WO2013189214A1 - 一种用户端文件的修复方法和*** - Google Patents

一种用户端文件的修复方法和*** Download PDF

Info

Publication number
WO2013189214A1
WO2013189214A1 PCT/CN2013/075390 CN2013075390W WO2013189214A1 WO 2013189214 A1 WO2013189214 A1 WO 2013189214A1 CN 2013075390 W CN2013075390 W CN 2013075390W WO 2013189214 A1 WO2013189214 A1 WO 2013189214A1
Authority
WO
WIPO (PCT)
Prior art keywords
file
cloud server
client
information
unknown
Prior art date
Application number
PCT/CN2013/075390
Other languages
English (en)
French (fr)
Inventor
董毅
谢军样
刘绪平
Original Assignee
北京奇虎科技有限公司
奇智软件（北京）有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 北京奇虎科技有限公司, 奇智软件（北京）有限公司 filed Critical 北京奇虎科技有限公司
Priority to US14/409,623 priority Critical patent/US9652632B2/en
Publication of WO2013189214A1 publication Critical patent/WO2013189214A1/zh

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/64—Protecting data integrity, e.g. using checksums, certificates or signatures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/10—File systems; File servers
    • G06F16/17—Details of further file system functions
    • G06F16/1734—Details of monitoring file system events, e.g. by the use of hooks, filter drivers, logs
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/562—Static detection
    • G06F21/565—Static detection by checking file integrity
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/568—Computer malware detection or handling, e.g. anti-virus arrangements eliminating virus, restoring damaged files

