CN105224870A - 可疑病毒应用上传的方法和装置 - Google Patents

Abstract

本申请公开了一种可疑病毒应用上传的方法和装置。所述方法的一具体实施方式包括：获取至少一段可疑病毒特征码，其中，所述可疑病毒特征码包括从病毒应用样本中获取的体现病毒特征的代码；将终端应用的代码与所述可疑病毒特征码进行匹配，如果所述终端应用包含与所述至少一段可疑病毒特征码中任一段可疑病毒特征码的相似度高于相似度阈值的代码，将终端应用确定为可疑病毒应用；检测用户对所述可疑病毒应用的预定操作；响应于预定操作，将所述可疑病毒应用上传。该实施方式可以提高检测病毒应用的有效性。

Description

可疑病毒应用上传的方法和装置

技术领域

本申请涉及计算机技术领域，具体涉及病毒检测技术领域，尤其涉及可疑病毒应用上传的方法和装置。

背景技术

随着互联网技术和终端设备的发展，终端应用的类别和数量也越来越多，例如交友类应用、购物类应用、理财应用等等。这些应用中，具有病毒特征(例如破坏终端功能或数据、获取终端数据或者恶意传播)的应用通常被称为病毒应用。其中，多种病毒应用可以具有相同或相似的病毒特征。为了保护终端功能或数据不被破坏或恶意获取，需要检索出终端上的病毒应用。

目前的检测病毒应用的方法一般包括：特征代码法、校验和法、行为监测法、软件模拟法。其中特征代码法往往通过抽取病毒特征的病毒特征代码，将被检测应用的代码与病毒特征代码进行比对，当完全一致时，确定应用为病毒应用。这种检测方法无法检测出包含未知病毒特征的病毒应用，容易产生误报或漏报，降低了检测病毒应用的有效性。

发明内容

本申请的目的在于提出一种改进的可疑病毒应用上传的方法和装置，来解决以上背景技术部分提到的技术问题。

一方面，本申请提供了一种可疑病毒应用上传的方法，所述方法包括：获取至少一段可疑病毒特征码，其中，所述可疑病毒特征码包括从病毒应用样本中获取的体现病毒特征的代码；将终端应用的代码与所述可疑病毒特征码进行匹配，如果所述终端应用包含与所述至少一段可疑病毒特征码中任一段可疑病毒特征码的相似度高于相似度阈值的代码，将终端应用确定为可疑病毒应用；检测用户对所述可疑病毒应用的预定操作；响应于预定操作，将所述可疑病毒应用上传。

在一些实施例中，所述预定操作包括以下至少一项：卸载所述可疑病毒应用的操作、确定将可疑病毒应用上传的操作。

在一些实施例中，每段可疑病毒特征码具有根据预设的命名规则命名的可疑病毒特征名；以及，所述方法还包括：获取所述可疑病毒应用所匹配的可疑病毒特征码的可疑病毒特征名；将所述可疑病毒特征名上传，以供接收端将所述可疑病毒特征名与特征名列表相匹配，并发送所述特征名列表是否包括所述可疑病毒特征名的响应信息。

第二方面，本申请提供了一种可疑病毒特征码获取的方法，其特征在于，所述方法包括：获取终端上传的可疑病毒应用，其中，所述可疑病毒应用由所述终端通过以下步骤确定：获取至少一段可疑病毒特征码所述可疑病毒特征码包括从病毒应用样本中获取的体现病毒特征的代码；将终端应用的代码与所述至少一段可疑病毒特征码进行匹配，如果终端应用包含与所述至少一段可疑病毒特征码中任一段可疑病毒特征码的相似度高于相似度阈值的代码，将所述终端应用确定为可疑病毒应用；对所述可疑病毒应用进行反编译，获取所述可疑病毒应用的源代码；从所述源代码获取体现病毒特征的代码作为可疑病毒特征码。

在一些实施例中，所述方法还包括：接收所述终端发送来的可疑病毒特征名，其中，所述可疑病毒特征名是根据预设的命名规则为可疑病毒特征码命名得到的，所述特征名列表用于记录已获取可疑病毒应用样本的病毒特征码的可疑病毒特征名；将所述可疑病毒特征名与特征名列表相匹配；根据匹配结果向所述终端发送特征名列表是否包括所述可疑病毒特征名的响应信息。

在一些实施例中，如果根据所述响应信息确定所述特征名列表不包括所述可疑病毒特征名，所述方法还包括：响应于接收到终端上传的可疑病毒应用，将所述可疑病毒特征名加入所述特征名列表。

第三方面，本申请提供了一种可疑病毒应用上传的装置，所述装置包括：获取单元，配置用于获取至少一段可疑病毒特征码，其中，所述可疑病毒特征码包括从病毒应用样本中获取的体现病毒特征的代码；确定单元，配置用于将终端应用的代码与所述可疑病毒特征码进行匹配，如果所述终端应用包含与所述至少一段可疑病毒特征码中任一段可疑病毒特征码的相似度高于相似度阈值的代码，将终端应用确定为可疑病毒应用；检测单元，配置用于检测用户对所述可疑病毒应用的预定操作；上传单元，配置用于响应于预定操作，将所述可疑病毒应用上传。

