的系 统修复规则， 来判断系统是否需要修复。
[0034] 根据一个示例性实施方案， 对于系统文件的修复判断， 系统修复规 则的设定方式可以为： 将系统文件分级为重要和非重要， 其中， 重要级文 件是指对操作系统启动和运行非常重要的文件， 若这些文件被感染或者被 破坏将会导致系统无法启动、 无法正常运行或者导致病毒进程被加载， 因 此， 这类重要级系统文件遭到破坏就需要对其进行修复， 如 windows\system32 目录下的 kernel32.dll文件； 而非重要级文件是指对系统 安全性影响较小的系统文件， 或者不会对系统的安全产生影响的系统文件， 而且是病毒进程一般不会感染的系统文件， 这类系统文件在未对系统安全 产生影响的条件下， 不需要 ^ί'爹复该类系统文件。
[0035] 根据一个示例性实施方案， 对于注册表的修复判断， 系统修复规则 的设定方式可以为： 将注册表的当前信息与注册表对应项的默认设置进行 比较， 以此来判断是否需要修复。
[0036] 注册表项分级为重要项和非重要项。 其中重要项包括： 容易被木马 或病毒修改用于加载进程项， 以及用户或者应用软件修改项； 非重要项是 指一般很少改动的项。
[0037] 通过对比系统默认项和检测用户修改项以及其指向的文件的安全 性， 判断系统是否需要修复。 如果判断某些注册表项被恶意修改或者某些 启动项指向的文件为危险文件， 则该项注册表需要修复。
[0038] 步骤 S103 , 修复所述系统文件和 /或注册表。
[0039] 若通过修复判断， 需要修复系统， 则根据判断结果修复系统文件或 修复注册表项。
[0040] 对于系统文件的修复可以包括， 如果发现系统文件被修改， 则先检 查系统文件的版本信息， 然后调用后台查询修改文件的安全性。 如果发现 系统文件被删减或修改， 则从预设的标准库中导入相应的系统文件或者替 换对应的系统文件。
[0041] 对于注册表的修复， 可以包括将注册表中被修改的选项恢复到系统 默认的安全设置， 或者是恢复到用户对注册表中修改后的信息。
[0042] 例如， 若检测到系统的驱动文件 serial.sys被病毒感染， 则从标准库 文件中找到该文件并替换； 对于注册表的修复则首先判断注册表是否需要 删除， 若为指向危险文件的启动项， 则需要删除该启动项注册表， 用户或 者应用软件修改的其他安全的启动项注册表则保留； 又如， 若检测到注册 表项的 IE首页指向为一个挂马网址， 则将其修改为默认值 blank即可。
[0043] 本实施例通过对系统文件以及注册表进行安全性检查， 根据检查结 果判断系统是否需要修复， 若需要修复， 则对系统文件和 /或注册表进行修 复， 减小了系统修复存在的风险， 提高了系统修复的安全性和准确性。
[0044] 如图 2所示， 根据本发明第二实施例提出一种系统修复方法， 在上 述第一实施例的基础上， 该系统修复方法还包括步骤 S104、 S105和 S106。
[0045] 在上述步骤 S102判断系统文件和 /或注册表需要修复的之后，所述修 复方法还包括步骤 S104, 对系统状态信息进行记录。
[0046] 在上述步骤 S103修复系统文件和 /或注册表的之后，所述修复方法还 包括：
[0047] 步骤 S105 , 判断用户是否选择系统还原； 若是， 则进入步骤 S106; 步骤 S106, 对所述系统进行还原。
[0048] 本实施例与上述第一实施例的区别在于， 本实施例在实现对系统的 修复后， 还可在用户选择需要还原系统时， 实现对系统的还原。
[0049] 具体地， 为了实现对系统的还原， 本实施例在判断系统文件和 /或注 册表需要修复时， 记录系统的状态信息。
[0050] 根据示例性实施方案， 系统的状态信息记录包括两部分： 系统文件 状态信息的记录以及注册表状态信息的记录， 并分别形成系统文件状态信 息表和注册表状态信息表。 记录的系统状态信息用于例如在系统修复失败 时或者用户选择还原系统时的系统还原。 在本实施例中采用以下系统状态 信息记录方法：
[0051] 系统文件状态信息可以包括： 系统文件数目、 文件名和系统文件的 版本信息以及校验信息。 在记录系统文件状态信息的同时， 将该信息进行 备份。 系统文件状态信息的记录格式可以如下表 1所示：
Figure imgf000008_0001
表 1
[0052] 由于系统文件数目大， 如果记录所有文件， 将会影响文件的记录效 率和后续查询效率。 因此， 根据本发明的一个优选实施例， 可以采用移动 的压缩方法， 包括： 对于非常见不易修改的系统文件， 采用文件夹记录的 方式， 只记录文件夹中文件的数目和校验信息， 而不记录每个文件的版本 信息， 以减小记录信息的存储量和提高记录的效率。 [0053] 同时， 还要记录各类别文件的 MD5信息， 并对其进行 MD5加密， 用于后续系统还原判定。 如： 将内核的校验信息加密得到 MD513 ( MD51 , MD52, MD53, ),将驱动校验信息加密得到 MD547 ( MD54, MD55, MD56, MD57 ) , 最终得到 MD517。 MD517记录了整个系统文件的状态信息。
[0054] 系统的注册表状态信息记录可以包括记录系统默认的状态表各项的 键值， 以及用户或者应用软件修改后的注册表各项的键值。 其记录格式可 以如下表 2所示：
Figure imgf000009_0001
表 2
[0055] 由于系统注册表项较多， 包括 5个大类， 而每个大类又包含多个项， 每项又包含多个子项信息。 如果记录每个子项的状态信息， 则需要很大的 存储空间， 而且后续查询效率低下。 因此， 在示例性实例中， 可以在记录 注册表状态信息时， 对注册表状态信息进行压缩， 以提高存储效率和后续 查询速度。
[0056] 一种示例性的实现为： 将注册表分为 5部分， 对应注册表的 5大类。 对于每一类注册表， 将表项分为重要表项和非重要表项， 其中重要表项是 指与系统安全相关的经常被木马或病毒软件利用的表项，如系统启动项、 IE 默认项、 系统服务、 协议相关表项， 以及用户可能会修改的表项， 如： 由 于安装软件修改的打开方式注册表项等； 非重点表项是指很少被修改的表 项。
[0057] 对于非重要表项， 将所有默认值映射成一个值， 而将重要表项的每 一项对应一个值， 然后计算重要项的所有值以及非重点项映射值的合集， 以确定该注册表是否被修改。