Definitions

  • the present invention relates to the field of security technologies, and in particular, to a method and system for repairing client files. Background technique
  • File infection a technique commonly used by viruses and Trojans, has been around for a long time. This technique is to add the virus code to the code of the normal program, so as to realize the function of running synchronously with the infected program, thereby destroying and spreading the infected computer, and completing some such as stealing user passwords or virtual assets, uploading user sensitivity. Other malicious acts such as data. For infected files, it is generally necessary to repair the files infected by the user for the convenience of the user.
  • the repair process for infected files is to clean up malicious code inserted into normal files.
  • the process is generally as follows: The client scans the file -> finds the infected file -> locates the file code in the malicious code such as virus or trojan. Location -> Delete the malicious code according to the location of the malicious code such as the virus or Trojan.
  • the variants are very diverse.
  • the present invention has been made in order to provide a repair method and system for a client file that overcomes the above problems or at least partially solves or alleviates the above problems.
  • a method for repairing a client file including: scanning a client file, determining whether the file is abnormal, and acquiring file feature information; if abnormal, obtaining the file feature information from the cloud server according to the file feature information Corresponding to the abnormal file, the security file before the abnormal situation occurs; wherein the secure file in the cloud server is uploaded to each file of each client in a direct manner; using the secure file Replace the file corresponding to the abnormality of the client.
  • a device for repairing a client file including: an infection scanning module, configured to scan a client file, determine whether the file is abnormal, and obtain file feature information; and a security file obtaining module, configured to If the abnormality is abnormal, the file corresponding to the abnormal file corresponding to the abnormal file is obtained according to the file characteristic information, and the security file before the abnormal situation occurs; wherein, the security in the cloud server is The file is obtained by uploading each file of each client in a direct manner; the replacement module is configured to replace the file corresponding to the abnormality of the client with the secure file.
  • a computer program comprising computer readable code causing the server to perform any of claims 1-12 when run on a server The method for repairing the client file.
  • a computer readable medium wherein the computer program according to claim 25 is stored.
  • the present invention saves the security file of each client in the cloud server.
  • a file abnormality occurs on the client, the security version of the corresponding file is downloaded from the cloud server, and the local abnormal file is replaced, and the problem that the traditional file repair process cannot be repaired is normal, or Because the infection is complicated or the system critical files cause problems such as unrepairable, it is guaranteed that the correct version of the file can be restored to the system.
  • FIG. 1 is a schematic flow chart of a method for repairing a client file according to an embodiment of the present invention
  • FIG. 2 is a schematic flow chart of a method for repairing a client file according to an embodiment of the present invention
  • FIG. 3 is a schematic structural diagram of a device for repairing a client file according to an embodiment of the present invention
  • FIG. 4 is a schematic structural diagram of a device for repairing a client file according to an embodiment of the present invention.
  • FIG. 5 is a schematic structural diagram of a repair system of a client file according to an embodiment of the present invention.
  • Fig. 6 shows schematically a block diagram of a server for carrying out the method according to the invention
  • Fig. 7 schematically shows a storage unit for holding or carrying program code implementing the method according to the invention.
  • the present invention can upload the security version file of each client to the cloud server in time and accurately.
  • the security file corresponding to the abnormal file is obtained from the cloud server according to the related file feature information of the abnormal file.
  • File to the client and then replace the file corresponding to the abnormality of the client with the secure file.
  • the present invention is directed to executable files in a client system, such as PE files in a Windows system (PE files are referred to as portable executables as full names of Portable Execute, and PE files are on Microsoft Windows operating systems).
  • Common EXE, DLL, OCX, SYS, COM are PE files), such as executable files (such as system files) in mobile terminals (smart phones, etc.). Because the files in each client are basically the same for the above files (for example, for the Windows system, the system files are basically the same), then the cloud server can have a relatively large space to store the files.
  • Step 110 Scan a client file, determine whether the file is abnormal, and obtain file feature information;
  • determining whether the file is abnormal may be determined by the user end, or may be determined by a server of the cloud server.
  • the file characteristic information of the corresponding file can be obtained.
  • the file feature information includes the MD5 value of the file (Message Digest Algorithm MD5, Chinese name is the fifth version of the message digest algorithm), the storage path of the file on the client side, and the like.
  • the file feature information includes information for querying whether the corresponding file is stored in the cloud server.
  • the file characteristic information includes an MD5 value of the file content, and/or a storage path information of the file, and/or a change information of the file.
  • the file feature information may include an MD5 value of the file content, an MD5 value of the file path, and a change information of the file, and may further include a timestamp.
  • the embodiment of the present invention can determine whether the system file is normal in the form of "file whitelist + file signature" in the security monitoring.
  • the system file is considered as An exception file, that is, when the system file is not in the whitelist of the file, and/or the file signature is incorrect, the system file is considered abnormal.
  • the file signature such as the MD5 value of the file content.
  • the method for determining that a file is infected includes a plurality of methods, such as a feature code method, a checksum method, and the like. These methods are based on different principles. The implementation costs are different, the detection range is different, and each has its own strengths.
  • a collection of known virus files If the virus infects both the COM file and the EXE file, it must collect both the COM virus file and the EXE virus file.
  • the extracted code is special and unlikely to match the normal normal program code.
  • the extracted code should have an appropriate length to maintain the uniqueness of the feature code on the one hand, and not to have too much space and time overhead on the other hand. If the signature code of a virus grows by one byte, to detect 3000 viruses, the added space is 3000 bytes. Under the premise of maintaining uniqueness, try to make the feature code length shorter to reduce space and time overhead.
  • checksum The contents of the normal file are calculated, and the checksum is checked, and the checksum is written and written to a file or written to another file.
  • checksum periodically or before using the file, check whether the checksum calculated by the current content of the file is consistent with the original checksum, so that the file can be found to be infected. This method is called checksum.
  • the checksum method is included, the checksum of the normal state is calculated for the object file to be checked, the checksum value is written into the checked file or the detection tool, and then compared.
  • the checksum check program is resident in the memory. Whenever the application starts running, the automatic comparison checks the pre-stored checksums in the application or in other files.
  • the method for inspecting a file to be infected by a virus may include a plurality of kinds, and the present invention is not limited thereto.
  • step 120 if the abnormality is obtained, the secure file corresponding to the abnormal file corresponding to the abnormal file does not appear according to the file characteristic information; wherein the secure file in the cloud server passes the direct The method is to upload and upload each file of each client;
  • the secure version of the corresponding abnormal file is queried from the cloud server according to the file characteristic information, and then downloaded from the cloud server to the local by the user.
  • the user's bass_aac.dll file is abnormal.
  • the file characteristics information of bass_aac.dll such as the MD5 value of the file content, and the MD5 value of the storage path
  • the corresponding secure bass_aac.dll file is searched in the cloud server, and then the user will The secure bass_aac.dll file is downloaded locally.
  • the file feature information used when the cloud server stores the file may include a file name, an MD5 value of the file content, and the like.
  • the file in the embodiment of the present invention can be stored uniquely, that is, only one copy is stored in the same file, and storage is not repeated. Then, the file feature information corresponding to the same file of different client terminals may be multi-to-one corresponding to the file.
  • the bass_aac.dll file in the aforementioned windows system basically the file exists in each client, then the cloud server only stores one bass_aac.dll file, and then the file feature information of each client side corresponds to MD5 value and bass_aac of bass_aac.dll+.
  • the .dll can be used.
  • the secure file in the cloud server is obtained by uploading each file of each client in a direct manner. That is, the file stored in the cloud server can be uploaded by the user terminal, or the file with high repetition rate in each client can be uploaded and uploaded by the cloud server itself without uploading through the client.
  • the windows system files, the various windows system files are basically the same, therefore, the cloud server can upload and store the windows system files by itself.
  • system files of smart phones such as android Android system files.
  • Step 130 Replace the file corresponding to the abnormality of the client with the secure file.
  • the secure file can be replaced with an abnormal file.
  • the file for replacing the abnormality of the client with the secure file includes:
  • the abnormal file or the infected unknown file has an operation permission restriction, obtaining an operation permission of the file by calling a permission acquisition function;
  • the permission acquisition function is lower than a system authority authentication function layer;
  • the abnormal file or the unknown file is replaced with the corresponding secure file.
  • the method further includes:
  • the user is prompted to download the secure version of the file and replace it before downloading the file corresponding to the abnormal file from the cloud server before the abnormal situation occurs.
  • the invention can replace system files (including various versions of operating systems, windows 2000, xp, 2003, vista, windows 7, windows 8) and third-party commonly used software (such as QQ, Thunder, Fetion, 360 series software, etc.
  • system files including various versions of operating systems, windows 2000, xp, 2003, vista, windows 7, windows 8) and third-party commonly used software (such as QQ, Thunder, Fetion, 360 series software, etc.
  • third-party commonly used software such as QQ, Thunder, Fetion, 360 series software, etc.
  • system files and third-party commonly used software it also includes all executable files on the client machine.
  • the replaceable file mainly relies on the whitelist for the collection of files and software, and any file or software collected in the whitelist can be replaced.
  • the whitelist can determine whether it is an executable file or whether it is a replaceable file, such as by a file extension.
  • FIG. 2 it is a schematic flowchart of a method for repairing a client file according to a preferred embodiment of the present invention, which may specifically include:
  • Step 210 Scan, for each client, scan file feature information of the file, and combine the monitoring of the file change to generate a file information log.
  • This step is for each client, first scans the file feature information of the file, and combines the monitoring of the file change to generate a file information log.
  • the MD5 value of the file may be scanned first, and then the file information log is generated in combination with the file name of the current file, the file path, the change of the file, and the like.
  • the file changes include, for a file with the same MD5 value, if it is used to change its storage path, then the record The change of its storage path, for example, if the original path of the file A.exe is D: ⁇ A ⁇ A, and the user moves it to E: ⁇ A ⁇ A, and the name is changed to B.exe, then the monitoring of the file is The B.exe in the record E: ⁇ A ⁇ A is changed by D: ⁇ A ⁇ A in D: ⁇ A ⁇ A. When the file log information is generated, the movement information is also recorded.
  • the file storage environment may be initially installed on the user end, and when the security of the client system is ensured, the files in the client system are scanned to generate logs, and then the files not stored in the cloud server are uploaded to the cloud server for storage. . Then proceed to step 210.
  • the process directly proceeds to step 210.
  • Step 220 Compare file feature information of the file information log with file feature information recorded in the cloud server to determine whether an unknown file exists
  • the cloud server can obtain the file by uploading the client.
  • the file feature information in the file information log is compared with the file feature information recorded by the cloud server to determine whether it is stored in the unknown file.
  • the cloud server records the file name of the file and the MD5 value of the file, and then compares the MD5 value in the file log information with the MD5 value in the file feature information recorded by the cloud server. If not, it is determined. It is an unknown file relative to the cloud server.
  • the file characteristics information of the client log information that is determined by the cloud server to be an unknown file is notified to the user.
  • the file feature information of the file information log is compared with the file feature information recorded in the cloud server, and determining whether the unknown file exists includes:
  • Step S10 Comparing the file log information currently generated by the user end with the file log information of the user end, and determining whether there is a first unknown file that is not recorded in the file log information of the user end.
  • the embodiment of the present invention can record the file log information generated when the scan is performed before the current scan. For example, when the user scans a file log information for the first scan, the log information of the file is recorded, and the file log information of the second scan of the client can be compared with the previously recorded file log information, and the first The judgment of the feature information of the second unknown file obtains the first unknown file log information.
  • the optimal initial environment is a security environment without any abnormal files, such as a security environment after the initial installation.
  • the initial environment is a security environment, and then initial file log information can be generated for the user end, and the file log information corresponds to related file feature information of each security file of the user.
  • the file log information before the log information currently generated by the user end may be recorded by the user end itself or by the cloud server, and when the cloud server performs the record, the corresponding record is performed by the user end identifier to avoid Confusion of file log information.
  • the cloud server optimization
  • the file feature information is then associated with the corresponding file.
  • the file log information currently generated by the client is compared with the file log information of the user end, and the first unknown file does not exist in the file log information of the client.
  • the log information includes:
  • Step S11 Upload the file log information currently generated by the client to the cloud server.
  • Step S12 Comparing the file log information currently received by the cloud server with the file information log corresponding to the user end recorded by the cloud server, and acquiring the first file that is recorded by the cloud server and corresponding to the file log information of the user end. Unknown file log information.
  • the process proceeds to step S12.
  • a cloud server records the file log information of the client
  • the client first uploads the current file log information to the cloud server
  • the cloud server records the file log information currently uploaded by the client with the cloud server.
  • the file log information is compared, and it is determined whether there is a first unknown file log information that does not exist in the file log information of the user end. If yes, the process proceeds to step S12, where the first unknown file information is The file log information of the currently uploaded file is not found in the file log information of the corresponding client in the cloud storage compared with the file log information of the corresponding client in the cloud.
  • the file feature information used when the cloud server stores the file may include a file name, an MD5 value of the file content, and a file path of the client file; for a file, a timestamp when the file is uploaded may also be added. Or the corresponding version number is used as the version identifier, and the security level of the file is identified.
  • the path MD5 value of the file is generally identified by the security level. That is, the storage form of the file feature information in the embodiment of the present invention can be stored in the form of "file name: PATH (client file path MD5) + TEXT (file content MD5)", in which the PATH is assigned a security level.
  • the file name: PATH (path MD5) + TEXT (file content MD5) + VERSION (version identifier) is stored, wherein the PATH is identified by a security level.
  • the client ID when uploading, the client ID may also be uploaded, and when the file information is stored, the client ID is also stored.
  • the user ID generates a serial number (such as the MID currently used) according to the hardware of the user machine, and can also be generated by using the account registered by the cloud server and the MID.
  • the method when storing the file log information, the method includes:
  • Step A1 structuring the file feature information by using a client file path, a feature value corresponding to the file content, and a file version structure, and obtaining structured file feature information;
  • Step A12 Perform security level marking on the structured file feature information according to the security level of the file.
  • the structured file feature information indicating the security level is stored in the file information log corresponding to the client.
  • Step S20 If the first unknown file log information is present, compare the file feature information in the first unknown file log information with the file feature information recorded in the cloud server to determine whether an unknown file exists.
  • step S20 the file feature information in the first unknown file log information is compared with the file feature information recorded in the cloud server to determine whether there is an unknown file.
  • step 230 if there is an unknown file, the user is notified to upload the unknown file to the cloud server; because the cloud server is the file uploaded by each client, the new and old file log information is used for a certain client.
  • the file feature information in the first unknown file log information appears, and the corresponding file may have been uploaded by another client, and the file feature information related to the file has been recorded in the cloud server.
  • the file feature information in the first unknown file log information is not an unknown file, and the user terminal may not be notified to upload the file corresponding to the file feature information.
  • the stored file can correspond to the file feature information according to certain rules, and is used for comparing with the file feature information uploaded by the user, and searching and querying the corresponding file.
  • the MD5 value of the file corresponds to the file.
  • the uploading of the present invention is based on direct uploading directly from the client (e.g., n100 users in a certain area) to the cloud server.
  • the client e.g., n100 users in a certain area
  • the present inventors have found in the process of implementing the present invention that the problem of low file upload success rate and low efficiency in the prior art is that the entire file is directly uploaded to the server by the user terminal that finds the suspicious file. In this way, if a file is too large and the upload bandwidth that can be used by the client is relatively small, the upload may fail. In addition, using only one client to upload the same file may also make the uploading burden of the client relatively heavy. , will also cause the upload to be very slow.
  • the mechanism for parallel uploading by using fragment and multi-user is adopted, so that, on the one hand, since the file is fragmented, the upload failure phenomenon caused by the file being too large can be avoided, and the uploading phenomenon can be improved.
  • the uploading burden of a single client since multiple clients can upload different fragments of the suspicious file in parallel, it is also possible to reduce the uploading burden of a single client. , to avoid the limitation of a client's upload bandwidth, improve the efficiency of uploading.
  • the method when the user is notified to upload the unknown file to the cloud server, the method includes:
  • Step L1 The client receives the fragmentation policy returned by the cloud server, and performs fragmentation on the file to be uploaded according to the fragmentation policy.
  • the cloud management server returns a fragmentation policy to the client, and the file to be uploaded is fragmented.
  • the client After receiving the fragmentation policy of the management server of the cloud, the client can divide the uploaded file. At the same time, you can also assign a slice number to each slice (how to number it can also be included in the slice strategy). After sharding, each piece still uses the original data format, and can retain the identifier of the original file, but only part of the original file. And, once the shard is completed, each shard can be transmitted as an independent data transmission unit.
  • the specific fragmentation method can be implemented by using the methods in the prior art, and will not be described in detail herein.
  • Step L2 The user uploads the file to the cloud server in units of shards. If different users find the same file to be uploaded, the different shards of the same file to be uploaded are uploaded by each user in parallel.
  • the user performs file uploading to the data server of the cloud in units of fragments.
  • the file can be uploaded in units of fragments, and since there may be multiple users discovering the same file, it is possible to upload a part of the fragments by these users. It is possible to avoid an upload task of a client being too heavy, and since multiple clients can upload in parallel, the efficiency of uploading can be greatly improved.