在一些实施例中，所述预定操作包括以下至少一项：卸载所述可疑病毒应用的操作、确定将可疑病毒应用上传的操作。

在一些实施例中，每段可疑病毒特征码具有根据预设的命名规则命名的可疑病毒特征名；以及，所述装置还包括：特征名获取单元，配置用于获取所述可疑病毒应用所匹配的可疑病毒特征码的可疑病毒特征名；特征名上传单元，配置用于将所述可疑病毒特征名上传，以供接收端将所述可疑病毒特征名与特征名列表相匹配，并发送所述特征名列表是否包括所述可疑病毒特征名的响应信息。

第四方面，本申请提供了一种可疑病毒特征码获取的装置，所述装置包括：样本获取单元，配置用于获取终端上传的可疑病毒应用，其中，所述可疑病毒应用由所述终端通过以下步骤确定：获取至少一段可疑病毒特征码，所述可疑病毒特征码包括从病毒应用样本中获取的体现病毒特征的代码；将终端应用的代码与所述至少一段可疑病毒特征码进行匹配，如果终端应用包含与所述至少一段可疑病毒特征码中任一段可疑病毒特征码的相似度高于相似度阈值的代码，将所述终端应用确定为可疑病毒应用；反编译单元，配置用于对所述可疑病毒应用进行反编译，获取所述可疑病毒应用的源代码；特征码获取单元，配置用于从所述源代码获取体现病毒特征的代码作为可疑病毒特征码。

在一些实施例中，所述装置还包括：特征名接收单元，配置用于接收所述终端发送来的可疑病毒特征名，其中，所述可疑病毒特征名是根据预设的命名规则为可疑病毒特征码命名得到的，所述特征名列表用于记录已获取可疑病毒应用样本的病毒特征码的可疑病毒特征名；特征名匹配单元，配置用于将所述可疑病毒特征名与特征名列表相匹配；发送单元，配置用于根据匹配结果发送特征名列表是否包括所述可疑病毒特征名的响应信息。

在一些实施例中，所述装置还包括添加单元，如果根据所述响应信息确定所述特征名列表不包括所述可疑病毒特征名，所述添加单元配置用于响应于接收到终端上传的可疑病毒应用，将所述可疑病毒特征名加入所述特征名列表。

第五方面，本申请还提供了一种检测可疑病毒应用的***，所述***包括终端设备和后台服务器，所述终端设备包括第三方面或第三方面的任一种可疑病毒应用上传的装置，所述后台服务器包括第四方面或第四方面的任一种可疑病毒特征码获取的装置。

本申请提供的可疑病毒应用上传的方法和装置及可疑病毒特征码获取的方法和装置，通过获取至少一段可疑病毒特征码，接着将终端应用的代码与可疑病毒特征码进行匹配，如果终端应用包含与至少一段可疑病毒特征码中任一段可疑病毒特征码的相似度高于相似度阈值的代码，将终端应用确定为可疑病毒应用，然后检测用户对可疑病毒应用的预定操作，响应于检测到用户的预定操作，将可疑病毒应用上传，接着对所上传的可疑病毒应用进行反编译，获取可疑病毒应用的源代码，并从源代码获取体现病毒特征的代码作为可疑病毒特征码，循环执行上述方案，可以将包含与原可疑病毒特征码不完全一致的可疑病毒应用检测出来，从而不断丰富和更新可疑病毒特征码，提高检测病毒应用的有效性。

附图说明

通过阅读参照以下附图所作的对非限制性实施例的详细描述，本申请的其它特征、目的和优点将会变得更明显：

图1示出了可以应用本申请实施例的示例性***架构；

图2是根据本申请的可疑病毒应用上传的方法的一个实施例的流程图；

图3是根据本申请的可疑病毒特征码获取的方法的一个应用场景的流程图；

图4是根据本申请的可疑病毒特征码获取的方法的实施例的流程图；

图5是示出了使用图2给出的实施例的方法的终端设备和使用图4给出的实施例的方法的后台服务器的交互流程示意图；

图6是根据本申请的可疑病毒应用上传的装置的一个实施例的结构示意图；

图7是根据本申请的可疑病毒特征码获取的装置的一个实施例的结构示意图；

图8示出了适于用来实现本申请实施例的各装置的计算机***的结构示意图。

具体实施方式

下面结合附图和实施例对本申请作进一步的详细说明。可以理解的是，此处所描述的具体实施例仅仅用于解释相关发明，而非对该发明的限定。另外还需要说明的是，为了便于描述，附图中仅示出了与有关发明相关的部分。

需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。下面将参考附图并结合实施例来详细说明本申请。

图1示出了可以应用本申请实施例的示例性***架构100。

如图1所示，***架构100可以包括终端设备101、102、网络103和服务器104。网络103用以在终端设备101、102和服务器104之间提供通信链路的介质。网络103可以包括各种连接类型，例如有线、无线通信链路或者光纤电缆等等。

终端设备101、102可以通过网络103与服务器104交互，以接收或发送消息等。终端设备101、102上可以安装有各种通讯客户端应用，例如杀毒类应用、搜索类应用、社交平台应用、邮箱客户端、即时通信工具等。

终端设备101、102可以是支持杀毒类应用、搜索类应用等安装于其上的各种电子设备，包括但不限于智能手机、智能手表、平板电脑、个人数字助理、电子书阅读器、MP3播放器(MovingPictureExpertsGroupAudioLayerIII，动态影像专家压缩标准音频层面3)、MP4(MovingPictureExpertsGroupAudioLayerIV，动态影像专家压缩标准音频层面4)播放器、膝上型便携计算机和台式计算机等等。

服务器104可以是提供各种服务的服务器。例如对终端设备101、102的杀毒类应用、搜索类应用等提供支持的后台服务器等。服务器可以对接收到的数据进行存储、生成等处理，并将处理结果反馈给终端设备。