[0058] 图 3是一种用户的注册表项信息设置示意图。 其中， 注册表项 1是 安装 PPlive修改的注册表项， 注册表项 2是 IE默认首页注册表项， 注册表 项 1和注册表项 2均属于重要注册表项。 注册表项 3不属于经常易被利用 的注册表项和经常被修改的注册表项， 因此属于非重要注册表项。
[0059] 注册表状态信息的记录方式与系统文件状态信息的记录方式类似， 分别记录重要项和非重要项， 将重要项和非重要项合并成该类注册表的记 录， 然后将各类注册表的记录信息合并成整个注册表的信息。
[0060] 例 如 图 3 中 的 重 要 注 册 表 项 1 的 信 息 为 ： HKEY_CLASSES_ROOT\Synacast\Shell\Open\Command"C:\Program
Files\PPLive\PPTV\PPLive.exe" " % 1 " , 以上字符加密后得到 MD51 , 重要注 册 表 项 2 的 信 息 为 ： HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet
Explorer\MAIN\Start Page http://www.google.com.hk, 以上字符加密后得到
MD52, 将两类重要注册表项 1、 2的信息再次加密后得到 MD512 ( MD51 , MD52 ) , 非 重 要 注 册 表 项 3 的 信 息 为 ： HKEY_CURRENT_CONFIG\Software\Fonts, 以上字符加密后得到 MD53, 最终得到 MD513 ( MD512, MD53 )表示整个注册表的记录信息。 [0061] 这里使用的加密方法为 MD5方法， 但是， 实际操作中还可以使用其 他信息加密方法获取系统的整体信息。
[0062] 当系统修复后， 用户需要手动还原， 则根据之前记录的系统修复前 的状态信息， 分别将系统文件和注册表信息还原到修复前的状态。 一种示 例性的还原方法包括：
[0063] 对于系统文件， 首先查找系统文件的状态信息表， 通过 MD5信息确 定系统文件修改类别， 然后采用同样的方法查找对应的重要级文件或非重 要级文件集， 最后找到对应的版本信息和校验信息， 从备份文件中查找对 应的系统文件并还原。
[0064] 对于注册表信息， 采用两种还原方式： 一种方式是根据记录的注册 表状态信息查找注册表修改项在修改前的设定值， 将修复后的设定值还原 到修改前的设定值； 另一种方式是向用户反馈注册表修改内容， 由用户手 动指定还原内容。
[0065] 注册表还原采用和系统文件还原类似的方法： 查寻到对应的类别， 然后找到对应的注册表项， 还原为所记录的状态， 直至还原完成。
[0066] 本实施例通过对系统文件以及注册表进行安全性检查， 根据检查结 果判断系统是否需要修复， 若需要修复， 则对系统文件和 /或注册表进行相 应的修复； 此外， 在系统修复操作完成后， 若用户需要手动还原系统， 则 根据之前记录的系统状态信息， 由用户手动还原指定内容， 从而减小了系 统修复存在的风险， 提高了系统修复的安全性和准确性， 并有利于对系统 的还原。
[0067] 如图 4所示， 根据本发明第三实施例提出一种系统修复方法， 在上 述第二实施例的基础上， 在上述步骤 S103修复系统文件和 /或注册表之后， 所述修复方法还包括：
[0068] 步骤 S107, 判断所述系统修复是否异常； 若是， 则进入步骤 S106; 否则， 进入步骤 S105。
[0069] 本实施例与上述第二实施例的区别在于， 本实施例在实现对系统的 修复后， 还可对系统修复异常进行判断， 若系统修复异常， 则对系统进行 还原。
[0070] 具体地， 为了实现对系统的还原， 本实施例在判断系统文件和 /或注 册表需要修复时， 记录系统的状态信息， 该过程与上述第二实施例相同， 在此不再赘述。
[0071] 由于对系统文件的修复和系统注册表的修复可能存在一定的风险， 一旦修改失败， 可能会导致新的问题， 甚至使系统崩溃。 因此， 可以在系 统修复完成时， 对系统修复进行判断， 以确定是否会出现修复异常。
[0072] 例如， 对注册表的修复策略采用了恢复默认注册表值， 而木马或者 病毒采取的方式是： 隔段时间检查注册表项是否被修复， 如果发现被修复 则进行回写。 因此， 在注册表修复时直接将注册表恢复成默认值并不合理， 还存在修复后被回写的情况。 若某些被系统安全软件修复项被回写， 则在 上述修复判定中被判定为修复异常。
[0073] 具体地， 对系统文件修复异常的判断策略为， 对修复的系统文件和 注册表信息做异常监测， 例如可以包括： 对于系统文件， 将被修复的系统 文件和用于修复的系统文件提交至后台服务器进行检测， 确认被修复的系 统文件会产生系统安全问题， 而用于修复的系统文件不会产生安全问题。 通过对用于修复的系统文件的异常监测， 可以发现被修复的文件再次感染， 从而判定为修复异常， 以避免病毒的反复回写。
[0074] 对于注册表修复， 若注册表的修复策略采用了恢复默认注册表值， 则需要检查默认注册表值是否存在修复后被病毒回写， 若某些被系统安全 软件修复项被回写， 则在上述修复判定中被判定为修复异常。
[0075] 此外， 若注册表的修复策略采用用户或系统安全软件对注册表进行 修改， 则将按照修改策略修改后的注册表与系统修复前用户或系统安全软 件对注册表的修改进行比较， 同时检查注册表修改项对应的文件的属性， 并进行安全性校验。 如果修改项不存在用户的修改值， 则修改为默认值， 判定为正常修复； 若修改项存在用户设定值， 则判定用户设定值的指向， 然后将设置值指向内容提交至后台处理， 以检测其是否存在安全风险， 若 存在安全风险， 则判定修复异常， 否则， 判定修复正常。
[0076] 需要说明的是， 对于上述注册表修复策略问题， 对比修复后的注册 表项与修复前的注册表项是否存在用户修改项， 并查找用户修改项的值， 然后检验其安全性， 确定是按照上述修复策略设置为默认值， 还是修改为 病毒修改前的用户修改值。 如果用户修改值的指向不存在安全风险， 而修 改策略将其设置为默认值， 则认为修复异常； 或者用户并未修改， 而修改 策略将其修改为非默认值， 也确定为修复异常。
[0077] 当确定系统修复异常， 或者修复后用户需要手动还原时， 需要对系 统修复进行还原， 以避免由于异常修复导致的其它系统问题。 根据之前记 录的系统修复前的系统状态信息， 分别将系统文件和注册表信息还原到修 复前的状态。 具体还原方法为：
[0078] 对于系统文件， 查找系统文件的状态信息表， 通过 MD5信息确定系 统文件修改类别， 然后采用同样的方法查找对应的重要级文件或非重要级 文件集， 最后找到对应的版本信息和校验信息， 从备份文件中查找对应的 文件并还原。