  • the user may send a file upload request to the management server according to the sequence of the fragment number, and the management server determines whether the current user terminal is based on the uploaded status of each fragment of the file by other clients. You need to upload the current fragment. If necessary, send an indication to the user that the user needs to upload. If the user receives the response message that needs to be uploaded, the current fragment is uploaded to the data server. Otherwise, the fragment does not need to be uploaded.
  • the management server can indicate that the client A does not need to upload the fragment; after receiving the instruction, the client A can abandon the upload request for the fragment 1, and then send a request for uploading the fragment 2 to the management server. .
  • the management server will send the upload to the client A.
  • the client A can upload the fragment 1; after the upload of the fragment 1 is completed, the request for uploading the fragment 2 is sent to the management server, and so on.
  • the sharding policy assigned by the management server is the same for the same file to be uploaded. That is to say, if there are three clients that have found the files in the above example, the fragmentation strategy sent to the three clients should be divided into three fragments, and the size and number of each fragment. Waiting for consistency between the various clients.
  • each client does not necessarily find the same file at the same time, but has a temporal sequence, but when uploading each fragment using the foregoing method, Affects the implementation of the embodiments of the present invention.
  • the client A first discovers a file, and after the file is fragmented according to the policy of the management server, the slice 1 is first uploaded to the data server; in the process of uploading the slice 1 by the client A, the client B also finds the file.
  • the management server also instructs the client B to fragment the file according to the same policy, and when the client B initiates the request to upload the slice 1, the management server can indicate that the client B does not have to upload.
  • the fragment 1 then the client B initiates a request to upload the fragment 2 to the management server, if there is no other client before this Uploading the fragment 2, it can be instructed that the client B can upload the fragment 2, and then the user B can start uploading the fragment 2, and so on.
  • each fragment needs to be grouped on the server side to obtain a complete file.
  • the data server selected by the management server for different users may be It is different, so that different shards of the same file may be uploaded to different data servers.
  • each fragment of the same file uploaded by different clients can be first routed to the same group package server, and then each fragment is grouped by the group package server.
  • the data server (equivalent to the uploading receiver) can be a cluster, each data server can receive the fragment uploading, and after the fragment is uploaded to the data server, each fragment can be routed to the group packet by the fragment distribution process.
  • the process may first request the scheduling center to obtain which group of packet servers the fragment should go to.
  • the scheduling center is based on the file md5 (Message Digest Algorithm, the fifth version of the message digest algorithm, which is widely used in the field of computer security. Hash function to provide message integrity protection) assign a suitable group package server to the distribution process, each group package server will start a group worker waiting group package, so that all fragments of the same file will fall In the same group package server.
  • md5 Message Digest Algorithm, the fifth version of the message digest algorithm, which is widely used in the field of computer security. Hash function to provide message integrity protection
  • data server and the group package server in the embodiments of the present invention may be physically independent machines, and different services may be provided in the same machine. However, it should not be construed as limiting the invention.
  • the scheduling center may be used to monitor the status of the grouping machine.
  • the scheduling center is redundant and can be hot-cut.
  • the corresponding group can be found by the hash algorithm according to the md5 of the file.
  • Server when a group package server fails, the dispatch center will detect that the group server fails, and set the status to invalid. At the same time, select a backup machine to replace the failed machine. Through this mechanism, the fault tolerance of the system can be improved and the reliable operation of the package service can be guaranteed.
  • the file uploading to the cloud server in units of fragments includes:
  • Step L11 Send a file upload request to the cloud server according to the sequence of the slice number, and the cloud server determines, according to the uploaded status of each fragment of the file, whether the current user needs to upload the current fragment. ;
  • Step L12 If the response message that needs to be uploaded is received, the current fragment is uploaded to the cloud server. If it does not exist, no files will be uploaded.
  • Step 240 Analyze the security level of the unknown file and record.
  • the cloud server is required to determine whether it is a secure file for the file uploaded by the client. If it is a secure file, the security level is marked as secure. If it is otherwise, it is marked with the corresponding security level, such as suspicious, poisoned, etc., and then records the corresponding file feature information and the corresponding security level, such as the level of infection.
  • the files in the embodiment of the present invention can be uniquely stored, that is, only one copy of the same file is stored, and the storage is not repeated.
  • the cloud server finds that there are unknown files filel, file2, and ffle3 through the foregoing steps, and then notifies the client A to upload filel, file2, and file3 to the cloud server for storage, and the cloud server records the corresponding file feature information. Then, for the client B, where the file file1, file3, and file4 exist, the cloud server detects that the unknown file file4 exists in the user B through the foregoing steps, and then notifies the user B to upload ffle4.
  • analyzing the security level of the unknown file includes:
  • Step S250 When the security level of the unknown file is an infected level, search for a corresponding secure file in the cloud server according to the file log information, and notify the user end to download the secure file.
  • the cloud server determines that the file uploaded by the client is an infected file
  • the cloud server searches for the corresponding secure file in combination with the file log information, and notifies the client to download the secure file.
  • the cloud server finds the security file of the corresponding infected file, it needs to obtain a list of security files based on the file log information.
  • the MD5 value of the file content is used to correspond to the file, because, for a file, after the infection, the MD5 value of the file content before and after the infection changes, the corresponding storage of the cloud server cannot be directly found according to the MD5 value.
  • file For example, for client B's fflel, ffle3, file4, the file contents of its security file MD5 are:
  • the path is D: A ⁇ A.
  • the corresponding file content after infection MD5 value is:
  • the path of filel and file3 is D: A ⁇ A
  • the path of file ffle4 is E: B ⁇ B, which is obtained by D: A ⁇ A. Then, according to the file log information obtained by scanning and monitoring the client B, the MD5 value is known.
  • the corresponding file of 6666666666666666666666666666666666666666666666666666DD is D: A ⁇ A ⁇ filel, and the content of the corresponding security version is 666666666666666666666666666AA;
  • the file corresponding to the MD5 value of 666666666666666666666666666666666666666 is D: A ⁇ A ⁇ file3; the content value of the corresponding security version is 66666666666666666666666666666666666666666BB;
  • the file corresponding to the MD5 value of 666666666666666666666666666666666666FF is D: A ⁇ A ⁇ file4, and the content value of the corresponding security version is 66666666666666666666666666666CC.
  • the corresponding secure filel, ffle3, and file4 can be queried in the cloud server according to the MD5 value of the security version, and downloaded to the client.
  • the method when the client obtains the secure file, the method includes:
  • the cloud server matches the client ID and the file feature information to obtain the corresponding secure file. That is, combined with the aforementioned client ID and PATH (path MD5) + TEXT (file content MD5) + VERSION
  • Step S260 Replace the unknown file of the client with the secure file.
  • the unknown file that the cloud server confirms is safe, added to the secure whitelist, and the signature information is recorded.
  • the client obtains the secure version of the file corresponding to the infected file, that is, obtains the secure file that is uploaded to the cloud before the file is infected, the infected file is replaced with the file of the security version.
  • the method when the client acquires, the method includes:
  • the cloud server matches the client ID and file feature information to obtain the corresponding secure file.
  • the infected file is repaired, quarantined or deleted using the traditional repair method of the security software.
  • the replacing the unknown file on the client with the secure file includes:
  • Step S30 When the infected unknown file has an operation permission restriction, obtain an operation permission of the file by calling a permission acquisition function; the permission acquisition function is lower than a system authority authentication function layer;
  • Step S31 After obtaining the operation authority of the file, replace the unknown file with a corresponding security file.
  • the client uploads the monitored file change information to the cloud server, searches for and obtains the latest security file from the current time point in the cloud server, and uses the secure file to perform the abnormal file or the unknown file with the corresponding secure file. replace.
  • the file b.exe of client A is uploaded to the cloud on 2012-1-11, and its MD5 value is al.
  • the client has modified the content of b.exe on 2012-2-15, and its MD5
  • the value is changed to a2
  • a2 is also uploaded to the cloud server, and al and a2 are both secure.
  • the cloud server stores the 2012-2-15 b.exe , then replace the currently infected file b.exe with b.exe of 2012-2-15.
  • the method further includes:
  • the user is prompted to download the security file and perform the file. replace.
  • each file has its operation authority.
  • the windows file has: full control, modify, read and run, read, write, etc., and the permission to modify when the file is called. .
  • the present invention can obtain the operation permission of the file by the permission acquisition driver. There are many specific methods for obtaining rights in the present invention, and the present invention does not limit them.
  • Step 270 Scan the client file, determine whether the file is abnormal, and obtain file feature information.
  • step 280 if the abnormality is obtained, the secure file corresponding to the abnormal file is obtained from the cloud server according to the file feature information; wherein the secure file in the cloud server performs the file in each client manner in a direct manner. Uploaded;
  • Step 290 Replace, by the secure file, a file corresponding to the abnormality of the client.
  • Steps 270, 280, and 290 are substantially similar to Embodiment 1.
  • the scan can be performed concurrently with the file upload process or asynchronously.
  • the scanning of whether the client file is infected may be scanned by using the virus signature database used by the traditional antivirus software provided by the client itself, and also by using the cloud killing engine that is matched by the cloud server. .
  • the file feature information of the file is obtained.
  • the information of the scanned file is processed in combination with the change of the monitoring file, and the file feature information finally used for querying the cloud server for security corresponding to the abnormal file is obtained.
  • D: ⁇ A ⁇ filel For example, for D: ⁇ A ⁇ filel, if the user changes the storage path of the client after uploading D: ⁇ A ⁇ filel, change the name to ffle6, and the path is also changed, ie E: ⁇ A ⁇ file6 Then, in the embodiment of the present invention, the change process of the file1 is monitored, and if the ffle6 is abnormal, the security file corresponding to the ffle6 is also known as the original D: ⁇ A ⁇ filel. This information can be uploaded to the cloud server.
  • the file feature information is sent to the cloud server. If the antivirus engine of the client cannot determine whether the file is abnormal, it can be uploaded to the cloud server as an unknown file for killing, and the above file feature information is also uploaded to the cloud server.
  • step 280 for the abnormal file, according to the file feature information obtained by the foregoing scanning and monitoring process, the file of the corresponding security version is searched for in the file stored in the cloud server based on the information, and then provided to the user for downloading.
  • the process proceeds to step 290 to replace the file corresponding to the abnormality of the client with the secure file.
  • the replacing the abnormal file corresponding to the client with the secure file includes:
  • Step S291 When an abnormal file has an operation permission limit, obtain an operation permission of the file by calling a permission acquisition function; the permission acquisition function is lower than a system authority authentication function layer;
  • Step S292 After obtaining the operation authority of the file, replace the abnormal file with the secure file.
  • each file has its operation authority.
  • the windows file has: full control, modify, read and run, read, write, etc., and the permission to modify when the file is called. .
  • the present invention can obtain the operation permission of the file by the permission acquisition driver. There are many specific methods for obtaining rights in the present invention, and the present invention does not limit them.
  • the method further includes:
  • the file corresponding to the abnormal file is downloaded from the cloud server, and does not appear.
  • the secure file before the abnormal situation prompts the client to allow the download of the secure version of the file and replace it. If the user does not allow it, you can use the traditional repair technology to fix the abnormal file.
  • FIG. 3 is a schematic structural diagram of a device for repairing a client file according to the present invention, including: an infection scanning module 310, configured to scan a client file, determine whether the file is abnormal, and obtain file feature information;
  • the module 320 is configured to obtain, from the cloud server, a secure file corresponding to the abnormal file according to the file feature information, where the secure file in the cloud server is directly used to each user end. The file is uploaded and obtained;
  • the replacement module 330 is configured to replace the file corresponding to the abnormality of the client with the secure file.
  • the replacement module includes:
  • the replacement unit is configured to obtain the operation permission of the file to obtain the file by the permission when the abnormal file has the operation permission limit.
  • the infection scanning module may exist at the user end or may exist in the cloud server.
  • a replacement prompt module is further included to prompt the user whether to allow replacement of the abnormal file.
  • FIG. 4 it is a schematic structural diagram of a device for repairing a client file according to a preferred embodiment of the present invention, including: a file uploading module, where the file uploading module includes:
  • the log information generating sub-module 410 is configured to scan file feature information of the file for each client, and combine the monitoring of the file change to generate a file information log.
  • the unknown file judging sub-module 420 is configured to compare the file characteristic information of the file information log with the file characteristic information recorded in the cloud server to determine whether an unknown file exists;
  • the first uploading sub-module 430 is configured to notify the user end to upload the unknown file to the cloud server if an unknown file exists;
  • the first determining sub-module 440 is configured to analyze the security level of the unknown file and perform recording.
  • the method further includes:
  • the obtaining sub-module S450 is configured to: when the security level of the unknown file is an abnormal level, search for a corresponding secure file in the cloud server according to the file log information, and notify the user end to download the secure file;
  • a replacement sub-module S460 configured to replace the unknown file of the client with the secure file.
  • the infection scanning module 470 is configured to scan the client file, determine whether the file is abnormal, and obtain file feature information.
  • the security file obtaining module 480 is configured to: if abnormal, obtain the abnormal file from the cloud server according to the file feature information. Corresponding security files; wherein the secure files in the cloud server are uploaded in a direct manner to each file of each client;
  • the replacement module 490 is configured to replace the file corresponding to the abnormality of the client with the secure file.
  • the unknown file determination submodule includes:
  • the first unknown judging module is configured to compare the file log information currently generated by the user end with the file log information of the user end, and determine whether there is a cloud server record, and the file log information corresponding to the user end does not exist.
  • First unknown file log information a second unknown judging module, configured to compare the file feature information in the first unknown file log information with the file feature information recorded in the cloud server, if the first unknown file log information is present, to determine whether an unknown is present file.
  • the first unknown determination module includes:
  • the second uploading sub-module is configured to upload the file log information currently generated by the user end to the cloud server; the second determining sub-module is configured to: the file log information currently received by the cloud server and the file corresponding to the client end recorded by the cloud server The information log is compared, and the first unknown file log information that does not exist in the file log information of the client is recorded by the cloud server.
  • the first upload submodule includes
  • the file sharding unit 202 is configured to receive, by the UE, a sharding policy that is sent by the cloud server, and perform sharding on the file to be uploaded according to the sharding policy;
  • the fragment uploading unit 203 is configured to perform file uploading to the cloud server by using the fragmentation unit; wherein, if different users find the same file to be uploaded, the different points of the same file to be uploaded are uploaded by each user side in parallel. sheet.
  • file log information when storing file log information, include:
  • An information extraction module configured to structure file feature information by using a client file path, a feature value corresponding to the file content, and a file version structure, to obtain structured file feature information
  • an information storage module configured to perform security level identification on the structured file feature information according to the security level of the file; and store the structured file feature information that identifies the security level in a file information log corresponding to the user end.
  • the replacement module or the first replacement module includes:
  • a permission obtaining unit configured to: when the abnormal file or the infected unknown file has an operation permission limitation, obtain an operation permission of the file by calling a permission acquisition function; the permission acquisition function is lower than a system authority authentication function layer;
  • the replacement unit is configured to replace the abnormal file or the unknown file with a corresponding secure file after obtaining the operation permission of the file.
  • It also includes a replacement prompt module that prompts the client to allow replacement of exception files, and/or infected unknown files.
  • FIG. 5 it is a schematic structural diagram of a repair system for a client file according to the present invention, including: each client and a cloud server, wherein the cloud server includes a cloud server log server and a cloud server file server.
  • Each client can be used to upload unknown files and file log information, and can also be used to determine whether its files are infected.
  • the cloud server log server can be used to store file log information uploaded by each client and file feature information corresponding to files in the file server.
  • the cloud server file server can be used to store files uploaded by the client, and determine whether the file is abnormal, and Supply security files to the client for download.
  • the various component embodiments of the present invention may be implemented in hardware, or in software modules running on one or more processors, or in a combination thereof.
  • Those skilled in the art will appreciate that some or all of the functionality of some or all of the components of the client file repair device in accordance with embodiments of the present invention may be implemented in practice using a microprocessor or digital signal processor (DSP).
  • DSP digital signal processor
  • the invention can also be implemented as a device or device program (e.g., a computer program and a computer program product) for performing some or all of the methods described herein.
  • Such a program implementing the invention may be stored on a computer readable medium or may be in the form of one or more signals. Such signals may be downloaded from an Internet website, provided on a carrier signal, or provided in any other form.
  • Fig. 6 shows a server, such as an application server, which can implement the repair method of the client file according to the present invention.
  • the server conventionally includes a processor 610 and a computer program product or computer readable medium in the form of a memory 620.
  • Memory 620 can be an electronic memory such as flash memory, EEPROM (Electrically Erasable Programmable Read Only Memory), EPROM, hard disk or ROM.
  • Memory 620 has a memory space 630 for program code 631 for performing any of the method steps described above.
  • storage space 630 for program code may include individual program code 631 for implementing various steps in the above methods, respectively.
  • the program code can be read from or written to one or more computer program products.
  • These computer program products include program code carriers such as hard disks, compact disks (CDs), memory cards or floppy disks. Such computer program products are typically portable or fixed storage units as described with reference to Figure 7.
  • the storage unit may have a storage section, a storage space, and the like arranged similarly to the storage 620 in the server of Fig. 6.
  • the program code can be compressed, for example, in an appropriate form.
  • the storage unit includes computer readable code 63 ⁇ , i.e., a code readable by a processor, such as 610, that when executed by the server causes the server to perform various steps in the methods described above.
  • an embodiment or “one or more embodiments” as used herein means that the particular features, structures, or characteristics described in connection with the embodiments are included in at least one embodiment of the invention.
  • the phrase “in one embodiment” herein does not necessarily refer to the same embodiment.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Computer Hardware Design (AREA)
  • Health & Medical Sciences (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Virology (AREA)
  • General Health & Medical Sciences (AREA)
  • Data Mining & Analysis (AREA)
  • Databases & Information Systems (AREA)
  • Bioethics (AREA)
  • Storage Device Security (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)
  • Information Transfer Between Computers (AREA)