需要说明的是，本申请实施例所提供的可疑病毒应用上传的方法可以由终端设备101、102执行，本申请实施例所提供的病毒特征码获取的方法可以由服务器104执行，可疑病毒应用上传的装置可以设置在终端设备101、102中，病毒特征码获取的装置可以设置在服务器104中。

应该理解，图1中的终端设备、网络和服务器的数目仅仅是示意性的。根据实现需要，可以具有任意数目的终端设备、网络和服务器。

请参考图2，其示出了可疑病毒应用上传的方法的一个实施例的流程200。为了便于理解，本实施例中，结合该可疑病毒应用上传的方法具体应用于具有运行终端应用能力的终端设备(例如图1所示的终端设备101、102)中。该流程200包括以下步骤：

步骤201，获取至少一段可疑病毒特征码。

在本实施例中，终端设备可以从本地或远程地获取至少一段可疑病毒特征码。具体而言，当至少一段可疑病毒特征码储存在杀毒类应用运行于其上的终端设备时，其可以直接从本地获取至少一段可疑病毒特征码；而当至少一段可疑病毒特征码储存在对杀毒类应用进行支持的后台服务器时，其可以通过有线连接方式或者无线连接方式从后台服务器获取至少一段可疑病毒特征码。上述无线连接方式包括但不限于3G/4G连接、WiFi连接、蓝牙连接、WiMAX连接、Zigbee连接、UWB(ultrawideband)连接、以及其他现在已知或将来开发的无线连接方式。

可疑病毒特征码可以包括从病毒应用样本中获取的体现病毒特征的代码。这里，病毒特征例如可以包括破坏终端功能或数据(如删除终端内存数据)、获取终端数据(如读取终端的通讯录数据)或者恶意传播(如主动向终端的通讯录中的联系人发送恶意信息)等。对于一个病毒应用，可能同时包含多个病毒特征，例如一个病毒应用可以同时具有病毒特征“读取终端的通讯录数据”和“主动向终端的通讯录中的联系人发送恶意信息”。本领域技术人员可以理解，包含体现病毒特征的代码的应用不一定都是病毒应用，例如，一款包括好友推荐功能的应用，在从网络中获取待向用户推荐的用户信息后，可以读取终端的通讯录数据，以将待向用户推荐的用户信息与终端的通讯录数据相比较，从待向用户推荐的用户信息中筛除已存在于终端通讯录中的用户信息。因此，体现某一病毒特征的代码可以作为一段可疑病毒特征码，例如读取终端的通讯录数据的代码。在一些实现中，可疑病毒特征码可以是由源代码转换成的二进制代码。

可疑病毒特征码可以通过多种途径获得，例如，通过对已知的病毒应用进行反编译，获取病毒应用的源代码，然后截取体现该病毒应用的某个病毒特征的代码；或者，已知病毒应用的某个病毒特征，从其他应用中获取实现与该病毒特征对应的功能的代码，等等。

可以理解，在一些实现中，可疑病毒特征码的数量较少，可以是单独的一段可疑病毒特征码，或者多段可疑特征码的集合。在另一些实现中，可疑病毒特征码的数量较多，可以以特征数据库的方式储存这些可疑病毒特征码数据。例如，当应用于杀毒类应用时，这些可疑病毒特征码可以存储在病毒特征库中。

步骤202，将终端应用的代码与可疑病毒特征码进行匹配，如果终端应用包含与至少一段可疑病毒特征码中任一段可疑病毒特征码的相似度高于相似度阈值的代码，将终端应用确定为可疑病毒应用；

在本实施例中，终端设备可以获取安装于其上的终端应用的代码，然后将终端应用的代码与可疑病毒特征码进行匹配，如果在终端应用的代码中，匹配到与任一段可疑病毒特征码的相似度高于相似度阈值的一段代码，则可以认为终端应用的代码与可疑病毒特征码相匹配，并将该终端应用确定为可疑病毒应用。

终端设备可以获取终端应用的可执行代码(由目标代码连接组成的可由机器执行的代码，一般由机器代码或接近于机器语言的代码组成，例如二进制代码)，并将可执行代码与可疑病毒特征码进行匹配。执行代码与可疑病毒特征码之间的匹配可以通过多种方式实现，例如可疑病毒特征码整段匹配，将终端应用的可执行代码按段落与一段可疑病毒特征码进行匹配，或者按可疑病毒特征码的关键字进行匹配，在终端应用的可执行代码中查找可疑病毒特征码的关键字，当查找到该关键字时，获取可执行代码中该关键字上下文的代码(如上文或下文个数分别等于可以病毒特征码字符个数的范围内的代码)。

终端设备可以计算终端应用的可执行代码与可疑病毒特征码的相似度，该相似度可以通过字符串的匹配程度来衡量。终端设备也可以采用余弦相似度(cosinesimilarity)算法、Jaccard系数之类的公知的文本相似度计算方法来进行相似度计算。以Jaccard系数方法为例，终端设备可以采用如下的公式计算可执行代码中的一段代码A与可疑病毒特征码B之间的相似度：该段代码A与可疑病毒特征码B之间的相似度＝该段代码A与可疑病毒特征码B在具有相同字符的位数/该段代码A与可疑病毒特征码B总共具有的字符的位数。