[0079] 如上表 1所示， 如果确定系统修复异常， 首先判断 MD517变化， 然 后查找到驱动校验信息 MD547变化， 最后确定是由于修复 fastfat.sys导致 MD54变化引起， 因此， 还原该系统文件即可。
[0080] 对于注册表信息， 采用两种还原方式： 一种方式是根据记录的注册 表状态信息， 查找注册表修改项在修改前的设定值， 将修复后的设定值还 原到修改前的设定值； 另一种方式是向用户反馈注册表修改内容， 由用户 手动指定还原内容。
[0081] 注册表还原采用和系统文件还原类似的方法： 查寻到对应的类别， 然后找到对应的注册表项， 还原为所记录的状态， 直至还原完成。
[0082] 本实施例通过对系统文件以及注册表进行安全性检查， 根据检查结 果判断系统是否需要修复， 若需要修复， 则对系统文件和 /或注册表进行修 复； 此外， 在系统修复操作完成后， 检测系统修复是否存在异常， 如果存 在异常， 则根据之前记录的系统状态信息回退到系统状态正常的情况， 亦 可手动还原指定内容。 如果系统修复没有异常则确定系统修复完成， 从而 避免了系统修复时可能存在的异常修复， 减小了系统修复存在的风险， 提 高了系统修复的安全性、 准确性和可靠性。
[0083] 如图 5所示， 根据本发明一实施例提出的一种系统修复装置包括： 安全检查模块 501、 修复判断模块 502以及修复模块 503 , 其中：
[0084] 安全检查模块 501 ,用于对系统中的系统文件以及注册表进行安全性 检查；
[0085] 修复判断模块 502, 用于当检测结果异常时，根据预置的系统修复规 贝' J , 判断所述系统文件和 /或注册表是否需要修复； 以及
[0086] 修复模块 503 , 用于当所述修复判断模块判断所述系统文件和 /或注 册表需要修复时， 修复所述系统文件和 /或注册表。
[0087] 根据本发明的该实施例， 当系统出现故障时， 在对系统进行修复时， 不仅要对系统文件进行检查和修复， 而且还要对系统的注册表进行检查和 修复， 以提高系统修复的可靠性， 避免系统修复异常。
[0088] 首先， 通过安全检查模块 501 对系统中的系统文件以及注册表进行 安全性检查， 判断是否存在安全隐患。
[0089] 对于系统文件的安全性检查例如可以包括查看当前系统文件是否为 与当前操作系统匹配的系统文件。 扫描系统文件， 根据该系统文件的 MD5 到后台去查询系统文件是否为风险文件， 如果后台上报异常， 表明该系统 文件需要修复； 如果后台上报该系统文件不是风险文件， 则对系统文件进 行分级， 若果是重要级文件， 则检测其签名， 如果系统文件的签名没有通 过检测， 则表明该系统文件与当前系统不匹配， 存在风险， 该系统文件是 需要修复的文件； 如果系统文件的签名通过， 则表明系统文件的安全状态 正常。
[0090] 对于注册表的安全性检查例如可以包括查看注册表的当前信息是否 存在恶意修改项。 将注册表当前值与注册表默认值进行比较， 判断当前注 册表的值是否有修改， 如果有修改， 而且这种修改符合异常修改（比如将 值从 0改为 1 ), 则认为该注册表需要修复； 如果注册表的修改是指向的一 个文件， 则对该文件进行检查， 具体根据该文件的 MD5到后台去查询， 判 断该文件是否为存在风险的文件， 若是， 则表明该注册表需要修复， 如果 不是， 则表明该注册表不需要修复。
[0091] 通过系统文件检查和注册表检查， 可以确定系统的安全状态。 例如， 特洛伊木马 Troj an.Neprodoor会感染系统的 ndis . sys文件， 同时， 该木马会 修改系统的启动项注册表， 在系统启动时加载该木马进程。 该木马不但使 驱动文件 ndis.sys保持原有的功能，同时将后门程序注入到 Service.exe程序 中。 木马运行后可能接受远程指令而盗取用户信息。 因此， 通过系统安全 性检查， 会检查到系统文件 ndis.sys被病毒修改， 因此该文件存在异常； 另 夕卜， 通过安全性检查， 检查到注册表的启动项也被修改为指向病毒进程的 启动项， 因此注册表中指向病毒进程的启动项也同样存在异常。
[0092] 修复判断模块 502根据上述安全检查模块 501检测获得系统的安全 性检查结果， 以及预先设置的系统修复规则， 来判断系统是否需要修复。
[0093] 其中， 对于系统文件的修复判断， 系统修复规则的设定方式可以为： 将系统文件分级为重要和非重要， 其中， 重要级文件是指对操作系统启动 和运行非常重要的文件， 若这些文件被感染或者被破坏将会导致系统无法 启动、 无法正常运行或者导致病毒进程被加载， 因此， 这类重要级系统文 件遭到破坏就需要对其进行修复，如 windows\system32目录下的 kernel32.dll 文件； 而非重要级文件是指对系统安全性影响较小的系统文件， 或者不会 对系统的安全产生影响的系统文件， 而且是病毒进程一般不会感染的系统 文件， 这类系统文件在未对系统安全产生影响的条件下， 不需要修复该类 系统文件。
[0094] 对于注册表的修复判断， 系统修复规则的设定方式可以为： 将注册 表的当前信息与注册表对应项的默认设置进行比较， 以此来判断是否需要 修复。
[0095] 注册表项分级为重要项和非重要项。 其中重要项包括： 容易被木马 或病毒修改用于加载进程项， 以及用户或者应用软件修改项； 非重要项是 指一般很少改动的项。
[0096] 通过对比系统默认项和检测用户修改项以及其指向的文件的安全 性， 判断系统是否需要修复。 如果判断某些注册表项被恶意修改或者某些 启动项指向的文件为危险文件， 则该项注册表需要修复。
[0097] 若通过修复判断， 需要修复系统， 修复模块 503 则根据判断结果修 复系统文件或修复注册表项。在一个示例性实施方案中， 所述修复模块 503 被配置为：
[0098] 对于系统文件的修复， 如果发现系统文件被修改， 则先检查系统文 件的版本信息， 然后调用后台查询修改文件的安全性。 如果发现系统文件 被删减或修改， 则从预设的标准库中导入相应的系统文件或者替换对应的 系统文件。
[0099] 对于注册表的修复， 则是将注册表中被修改的选项恢复到系统默认 的安全设置， 或者是恢复到用户对注册表中修改后的信息。