Abstract

提供了一种用户端文件的修复方法和***。所述方法包括：扫描用户端文件，判断文件是否异常，并获取文件特征信息（110）；如果异常，则根据所述文件特征信息从云端服务器获取与所述异常的文件相应的、未出现异常情况前的安全的文件；其中，所述云端服务器中的安全的文件通过直接的方式对各用户端的各文件进行上传获得（120）；用所述安全的文件替换用户端相应异常的文件（130）。所述方法及***通过将各用户端的安全文件保存在云端服务器，当用户端出现文件异常时，从云端服务器下载相应文件的安全版本，替换本地异常的文件，解决传统文件修复过程出现的无法修复正常，或者因为感染复杂导致无法修复的问题，保证可以把正确版本的文件恢复到***中。

Description

一种用户端文件的修复方法和*** 技术领域
本发明涉及安全技术领域， 特别是涉及一种用户端文件的修复方法和***。 背景技术
文件感染， 是一种病毒和木马常用的一种技术， 由来已久。 这种技术是将病毒代码 添加到正常程序的代码中， 从而实现随被感染程序同步运行的功能， 进而对感染电脑进 行破坏和自身传播， 以及完成一些诸如盗窃用户密码或者虚拟资产， 上传用户敏感资料 等其它恶意行为。 而对于感染的文件来说， 为了方便用户， 一般需要对用户感染的文件 进行修复。
现有技术中， 对于感染文件的修复过程是清除***正常文件的恶意代码。 其过程一 般如下： 用户端扫描文件-〉发现受感染的文件-〉定位文件代码中病毒或木马等恶意代码 所在位置-〉根据定位的病毒或木马等恶意代码位置， 将恶意代码部分删除。 然而， 在实 际中， 由于病毒与安全软件对抗之后， 变种非常多样， 用现有的方法处理被感染的文件 存在以下几个缺点： （ 1 ) 几乎做不到完全修复； （ 2 )很多文件修复之后， 还残存恶意 代码； （ 3 )很多文件修复之后， 不能正常执行 (个别的还可能会导致***崩溃或应用软 件无法正常使用） ； （ 4 )无法修复文件时 （比如文件被感染度超过 80%, 则基本无法将 恶意代码从原正常文件代码中删除） ， 被迫隔离 （删除）； （5 )无法修复***关键文件 时， 不敢删除被迫保留。 总之， 现有的文件修复技术基本上无法保证将被感染文件中的 恶意代码完整删除， 保证文件正常。 发明内容
鉴于上述问题， 提出了本发明以便提供一种克服上述问题或者至少部分地解决 或者减緩上述问题的用户端文件的修复方法和***。
根据本发明的一个方面， 提供了一种用户端文件的修复方法， 包括： 扫描用户端 文件， 判断文件是否异常， 并获取文件特征信息； 如果异常， 则根据所述文件特征信息 从云端服务器获取与所述异常的文件相应的， 未出现异常情况前的安全的文件； 其中， 所述云端服务器中的安全的文件通过直接的方式对各用户端的各文件进行上传获得； 用 所述安全的文件替换用户端相应异常的文件。
根据本发明的另一个方面， 提供了一种用户端文件的修复装置， 包括： 感染扫描 模块， 用于扫描用户端文件， 判断文件是否异常， 并获取文件特征信息； 安全文件获取 模块， 用于如果异常， 如果异常， 则根据所述文件特征信息从云端服务器获取与所述异 常的文件相应的， 未出现异常情况前的安全的文件； 其中， 所述云端服务器中的安全的 文件通过直接的方式对各用户端的各文件进行上传获得； 替换模块， 用于用所述安全的 文件替换用户端相应异常的文件。
根据本发明的又一个方面， 提供了一种计算机程序， 其包括计算机可读代码， 当所述计算机可读代码在服务器上运行时， 导致所述服务器执行根据权利要求 1-12 中的任一个所述的用户端文件的修复方法。
根据本发明的再一个方面， 提供了一种计算机可读介质， 其中存储了如权利要 求 25所述的计算机程序。
本发明的有益效果为：
本发明通过将各用户端的安全文件保存在云端服务器， 当用户端出现文件异常时， 从云端服务器下载相应文件的安全版本， 替换本地异常的文件， 解决传统文件修复过程 出现的无法修复正常， 或者因为感染复杂或者说是***关键文件导致无法修复等问题， 保证把可以把正确版本的文件恢复到***中。
上述说明仅是本发明技术方案的概述， 为了能够更清楚了解本发明的技术手段， 而可依照说明书的内容予以实施， 并且为了让本发明的上述和其它目的、 特征和优 点能够更明显易懂， 以下特举本发明的具体实施方式。 附图说明
通过阅读下文优选实施方式的详细描述， 各种其他的优点和益处对于本领域普 通技术人员将变得清楚明了。 附图仅用于示出优选实施方式的目的， 而并不认为是 对本发明的限制。 而且在整个附图中， 用相同的参考符号表示相同的部件。 在附图 中：
图 1是依据本发明一个实施例的用户端文件的修复方法的流程示意图；
图 2是依据本发明一个实施例的用户端文件的修复方法的流程示意图；
图 3是依据本发明一个实施例的用户端文件的修复装置的结构示意图；
图 4是依据本发明一个实施例的用户端文件的修复装置的结构示意图；
图 5是依据本发明一个实施例的用户端文件的修复***的结构示意图；
图 6示意性地示出了用于执行根据本发明的方法的服务器的框图； 以及 图 7 示意性地示出了用于保持或者携带实现根据本发明的方法的程序代码的存 储单元。 具体实施例
下面结合附图和具体的实施方式对本发明作进一步的描述。
本发明可以及时准确的将各用户端的安全版本文件上传至云端服务器保存， 当用户 端某个文件异常时， 则根据异常文件的相关文件特征信息从云端服务器获取与所述异常 文件相应的安全的文件至用户端， 然后用所述安全的文件替换用户端相应异常的文件。 本发明优选的， 针对的是用户端***中的可执行文件， 比如 windows***中的 PE 文件（ PE文件被称为可移植的执行体是 Portable Execute的全称， PE文件是微软 Windows 操作***上的程序文件。 常见的 EXE、 DLL, OCX, SYS、 COM都是 PE文件） ， 比如 移动终端 （智能手机等） 中的可执行文件（比如***文件） 。 因为对于上述这类文件， 各用户端中的文件基本相同， （比如对于 windows ΧΡ***， 那么其中的***文件则基本 上相同） ， 那么在云端服务器则可具有相对充裕的空间存储上述文件。
参照图 1 , 示出了本发明一种用户端文件的修复方法的流程示意图， 具体可以包括： 步骤 110, 扫描用户端文件， 判断文件是否异常， 并获取文件特征信息；
在本发明实施例中， 判断文件是否异常可由用户端判断， 也可由云端服务器的服务 器判断。在扫描时，可获取相应文件的文件特征信息。其中文件特征信息包括文件的 MD5 值（ Message Digest Algorithm MD5 , 中文名为消息摘要算法第五版） , 文件在用户端的 存储路径等。 所述文件特征信息包括用于查询相应文件是否在云端服务器存储的信息。
其中， 所述的文件特征信息包括文件内容的 MD5值， 和 /或文件的存储路径信息， 和 /或文件的变化信息。 本发明实施例中， 文件特征信息可包括文件内容的 MD5值， 文 件路径的 MD5值， 文件的变化信息， 还可包括时间戳等。
对于异常文件， 其存在多种情况：
其一， 比如对于***文件来说， 本发明实施例可以在安全监控中设置"文件白名单 + 文件签名"的形式判断***文件是否正常， 当***文件不具备其中之一即可认为***文件 为异常文件， 即当***文件不在文件白名单中、 和 /或文件签名不对， 即可认为***文件 是异常的。 其中， 文件签名比如文件内容的 MD5值等。
其二， 对于个人编译的可执行文件来说， 可通过扫描判断其是否被感染 （中毒）来 判断是否异常。
本发明中， 判断文件被感染的方法包括多种， 比如： 特征代码法、 校验和法等。 这 些方法依据的原理不同， 实现时所需开销不同， 检测范围不同， 各有所长。
1、 特征代码法的实现步骤如下：
釆集已知病毒文件， 病毒如果既感染 COM文件， 又感染 EXE文件， 对这种病毒要 同时釆集 COM型病毒文件和 EXE型病毒文件。
在病毒文件中， 抽取特征代码。 依据如下原则：
抽取的代码比较特殊， 不大可能与普通正常程序代码吻合。 抽取的代码要有适当长 度， 一方面维持特征代码的唯一性， 另一方面又不要有太大的空间与时间的开销。 如果 一种病毒的特征代码增长一字节， 要检测 3000种病毒， 增加的空间就是 3000字节。 在 保持唯一性的前提下， 尽量使特征代码长度短些， 以减少空间与时间开销。
在既感染 COM文件又感染 EXE文件的病毒文件中， 要抽取两种文件共有的代码。 将特征代码纳入病毒数据库。
打开被检测文件， 在文件中搜索， 检查文件中是否含有病毒数据库中的病毒特征代 码。 如果发现病毒特征代码， 由于特征代码与病毒——对应， 便可以断定， 被查文件中 患有何种病毒。
2、 校验和法，
将正常文件的内容， 计算其校-检和， 将该校-检和写入文件中或写入别的文件中保存。 在文件使用过程中， 定期地或每次使用文件前， 检查文件现在内容算出的校验和与原来 保存的校验和是否一致， 因而可以发现文件是否感染， 这种方法叫校验和法。
运用校验和法查病毒釆用三种方式：
①在检测病毒工具中纳入校验和法， 对被查的对象文件计算其正常状态的校验和 , 将校验和值写入被查文件中或检测工具中， 而后进行比较。
②在应用程序中， 放入校验和法自我检查功能， 将文件正常状态的校验和写入文件 本身中， 每当应用程序启动时， 比较现行校验和与原校验和值。 实现应用程序的自检测。
③将校验和检查程序常驻内存, 每当应用程序开始运行时， 自动比较检查应用程序 内部或别的文件中预先保存的校-检和。
对于检查文件被病毒感染的方法可包括多种， 本发明不对其加以限制。
步骤 120,如果异常，则根据所述文件特征信息从云端服务器获取与所述异常的文件 相应的， 未出现异常情况前的安全的文件； 其中， 所述云端服务器中的安全的文件通过 直接的方式对各用户端的各文件进行上传获得；
如果扫描发现文件异常， 那么根据所述文件特征信息从云端服务器查询相应异常文 件的安全版的文件， 然后由用户端从云端服务器下载至本地。 比如用户的 bass_aac.dll文 件异常，根据 bass_aac.dll的文件特征信息，比如文件内容的 MD5值，和存储路径的 MD5 值等在云端服务器查找相应的安全的 bass_aac.dll文件， 然后由用户端将该安全的 bass_aac.dll文件下载至本地。
所述在云端服务器存储文件时用到的文件特征信息可包括文件名， 文件内容的 MD5 值等。 本发明实施例的文件可进行唯一性存储， 即同一个文件只存储一份， 不重复存储。 然后对于不同用户端的对应相同文件的文件特征信息与所述文件进行多对一进行对应即 可。比如对于前述 windows***中的 bass_aac.dll文件，基本上各个用户端均存在该文件， 那么云端服务器只存储一份 bass_aac.dll文件， 然后各个用户端的文件特征信息以 bass_aac.dll+对应 MD5值与 bass_aac.dll对应即可。
在本发明实施例中， 所述云端服务器中的安全的文件通过直接的方式对各用户端的 各文件进行上传获得。 即在云端服务器存储文件， 可全部由用户端上传， 也可首先对于 各用户端中重复率高的文件由云端服务器自己整理上传， 而不用通过用户端上传。 比如 windows***文件， 各种 windows***文件基本上相同， 因此， 可由云端服务器自己将 windows***文件进行上传和存储。 另外， 还比如对于 UNIX***文件、 智能手机的系 统文件（比如 android安卓的***文件）等。 那么对于在上传用户端的文件时， 对于上述 已经上传了的文件， 即可不对其进行上传。 节省上传时间， 提高效率。 本发明的上传是基于直接从用户端 （比如某地域内的 n亿用户）直接上传到云端服 务器端。
步骤 130, 用所述安全的文件替换用户端相应异常的文件。
当用户端得到与异常文件相应的安全版的文件时， 那么将安全的文件替换异常的文 件即可。
如果无法在云端服务器查找到异常文件相应的安全版的文件， 那么可釆用传统的修 复技术。
其中， 用所述安全的文件替换用户端相应异常的文件包括：
当所述异常文件或者所述被感染的未知文件存在操作权限限制时， 通过调用权限获 取函数， 获取文件的操作权限； 所述权限获取函数低于***权限认证函数层；
当获取到文件的操作权限后， 将所述异常文件或者未知文件用相应安全的文件进行 替换。
如此， 用户端的异常文件还原为安全的文件， 并且避免了由于传统的修复技术导致 的修复不完整或者因为感染复杂等情况而无法修复等问题。
另外， 在本发明中， 判断出文件异常之后， 还包括：
提示用户端是否允许对异常文件进行替换。
比如在判断文件异常之后， 在从云端服务器下载与所述异常的文件相应的， 未出现 异常情况前的安全的文件之前即提示用户端， 是否允许下载安全版的文件并进行替换。
如果用户不允许， 则可釆用传统修复技术对异常文件进行修复。
本发明可替换***文件（包括各个版本的操作***， windows 2000, xp, 2003, vista, windows 7, windows 8 )和第三方常用软件（比如 QQ, 迅雷， ， 飞信， 360系列软件等。 除了上述***文件和第三方常用软件外， 还包括用户端机器上所有的可执行文件。
本发明中， 可替换的文件主要依赖于白名单对于文件和软件的收集， 只要是白名单 内收集的文件或软件， 都是可以替换的。 其中， 白名单在搜集可替换的文件和软件时， 可判断其是否为可执行文件或者说是否为可替换的文件比如通过文件的扩展名
( .com, .exe, .dll等）进行判断。 参照图 2,其示出了本发明优选的一种用户端文件的修复方法的流程示意图，具体可 以包括：
步骤 210, 针对每一用户端， 扫描文件的文件特征信息， 并结合对文件变化的监控， 生 成文件信息日志；
本步骤针对每一个用户端， 首先扫描文件的文件特征信息， 并结合对文件变化的监 控， 生成文件信息日志。 在本发明实施例中， 首先扫描的可为文件的内容 MD5值， 然后 结合当前文件的文件名、 文件路径， 文件的变化情况等生成文件信息日志。 其中文件的 变化情况包括， 对于同一 MD5值的文件， 如果其用于将其存储路径进行变更， 那么记录 其存储路径的变化，比如如果文件 A.exe原来的路径为 D:\A\A,而用户将其移动至 E:\A\A, 并修改名字为 B.exe,那么对文件的监控即记录 E:\A\A中的 B.exe由 D:\A\A中的 D:\A\A 变动过来的， 生成文件日志信息时也对该条移动信息进行记录。
在本发明实施例中， 可以在用户端初始安装文件存储环境， 保证用户端***安全时， 将用户端***中的文件进行扫描生成日志， 然后将云端服务器未存储的文件上传至云端 服务器进行存储。 然后再进入步骤 210。 当然对于本发明实施例， 用户初始使用时， 也可 直接进入步骤 210。
步骤 220,将文件信息日志的文件特征信息与云端服务器中记录的文件特征信息进行 比较， 判断是否存在未知文件；
本发明实施例在云端服务器存储与用户端相关的文件时， 可通过上传用户端的文件 获得。
当得到文件信息日志后， 可根据文件信息日志中的文件特征信息与云端服务器记录 的文件特征信息进行比较， 判断是否存储在未知文件。 比如云端服务器对于其存储的文 件的文件名和文件的 MD5值进行了记录， 那么可将文件日志信息中的 MD5值与云端服 务器记录的文件特征信息中的 MD5值进行比较， 如果不存在， 则判断其为相对于云端服 务器的未知文件。