当该方法用于杀毒类应用时，步骤202可以是杀毒应用客户端对终端进行病毒扫描的过程。

步骤203，检测用户对可疑病毒应用的预定操作。

在本实施例中，在将终端应用确定为可疑病毒应用之后，终端设备接着可以将确定的可疑病毒应用信息呈现给用户，并对用户和终端设备的交互性操作进行检测，继而根据检测到的操作进行后继处理。在这里，用户对可疑病毒应用的预定操作可以是单一的交互性操作，例如显示可疑病毒应用信息的操作；也可以是几种交互性操作的组合，例如显示可疑病毒应用信息，之后对可以病毒应用进行删除等的组合操作。

作为示例，当本实施例的方法用于杀毒类应用时，如果通过步骤202对终端进行病毒扫描，匹配到可疑病毒应用之后，可以将可疑病毒应用的信息呈献给用户，并提供交互操作的选项，例如“卸载应用”和“忽略信息”的选择框。假设用户单击“卸载应用”的选择框的操作为预定操作，则预定操作也可以被描述为卸载可疑应用的操作。在一些实现中，预定操作还可以是允许将可疑病毒应用上传的操作，例如对“上传应用”选择框的选择操作等。

步骤204，响应于预定操作，将可疑病毒应用上传。

在本实施例中，终端设备在检测到用户对可疑病毒应用的预定操作(例如卸载可疑应用的操作)后，可以响应于该操作，将可疑病毒应用上传至本地或服务器。这里，服务器可以是本地服务器或远程服务器(例如为杀毒类应用提供支持的后台服务器)。例如，在一些实现中，终端设备可以直接将可疑病毒应用上传至为杀毒类应用提供支持的后台服务器；在另一些实现中，终端设备可以将可疑病毒应用上传至本地或本地服务器，并每隔预定时间段将该时间段内获取的可疑病毒应用上传至远程服务器。

在本实施例的一些可选实现方式中，终端设备可以在检测到用户的卸载可疑病毒应用的操作时，将可疑病毒应用上传。在另一些可选实现方式中，终端设备可以是通过按流量付费的网络与服务器交互的移动终端，上传可疑病毒应用需要耗费流量；也可以是配置较低的终端，上传可疑病毒应用会占用终端数据处理资源导致终端反应变慢；还可以是网络带宽较低的终端，上传可疑病毒应用会占用网络资源导致终端其他接入网络的应用(如视频播放应用)数据上传或下载不流畅，等等。此时，终端设备也可以根据用户的意愿，在检测到用户允许将可疑病毒应用上传的操作时，将可疑病毒应用上传。可选地，预定操作也可以是包括卸载可疑病毒应用的操作与允许将可疑病毒应用上传的操作的组合操作，则终端设备在检测到该组合操作后将可疑病毒应用上传。

在本实施例的一些可选实现方式中，每段可疑病毒特征码具有根据预设的命名规则命名的可疑病毒特征名。此时，终端设备在步骤203之前，可以首先获取与可疑病毒应用匹配的可疑病毒特征码的可疑病毒特征名；接着将可疑病毒特征名上传，以供接收端(例如为杀毒类应用提供支持的后台服务器)将可疑病毒特征名与特征名列表相匹配，并发送特征名列表是否包括可疑病毒特征名的响应信息。如果该响应信息为特征名列表包括可疑病毒特征名，则终端设备不再执行步骤203、步骤204，如果该响应信息为特征名列表不包括可疑病毒特征名，则终端设备接着执行步骤203、步骤204。

其中，可疑病毒特征码可以通过各种命名方式命名，以确保每段可疑病毒特征码有且仅有一个可疑病毒特征名与其对应。例如，可疑病毒特征码可以按照以下方式命名：对病毒应用A具有的多个病毒特征，对应的病毒特征码分别命名为：病毒应用A.特征a、病毒应用A.特征b、病毒应用A.特征c……。

在本实施例的一些可选实现方式中，终端设备上传的可疑病毒应用的接收端可以将超过预设个数的用户选择上传或删除的可疑病毒应用确定为病毒应用，也可以将超过预设删除比率阈值或上传比率阈值的可疑病毒应用确定为病毒应用。其中，删除比率或上传比率的计算方法为：终端应用被确定为可疑病毒应用之后被删除或被上传的次数/该终端应用被确定为可以病毒应用的总次数。

作为一个应用场景的示例，图3示出了本申请上述实施例的可疑病毒应用上传的方法，应用于运行杀毒类应用的终端设备的一个流程300。如图3所示，在步骤301中，终端设备可以根据病毒特征库对安装于其上的终端应用进行病毒扫描或查杀，其中，病毒特征库可以由终端设备预先从为杀毒类应用提供支持的后台服务器获取，病毒特征库可以包含多段可疑病毒特征码；接着，在步骤302中，如果扫描到可疑病毒应用，例如是包含与病毒特征库中任一段可疑病毒特征码的相似度高于相似度阈值的代码的终端应用，终端设备可以以弹窗等形式询问用户是否处理(如删除或卸载)可疑病毒应用，如果用户不处理可疑病毒应用，则如步骤306所示，结束可疑病毒应用上传的流程，如果用户处理可疑病毒应用，则终端设备可以接着执行步骤303；在步骤303中，终端设备可以向后台服务器发送查询请求，查询是否需要采集可疑病毒应用所匹配的可以病毒特征码的可疑病毒应用样本，若需要，继续步骤304，否则，执行步骤306，结束流程300；在步骤304中，终端设备可以通过弹窗等形式询问用户是否同意上传可疑病毒应用，若是，执行步骤305，上传可疑病毒应用至后台服务器，否则，执行步骤306，结束流程300。这里，用户的预定操作为同意上传可疑病毒应用，或者处理可疑病毒应用与同意上传可疑病毒应用的组合。

