[發明專利]一種計算機軟件漏洞利用的捕獲方法及系統

有效

• 申請號: 201110428051.0
• 申請日: 2011-12-19
• 公開（公告）號: CN102521542A
• 公開（公告）日: 2012-06-27
• 發明（設計）人: 丁羽;韋韜;張超;戴帥夫
• 申請（專利權）人: 北京大學
• 主分類號: G06F21/00
• 分類號: G06F21/00
• 代理公司: 北京君尚知識產權代理事務所(普通合伙) 11200
• 代理人: 余長江

1.一種計算機軟件漏洞利用的捕獲方法，其步驟包括：

1)在硬件虛擬機內啟動待監視進程；

2)獲得所述進程的執行序列，并實時提取和記錄所述執行序列的特征；

3)判定是否存在軟件漏洞利用攻擊或潛在的軟件漏洞利用攻擊，若存在，將該漏洞利用攻擊觸發時記錄的所述執行序列的特征作為簽名存儲到數據庫中；

4)將所述簽名和所述數據庫中已有的簽名進行比對，判斷所述軟件漏洞利用攻擊是否為新捕獲的軟件漏洞利用攻擊。

2.如權利要求1所述的方法，其特征在于，所述執行序列是指虛擬機內部受監視進程中的一個線程執行的指令序列；所述執行序列的特征是一個所述執行序列的子序列，由符合下述條件的指令組成：在所述執行序列中，這條指令與其下一條指令的EIP值之差≥16。

3.如權利要求1所述的方法，其特征在于，步驟3)所述判定的規則是：如果受監視進程執行了當時裝載的可執行模塊之外的代碼，則認為是攻擊成功并存在一軟件漏洞利用攻擊；如果受監視進程觸發了系統的崩潰代碼，則認為是攻擊成功并存在一潛在的軟件漏洞利用攻擊。

4.如權利要求1所述的方法，其特征在于，所述方法使用所述硬件虛擬機提供的編程接口，包括執行指令的處理器上下文信息，以及解析后的進程ID和線程ID。

5.一種采用如權利要求1所述方法的軟件漏洞利用的捕獲系統，包括至少一臺連接互聯網的宿主計算機和一數據庫系統；

所述宿主計算機內安裝：

至少一個硬件虛擬機，所述硬件虛擬機內運行待監視進程，

控制器，用于控制捕獲軟件漏洞利用的程序，

記錄器，用于獲得所述待監視進程的執行序列，并實時提取和記錄所述執行序列的特征，以及

分析器，用于判定是否存在軟件漏洞利用攻擊；

所述數據庫系統用于保存生成的簽名文件。

6.如權利要求5所述的系統，其特征在于，所述硬件虛擬機上運行Windows操作系統。

7.如權利要求5所述的系統，其特征在于，所述系統根據一預設時間間隔，定時重啟和回滾所述硬件虛擬機。

8.如權利要求7所述的系統，其特征在于，所述時間間隔為30分鐘。

9.如權利要求5所述的系統，其特征在于，所述系統在捕獲到漏洞利用之后回滾所述硬件虛擬機。

10.如權利要求5所述的系統，其特征在于，所述數據庫系統安裝于所述宿主計算機內或所述宿主計算機外。