[0100] 例如， 若检测到系统的驱动文件 serial.sys被病毒感染， 则所述爹复 模块 503被配置为从标准库文件中找到该文件并替换； 对于注册表的修复 则首先判断注册表是否需要删除， 若为指向危险文件的启动项， 则所述修 复模块 503被配置为删除该启动项注册表， 用户或者应用软件修改的其他 安全的启动项注册表则被所述修复模块 503保留； 又如， 若检测到注册表 项的 IE首页指向为一个挂马网址， 则所述修复模块 503被配置为将其修改 为默认值 blank。
[0101] 本实施例通过对系统文件以及注册表进行安全性检查， 根据检查结 果判断系统是否需要修复， 若需要修复， 则对系统文件和 /或注册表进行相 应的修复， 减小了系统修复存在的风险， 提高了系统修复的安全性和准确 性。
[0102] 如图 6所示， 根据本发明另一实施例提出一种系统修复装置， 在上 述第一实施例的基础上， 还包括： 状态记录模块 504以及还原模块 505 , 其 中：
[0103] 状态记录模块 504, 连接到修复判断模块 502和修复模块 503 , 用于 对系统状态信息进行记录； 以及
[0104] 还原模块 505 , 连接到修复模块 503 , 用于对所述系统进行还原。
[0105] 本实施例与上述第一实施例的区别在于， 本实施例在实现对系统的 修复后， 还可在用户选择需要还原系统时， 实现对系统的还原。
[0106] 具体地， 为了实现对系统的还原， 本实施例在判断系统文件和 /或注 册表需要修复时， 通过状态记录模块 504记录系统的状态信息。
[0107] 其中， 系统的状态信息记录包括两部分： 系统文件状态信息的记录 以及注册表状态信息的记录， 并分别形成系统文件状态信息表和注册表状 态信息表。 记录的系统状态信息用于在系统修复失败时的还原。 本实施例 采用以下系统状态信息记录方法：
[0108] 系统文件状态信息包括： 系统文件数目、 文件名和系统文件的版本 信息以及校验信息。 在记录系统文件状态信息的同时， 将该信息进行备份。 系统文件状态信息的记录格式可以如上表 1所示。
[0109] 由于系统文件数目大， 如果记录所有文件， 将会影响文件的记录效 率和后续查询效率。 因此， 在本发明的一个优选实施例中， 可以采用移动 的压缩方法， 包括： 对于非常见不易修改的系统文件， 采用文件夹记录的 方式， 只记录文件夹中文件的数目和校验信息， 而不记录每个文件的版本 信息， 以减小记录信息的存储量和提高记录的效率。
[0110] 同时， 还要记录各类别文件的 MD5信息， 并对其进行 MD5加密， 用于后续系统还原判定。 如： 将内核的校验信息加密得到 MD513 ( MD51 , MD52, MD53, ),将驱动校验信息加密得到 MD547 ( MD54, MD55, MD56, MD57 ) , 最终得到 MD517。 MD517记录了整个系统文件的状态信息。
[0111] 系统的注册表状态信息记录是指记录系统默认的状态表各项的键 值， 以及用户或者应用软件修改后的注册表各项的键值。 其记录格式如上 表 2所示：
[0112] 由于系统注册表项较多， 包括 5个大类， 而每个大类又包含多个项， 每项又包含多个子项信息。 如果记录每个子项的状态信息， 则需要很大的 存储空间， 而且后续查询效率低下。 因此， 在记录注册表状态信息时， 可 以对注册表状态信息进行压缩， 以提高存储效率和后续查询速度。
[0113] 一种示例性的实现包括： 将注册表分为 5部分计算， 对应注册表的 5 大类。 对于每一类注册表， 将表项分为重要表项和非重要表项， 其中重要 表项是指与系统安全相关的经常被木马或病毒软件利用的表项， 如系统启 动项、 IE默认项、 系统服务、 协议相关表项， 以及用户可能会修改的表项， 如： 由于安装软件修改的打开方式注册表项等； 非重点表项是指很少被修 改的表项。
[0114] 对于非重要表项， 将所有默认值映射成一个值， 而将重要表项的每 一项对应一个值， 然后计算重要项的所有值以及非重点项映射值的合集， 以确定该注册表是否被修改。
[0115] 如图 3所示， 图 3是一种用户的注册表项信息设置示意图。 其中， 注册表项 1是安装 PPlive修改的注册表项， 注册表项 2是 IE默认首页注册 表项， 注册表项 1和注册表项 2均属于重要注册表项。 注册表项 3不属于 经常易被利用的注册表项和经常被修改的注册表项， 因此属于非重要注册 表项。
[0116] 注册表状态信息的记录方式与系统文件状态信息的记录方式类似， 分别记录重要项和非重要项， 将重要项和非重要项合并成该类注册表的记 录， 然后将各类注册表的记录信息合并成整个注册表的信息。
[0117] 例 如 图 3 中 的 重 要 注 册 表 项 1 的 信 息 为 ： HKEY_CLASSES_ROOT\Synacast\Shell\Open\Command"C:\Program
Files\PPLive\PPTV\PPLive.exe" " % 1 " , 以上字符加密后得到 MD51 , 重要注 册 表 项 2 的 信 息 为 ：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet
Explorer\MAIN\Start Page http://www.google.com.hk, 以上字符加密后得到
MD52, 将两类重要注册表项 1、 2的信息再次加密后得到 MD512 ( MD51 , MD52 ) , 非 重 要 注 册 表 项 3 的 信 息 为 ： HKEY_CURRENT_CONFIG\Software\Fonts, 以上字符加密后得到 MD53, 最终得到 MD513 ( MD512, MD53 )表示整个注册表的记录信息。
[0118] 这里使用的加密方法为 MD5方法， 但是， 实际操作中还可以使用其 他信息加密方法获取系统的整体信息。
[0119] 当系统修复后， 用户需要手动还原， 则由还原模块 505根据之前记 录的系统修复前的状态信息， 分别将系统文件和注册表信息还原到修复前 的状态。 在一个示例性实施方案中， 所述还原模块 505被配置为：
[0120] 对于系统文件， 首先查找系统文件的状态信息表， 通过 MD5信息确 定系统文件修改类别， 然后采用同样的方法查找对应的重要级文件或非重 要级文件集， 最后找到对应的版本信息和校验信息， 从备份文件中查找对 应的系统文件并还原； 以及
[0121] 对于注册表信息， 采用两种还原方式： 一种方式是根据记录的注册 表状态信息查找注册表修改项在修改前的设定值， 将修复后的设定值还原 到修改前的设定值； 另一种方式是向用户反馈注册表修改内容， 由用户手 动指定还原内容。