本实施例的可疑病毒应用上传的方法，通过询问用户是否处理可疑病毒应用，结合了使用终端设备的用户的判断，从而可以从终端设备获取可以病毒特征码的可疑病毒应用样本，进而使后台服务器的可以病毒特征码更加丰富和准确。因此，本申请上述实施例的可疑应用上传的方法可以提高检测可疑病毒应用的有效性。

接下来请参考图4，其示出了可疑病毒特征码获取的方法的一个实施例的流程400。为了便于理解，本实施例中，结合该可疑病毒特征码获取的方法应用于为杀毒类应用提供支持的后台服务器(例如图1所示的服务器104)中来说明。该流程400包括以下步骤：

步骤401，获取终端上传的可疑病毒应用。

在本实施例中，后台服务器可以从终端设备或终端设备的本地服务器获取可疑病毒应用。在这里，后台服务器可以首先向终端设备或终端设备的本地服务器发送至少一段可疑病毒特征码，可疑病毒特征码包括从病毒应用样本中获取的体现病毒特征的代码，然后，终端设备可以根据从本地服务器或后台服务器获取的该至少一段可疑病毒特征码，将安装于其上的终端应用的代码与该至少一段可疑病毒特征码进行匹配，如果在终端应用的代码中，匹配到与任一段可疑病毒特征码的相似度高于相似度阈值的一段代码，将该终端应用确定为可疑病毒应用，之后，终端设备可以响应于用户的预定操作，将可疑病毒应用上传。其中，终端设备可以直接将可疑病毒应用上传至后台服务器，也可以先将可疑病毒应用保存至本地，并按预设周期发送给后台服务器，还可以通过本地服务器汇集多个终端设备上传的可疑病毒应用按预设数量或周期上传至后台服务器，本申请对此不做限定。

在本实施例的一些可选实现方式中，后台服务器可以先对可疑病毒特征码进行判断，对于已上传过预定次数(如1次)的可疑病毒应用样本的病毒特征码，不需要再重复上传可疑病毒应用。例如，后台服务器向终端设备或终端设备的本地服务器发送的至少一段可疑病毒特征码中，每段可疑病毒特征码可以通过预设的命名方式进行命名，如病毒应用A.特征a。终端设备在上传可疑病毒应用前可以先将与可疑病毒应用匹配的病毒特征码对应的可疑病毒特征名上传至后台服务器。后台服务器具有用于记录已获取可疑病毒应用样本的病毒特征码的可疑病毒特征名的特征名列表，后台服务器可以将终端设备上传的可疑病毒特征名与特征名列表相匹配，如果特征名列表已经记录了终端设备上传的可疑病毒特征名，则说明该可疑病毒特征名对应的病毒特征码已经获取了相应的可疑病毒应用样本，终端设备无需再上传检测到的可疑病毒应用，反之，如果特征名列表没有记录终端设备上传的可疑病毒特征名，则说明该可疑病毒特征名对应的病毒特征码还没有获取相应的可疑病毒应用样本，终端设备可以检测用户的预定操作，进而确定是否上传检测到的可疑病毒应用。可选地，响应于接收到终端上传的可疑病毒应用，后台服务器可以将可疑病毒特征名加入特征名列表中，以免其他终端设备重复上传该可疑病毒特征名对应的可疑病毒特征码的病毒应用样本。

步骤402，对可疑病毒应用进行反编译，获取可疑病毒应用的源代码。

在本实施例中，后台服务器可以采取各种手段对从终端设备或终端设备的本地服务器获取的可疑病毒应用进行反编译，以得到可疑病毒应用的源代码。

其中，反编译是计算机软件反向工程(Reverseengineering)，也称为计算机应用还原工程，是通过对应用的目标程序(例如可执行文件的汇编语言码)进行逆向分析等研究工作，以推导出应用所使用的思路、原理、结构、算法、处理过程、运行方法等设计要素，甚至推导出应用的全部或部分源代码。反编译过程可以通过人工进行，也可以通过现在已知或未来开发的反编译软件(例如VB相关的反编译软件“VB反编译精灵”、C++相关的反编译软件“eXeScope”等等)进行，本申请对此不做限定。

步骤403，从上述源代码获取体现病毒特征的代码作为可疑病毒特征码。

在本实施例中，后台服务器接着可以从经过反编译的可疑病毒应用的源代码中获取体现病毒特征的代码作为可疑病毒特征码。这里，病毒特征例如可以包括破坏终端功能或数据(如删除终端内存数据)、获取终端数据(如读取终端的通讯录数据)或者恶意传播(如主动向终端的通讯录中的联系人发送恶意信息)等。可疑病毒应用可能包括一个或多个病毒特征，体现某一病毒特征的代码可以作为一段可疑病毒特征码，例如读取终端的通讯录数据的代码。在一些实现中，可疑病毒特征码可以是由源代码转换成的二进制代码。

