[發明專利]防止可執行程序被修改

無效

• 申請號: 200780007176.8
• 申請日: 2007-02-28
• 公開（公告）號: CN101395587A
• 公開（公告）日: 2009-03-25
• 發明（設計）人: S·A·費爾德
• 申請（專利權）人: 微軟公司
• 主分類號: G06F12/14
• 分類號: G06F12/14;G06F12/02
• 代理公司: 上海專利商標事務所有限公司
• 代理人: 陳 斌

背景

如今，惡意軟件代碼(即，惡意軟件(malware))通過獲取對計算機CPU的控制進而執行惡意CPU指令(代碼)引起對計算機系統的損害。現今應對惡意軟件的方法并不是完全有效。一個常見方法是用基于簽名的病毒檢測工具來處理病毒。不幸的是這種方法無法發現同種攻擊的下一代變種。由于病毒傳播如此之快，此種病毒檢測的反應性方法不能有效阻止許多種類的病毒。因此，隨著新的且更有侵犯性的代碼變得愈發流行，阻止惡意代碼的執行變得愈發重要。

此外，現今的操作系統允許無特權的用戶代碼自由統治對可執行頁面的分配和修改。因此，如果攻擊者能夠入侵現有程序(例如，通過緩存器溢出或者其它編程錯誤)，則他們就能自由修改存儲器中被入侵的程序，或者使得來自盤或者其它介質的新CPU指令被執行。

因此，需要新的過程和系統去解決現存技術的缺點。

概述

提供本概述以便以簡化形式介紹概念的精選，這些概念將在以下的詳細描述中被進一步描述。本概述并不旨在確定所要求保護的主題的關鍵特征或必要特征，也不旨在用于幫助確定所要求保護的主題的范圍。

考慮到上文所述本領域的缺點，提供了防止可執行代碼被修改以及防止未經認可的代碼被加載的方法。對于若干實施方式而言，一種防止可執行代碼被修改的方法包括將把可執行代碼載入存儲器的函數限制到操作系統的特權環(privilegedring)。而且，該方法還包括實施可執行代碼的頁面級的保護。可以當可執行代碼的可執行頁面被分配或者可執行頁面的屬性被改變時調用特權檢查。例如，特權檢查在允許可執行頁面的分配或可執行頁屬性的改變之前確定只分配給OS特權環的特權是否存在。作為上述方法的補充或替代，在可執行代碼被載入存儲器之前或之后檢查其完整性。

另選的，相對于只是可執行代碼，還利用一種防止數據頁面被修改的方法，該方法包括將把數據頁面載入存儲器的合適限制到計算機的操作系統特權環。

此項發明的其它優點和特性，將會在下文中得到描述。

附圖簡述

結合以下所附簡圖，防止可執行代碼被修改的方法進一步討論。

圖1是表示適于連同防止可執行代碼被修改使用的示例性計算設備的框圖，。

圖2示出了在其中多個計算機化過程可以被實現用于執行阻止可執行代碼被修改的示例性聯網計算環境。

圖3是示出使用特權檢查阻止可執行代碼被修改的過程的圖示。

圖4是示出操作系統的用戶模式和內核模式特征的示例性體系結構的框圖。

圖5是示出在內核模式執行中使用安全檢查來防止可執行代碼被修改的過程的圖示。

圖6是示出在圖5所示的阻止可執行代碼修改的過程中使用的示例性安全檢查的圖示。

詳細描述

某些特定細節在以下的描述和附圖中闡述以提供對本發明各種實施方式的透徹理解。與計算和軟件技術相關聯的某些周知細節在以下討論中不做闡述以免對本發明的各種實施方式產生不必要的模糊。此外，本領域普通技術人員將會理解無需以下描述的一個或多個細節也仍能夠實踐本發明的其它實施方式。最后，雖然對各種方法的描述參考了以下公開中的步驟和次序，但是這類描述是為提供本發明各實施方式的清楚實現，并且這些步驟和次序并不是實踐本發明所必須的。

示例性計算環境

參見圖1，示出的是表示適于連同實現上述過程一起使用的示例性計算設備的框圖。例如，用來執行防止可執行代碼被修改的過程和方法的計算機可執行指令可駐留在圖1所示的這一計算環境中和/或在次環境中被執行。計算系統環境220僅僅是一個合適的計算環境示例，而非暗示對本發明的使用或功能范圍的任何限制。此外計算環境220也不應該被解釋為對示例性操作環境220中所示組件的的任一個或組合具有任何依賴或要求。例如，計算機游戲控制臺也可包括下文所描述的用于連同上述實現過程一起使用的那些項目。

本發明的各方面可以用眾多其它通用或專用計算系統環境或配置來操作。適合本發明使用的周知計算系統、環境和/或配置的示例包括但不限于個人計算機、服務器計算機、手持式或膝上型設備、多處理器系統、基于微處理器的系統、網絡PC、小型計算機、大型計算機、包括任一上述系統或設備的分布式計算環境等等。