[0122] 注册表还原采用和系统文件还原类似的方法： 通过类别查到到对应 的类别， 然后找到对应的注册表项， 还原为记录状态， 直至还原完成。
[0123] 本实施例通过对系统文件以及注册表进行安全性检查， 根据检查结 果判断系统是否需要修复， 若需要修复， 则对系统文件和 /或注册表进行修 复； 此外， 在系统修复操作完成后， 若用户需要手动还原系统， 则根据之 前记录的系统状态信息， 由用户手动还原指定内容， 从而减小了系统修复 存在的风险， 提高了系统修复的安全性和准确性， 并有利于对系统的还原。
[0124] 如图 7所示， 根据本发明再一实施例提出一种系统修复装置， 在上 述第二实施例的基础上， 还包括： 异常判断模块 506, 其中：
[0125] 异常判断模块 506与还原模块 505均连接到修复模块 503。异常判断 模块 506用于判断所述系统修复是否异常； 若所述系统修复异常， 则由所 述还原模块 505对所述系统进行还原。
[0126] 本实施例与上述第二实施例的区别在于， 本实施例在实现对系统的 修复后， 还可对系统修复异常进行判断， 若系统修复异常， 则对系统进行 还原。 [0127] 为了实现对系统的还原， 本实施例在判断系统文件和 /或注册表需要 修复时， 通过状态记录模块 504记录系统的状态信息， 该过程与上述第二 实施例相同， 在此不再赘述。
[0128] 由于对系统文件的修复和系统注册表的修复可能存在一定的风险， 一旦修改失败， 可能会导致新的问题， 甚至使系统崩溃。 因此， 可以在系 统修复完成时， 对系统修复进行判断， 以确定是否会出现修复异常。
[0129] 例如， 对注册表的修复策略采用了恢复默认注册表值， 而木马或者 病毒采取的方式是： 隔段时间检查注册表项是否被修复， 如果发现被修复 则进行回写。 因此， 在注册表修复时直接将注册表恢复成默认值并不合理， 还存在修复后被回写的情况。 若某些被系统安全软件修复项被回写， 则上 述修复判定为修复异常。
[0130] 异常判断模块 506对系统文件修复异常的判断策略为， 对修复的系 统文件和注册表信息做异常监测， 可以包括： 对于系统文件， 将被修复的 系统文件和用于修复的系统文件提交至后台服务器进行检测， 确认被修复 的系统文件会产生系统安全问题， 而用于修复的系统文件不会产生安全问 题。 通过对用于修复的系统文件的异常监测， 可以发现被修复的文件再次 感染， 从而判定为修复异常， 以避免病毒的反复回写。
[0131] 对于注册表修复， 若注册表的修复策略采用了恢复默认注册表值， 则需要检查默认注册表值是否存在修复后被病毒回写， 若某些被系统安全 软件修复项被回写， 则上述修复判定为修复异常。
[0132] 此外， 若注册表的修复策略采用用户或系统安全软件对注册表进行 修改， 则将按照修改策略修改后的注册表与系统修复前用户或系统安全软 件对注册表的修改进行比较， 同时检查注册表修改项对应的文件的属性， 并进行安全性校验。 如果修改项不存在用户的修改值， 则修改为默认值， 判定为正常修复； 若修改项存在用户设定值， 则判定用户设定值的指向， 然后将设置值指向内容提交至后台处理， 以检测其是否存在安全风险， 若 存在安全风险， 则判定修复异常， 否则， 判定修复正常。
[0133] 需要说明的是， 对于上述注册表修复策略问题， 对比修复后的注册 表项与修复前的注册表项是否存在用户修改项， 并查找用户修改项的值， 然后检验其安全性， 确定是按照上述修复策略设置为默认值， 还是修改为 病毒修改前的用户修改值。 如果用户修改值的指向不存在安全风险， 而修 改策略将其设置为默认值， 则认为修复异常； 或者用户并未修改， 而修改 策略将其修改为非默认值， 也确定为修复异常。
[0134] 当确定系统修复异常， 或者修复后用户需要手动还原时， 需要对系 统修复进行还原， 以避免由于异常修复导致的其它系统问题。 根据之前记 录的系统修复前的系统状态信息， 分别将系统文件和注册表信息还原到修 复前的状态。 具体还原方法为：
[0135] 对于系统文件， 查找系统文件的状态信息表， 通过 MD5信息确定系 统文件修改类别， 然后采用同样的方法查找对应的重要级文件或非重要级 文件集， 最后找到对应的版本信息和校验信息， 从备份文件中查找对应的 文件并还原。
[0136] 如上表 1所示， 如果确定系统修复异常， 首先判断 MD517变化， 然 后查找到驱动校验信息 MD547变化， 最后确定是由于修复 fastfat.sys导致 MD54变化引起， 因此， 还原该系统文件即可。
[0137] 对于注册表信息， 采用两种还原方式： 一种方式是根据记录的注册 表状态信息， 查找注册表修改项在修改前的设定值， 将修复后的设定值还 原到修改前的设定值； 另一种方式是向用户反馈注册表修改内容， 由用户 手动指定还原内容。
[0138] 注册表还原采用和系统文件还原类似的方法： 通过类别查到到对应 的类别， 然后找到对应的注册表项， 还原为记录状态， 直至还原完成。 [0139] 本实施例通过对系统文件以及注册表进行安全性检查， 根据检查结 果判断系统是否需要修复， 若需要修复， 则对系统文件和 /或注册表进行修 复； 此外， 在系统修复操作完成后， 检测系统修复是否存在异常， 如果存 在异常， 则根据之前记录的系统状态信息回退到系统状态正常的情况， 亦 可手动还原指定内容。 如果系统修复没有异常则确定系统修复完成， 从而 避免了系统修复时可能存在的异常修复， 减小了系统修复存在的风险， 提 高了系统修复的安全性、 准确性， 保证了修复的可靠性。
[0140] 此外， 本发明还提出一种计算机可读取的存储介质， 在其上存储了 使计算机能够运行的程序， 在程序装入计算机的存储器内后， 使所述计算 机对系统中的系统文件以及注册表进行安全性检查； 当检测结果存在异常 时， 根据预置的系统修复规则， 判断所述系统文件和 /或注册表是否需要修 复； 若需要修复， 则修复所述系统文件和 /或注册表。
[0141] 本发明上述实施例均以 windows 操作系统举例说明， 但并不限于 windows操作系统，其他操作系统也可以参照采用本发明的上述方案进行系 统修复， 比如 mac或者 linux系统等， 其修复原理在此不再赘述。
[0142] 以上所述仅为本发明的优选实施例， 并非因此限制本发明的专利范 围， 凡是利用本发明说明书及附图内容所作的等效结构或流程变换， 或直 接或间接运用在其它相关的技术领域， 均同理包括在本发明的专利保护范 围内。