本实施例的可疑病毒特征码获取的方法，通过获取可疑病毒应用，接着对可疑病毒应用进行反编译，获取可疑病毒应用的源代码，然后从上述源代码获取体现病毒特征的代码作为可疑病毒特征码。体现病毒特征的代码可以由人工凭经验获取，也可以通过预设的检测条件(例如病毒关键字)进行检测，还可以试运行可疑病毒应用的不同代码段，获取达到病毒特征的预期功能的代码段等等，本申请对此不做限定。其中，可疑病毒应用可以由终端设备通过获取至少一段可疑病毒特征码，将终端应用的代码与可疑病毒特征码进行匹配，如果终端应用包含与任一段可疑病毒特征码的相似度高于相似度阈值的代码，则将终端应用确定为可疑病毒应用。因此，该方法可以将与可疑病毒特征码不完全一致的可疑病毒应用检测出来，并在征询用户同意后获取可疑病毒应用样本，进而使后台服务器提供的可疑病毒特征码更加丰富和准确，提高检测病毒应用的有效性。

请参考图5，为了更清楚地理解本发明，图5示出了使用图2给出的实施例的方法的终端设备501和使用图4给出的实施例的方法的后台服务器502的交互流程500。

首先，通过步骤5001，后台服务器502可以将已知的可疑病毒特征码提供给终端设备501。后台服务器502可以按周期或者有可疑病毒特征码的更新时向终端设备501提供更新后的可疑病毒特征码，后台服务器502向终端设备501提供可疑病毒特征码可以通过多种形式，例如病毒特征库的形式。终端设备501可以储存后台服务器502提供的可疑病毒特征码。接着，通过步骤5002、步骤5003，终端设备获取至少一段可疑病毒特征码，并将可疑病毒特征码与安装于终端设备501的终端应用进行匹配，并将与任一段可以病毒特征码的相似度大于相似度阈值的终端应用确定为可疑病毒应用。然后，通过步骤5004，终端设备501检测用户的预定操作(例如允许将可疑病毒应用上传的操作)。响应于检测到预定操作，在步骤5005中，终端设备501将可疑病毒应用上传至后台服务器502。之后，通过步骤5006、步骤5007、步骤5008，后台服务器502获取可疑病毒应用，对可疑病毒应用进行反编译，获取可疑病毒应用的全部或部分源代码，并从源代码获取体现病毒特征的代码作为可疑病毒特征码。在后台服务器502获取可疑病毒特征码之后，可以通过步骤5001更新向终端设备501发送的可疑病毒特征码，例如更新病毒特征库。其中，上述更新的操作可以在获取新的可疑病毒特征码时执行，也可以按周期执行，还可以在获取的新的可疑病毒特征码达到预设数量时执行，本申请对此不做限定。

在一些实现中，在步骤5003和步骤5004之间，还可以包括步骤50031、步骤50032和步骤50033，查询是否需要上传可疑病毒应用样本，确定需要上传可疑病毒应用样本后，在执行步骤5004。具体地，在步骤50031中，终端设备501向后台服务器502发送可疑病毒应用所匹配的可疑病毒特征码的查询请求，例如通过可疑病毒特征码的特征名进行查询。接着，在步骤50032中，后台服务器502通过查询特征名列表，判断可疑病毒特征码的特征名是否包含在特征名列表中，若是，则确定需要采集可疑病毒应用样本。于是，后台服务器502向终端设备501发送需要采集可疑病毒应用样本的响应信息。之后，终端设备501根据该响应信息执行步骤5004，检测用户的预定操作。通过步骤50031、步骤50032和步骤50033，可以避免对一个可疑病毒特征码重复采集可疑病毒应用样本。

请进一步参考图6，其示出了根据本申请的一个实施例的可疑病毒应用上传的装置600。如图6所示，可疑病毒应用上传的装置600包括：获取单元601、确定单元602、检测单元603和上传单元604。其中，获取单元601可以配置用于获取至少一段可疑病毒特征码，其中，可疑病毒特征码包括从病毒应用样本中获取的体现病毒特征的代码；确定单元602可以配置用于将终端应用的代码与可疑病毒特征码进行匹配，如果终端应用包含与至少一段可疑病毒特征码中任一段可疑病毒特征码的相似度高于相似度阈值的代码，将终端应用确定为可疑病毒应用；检测单元603可以配置用于检测用户对可疑病毒应用的预定操作；上传单元604可以配置用于响应于预定操作，将可疑病毒应用上传。

可疑病毒应用上传的装置600中记载的诸单元与参考图2描述的方法中的各个步骤相对应。由此，上文结合图2所描述的针对可疑病毒应用上传的方法描述的操作和特征同样适用于可疑病毒应用上传的装置600及其中包含的单元，在此不再赘述。

请进一步参考图7，其示出了根据本申请的一个实施例的可疑病毒特征码获取的装置700。如图7所示，可疑病毒特征码获取的装置700包括：样本获取单元701、反编译单元702和特征码获取单元703。其中，样本获取单元701可以配置用于获取终端上传的可疑病毒应用；反编译单元702可以配置用于对可疑病毒应用进行反编译，获取可疑病毒应用的源代码；特征码获取单元703配置用于从源代码获取体现病毒特征的代码作为可疑病毒特征码。其中，可疑病毒应用可以由包括可疑病毒应用上传的装置(如图6所示的装置600)的终端通过以下步骤确定：获取至少一段可疑病毒特征码；将终端应用的代码与至少一段可疑病毒特征码进行匹配，如果终端应用包含与至少一段可疑病毒特征码中任一段可疑病毒特征码的相似度高于相似度阈值的代码，将终端应用确定为可疑病毒应用。

可疑病毒特征码获取的装置700中记载的诸单元与参考图4描述的方法中的各个步骤相对应。由此，上文结合图4所描述的针对可疑病毒特征码获取的方法描述的操作和特征同样适用于可疑病毒特征码获取的装置700及其中包含的单元，在此不再赘述。

