一种基于虚拟机的0DAY/恶意文档检测系统及方法

摘要

本发明涉及软件漏洞检测与分析技术领域，旨在提供一种基于虚拟机的0DAY/恶意文档检测系统及方法。该种基于虚拟机的0DAY/恶意文档检测系统包括文档执行模块、Ring3虚拟机模块、Shellcode检测模块、Exception检测模块、ROP检测模块、日志模块，能动态检测加载在Ring3虚拟机上的文档进程；该检测方法包括步骤：加载所需检测文档的进程运行在Ring3虚拟机上，各检测模块进行实时检测，日志模块将检测结果保存到日志文件并判断该文档是否为恶意文档。本发明通过动态执行的方法进行检测，增加了检测的准确性，并且本发明能根据日志文件中记录的信息，对恶意文档进行快速有效的后续分析。