Claims

权 利 要 求
1、 一种系统修复方法， 包括：
对系统中的系统文件以及注册表进行安全性检查；
当检测结果存在异常时， 根据预置的系统修复规则， 判断所述系统文 件和 /或注册表是否需要修复； 以及
若需要修复， 则修复所述系统文件和 /或注册表。
2、根据权利要求 1所述的方法， 其中， 所述判断系统文件和 /或注册表 需要修复的步骤之后还包括：
对系统状态信息进行记录；
所述修复系统文件和 /或注册表的步骤之后还包括：
根据记录的系统状态信息对所述系统进行还原。
3、 根据权利要求 2所述的方法， 其中， 所述对系统进行还原之前还包 括：
判断所述系统修复是否异常； 若所述系统修复异常， 则对所述系统进 行还原。
4、 根据权利要求 1或 2所述的方法， 所述对系统中的系统文件以及注 册表进行安全性检查的步骤包括：
查看当前系统文件是否为与所述系统匹配的系统文件， 若不匹配， 则 当前系统文件存在异常； 以及
查看所述注册表的当前信息是否存在恶意修改项； 若存在恶意修改项， 则当前注册表存在异常。
5、 根据权利要求 4所述的方法， 所述根据检查结果以及预置的系统修 复规则， 判断所述系统文件是否需要修复的步骤包括：
当所述系统文件存在异常时， 判断所述系统文件是否为重要级文件； 若所述系统文件为重要级文件， 则所述系统文件需要修复， 否则， 不需要 修复。
6、 根据权利要求 4所述的方法， 所述根据检查结果以及预置的系统修 复规则， 判断所述注册表是否需要修复的步骤包括：
当所述注册表的当前信息存在异常时， 将所述注册表的当前信息与注 册表对应项的默认设置进行比较； 以及
若所述注册表对应项中存在重要级注册表项被恶意修改， 或者存在启 动项指向的文件为危险文件的情形， 则判定所述注册表需要修改； 否则， 判断所述注册表不需要修改。
7、 根据权利要求 2所述的方法， 所述对系统状态信息进行记录的步骤 包括：
分别记录所述系统文件以及所述注册表的状态信息， 并对所述状态信 息进行压缩、 加密和 /或备份处理。
8、 一种系统修复装置， 包括：
安全检查模块， 用于对系统中的系统文件以及注册表进行安全性检查； 修复判断模块， 用于当检测结果存在异常时， 根据预置的系统修复规 则， 判断所述系统文件和 /或注册表是否需要修复； 以及
修复模块， 用于当所述修复判断模块判断所述系统文件和 /或注册表需 要修复时， 修复所述系统文件和 /或注册表。
9、 根据权利要求 8所述的装置， 还包括：
状态记录模块， 用于对系统状态信息进行记录；
还原模块， 用于根据所述状态记录模块记录的系统状态信息对所述系 统进行还原。
10、 根据权利要求 8所述的装置， 还包括：
异常判断模块， 用于判断所述系统修复是否异常； 若所述系统修复异 常， 则由所述还原模块对所述系统进行还原。
11、 根据权利要求 8或 9所述的装置， 所述安全检查模块还用于查看 当前系统文件是否为与所述系统匹配的系统文件， 若不匹配， 则判定当前 系统文件存在异常； 以及用于查看所述注册表的当前信息是否存在恶意修 改项； 若存在恶意修改项， 则判定当前注册表存在异常。
12、 根据权利要求 8或 9所述的装置， 所述修复判断模块还用于当所 述系统文件存在异常时， 判断所述系统文件是否为重要级文件； 若所述系 统文件是重要级文件， 则判定所述系统文件需要修复， 否则， 判定所述系 统文件不需要修复； 以及还用于当所述注册表的当前信息存在异常时， 将 所述注册表的的当前信息与注册表对应项的默认设置进行比较； 若所述注 册表对应项中存在重要级注册表项被恶意修改， 或者存在启动项指向的文 件为危险文件的情形， 则判定所述注册表需要修改； 判断所述注册表不需 要修改。
13、 根据权利要求 9所述的装置， 所述状态记录模块还用于分别记录 所述系统文件以及所述注册表的状态信息， 并对所述状态信息进行压缩、 加密和 /或备份处理。
14、 一种计算机可读取的存储介质， 在其上存储了使计算机能够运行 的程序， 在程序装入计算机的存储器内后， 使所述计算机对系统中的系统 文件以及注册表进行安全性检查； 当检测结果存在异常时， 根据预置的系 统修复规则， 判断所述系统文件和 /或注册表是否需要修复； 若需要修复， 则修复所述系统文件和 /或注册表。
PCT/CN2013/077782 2012-06-25 2013-06-24 系统修复方法、装置及存储介质 WO2014000613A1 (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US14/575,680 US20150106652A1 (en) 2012-06-25 2014-12-18 System repair method and device, and storage medium