本领域技术人员可以理解，上述可疑病毒应用上传的装置600和可疑病毒特征码获取的装置700还包括一些其他公知结构，例如处理器、存储器等，为了不必要地模糊本公开的实施例，这些公知的结构在图6、图7中未示出。

另外，本申请还提供了一种检测可疑病毒应用的***，可以包括终端设备和后台服务器。其中，终端设备可以包括图6示出的可疑病毒应用上传的装置600，后台服务器可以包括图7示出的可疑病毒特征码获取的装置700。该***的架构形式可参考图1示出的示例型架构100。其中，在本申请的检测可疑病毒应用的***的实施例中，可疑病毒应用上传的装置600可以适用于架构100中的终端设备101、102，可疑病毒特征码获取的装置700可以适用于架构100中的服务器104，在此不再赘述。

下面参考图8，其示出了适于用来实现本申请实施例的各装置的计算机***800的结构示意图。

如图8所示，计算机***800包括中央处理单元(CPU)801，其可以根据存储在只读存储器(ROM)802中的程序或者从存储部分808加载到随机访问存储器(RAM)803中的程序而执行各种适当的动作和处理。在RAM803中，还存储有***800操作所需的各种程序和数据。CPU801、ROM802以及RAM803通过总线804彼此相连。输入/输出(I/O)接口805也连接至总线804。

以下部件连接至I/O接口805：包括键盘、鼠标等的输入部分806；包括诸如阴极射线管(CRT)、液晶显示器(LCD)等以及扬声器等的输出部分807；包括硬盘等的存储部分808；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分809。通信部分809经由诸如因特网的网络执行通信处理。驱动器810也根据需要连接至I/O接口805。可拆卸介质811，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器810上，以便于从其上读出的计算机程序根据需要被安装入存储部分808。

特别地，根据本申请的实施例，上文参考流程图描述的过程可以被实现为计算机软件程序。例如，本申请的实施例包括一种计算机程序产品，其包括有形地包含在机器可读介质上的计算机程序，所述计算机程序包含用于执行流程图所示的方法的程序代码。在这样的实施例中，该计算机程序可以通过通信部分809从网络上被下载和安装，和/或从可拆卸介质811被安装。

本申请实施例中所涉及到的单元可以通过软件的方式实现，也可以通过硬件的方式来实现。所描述的单元也可以设置在处理器中，例如，可以描述为：一种处理器包括获取单元，确定单元，检测单元和上传单元。其中，这些模块的名称在某种情况下并不构成对该模块本身的限定，例如，获取模块还可以被描述为“配置用于获取至少一段可疑病毒特征码的单元”。

作为另一方面，本申请还提供了一种非易失性计算机存储介质，该非易失性计算机存储介质可以是上述实施例中所述装置中所包含的非易失性计算机存储介质；也可以是单独存在，未装配入终端或服务器中的非易失性计算机存储介质。

上述非易失性计算机存储介质存储有一个或者多个程序，当所述一个或者多个程序被一个设备执行时，使得所述设备：获取至少一段可疑病毒特征码，其中，所述可疑病毒特征码包括从病毒应用样本中获取的体现病毒特征的代码；将终端应用的代码与所述可疑病毒特征码进行匹配，如果所述终端应用包含与所述至少一段可疑病毒特征码中任一段可疑病毒特征码的相似度高于相似度阈值的代码，将终端应用确定为可疑病毒应用；检测用户对所述可疑病毒应用的预定操作；响应于预定操作，将所述可疑病毒应用上传。

或者，上述非易失性计算机存储介质存储有一个或者多个程序，当所述一个或者多个程序被一个设备执行时，使得所述设备：获取终端上传的可疑病毒应用，其中，所述可疑病毒应用由所述终端通过以下步骤确定：获取至少一段可疑病毒特征码，所述可疑病毒特征码包括从病毒应用样本中获取的体现病毒特征的代码；将终端应用的代码与所述至少一段可疑病毒特征码进行匹配，如果终端应用包含与所述至少一段可疑病毒特征码中任一段可疑病毒特征码的相似度高于相似度阈值的代码，将所述终端应用确定为可疑病毒应用；对所述可疑病毒应用进行反编译，获取所述可疑病毒应用的源代码；从所述源代码获取体现病毒特征的代码作为可疑病毒特征码。

以上描述仅为本申请的较佳实施例以及对所运用技术原理的说明。本领域技术人员应当理解，本申请中所涉及的发明范围，并不限于上述技术特征的特定组合而成的技术方案，同时也应涵盖在不脱离所述发明构思的情况下，由上述技术特征或其等同特征进行任意组合而形成的其它技术方案。例如上述特征与本申请中公开的(但不限于)具有类似功能的技术特征进行互相替换而形成的技术方案。

Claims (13)

1.一种可疑病毒应用上传的方法，其特征在于，所述方法包括：

获取至少一段可疑病毒特征码，其中，所述可疑病毒特征码包括从病毒应用样本中获取的体现病毒特征的代码；

将终端应用的代码与所述可疑病毒特征码进行匹配，如果所述终端应用包含与所述至少一段可疑病毒特征码中任一段可疑病毒特征码的相似度高于相似度阈值的代码，将终端应用确定为可疑病毒应用；

