[發明專利]一種遠程桌面控制識別的方法和裝置

有效

• 申請號: 201210168060.5
• 申請日: 2012-05-25
• 公開（公告）號: CN103428190B
• 公開（公告）日: 2016-11-30
• 發明（設計）人: 黃冕
• 申請（專利權）人: 阿里巴巴集團控股有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京潤澤恒知識產權代理有限公司 11319
• 代理人: 趙娟

技術領域

本申請涉及網絡信息安全處理的技術領域，特別是涉及一種遠程桌面控制識別的方法和一種遠程桌面控制識別的裝置。

背景技術

遠程控制是在網絡上由一臺電腦(主控端Remote/客戶端)遠距離去控制另一臺電腦(被控端Host/服務器端)的技術，早期的遠程控制往往指在局域網中的遠程控制，隨著互聯網的普及和技術革新，現在的遠程控制往往指互聯網中的遠程控制，互聯網中的遠程控制必須通過網絡才能進行。位于本地的計算機是操縱指令的發出端，稱為主控端或客戶端，非本地的被控計算機叫做被控端或服務器端。“遠程”不等同于遠距離，主控端和被控端可以是位于同一局域網的同一房間中，也可以是連入Internet的處在任何位置的兩臺或多臺計算機。

遠程桌面采用的是一種微軟RDP技術，當某臺計算機開啟了遠程桌面控制功能后，就可以在網絡的另一端控制這臺計算機，通過遠程桌面功能可以實時的操作這臺計算機，在上面安裝軟件，運行程序，所有的一切都好像是直接在該計算機上操作一樣。這就是遠程桌面的最大功能，通過該功能網絡管理員可以在家中安全的控制單位的服務器，而且由于該功能是系統內置的所以比其他第三方遠程控制工具使用更方便更靈活。

但目前，遠程桌面控制功能被一些黑客和不法分子用作木馬，來竊取被控端電腦的文件資料和用戶個人信息、賬戶資料等，如冰河木馬。為了防止這種木馬，各大服務提供商都開始采用數字證書、USB-Key等方式加以控制。但是此類方法有一個缺陷就是數字證書是安裝在用戶終端上的，一旦用戶終端遭到遠程控制則用戶身份仍然會被冒用，因而，如何識別計算機或用戶終端上的遠程桌面控制，以提高計算機和各種用戶終端應用的安全性，成為本領域技術人員迫切需要解決的問題。

發明內容

本申請的目的是提供一種遠程桌面控制識別的方法和裝置，用以提高計算機和各種用戶終端應用的安全性，成為本領域技術人員迫切需要解決的問題。

為了解決上述問題，本申請公開了一種遠程桌面控制識別的方法，包括：

步驟S1，注入不可信進程，對所述不可信進程中的遠程桌面控制行為函數進行鉤掛HOOK；其中，所述遠程桌面控制行為函數包括操作函數和通信函數；

步驟S2，根據所述操作函數判斷是否存在遠程桌面控制操作，若是，則執行步驟S3；

步驟S3，根據所述通信函數判斷是否存在網絡通信，若是，則執行步驟S4；

步驟S4，配置所述通信函數按預設時間阻塞網絡通信；

步驟S5，判斷在所述網絡通信阻塞的時間內是否存在遠程桌面控制操作，若否，則執行步驟S6；

步驟S6，恢復網絡通信，判斷是否滿足預置的檢測次數，若是，則執行步驟S7；若否，則返回步驟S2；

步驟S7，判定當前不可信進程為遠程桌面控制進程。

優選地，所述操作函數包括軟鍵盤消息發送函數，軟鼠標消息發送函數，以及，屏幕抓取函數，所述遠程桌面控制操作包括軟鍵盤消息發送操作，軟鼠標消息發送操作，以及，屏幕抓取操作；

所述步驟S2包括：

根據所述軟鍵盤消息發送函數判斷是否存在軟鍵盤消息發送操作；

根據所述軟鼠標消息發送函數判斷是否存在軟鼠標消息發送操作；

以及，

根據所述屏幕抓取函數判斷是否存在屏幕抓取操作。

優選地，在步驟S?1之前，還包括：

過濾掉可信進程。

優選地，所述的方法，還包括：

若根據所述操作函數判斷不存在遠程桌面控制操作，則判定當前不可信進程為非遠程桌面控制進程；

和/或，

若根據所述操作函數判斷存在遠程桌面控制操作，且根據所述通信函數判斷不存在網絡通信，則判定當前不可信進程為非遠程桌面控制進程；

和/或，

若在所述網絡通信阻塞的時間內存在遠程桌面控制操作，則判定當前不可信進程為非遠程桌面控制進程。

優選地，所述的方法，還包括：

向用戶報告所述遠程桌面控制進程；

和/或，

攔截所述遠程桌面控制進程。

本申請實施例還公開了一種遠程桌面控制識別的裝置，包括：

鉤掛處理模塊，用于注入不可信進程，對所述不可信進程中的遠程桌面控制行為函數進行鉤掛HOOK；其中，所述遠程桌面控制行為函數包括操作函數和通信函數；

遠程操作判斷模塊，用于根據所述操作函數判斷是否存在遠程桌面控制操作，若是，則調用通信判斷模塊；