然后将用户端日志信息中被云端服务器判断为未知文件的文件特征信息通知给用户 端。
优选的， 将文件信息日志的文件特征信息与云端服务器中记录的文件特征信息进行 比较， 判断是否存在未知文件包括：
步骤 S10, 将用户端当前生成的文件日志信息， 与以前记录所述用户端的文件日志 信息进行比较， 判断是否存在云端服务器记录的， 对应所述用户端的文件日志信息中不 存在的第一未知文件日志信息；
对于已经使用至少一次本发明实施例的用户端来说， 本发明实施例可记录当前扫描 之前进行扫描时生成的文件日志信息。 比如用户端第一次扫描时生成了一份文件日志信 息， 该文件日志信息被记录， 那么用户端第二次扫描时的文件日志信息即可与以前记录 的文件日志信息进行比较， 进行第一次未知文件特征信息的判断， 获得第一未知文件日 志信息。
对于本发明实施例来说， 用户端第一次使用时， 最优初始环境为未异常任何文件的 安全环境， 比如初始安装后安全环境。 对于第一次使用本发明实施例的用户端来说， 其 初始环境为安全环境， 那么可对其生成初始的文件日志信息， 该文件日志信息对应该用 户端各安全文件的相关文件特征信息。
在本发明实施例中， 对于用户端当前产生的日志信息之前的文件日志信息， 可由用 户端本身记录， 也可由云端服务器进行记录， 由云端服务器进行记录时， 以用户端标识 进行对应记录， 避免文件日志信息的混淆。 其中， 如果由云端服务器进行记录时， 优选 的， 可单独划分一个云端服务器日志服务器进行记录。 后将文件特征信息与相应的文件进行对应。 其中， 存储文件时， 对于非安全的文件和安 全的文件可分开存储。
优选的， 将用户端当前生成的文件日志信息， 与以前记录所述用户端的文件日志信 息进行比较， 判断是否存在云端服务器记录的， 对应所述用户端的文件日志信息中不存 在的第一未知文件日志信息包括：
步骤 S11 , 将用户端当前生成的文件日志信息上传至云端服务器；
步骤 S12, 将云端服务器当前接收的文件日志信息与云端服务器记录的对应所述用 户端的文件信息日志进行比较， 获取所述云端服务器记录的， 对应所述用户端的文件日 志信息中不存在的第一未知文件日志信息。
那么当由用户端本身对文件日志信息记录时， 如果获得第一未知文件日志信息时， 将所述第一未知文件日志信息发送至云端服务器， 进入步骤 S12。 当有云端服务器对用 户端的文件日志信息进行记录时，用户端首先将当前的文件日志信息上传至云端服务器， 云端服务器将用户端当前上传的文件日志信息与云端服务器记录的对应该用户端以前的 文件日志信息进行比较， 判断是否存在云端服务器记录的， 对应所述用户端的文件日志 信息中不存在的第一未知文件日志信息， 如果存在， 转入步骤 S12, 该第一未知文件曰 志信息是： 当前上传的文件日志信息与云端存储的对应用户端的文件日志信息相比， 云 端存储的对应用户端的文件日志信息中所没有的。
在本发明实施例中， 所述在云端服务器存储文件时用到的文件特征信息可包括文件 名， 文件内容的 MD5值， 用户端文件路径； 对一个文件， 还可加入文件上传时的时间戳 或者相应的版本号作为版本标识， 同时对文件的安全等级进行标识， 本发明实施例中一 般对文件的路径 MD5值进行安全等级标识。即本发明实施例的文件特征信息的存储形式 可以时： "文件名： PATH (用户端文件路径 MD5 ) +TEXT (文件内容 MD5 ) "的形式进 行存储， 其中对 PATH进行安全等级标识。 优选的， 还可以是： "文件名： PATH (路径 MD5 ) +TEXT (文件内容 MD5 ) +VERSION (版本标识） "进行存储， 其中对 PATH进 行安全等级标识。 在本实施例中， 在上传时， 还可将用户端 ID上传， 然后存储文件信息 时， 将用户端 ID也一并存储。 所述用户端 ID比如根据用户机器的硬件生成一个序列号 (比如现在使用的 MID ) , 还可利用用户在云端服务器注册的账号和 MID结合生成。
优选的， 在存储文件日志信息时包括：
步骤 Al l , 以用户端文件路径、 文件内容对应的特征值、 文件版本的结构对文件特 征信息进行结构化， 获得结构化文件特征信息；
即前述的"文件名： PATH (用户端文件路径 MD5 ) +TEXT (文件内容 MD5 ) "的形 式。
步骤 A12, 才艮据所述文件的安全等级， 对所述结构化文件特征信息进行安全等级标 识； 将标识完安全等级的结构化文件特征信息存入对应所述用户端的文件信息日志中。 步骤 S20, 如果存在所述第一未知文件日志信息， 将所述第一未知文件日志信息中 的文件特征信息， 与云端服务器中记录的文件特征信息进行比较， 判断是否存在未知文 件。
如果步骤 S20中， 获得了第一未知文件日志信息， 那么将所述第一未知文件日志信 息中的文件特征信息， 与云端服务器中记录的文件特征信息进行比较， 判断是否存在未 知文件。
步骤 230, 如果存在未知文件， 则通知用户端将所述未知文件上传至云端服务器； 因为云端服务器是存储的各个用户端上传的文件， 因此对于某个用户端来说， 其新 老文件日志信息的对比中， 出现的第一未知文件日志信息中的文件特征信息， 其对应的 文件可能已经由其他用户端上传， 并且该文件相关的文件特征信息已经记录在云端服务 器。 那么该种情况， 对于云端服务器来说， 所述第一未知文件日志信息中的文件特征信 息就不是未知文件， 可不通知用户端上传所述文件特征信息对应的文件。
在云端服务器中， 存储的文件可按一定规则与文件特征信息进行对应， 并用于与用 户端上传的文件特征信息进行比较， 并搜索和查询相应的文件。 比如以文件的 MD5值与 文件进行对应。
本发明的上传是基于直接从用户端 （比如某地域内的 n亿用户）直接上传到云端服 务器端。 在本实施例中， 上传前需要对判断文件是否需要上传， 即进行与云端服务器存 储的文件相比的重复性判断。
另外， 本发明人在实现本发明的过程中发现， 现有技术中之所以会存在文件上传成 功率及效率低的问题， 是因为， 由发现可疑文件的用户端直接将整个文件上传到服务器， 这样， 如果一个文件太大， 而用户端可以使用的上传带宽比较小的话， 就可能导致上传 失败， 另外， 仅使用一个用户端进行同一个文件的上传， 也会使得该用户端的上传负担 比较重， 也将导致上传的速度很慢。
因此， 在本发明实施例中， 釆用分片及多用户端并行上传的机制， 这样， 一方面， 由于对文件进行了分片， 因此， 可以避免由于文件过大导致的上传失败现象， 提高上传 的成功率； 另一方面， 如果多个用户端都发现了同一可疑文件， 则由于多用户端可以并 行上传该可疑文件的不同分片， 因此， 也可以在降低单个用户端的上传负担的同时， 避 免受到一个用户端上传带宽的限制， 提高上传的效率。
因此， 优选的， 通知用户端将所述未知文件上传至云端服务器时包括：
步骤 L1 , 用户端接收云端服务器返回的分片策略， 并根据所述分片策略， ， 对所述 待上传文件进行分片；
本实施例中通过云端的管理服务器返回分片策略至用户端， 对所述待上传文件进行 分片。
用户端在接收到云端的管理服务器的分片策略之后， 就可以对待上传的文件进行分 片， 同时， 还可以为各个分片分配分片号 （具体如何编号也可以包含在分片策略中） 。 分片之后， 每一片仍釆用原来的数据格式， 且可以保留原文件的标识符， 但只包含原文 件的部分数据。 并且， 一旦完成分片后， 每个分片就都可以作为独立的数据传输单元进 行传送。 其中， 具体的分片方法可以釆用已有技术中的方法来实现， 这里不再详述。
步骤 L2, 用户端以分片为单位向云端服务器进行文件上传； 其中， 如果不同的用户 端发现同一待上传文件， 则由各个用户端并行上传该同一待上传文件的不同分片。
本实施例中用户端以分片为单位向云端的数据服务器进行文件上传。
用户端在完成分片之后， 就可以以分片为单位进行文件的上传， 并且， 由于可能有 多个用户端都发现了同一文件， 因此， 就可以由这些用户端分别上传一部分分片， 这样 就可以避免一个用户端的上传任务过重， 并且由于可以多个用户端可以并行上传， 因此， 上传的效率就可以得到大幅的提高。
其中， 用户端在上传各个分片时， 可以按照分片号的顺序， 向管理服务器发送文件 上传请求， 管理服务器根据其他用户端针对该文件的各分片的已上传情况， 确定当前用 户端是否需要上传当前分片； 如果需要， 则向用户端发出需要上传的指示， 用户端接收 到需要上传的响应消息， 则将当前分片上传到数据服务器， 否则， 就可以不必上传该分 片。
例如， 支设某文件被分为 3个分片， 当某用户端 A请求上传其中的分片 1时， 如果 已经有其他用户端上传了该分片， 或者有其他用户端正在上传在分片， 那么管理服务器 就可以指示该用户端 A不需要上传该分片； 用户端 A在接收到该指令之后 , 就可以放弃 对分片 1的上传请求， 继而向管理服务器发出上传分片 2的请求。
否则，如果在接收到用户端 A上传分片 1的请求时，分片 1尚未上传到数据服务器， 也没有其他用户端正在上传该分片 1 , 那么管理服务器就会向用户端 A发出上传该分片 的指令， 用户端 A接收到该指令之后， 就可以上传该分片 1 ; 待完成分片 1的上传之后， 再向管理服务器发出上传分片 2的请求， 以此类推。
需要说明的是， 针对同一待上传文件， 管理服务器分配的分片策略是相同的。 也就 是说， ^艮设有三个用户端都发现了上述例子中的文件， 则向这三个用户端发送的分片策 略都应该是分成三个分片，并且每个分片的大小及编号等在各个用户端之间都是一致的。 当然， 另外需要说明的是， 在实际应用中， 各个用户端并不一定是同一时刻发现同一文 件， 而是存在时间上的先后性， 但是使用前述方式进行每个分片的上传时， 并不影响本 发明实施例的实现。
例如，用户端 A最先发现了某文件，在根据管理服务器的策略对文件进行分片之后， 首先将分片 1上传到数据服务器； 就在用户端 A上传分片 1的过程中， 用户端 B也发现 了该文件， 管理服务器同样指示该用户端 B按照同样的策略对文件进行分片， 并且用户 端 B在发起上传分片 1的请求时，管理服务器就可以指示该用户端 B不必上传该分片 1 , 于是用户端 B再向管理服务器发起上传分片 2的请求， 如果在此之前还没有其他用户端 上传该分片 2, 就可以指示该用户端 B可以上传该分片 2, 于是用户端 B就可以开始上 传该分片 2, 以此类推。
需要说明的是， 由于在上传的过程中已经对文件进行了分片， 因此， 在服务器侧还 需要再对各个分片进行组包， 以得到完整的文件。 而在本发明实施例中， 由于同一文件 的不同分片可能是由不同的用户端上传的， 而根据各个用户端所处的地理位置的不同， 管理服务器针对不同的用户端选择的数据服务器可能是不同的， 这样， 同一文件的不同 分片可能被上传的不同的数据服务器上去。 针对这种情况， 还可以首先将不同用户端上 传的同一文件的各个分片路由到同一个组包服务器， 然后由组包服务器对各个分片进行 组包。
具体实现时， 数据服务器（相当于是上传接收机）可以是个集群， 每个数据服务器 都可以接收分片上传， 分片上传到数据服务器之后， 可以由分片分发进程把各个分片路 由到组包集群上。 具体的， 这个进程可以先去请求一下调度中心， 得到该分片应该去哪 个组包服务器， 调度中心根据文件的 md5 ( Message Digest Algorithm, 消息摘要算法第 五版， 是计算机安全领域广泛使用的一种散列函数， 用以提供消息的完整性保护）给分 发进程分配一个合适的组包服务器，每个组包服务器都会起动一个组包 worker等待组包， 这样同一文件的所有分片就会落在同一台组包服务器中。
需要说明的是， 本发明实施例所述的数据服务器、 组包服务器可以是物理上相互独 立的机器， 也可以使用同一机器中提供不同的服务， 本发明实施例在描述时重点突出功 能性， 但并不能看作是对本发明的限制。
其中， 上述的调度中心可以用来监控组包机器的状态， 该调度中心是冗余的， 可以 热切； 当一个分片请求调度中心时候， 可以根据文件的 md5 , 通过 hash算法找到相应的 组包服务器， 当某台组包服务器失效时候， 调度中心会检测到该组包服务器失效， 并把 状态置为无效， 同时选择一台备份机器顶替掉失效的机器。 通过这种机制， 可以提高系 统的容错能力， 保证组包服务的可靠运行。
进一步， 优选的， 所述以分片为单位向云端服务器进行文件上传包括：
步骤 L11 , 按照分片号的顺序， 向所述云端服务器发送文件上传请求， 所述云端服 务器根据其他用户端针对该文件的各分片的已上传情况， 确定当前用户端是否需要上传 当前分片；
步骤 L12, 如果接收到需要上传的响应消息， 则将当前分片上传到云端服务器。 如果不存在， 则不上传任何文件。
步骤 240, 分析所述未知文件的安全等级， 并进行记录。
为了保证提供给用户端的文件是安全文件， 对于用户端上传的文件， 需要云端服务 器判断其是否为安全文件， 如果是安全文件， 则标记其安全等级为安全。 如果是其他情 况， 则对其进行相应安全等级的标记， 比如可疑， 中毒等， 然后对对相应文件特征信息 及相应安全等级进行记录， 比如被感染等级。 在上述上传过程中， 本发明实施例的文件可进行唯一性存储， 即同一个文件只存储 一份， 不重复存储。 比如对于用户端 A, 云端服务器通过前述步骤发现其存在未知文件 filel、 file2、 ffle3 , 那么通知用户端 A上传 filel、 file2、 file3至云端服务器进行存储， 云 端服务器记录相应的文件特征信息。然后对于用户端 B,其中存在文件 filel、 file3、 file4, 那么此时， 云端服务器通过上述步骤检测到用户端 B中存在未知文件 file4, 那么通知用 户端 B上传 ffle4。
进一步的， 分析所述未知文件的安全等级包括：
步骤 S250, 当所述未知文件的安全等级为被感染等级时， 则结合所述文件日志信息 在云端服务器查找对应的安全的文件， 并通知用户端下载所述安全的文件；
当云端服务器判断用户端上传的文件为被感染的文件时， 则结合所述文件日志信息 在云端服务器查找对应的安全的文件， 并通知用户端下载所述安全的文件。
在云端服务器查找相应被感染文件的安全文件时， 需要根据文件日志信息获取安全 文件的列表。 比如， 对于本发明实施例釆用文件内容的 MD5值对文件进行对应， 那么因 为对于一个文件， 其感染后， 感染前后的文件内容 MD5值变化， 则无法直接根据 MD5 值查找云端服务器存储的相应文件。 比如对于用户端 B的 fflel , ffle3 , file4, 其安全文 件的文件内容 MD5值为：
666666666666666666666666666666AA,
666666666666666666666666666666BB,
666666666666666666666666666666CC;
其路径均为 D: A\A。
感染后的相应的文件内容 MD5值为：
666666666666666666666666666666DD,
666666666666666666666666666666EE,
666666666666666666666666666666FF;
其中， filel , file3路径为 D: A\A, 文件 ffle4的路径为 E: B\B, 由 D: A\A移动得 到。 那么根据扫描和监控用户端 B得到的文件日志信息， 可知道 MD5值为
666666666666666666666666666666DD对应的文件是 D: A\A\filel,相应的安全版本的内容 值为 666666666666666666666666666666AA;