检测用户对所述可疑病毒应用的预定操作；

响应于预定操作，将所述可疑病毒应用上传。

2.根据权利要求1所述的方法，其特征在于，所述预定操作包括以下至少一项：卸载所述可疑病毒应用的操作、确定将可疑病毒应用上传的操作。

3.根据权利要求1所述的方法，其特征在于，每段可疑病毒特征码具有根据预设的命名规则命名的可疑病毒特征名；以及

所述方法还包括：

获取所述可疑病毒应用所匹配的可疑病毒特征码的可疑病毒特征名；

将所述可疑病毒特征名上传，以供接收端将所述可疑病毒特征名与特征名列表相匹配，并发送所述特征名列表是否包括所述可疑病毒特征名的响应信息。

4.一种可疑病毒特征码获取的方法，其特征在于，所述方法包括：

获取终端上传的可疑病毒应用，其中，所述可疑病毒应用由所述终端通过以下步骤确定：获取至少一段可疑病毒特征码，所述可疑病毒特征码包括从病毒应用样本中获取的体现病毒特征的代码；将终端应用的代码与所述至少一段可疑病毒特征码进行匹配，如果终端应用包含与所述至少一段可疑病毒特征码中任一段可疑病毒特征码的相似度高于相似度阈值的代码，将所述终端应用确定为可疑病毒应用；

对所述可疑病毒应用进行反编译，获取所述可疑病毒应用的源代码；

从所述源代码获取体现病毒特征的代码作为可疑病毒特征码。

5.根据权利要求4所述的方法，其特征在于，所述方法还包括：

接收所述终端发送来的可疑病毒特征名，其中，所述可疑病毒特征名是根据预设的命名规则为可疑病毒特征码命名得到的，所述特征名列表用于记录已获取可疑病毒应用样本的病毒特征码的可疑病毒特征名；

将所述可疑病毒特征名与特征名列表相匹配；

根据匹配结果向所述终端发送特征名列表是否包括所述可疑病毒特征名的响应信息。

6.根据权利要求5所述的方法，其特征在于，如果根据所述响应信息确定所述特征名列表不包括所述可疑病毒特征名，所述方法还包括：

响应于接收到终端上传的可疑病毒应用，将所述可疑病毒特征名加入所述特征名列表。

7.一种可疑病毒应用上传的装置，其特征在于，所述装置包括：

获取单元，配置用于获取至少一段可疑病毒特征码，其中，所述可疑病毒特征码包括从病毒应用样本中获取的体现病毒特征的代码；

确定单元，配置用于将终端应用的代码与所述可疑病毒特征码进行匹配，如果所述终端应用包含与所述至少一段可疑病毒特征码中任一段可疑病毒特征码的相似度高于相似度阈值的代码，将终端应用确定为可疑病毒应用；

检测单元，配置用于检测用户对所述可疑病毒应用的预定操作；

上传单元，配置用于响应于预定操作，将所述可疑病毒应用上传。

8.根据权利要求7所述的装置，其特征在于，所述预定操作包括以下至少一项：卸载所述可疑病毒应用的操作、确定将可疑病毒应用上传的操作。

9.根据权利要求7所述的装置，其特征在于，每段可疑病毒特征码具有根据预设的命名规则命名的可疑病毒特征名；以及

所述装置还包括：

特征名获取单元，配置用于获取所述可疑病毒应用所匹配的可疑病毒特征码的可疑病毒特征名；

特征名上传单元，配置用于将所述可疑病毒特征名上传，以供接收端将所述可疑病毒特征名与特征名列表相匹配，并发送所述特征名列表是否包括所述可疑病毒特征名的响应信息。

10.一种可疑病毒特征码获取的装置，其特征在于，所述装置包括：

样本获取单元，配置用于获取终端上传的可疑病毒应用，其中，所述可疑病毒应用由所述终端通过以下步骤确定：获取至少一段可疑病毒特征码，所述可疑病毒特征码包括从病毒应用样本中获取的体现病毒特征的代码；将终端应用的代码与所述至少一段可疑病毒特征码进行匹配，如果终端应用包含与所述至少一段可疑病毒特征码中任一段可疑病毒特征码的相似度高于相似度阈值的代码，将所述终端应用确定为可疑病毒应用；

反编译单元，配置用于对所述可疑病毒应用进行反编译，获取所述可疑病毒应用的源代码；

特征码获取单元，配置用于从所述源代码获取体现病毒特征的代码作为可疑病毒特征码。

11.根据权利要求10所述的装置，其特征在于，所述装置还包括：

特征名接收单元，配置用于接收所述终端发送来的可疑病毒特征名，其中，所述可疑病毒特征名是根据预设的命名规则为可疑病毒特征码命名得到的，所述特征名列表用于记录已获取可疑病毒应用样本的病毒特征码的可疑病毒特征名；

特征名匹配单元，配置用于将所述可疑病毒特征名与特征名列表相匹配；

发送单元，配置用于根据匹配结果发送特征名列表是否包括所述可疑病毒特征名的响应信息。

12.根据权利要求11所述的装置，其特征在于，所述装置还包括添加单元；

如果根据所述响应信息确定所述特征名列表不包括所述可疑病毒特征名，所述添加单元配置用于响应于接收到终端上传的可疑病毒应用，将所述可疑病毒特征名加入所述特征名列表。

13.一种检测可疑病毒应用的***，所述***包括终端设备和后台服务器，其特征在于，所述终端设备包括权利要求7-9中任一项所述的可疑病毒应用上传的装置，所述后台服务器包括权利要求10-12中任一项所述的可疑病毒特征码获取的装置。