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201210210425.6 2012-06-25
CN201210210425.6A CN102799500B (zh) 2012-06-25 2012-06-25 系统修复方法及装置

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US14/575,680 Continuation US20150106652A1 (en) 2012-06-25 2014-12-18 System repair method and device, and storage medium

Publications (1)

Publication Number Publication Date
WO2014000613A1 true WO2014000613A1 (zh) 2014-01-03

Family

ID=47198614

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2013/077782 WO2014000613A1 (zh) 2012-06-25 2013-06-24 系统修复方法、装置及存储介质

Country Status (3)

Country Link
US (1) US20150106652A1 (zh)
CN (1) CN102799500B (zh)
WO (1) WO2014000613A1 (zh)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
TWI718636B (zh) * 2018-12-27 2021-02-11 台達電子工業股份有限公司 軟體安全檢測系統及軟體安全檢測方法
CN112580037A (zh) * 2019-09-30 2021-03-30 奇安信安全技术(珠海)有限公司 病毒文件数据的修复方法、装置及设备
USRE48722E1 (en) 2004-08-17 2021-09-07 Dirtt Environmental Solutions Ltd. Integrated reconfigurable wall system
CN114579368A (zh) * 2022-05-07 2022-06-03 武汉四通信息服务有限公司 持续数据保护的备份管理方法、计算机设备及存储介质

Families Citing this family (17)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102799500B (zh) * 2012-06-25 2014-04-30 腾讯科技（深圳）有限公司 系统修复方法及装置
CN103885863B (zh) * 2012-12-24 2018-12-11 腾讯科技（深圳）有限公司 系统故障的处理方法及虚拟机
CN103310154B (zh) * 2013-06-04 2016-12-28 腾讯科技（深圳）有限公司 信息安全处理的方法、设备和系统
TWI486913B (zh) * 2013-06-14 2015-06-01 Vivotek Inc 具網路與錄影功能之安全監控裝置及儲存裝置的偵錯及修復方法
CN104123223B (zh) * 2014-07-02 2017-11-10 珠海市君天电子科技有限公司 软件的修复方法和装置
CN105302654B (zh) * 2014-07-25 2019-10-08 腾讯科技（深圳）有限公司 一种修复浏览器内核的方法和装置
CN105279054A (zh) * 2015-09-25 2016-01-27 北京金山安全软件有限公司 一种外设异常修复方法及装置
CN105740095B (zh) * 2016-01-01 2019-07-02 百势软件(北京)有限公司 一种恢复出厂设置的方法及装置
CN107229977A (zh) * 2016-03-25 2017-10-03 中国移动通信集团内蒙古有限公司 一种主机安全基线自动加固方法及系统
CN108089870B (zh) * 2016-11-21 2022-01-21 百度在线网络技术（北京）有限公司 用于修复应用的方法和装置
CN106446693B (zh) * 2016-12-06 2019-03-22 Oppo广东移动通信有限公司 移动终端的修复方法、装置、计算机可读存储介质和设备
CN108170437B (zh) * 2016-12-07 2021-03-12 腾讯科技（深圳）有限公司 一种应用管理方法及终端设备
CN107943607A (zh) * 2017-12-07 2018-04-20 珠海市君天电子科技有限公司 一种系统启动方法、装置及电子设备
CN109542498A (zh) * 2018-11-27 2019-03-29 郑州云海信息技术有限公司 一种用于管理漏洞的方法和装置
CN109933464B (zh) * 2019-02-28 2021-04-30 深圳市伟文无线通讯技术有限公司 mifi软件自我修复方法
CN112579330B (zh) * 2019-09-30 2024-02-06 奇安信安全技术(珠海)有限公司 操作系统异常数据的处理方法、装置及设备
CN112306725A (zh) * 2020-09-11 2021-02-02 神州融安科技（北京）有限公司 程序修复的方法、装置、电子设备及计算机可读存储介质

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1737722A (zh) * 2005-08-03 2006-02-22 珠海金山软件股份有限公司 一种检测和防御计算机恶意程序的系统和方法
CN101246535A (zh) * 2008-03-25 2008-08-20 深圳市迅雷网络技术有限公司 一种修复异常文件的方法、系统和装置
US7516150B1 (en) * 2004-10-29 2009-04-07 Symantec Corporation Update protection system and method
CN102799500A (zh) * 2012-06-25 2012-11-28 腾讯科技（深圳）有限公司 系统修复方法、装置及存储介质