MD5值为 666666666666666666666666666666EE对应的文件是 D: A\A\file3; 相应 的安全版本的内容值为 666666666666666666666666666666BB;
MD5值为 666666666666666666666666666666FF对应的文件是 D: A\A\file4, 相应 的安全版本的内容值为 666666666666666666666666666666CC。
那么可根据安全版本的 MD5值在云端服务器查询相应的安全的 filel、 ffle3和 file4, 并下载给用户端 在本实施例中， 用户端获下载安全的文件时包括：
结合用户端 ID和文件特征信息在云端服务器匹配获取相应的安全的文件。 即结合前述用户端 ID和 PATH (路径 MD5 ) +TEXT (文件内容 MD5 ) + VERSION
(版本标识）等形式。
步骤 S 260, 用所述安全的文件替换用户端所述未知文件。
其中， 还可将云端服务器确认安全的未知文件， 加入安全的白名单， 并记录其签名 信息。
当用户端获取到被感染文件对应的安全版的文件时， 即获取到该文件被感染之前上 传至云端的安全的文件时， 则用所述安全版的文件替换所述被感染的文件。
在本实施例中， 用户端获取时包括：
结合用户端 ID和文件特征信息在云端服务器匹配获取相应的安全的文件。
当云端服务器不存在被感染文件相应的安全版本的文件时， 则将所述被感染文件使 用安全软件传统的修复方式修复， 隔离或者删除。
其中， 用所述安全的文件替换用户端所述未知文件包括：
步骤 S30, 当所述被感染的未知文件存在操作权限限制时， 通过调用权限获取函数， 获取文件的操作权限； 所述权限获取函数低于***权限认证函数层；
步骤 S31 , 当获取到文件的操作权限后， 将所述未知文件用相应安全的文件进行替 换。
另外， 用所述安全的文件进行替换时包括：
用户端通过将监控的文件变化信息上传至云端服务器， 在云端服务器查找并获取距 当前时间点最近的安全的文件， 并用所述安全的文件将所述异常文件或者未知文件用相 应安全的文件进行替换。
比如， 用户端 A的文件 b.exe在 2012-1-11 日上传至云端时其 MD5值为 al , 但是， 用户端在 2012-2-15 日对 b.exe的内容进行了修改， 其 MD5值是变为了 a2, 那么将 a2也 上传至云端服务器， al和 a2均为安全。 而在 2012-4-20日通过前述步骤发现 b.exe中毒， 那么可根据前述方法从云端查找并最近的 b.exe的安全的文件， 即云端服务器存储的 2012-2-15的 b.exe, 然后将 2012-2-15的 b.exe替换当前被感染的文件 b.exe。
另外， 在本发明中， 判断出未知文件被感染之后， 还包括：
提示用户端是否允许对被感染的未知文件进行替换。
比如在判断出被感染的未知文件之后 , 在从云端服务器下载与所述被感染的未知文 件相应的， 被感染前的安全的文件之前， 即提示用户端， 是否允许下载安全版的文件并 进行替换。
如果用户不允许， 则可釆用传统修复技术对异常文件进行修复。
在各个***中， 每个文件均存在其操作权限， 比如 windows文件中有： 完全控制、 修改、 读取和运行、 读取、 写入等权限， 还有文件被调用时的禁止修改的操作权限。 那 么本发明可通过权限获取驱动获取文件的操作权限。 本发明中具体的权限获取技术方法 较多， 本发明不对其加以限制。 步骤 270, 扫描用户端文件， 判断文件是否异常， 并获取文件特征信息；
步骤 280,如果异常，则根据所述文件特征信息从云端服务器获取与所述异常文件相 应的安全的文件； 其中， 所述云端服务器中的安全的文件通过直接的方式对各用户端的 各文件进行上传获得；
步骤 290, 用所述安全的文件替换用户端相应异常的文件。
其中步骤 270、 280和 290基本与实施例 1基本相似。 其中扫描可与文件上传过程并 行， 也可异步执行。
在步骤 270中， 对用户端文件的是否感染的扫描可釆用用户端本身自带的传统杀毒 软件使用的病毒特征库进行扫描， 还包括使用通过云端服务器比对的云查杀引擎进行扫 描。 。 在扫描的同时， 获取文件的文件特征信息。 在获取文件特征信息时也结合监控文 件变化得到信息对扫描的文件特征信息进行处理， 得到最终用于在云端服务器进行查询 与所述异常文件相应的安全的文件特征信息。 比如对于 D:\A\filel , 如果用户在上传 D:\A\filel之后， 将其在用户端的存储路径改变， 将其名字改变比如改为 ffle6, 路径也更 改， 即 E:\A\file6, 那么本发明实施例中则监控 filel的改变过程， 而此时如果 ffle6异常， 也可知道 ffle6对应的安全文件为原 D:\A\filel。 则可将该信息上传至云端服务器。
在本发明实施例中， 当由用户端的杀毒引擎能够确认感染的文件， 则将其上述文件 特征信息发送至云端服务器。 如果用户端的杀毒引擎不能判断文件是否异常， 则可将其 作为未知文件上传至云端服务器进行查杀， 并将其上述文件特征信息也上传至云端服务 器。
在步骤 280中， 对于异常文件， 则根据由前述扫描及监控过程得到的文件特征信息， 基于该信息在云端服务器中存储的文件中查找相应安全版本的文件， 然后提供给用户端 下载。 当用户端下载与所述异常文件相应的安全的文件时， 则转入步骤 290用所述安全 的文件替换用户端相应异常的文件。
其中， 用所述安全的文件替换用户端相应异常文件包括：
步骤 S291 , 当异常文件存在操作权限限制时， 通过调用权限获取函数， 获取文件的 操作权限； 所述权限获取函数低于***权限认证函数层；
步骤 S292, 当获取到文件的操作权限后， 将所述异常的文件用所述安全的文件进行 替换。
在各个***中， 每个文件均存在其操作权限， 比如 windows文件中有： 完全控制、 修改、 读取和运行、 读取、 写入等权限， 还有文件被调用时的禁止修改的操作权限。 那 么本发明可通过权限获取驱动获取文件的操作权限。 本发明中具体的权限获取技术方法 较多， 本发明不对其加以限制。
另外， 在本发明中， 判断出文件异常之后， 还包括：
提示用户端是否允许对异常文件进行替换。
比如在判断文件异常之后， 在从云端服务器下载与所述异常的文件相应的， 未出现 异常情况前的安全的文件之前即提示用户端， 是否允许下载安全版的文件并进行替换。 如果用户不允许， 则可釆用传统修复技术对异常文件进行修复。
参照图 3 , 其示出了本发明一种用户端文件的修复装置的结构示意图， 包括： 感染扫描模块 310,用于扫描用户端文件，判断文件是否异常，并获取文件特征信息； 安全文件获取模块 320,用于如果异常，则根据所述文件特征信息从云端服务器获取 与所述异常文件相应的安全的文件； 其中， 所述云端服务器中的安全的文件通过直接的 方式对各用户端的各文件进行上传获得；
替换模块 330, 用于用所述安全的文件替换用户端相应异常的文件。
所述替换模块包括：
替换单元， 用于当异常文件存在操作权限限制时， 通过权限获取驱动获取文件的操 作权限。
其中， 所述感染扫描模块可存在于用户端， 也可存在于云端服务器。
另外， 还包括替换提示模块， 用于提示用户端是否允许对异常文件进行替换。
参照图 4, 其示出了本发明优选的一种用户端文件的修复装置的结构示意图， 包括： 文件上传模块， 所述文件上传模块包括：
日志信息生成子模块 410, 用于针对每一用户端， 扫描文件的文件特征信息， 并结合 对文件变化的监控， 生成文件信息日志；
未知文件判断子模块 420,用于将文件信息日志的文件特征信息与云端服务器中记录 的文件特征信息进行比较， 判断是否存在未知文件；
第一上传子模块 430,用于如果存在未知文件，则通知用户端将所述未知文件上传至 云端服务器；
第一判断子模块 440, 用于分析所述未知文件的安全等级， 并进行记录。
优选的， 还包括：
查找获取子模块 S450, 用于当所述未知文件的安全等级为异常等级时， 则结合所述 文件日志信息在云端服务器查找对应的安全的文件，并通知用户端下载所述安全的文件； 第一替换子模块 S460, 用于用所述安全的文件替换用户端所述未知文件。
感染扫描模块 470,用于扫描用户端文件，判断文件是否异常，并获取文件特征信息； 安全文件获取模块 480,用于如果异常，则根据所述文件特征信息从云端服务器获取 与所述异常文件相应的安全的文件； 其中， 所述云端服务器中的安全的文件通过直接的 方式对各用户端的各文件进行上传获得；
替换模块 490 , 用于用所述安全的文件替换用户端相应异常的文件。
其中， 所述未知文件判断子模块包括：
第一未知判断模块， 用于将用户端当前生成的文件日志信息， 与以前记录所述用户 端的文件日志信息进行比较， 判断是否存在云端服务器记录的， 对应所述用户端的文件 日志信息中不存在的第一未知文件日志信息； 第二未知判断模块， 用于如果存在所述第一未知文件日志信息， 将所述第一未知文 件日志信息中的文件特征信息， 与云端服务器中记录的文件特征信息进行比较， 判断是 否存在未知文件。
其中， 所述第一未知判断模块包括：
第二上传子模块， 用于将用户端当前生成的文件日志信息上传至云端服务器； 第二判断子模块， 用于将云端服务器当前接收的文件日志信息与云端服务器记录的 对应所述用户端的文件信息日志进行比较， 获取所述云端服务器记录的， 对应所述用户 端的文件日志信息中不存在的第一未知文件日志信息。
其中， 第一上传子模块包括，
文件分片单元 202,用于用户端接收云端服务器返回的分片策略，并根据所述分片策 略， 对所述待上传文件进行分片；
分片上传单元 203 , 用于用户端以分片为单位向云端服务器进行文件上传； 其中， 如 果不同的用户端发现同一待上传文件， 则由各个用户端并行上传该同一待上传文件的不 同分片。
其中， 在存储文件日志信息时包括：
信息提取模块， 用于以用户端文件路径、 文件内容对应的特征值、 文件版本的结构 对文件特征信息进行结构化， 获得结构化文件特征信息；
信息存储模块， 用于根据所述文件的安全等级， 对所述结构化文件特征信息进行安 全等级标识； 将标识完安全等级的结构化文件特征信息存入对应所述用户端的文件信息 日志中。
其中， 所述替换模块或第一替换模块包括：
权限获取单元， 用于当所述异常文件或者所述被感染的未知文件存在操作权限限制 时， 通过调用权限获取函数， 获取文件的操作权限； 所述权限获取函数低于***权限认 证函数层；
替换单元， 用于当获取到文件的操作权限后， 将所述异常文件或者未知文件用相应 安全的文件进行替换。
还包括替换提示模块， 用于提示用户端是否允许对异常文件、 和 /或被感染的未知文 件进行替换。
参照图 5 , 其示出了本发明一种用户端文件的修复***的结构示意图， 包括： 各用户端和云端服务器， 其中云端服务器包括云端服务器日志服务器和云端服务器 文件服务器。
每个用户端可用于上传未知文件及文件日志信息， 还可用于判断其文件是否感染。 云端服务器日志服务器可用于存储各用户端上传的文件日志信息， 和与文件服务器 中文件存在对应关系的文件特征信息。
云端服务器文件服务器可用于存储用户端上传的文件， 和判定文件是否异常， 并提 供给安全文件给用户端下载。
具体模块功能如前方法实施例所述， 在此不在加以详述。
对于***实施例而言， 由于其与方法实施例基本相似， 所以描述的比较筒单， 相关 之处参见方法实施例的部分说明即可。
本说明书中的各个实施例均釆用递进的方式描述， 每个实施例重点说明的都是与其 他实施例的不同之处， 各个实施例之间相同相似的部分互相参见即可。
本发明的各个部件实施例可以以硬件实现， 或者以在一个或者多个处理器上运 行的软件模块实现， 或者以它们的组合实现。 本领域的技术人员应当理解， 可以在 实践中使用微处理器或者数字信号处理器（DSP )来实现根据本发明实施例的用户端 文件的修复装置中的一些或者全部部件的一些或者全部功能。 本发明还可以实现为 用于执行这里所描述的方法的一部分或者全部的设备或者装置程序 （例如， 计算机 程序和计算机程序产品） 。 这样的实现本发明的程序可以存储在计算机可读介质上， 或者可以具有一个或者多个信号的形式。 这样的信号可以从因特网网站上下载得到， 或者在载体信号上提供， 或者以任何其他形式提供。
例如， 图 6 示出了可以实现根据本发明的用户端文件的修复方法的服务器， 例 如应用服务器。 该服务器传统上包括处理器 610和以存储器 620形式的计算机程序 产品或者计算机可读介质。 存储器 620 可以是诸如闪存、 EEPROM (电可擦除可编 程只读存储器） 、 EPROM、 硬盘或者 ROM之类的电子存储器。 存储器 620具有用 于执行上述方法中的任何方法步骤的程序代码 631的存储空间 630。 例如， 用于程序 代码的存储空间 630 可以包括分别用于实现上面的方法中的各种步骤的各个程序代 码 631。这些程序代码可以从一个或者多个计算机程序产品中读出或者写入到这一个 或者多个计算机程序产品中。 这些计算机程序产品包括诸如硬盘， 紧致盘 （CD )、 存储卡或者软盘之类的程序代码载体。 这样的计算机程序产品通常为如参考图 7 所 述的便携式或者固定存储单元。该存储单元可以具有与图 6的服务器中的存储器 620 类似布置的存储段、 存储空间等。 程序代码可以例如以适当形式进行压缩。 通常， 存储单元包括计算机可读代码 63 Γ , 即可以由例如诸如 610之类的处理器读取的代 码， 这些代码当由服务器运行时， 导致该服务器执行上面所描述的方法中的各个步 骤。
本文中所称的 "一个实施例"、 "实施例"或者"一个或者多个实施例 "意味着， 结合 实施例描述的特定特征、 结构或者特性包括在本发明的至少一个实施例中。 此外， 请注意， 这里"在一个实施例中"的词语例子不一定全指同一个实施例。
在此处所提供的说明书中， 说明了大量具体细节。 然而， 能够理解， 本发明的 实施例可以在没有这些具体细节的情况下被实践。 在一些实例中， 并未详细示出公 知的方法、 结构和技术， 以便不模糊对本说明书的理解。
应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制， 并且本 领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。 在权利 要求中， 不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词"包含" 不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词 "一"或"一个"不排 除存在多个这样的元件。 本发明可以借助于包括有若干不同元件的硬件以及借助于 适当编程的计算机来实现。 在列举了若干装置的单元权利要求中， 这些装置中的若 干个可以是通过同一个硬件项来具体体现。 单词第一、 第二、 以及第三等的使用不 表示任何顺序。 可将这些单词解释为名称。
此外， 还应当注意， 本说明书中使用的语言主要是为了可读性和教导的目的而 选择的， 而不是为了解释或者限定本发明的主题而选择的。 因此， 在不偏离所附权 利要求书的范围和精神的情况下， 对于本技术领域的普通技术人员来说许多修改和 变更都是显而易见的。 对于本发明的范围， 对本发明所做的公开是说明性的， 而非 限制性的， 本发明的范围由所附权利要求书限定。

