一种基于虚拟机的0DAY/恶意文档检测系统及方法

摘要

本发明涉及软件漏洞检测与分析技术领域，旨在提供一种基于虚拟机的0DAY/恶意文档检测系统及方法。该种基于虚拟机的0DAY/恶意文档检测系统包括文档执行模块、Ring3虚拟机模块、Shellcode检测模块、Exception检测模块、ROP检测模块、日志模块，能动态检测加载在Ring3虚拟机上的文档进程；该检测方法包括步骤：加载所需检测文档的进程运行在Ring3虚拟机上，各检测模块进行实时检测，日志模块将检测结果保存到日志文件并判断该文档是否为恶意文档。本发明通过动态执行的方法进行检测，增加了检测的准确性，并且本发明能根据日志文件中记录的信息，对恶意文档进行快速有效的后续分析。

主权项

一种基于虚拟机的0DAY/恶意文档检测系统，能动态检测加载在Ring3虚拟机上的文档进程，其特征在于，所述0DAY/恶意文档检测系统包括文档执行模块、Ring3虚拟机模块、Shellcode检测模块、Exception检测模块、ROP检测模块、日志模块，能加载在用于运行文档进程的Ring3虚拟机上；所述文档执行模块，用于加载文档；所述Ring3虚拟机模块，用于解析每条二进制指令并跟踪二进制指令的流向；所述Shellcode检测模块，用于检测是否有shellcode；所述Exception检测模块，用于记录崩溃及异常信息；所述ROP检测模块，用于检测ROP行为；所述日志模块，用于记录Shellcode检测模块、Exception检测模块和ROP检测模块的检测结果。