Family Cites Families (20)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6016536A (en) * 1997-11-13 2000-01-18 Ye-Te Wu Method for backing up the system files in a hard disk drive
JP4501197B2 (ja) * 2000-01-07 2010-07-14 ソニー株式会社 情報携帯処理システム、情報携帯装置のアクセス装置及び情報携帯装置
US20040034794A1 (en) * 2000-05-28 2004-02-19 Yaron Mayer System and method for comprehensive general generic protection for computers against malicious programs that may steal information and/or cause damages
US7788699B2 (en) * 2002-03-06 2010-08-31 Vir2Us, Inc. Computer and method for safe usage of documents, email attachments and other content that may contain virus, spy-ware, or malicious code
US7523343B2 (en) * 2004-04-30 2009-04-21 Microsoft Corporation Real-time file system repairs
US7624443B2 (en) * 2004-12-21 2009-11-24 Microsoft Corporation Method and system for a self-heating device
US20060179484A1 (en) * 2005-02-09 2006-08-10 Scrimsher John P Remediating effects of an undesired application
US7664924B2 (en) * 2005-12-01 2010-02-16 Drive Sentry, Inc. System and method to secure a computer system by selective control of write access to a data storage medium
CN100461197C (zh) * 2006-05-16 2009-02-11 北京启明星辰信息技术有限公司 一种恶意代码自动分析系统及方法
US7774147B1 (en) * 2006-12-28 2010-08-10 Symantec Corporation Systems and methods for detecting and addressing data flaws in software artifacts
US8161496B2 (en) * 2007-07-31 2012-04-17 Microsoft Corporation Positive and negative event-based testing
US8104087B2 (en) * 2008-01-08 2012-01-24 Triumfant, Inc. Systems and methods for automated data anomaly correction in a computer network
US7472420B1 (en) * 2008-04-23 2008-12-30 Kaspersky Lab, Zao Method and system for detection of previously unknown malware components
US8370923B2 (en) * 2008-07-29 2013-02-05 Ncr Corporation Access to a processing device
US8904541B2 (en) * 2010-08-26 2014-12-02 Salesforce.Com, Inc. Performing security assessments in an online services system
CN101996254A (zh) * 2010-11-18 2011-03-30 福建升腾资讯有限公司 一种基于文件系统层的软件回滚方法
US8732418B1 (en) * 2011-12-13 2014-05-20 Emc Corporation Shadow registry
US9152659B2 (en) * 2011-12-30 2015-10-06 Bmc Software, Inc. Systems and methods for migrating database data
US8725702B1 (en) * 2012-03-15 2014-05-13 Symantec Corporation Systems and methods for repairing system files
US9122711B1 (en) * 2012-05-24 2015-09-01 Symantec Corporation Simplified system backup protection and recovery

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7516150B1 (en) * 2004-10-29 2009-04-07 Symantec Corporation Update protection system and method
CN1737722A (zh) * 2005-08-03 2006-02-22 珠海金山软件股份有限公司 一种检测和防御计算机恶意程序的系统和方法
CN101246535A (zh) * 2008-03-25 2008-08-20 深圳市迅雷网络技术有限公司 一种修复异常文件的方法、系统和装置
CN102799500A (zh) * 2012-06-25 2012-11-28 腾讯科技（深圳）有限公司 系统修复方法、装置及存储介质

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
WU, XING ET AL.: "Design and Realization of System for Defending Malicious Web Pages", COMPUTER TECHNOLOGY AND DEVELOPMENT, vol. 19, no. 5, May 2009 (2009-05-01), pages 154 - 157 *

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
USRE48722E1 (en) 2004-08-17 2021-09-07 Dirtt Environmental Solutions Ltd. Integrated reconfigurable wall system
TWI718636B (zh) * 2018-12-27 2021-02-11 台達電子工業股份有限公司 軟體安全檢測系統及軟體安全檢測方法
CN112580037A (zh) * 2019-09-30 2021-03-30 奇安信安全技术(珠海)有限公司 病毒文件数据的修复方法、装置及设备
CN112580037B (zh) * 2019-09-30 2023-12-12 奇安信安全技术(珠海)有限公司 病毒文件数据的修复方法、装置及设备
CN114579368A (zh) * 2022-05-07 2022-06-03 武汉四通信息服务有限公司 持续数据保护的备份管理方法、计算机设备及存储介质
CN114579368B (zh) * 2022-05-07 2022-08-02 武汉四通信息服务有限公司 持续数据保护的备份管理方法、计算机设备及存储介质

Also Published As

Publication number Publication date
CN102799500B (zh) 2014-04-30
US20150106652A1 (en) 2015-04-16
CN102799500A (zh) 2012-11-28

Similar Documents

Publication Publication Date Title
WO2014000613A1 (zh) 系统修复方法、装置及存储介质
US8612398B2 (en) Clean store for operating system and software recovery
US9652632B2 (en) Method and system for repairing file at user terminal
US7669059B2 (en) Method and apparatus for detection of hostile software
US8028172B2 (en) Systems and methods for updating a secure boot process on a computer with a hardware security module
JP4758479B2 (ja) 安全チップによるウイルス防止方法
US7506380B2 (en) Systems and methods for boot recovery in a secure boot process on a computer with a hardware security module
US10007795B1 (en) Detection and recovery of documents that have been compromised by malware
WO2019133796A1 (en) System and method for enabling and verifying the trustworthiness of a hardware system
US9547549B2 (en) Handling file system corruption
US9652616B1 (en) Techniques for classifying non-process threats
US9396329B2 (en) Methods and apparatus for a safe and secure software update solution against attacks from malicious or unauthorized programs to update protected secondary storage
WO2006058472A1 (fr) Procede d'etablissement d'un environnement d'execution securisee dans un ordinateur
JP2009521760A5 (zh)
US11601443B2 (en) System and method for generating and storing forensics-specific metadata
WO2011143852A1 (zh) 应用程序的管理方法和装置、以及终端
JP2007280096A (ja) ログ保全方法、プログラムおよびシステム
AU2021319159B2 (en) Advanced ransomware detection
WO2012063458A1 (ja) 出力制御装置、出力制御装置用のプログラムを記憶するコンピュータ読み取り可能な媒体、出力制御方法および出力制御システム
KR101649909B1 (ko) 가상 머신 취약점 점검과 복구 방법 및 장치
CN107657170B (zh) 支持智能修复的可信加载启动控制系统和方法
CN104573499A (zh) 一种基于uefi的可执行程序文件保护系统和方法
CN105740729A (zh) 一种系统服务程序可信检查的方法
WO2020233044A1 (zh) 一种插件校验方法、设备、服务器及计算机可读存储介质
CN104573417A (zh) 一种基于uefi的软件全过程保护系统和方法

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 13810262

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

32PN Ep: public notification in the ep bulletin as address of the adressee cannot be established

Free format text: NOTING OF LOSS OF RIGHTS PURSUANT TO RULE 112(1) EPC (EPO FORM 1205A DATED 30/06/2015)

122 Ep: pct application non-entry in european phase

Ref document number: 13810262

Country of ref document: EP

Kind code of ref document: A1