Claims

权 利 要 求
1、 一种用户端文件的修复方法， 其包括：
扫描用户端文件， 判断文件是否异常， 并获取文件特征信息；
如果异常， 则根据所述文件特征信息从云端服务器获取与所述异常的文件相应的， 未出现异常情况前的安全的文件； 其中， 所述云端服务器中的安全的文件通过直接的方 式对各用户端的各文件进行上传获得；
用所述安全的文件替换用户端相应异常的文件。
2、 根据权利要求 1所述的方法， 其中， 所述云端服务器中的安全的文件通过直接的 方式对各用户端的各文件进行上传获得包括：
针对每一用户端， 扫描文件的文件特征信息， 并结合对文件变化的监控， 生成文件 信息日志；
将文件信息日志的文件特征信息与云端服务器中记录的文件特征信息进行比较， 判 断是否存在未知文件；
如果存在未知文件， 则通知用户端将所述未知文件上传至云端服务器；
分析所述未知文件的安全等级， 并进行记录。
3、 根据权利要求 2所述的方法， 其中， 分析所述未知文件的安全等级包括： 当所述未知文件的安全等级为被感染等级时， 则结合所述文件日志信息在云端服务 器查找对应的安全的文件， 并通知用户端下载所述安全的文件；
用所述安全的文件替换用户端所述未知文件。
4、 根据权利要求 2所述的方法， 其中， 将文件信息日志的文件特征信息与云端服务 器中记录的文件特征信息进行比较， 判断是否存在未知文件包括：
将用户端当前生成的文件日志信息， 与以前记录所述用户端的文件日志信息进行比 较， 判断是否存在云端服务器记录的， 对应所述用户端的文件日志信息中不存在的第一 未知文件日志信息；
如果存在所述第一未知文件日志信息， 将所述第一未知文件日志信息中的文件特征 信息， 与云端服务器中记录的文件特征信息进行比较， 判断是否存在未知文件。
5、 根据权利要求 4所述的方法， 其中， 将用户端当前生成的文件日志信息， 与以前 记录所述用户端的文件日志信息进行比较， 判断是否存在云端服务器记录的， 对应所述 用户端的文件日志信息中不存在的第一未知文件日志信息包括：
将用户端当前生成的文件日志信息上传至云端服务器；
将云端服务器当前接收的文件日志信息与云端服务器记录的对应所述用户端的文件 信息日志进行比较， 获取所述云端服务器记录的， 对应所述用户端的文件日志信息中不 存在的第一未知文件日志信息。
6、 根据权利要求 5所述的方法， 其中， 在记录文件日志信息时包括： 以用户端文件路径、 文件内容对应的特征值、 文件版本的结构对文件特征信息进行 结构化， 获得结构化文件特征信息；
才艮据所述文件的安全等级， 对所述结构化文件特征信息进行安全等级标识； 将标识 完安全等级的结构化文件特征信息存入对应所述用户端的文件信息日志中。
7、 根据权利要求 1或 3所述的方法， 其中， 用所述安全的文件进行替换时包括： 当所述异常文件或者未知文件存在操作权限限制时， 通过调用权限获取函数， 获取 文件的操作权限； 所述权限获取函数低于***权限认证函数层；
当获取到文件的操作权限后， 将所述异常文件或者未知文件用相应安全的文件进行 替换。
8、 根据权利要求 1或 3所述的方法， 其中， 用户端获取或下载安全的文件时包括： 结合用户端 ID和文件特征信息在云端服务器匹配获取相应的安全的文件。
9、 根据权利要求 1、 3、 8之一所述的方法， 其中， 用所述安全的文件进行替换时包 括：
用户端通过将监控的文件变化信息上传至云端服务器， 在云端服务器查找并获取距 当前时间点最近的安全的文件， 并用所述安全的文件将所述异常文件或者未知文件用相 应安全的文件进行替换。
10、 根据权利要求 1至 9之一所述的方法， 其中，
所述的文件特征信息包括文件内容的 MD5值， 和 /或文件的存储路径信息， 和 /或文 件的变化信息。
11、 根据权利要求 2所述的方法， 其中， 通知用户端将所述未知文件上传至云端服 务器时包括：
用户端接收云端服务器返回的分片策略， 并根据所述分片策略， ， 对所述待上传文 件进行分片；
用户端以分片为单位向云端服务器进行文件上传； 其中， 如果不同的用户端发现同 一待上传文件， 则由各个用户端并行上传该同一待上传文件的不同分片。
12、 根据权利要求 11所述的方法， 其中， 所述以分片为单位向云端服务器进行文件 上传包括：
按照分片号的顺序， 向所述云端服务器发送文件上传请求， 所述云端服务器根据其 他用户端针对该文件的各分片的已上传情况， 确定当前用户端是否需要上传当前分片； 如果接收到需要上传的响应消息， 则将当前分片上传到云端服务器。
13、 一种用户端文件的修复装置， 其包括：
感染扫描模块， 用于扫描用户端文件， 判断文件是否异常， 并获取文件特征信息； 安全文件获取模块， 用于如果异常， 如果异常， 则根据所述文件特征信息从云端服 务器获取与所述异常的文件相应的， 未出现异常情况前的安全的文件； 其中， 所述云端 服务器中的安全的文件通过直接的方式对各用户端的各文件进行上传获得； 替换模块， 用于用所述安全的文件替换用户端相应异常的文件。
14、 根据权利要求 13所述的装置， 其中， 还包括：
文件上传模块， 所述文件上传模块包括：
日志信息生成子模块， 用于针对每一用户端， 扫描文件的文件特征信息， 并结合对 文件变化的监控， 生成文件信息日志；
未知文件判断子模块， 用于将文件信息日志的文件特征信息与云端服务器中记录的 文件特征信息进行比较， 判断是否存在未知文件；
第一上传子模块， 用于如果存在未知文件， 则通知用户端将所述未知文件上传至云 端服务器；
第一判断子模块， 用于分析所述未知文件的安全等级， 并进行记录。
15、 根据权利要求 14所述的装置， 其中， 还包括：
查找获取子模块， 用于当所述未知文件的安全等级为被感染等级时， 则结合所述文 件日志信息在云端服务器查找对应的安全的文件， 并通知用户端下载所述安全的文件； 第一替换子模块， 用于用所述安全的文件替换用户端所述未知文件。
16、 根据权利要求 14所述的装置， 其中， 所述未知文件判断子模块包括： 第一未知判断模块， 用于将用户端当前生成的文件日志信息， 与以前记录所述用户 端的文件日志信息进行比较， 判断是否存在云端服务器记录的， 对应所述用户端的文件 日志信息中不存在的第一未知文件日志信息；
第二未知判断模块， 用于如果存在所述第一未知文件日志信息， 将所述第一未知文 件日志信息中的文件特征信息， 与云端服务器中记录的文件特征信息进行比较， 判断是 否存在未知文件。
17、 根据权利要求 16所述的装置， 其中， 所述第一未知判断模块包括：
第二上传子模块， 用于将用户端当前生成的文件日志信息上传至云端服务器； 第二判断子模块， 用于将云端服务器当前接收的文件日志信息与云端服务器记录的 对应所述用户端的文件信息日志进行比较， 获取所述云端服务器记录的， 对应所述用户 端的文件日志信息中不存在的第一未知文件日志信息。
18、 根据权利要求 17所述的装置， 其中， 在存储文件日志信息时包括：
信息提取模块， 用于以用户端文件路径、 文件内容对应的特征值、 文件版本的结构 对文件特征信息进行结构化， 获得结构化文件特征信息；
信息存储模块， 用于根据所述文件的安全等级， 对所述结构化文件特征信息进行安 全等级标识； 将标识完安全等级的结构化文件特征信息存入对应所述用户端的文件信息 日志中。
19、 根据权利要求 13或 15所述的装置， 其中， 所述替换模块或第一替换模块包括: 权限获取单元， 用于当所述异常文件或者所述被感染的未知文件存在操作权限限制 时， 通过调用权限获取函数， 获取文件的操作权限； 所述权限获取函数低于***权限认 证函数层；
替换单元， 用于当获取到文件的操作权限后， 将所述异常文件或者未知文件用相应 安全的文件进行替换。
20、 根据权利要求 13或 15所述的装置， 其中， 用户端获取或下载安全的文件时包 括：
结合用户端 ID和文件特征信息在云端服务器匹配获取相应的安全的文件。
21、 根据权利要求 13、 15、 20之一所述的装置， 其中， 替换模块或第一替换模块还 用于：
用户端通过将监控的文件变化信息上传至云端服务器， 在云端服务器查找并获取距 当前时间点最近的安全的文件， 并用所述安全的文件将所述异常文件或者未知文件用相 应安全的文件进行替换。
22、 根据权利要求 13至 21之一所述的装置， 其中，
所述的文件特征信息包括文件内容的 MD5值， 和 /或文件的存储路径信息， 和 /或文 件的变化信息。
23、 根据权利要求 14所述的装置， 其中， 通知用户端将所述未知文件上传至云端服 务器时包括：
用户端接收云端服务器返回的分片策略， 并根据所述分片策略， ， 对所述待上传文 件进行分片；
用户端以分片为单位向云端服务器进行文件上传； 其中， 如果不同的用户端发现同 一待上传文件， 则由各个用户端并行上传该同一待上传文件的不同分片。
24、 根据权利要求 23所述的装置， 其中， 所述以分片为单位向云端服务器进行文件 上传包括：
按照分片号的顺序， 向所述云端服务器发送文件上传请求， 所述云端服务器根据其 他用户端针对该文件的各分片的已上传情况， 确定当前用户端是否需要上传当前分片； 如果接收到需要上传的响应消息， 则将当前分片上传到云端服务器。
25、 一种计算机程序， 包括计算机可读代码， 当所述计算机可读代码在服务器 上运行时，导致所述服务器执行根据权利要求 1-12中的任一个所述的用户端文件的修 复方法。
26、 一种计算机可读介质， 其中存储了如权利要求 25所述的计算机程序。
PCT/CN2013/075390 2012-06-19 2013-05-09 一种用户端文件的修复方法和*** WO2013189214A1 (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US14/409,623 US9652632B2 (en) 2012-06-19 2013-05-09 Method and system for repairing file at user terminal

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201210208665.2A CN102810138B (zh) 2012-06-19 2012-06-19 一种用户端文件的修复方法和***
CN201210208665.2 2012-06-19

Publications (1)

Publication Number Publication Date
WO2013189214A1 true WO2013189214A1 (zh) 2013-12-27

Family

ID=47233842

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2013/075390 WO2013189214A1 (zh) 2012-06-19 2013-05-09 一种用户端文件的修复方法和***

Country Status (3)

Country Link
US (1) US9652632B2 (zh)
CN (1) CN102810138B (zh)
WO (1) WO2013189214A1 (zh)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103761478A (zh) * 2014-01-07 2014-04-30 北京奇虎科技有限公司 恶意文件的判断方法及设备
CN113326511A (zh) * 2021-06-25 2021-08-31 深信服科技股份有限公司 一种文件修复方法、***、设备和介质
US11227051B2 (en) 2019-04-19 2022-01-18 Hon Hai Precision Industry Co., Ltd. Method for detecting computer virus, computing device, and storage medium

Families Citing this family (48)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102810138B (zh) * 2012-06-19 2015-12-02 北京奇虎科技有限公司 一种用户端文件的修复方法和***
CN103678032B (zh) * 2012-09-17 2017-10-31 腾讯科技（深圳）有限公司 ***文件的修复方法及装置
CN103778370B (zh) * 2012-10-17 2016-08-24 腾讯科技（深圳）有限公司 病毒文件处理方法和客户端设备
CN103095698B (zh) * 2013-01-10 2016-07-13 北京奇虎科技有限公司 客户端软件的修复方法、装置和通信***
CN103093149B (zh) * 2013-01-14 2015-09-16 北京奇虎科技有限公司 常用软件/文件感染后的修复方法及***、修复服务器
CN103152424A (zh) * 2013-03-15 2013-06-12 珠海市君天电子科技有限公司 一种在云端自动控制解决方案的方法
CN103248695A (zh) * 2013-05-07 2013-08-14 北京奇虎科技有限公司 文件下载方法、***及cdn中的服务器节点
CN103248707B (zh) * 2013-05-22 2016-12-28 北京奇虎科技有限公司 文件访问方法、***以及设备
CN103309761B (zh) * 2013-05-31 2016-12-28 深圳创维数字技术有限公司 一种基于在线服务的自动纠错的方法和***
US10353783B1 (en) 2013-06-26 2019-07-16 EMC IP Holding Company LLC Pluggable recovery in a data protection system
US10235392B1 (en) 2013-06-26 2019-03-19 EMC IP Holding Company LLC User selectable data source for data recovery
US9904606B1 (en) 2013-06-26 2018-02-27 EMC IP Holding Company LLC Scheduled recovery in a data protection system
CN104253791B (zh) 2013-06-27 2017-12-15 华为终端（东莞）有限公司 一种网页应用程序的安全访问方法、服务器和客户端
US9641486B1 (en) 2013-06-28 2017-05-02 EMC IP Holding Company LLC Data transfer in a data protection system
CN103365996B (zh) * 2013-07-12 2017-11-03 北京奇虎科技有限公司 文件管理及处理方法、装置和***
CN103974087B (zh) * 2013-09-09 2017-08-25 福州瑞芯微电子股份有限公司 视频图像文件压缩***、客户端及方法
CN103561100B (zh) * 2013-11-06 2017-02-01 乐视云计算有限公司 一种云上传方法及***、调度设备、客户端
TWI584620B (zh) * 2015-02-17 2017-05-21 圓展科技股份有限公司 檔案傳輸方法
US9654496B1 (en) * 2015-03-31 2017-05-16 Juniper Networks, Inc. Obtaining suspect objects based on detecting suspicious activity
US9922044B2 (en) * 2015-05-28 2018-03-20 International Business Machines Corporation File path modification based management
RU2624552C2 (ru) * 2015-06-30 2017-07-04 Закрытое акционерное общество "Лаборатория Касперского" Способ обнаружения вредоносных файлов, исполняемых с помощью стековой виртуальной машины
CN105528263B (zh) * 2015-12-10 2019-03-26 北京金山安全管理***技术有限公司 一种文档修复方法和装置
CN105631327A (zh) * 2015-12-16 2016-06-01 北京奇虎科技有限公司 病毒查杀方法和***、及客户端
CN105354341B (zh) * 2015-12-18 2019-03-01 北京奇虎科技有限公司 文件的更新方法及装置
CN106294020B (zh) * 2016-08-11 2020-02-07 青岛海信宽带多媒体技术有限公司 安卓***应用分区文件保护方法及终端
KR101893518B1 (ko) * 2016-10-28 2018-10-04 한국전자통신연구원 제어 시스템의 업데이트 관리 장치, 업데이트 검증 장치 및 그 방법
CN106408544A (zh) * 2016-11-11 2017-02-15 暴风集团股份有限公司 对受损视频进行修复的方法及***
CN108629197B (zh) * 2017-03-21 2020-07-28 中国航发商用航空发动机有限责任公司 用于集成环境的文件访问控制方法及***
CN107085685B (zh) * 2017-05-16 2020-06-30 华讯高科股份有限公司 一种平台数据的操作方法
US10637846B2 (en) * 2017-08-30 2020-04-28 Capital One Services, Llc System and method for cloud-based analytics
CN108205446A (zh) * 2017-10-24 2018-06-26 中兴通讯股份有限公司 固件修复方法及装置
CN111381576B (zh) * 2018-12-29 2022-04-01 纳恩博（北京）科技有限公司 一种异常恢复方法、装置及存储介质
CN111813427A (zh) * 2019-04-12 2020-10-23 杭州海康威视数字技术股份有限公司 设备修复方法、装置、电子设备及存储介质
CN112039932B (zh) * 2019-06-03 2023-10-20 北京国电通网络技术有限公司 文件传输方法和装置
CN110222509A (zh) * 2019-06-12 2019-09-10 四川长虹电器股份有限公司 一种智能设备数据储存***及方法
US11469942B2 (en) 2019-08-15 2022-10-11 At&T Intellectual Property I, L.P. System and method for SDN orchestration validation
CN110865905A (zh) * 2019-09-24 2020-03-06 平安科技（深圳）有限公司 数据还原方法、装置、计算机设备及存储介质
US11409868B2 (en) * 2019-09-26 2022-08-09 At&T Intellectual Property I, L.P. Ransomware detection and mitigation
CN110597764B (zh) * 2019-10-10 2024-05-07 深圳前海微众银行股份有限公司 一种文件下载、版本管理方法及装置
CN111159708B (zh) * 2019-12-02 2022-08-19 中国建设银行股份有限公司 检测服务器中网页木马的装置、方法及存储介质
CN110727650B (zh) * 2019-12-18 2021-06-25 广联达科技股份有限公司 一种云端文档的同步方法和***
CN111131450B (zh) * 2019-12-23 2022-06-21 北京奇艺世纪科技有限公司 文件上传方法、重组方法及装置
CN111880893B (zh) * 2020-06-21 2023-01-06 苏州浪潮智能科技有限公司 一种容器镜像快速转换方法与***
CN111832071B (zh) * 2020-06-30 2024-04-16 郑州工业应用技术学院 一种信息安全***和信息安全方法
CN112764962B (zh) * 2021-01-29 2022-05-17 恒鸿达科技有限公司 一种应用版本异常修复的跟踪方法和***
CN113382042B (zh) * 2021-05-14 2022-04-15 联宝(合肥)电子科技有限公司 一种数据传输方法及装置
CN113688000A (zh) * 2021-07-22 2021-11-23 成都鲁易科技有限公司 磁盘使用信息的展示方法、装置、存储介质及计算机设备
CN113535652B (zh) * 2021-09-16 2021-12-24 北京麟卓信息科技有限公司 一种安卓运行环境内访问多媒体文件的方法及装置

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102332071A (zh) * 2011-09-30 2012-01-25 奇智软件（北京）有限公司 发现疑似恶意信息、追踪恶意文件的方法及装置
CN102360320A (zh) * 2011-09-30 2012-02-22 奇智软件（北京）有限公司 一种基于云架构的终端备份对象共享恢复方法
CN102810138A (zh) * 2012-06-19 2012-12-05 北京奇虎科技有限公司 一种用户端文件的修复方法和***

Family Cites Families (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5799147A (en) * 1994-10-19 1998-08-25 Shannon; John P. Computer recovery backup method
US6658476B1 (en) * 1999-11-29 2003-12-02 Microsoft Corporation Client-server protocol support list for standard request-response protocols
GB2353372B (en) * 1999-12-24 2001-08-22 F Secure Oyj Remote computer virus scanning
US7660797B2 (en) * 2005-05-27 2010-02-09 Microsoft Corporation Scanning data in an access restricted file for malware
US7836174B2 (en) * 2008-01-30 2010-11-16 Commvault Systems, Inc. Systems and methods for grid-based data scanning
US8935789B2 (en) * 2008-07-21 2015-01-13 Jayant Shukla Fixing computer files infected by virus and other malware
US8255409B2 (en) * 2009-02-27 2012-08-28 Red Hat, Inc. Systems and methods for generating a change log for files in a managed network
GB2469308B (en) * 2009-04-08 2014-02-19 F Secure Oyj Disinfecting a file system
US8612398B2 (en) * 2010-03-11 2013-12-17 Microsoft Corporation Clean store for operating system and software recovery

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102332071A (zh) * 2011-09-30 2012-01-25 奇智软件（北京）有限公司 发现疑似恶意信息、追踪恶意文件的方法及装置
CN102360320A (zh) * 2011-09-30 2012-02-22 奇智软件（北京）有限公司 一种基于云架构的终端备份对象共享恢复方法
CN102810138A (zh) * 2012-06-19 2012-12-05 北京奇虎科技有限公司 一种用户端文件的修复方法和***

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103761478A (zh) * 2014-01-07 2014-04-30 北京奇虎科技有限公司 恶意文件的判断方法及设备
US11227051B2 (en) 2019-04-19 2022-01-18 Hon Hai Precision Industry Co., Ltd. Method for detecting computer virus, computing device, and storage medium
CN113326511A (zh) * 2021-06-25 2021-08-31 深信服科技股份有限公司 一种文件修复方法、***、设备和介质
CN113326511B (zh) * 2021-06-25 2024-04-09 深信服科技股份有限公司 一种文件修复方法、***、设备和介质

Also Published As

Publication number Publication date
CN102810138A (zh) 2012-12-05
CN102810138B (zh) 2015-12-02
US20150205979A1 (en) 2015-07-23
US9652632B2 (en) 2017-05-16

Similar Documents

Publication Publication Date Title
WO2013189214A1 (zh) 一种用户端文件的修复方法和***
US9154517B2 (en) System and method for preventing spread of malware in peer-to-peer network
US8214895B2 (en) Whitelist and blacklist identification data
US8590016B2 (en) Apparatus and method for removing malicious code inserted into file
US8726387B2 (en) Detecting a trojan horse
JP5011436B2 (ja) コンピュータプログラムの悪意ある行為を見つける方法及び装置
US7930749B2 (en) Accelerated data scanning
US8108536B1 (en) Systems and methods for determining the trustworthiness of a server in a streaming environment
US8375451B1 (en) Security for scanning objects
RU2487405C1 (ru) Система и способ для исправления антивирусных записей
US9256765B2 (en) System and method for identifying software changes
US8656494B2 (en) System and method for optimization of antivirus processing of disk files
CN103390130B (zh) 基于云安全的恶意程序查杀的方法、装置和服务器
WO2012022225A1 (zh) 一种基于云安全的主动防御方法
WO2014194803A1 (zh) 基于云安全的文件处理方法及装置
WO2012022251A1 (zh) 一种依据白名单进行恶意程序检测的方法
WO2013130867A1 (en) Method and apparatus for retroactively detecting malicious or otherwise undesirable software
JP2011525285A (ja) ストリーミングマルウェア定義更新
WO2014082599A1 (zh) 用于恶意程序查杀的扫描设备、云端管理设备及方法和***
CN105791250B (zh) 应用程序检测方法及装置
RU2491623C1 (ru) Система и способ проверки файлов на доверенность
JP7315028B2 (ja) 検証情報修正装置、検証情報修正方法、および、検証情報修正プログラム
CN103095698B (zh) 客户端软件的修复方法、装置和通信***
US10757118B2 (en) Method of aiding the detection of infection of a terminal by malware
WO2020000741A1 (zh) 一种rookit检测方法、装置及服务器

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 13807345

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 14409623

Country of ref document: US

122 Ep: pct application non-entry in european phase

Ref document number: 13807345

Country of ref document: EP

Kind code of ref document: A1