[發明專利]一種在虛擬機內部的驅動隔離系統與方法

有效

• 申請號: 201210442752.4
• 申請日: 2012-11-08
• 公開（公告）號: CN102938035A
• 公開（公告）日: 2013-02-20
• 發明（設計）人: 董小社;鄭豪;張興軍;王恩東;辛龍;張東;陳寶可;王強
• 申請（專利權）人: 西安交通大學;山東高效能服務器和存儲研究院
• 主分類號: G06F21/50
• 分類號: G06F21/50;G06F9/455
• 代理公司: 西安通大專利代理有限責任公司 61200
• 代理人: 陸萬壽

1.一種在虛擬機內部的驅動隔離系統，其特征在于：包括運行于虛擬機用戶態的驅動隔離加載模塊、虛擬機內核態的內存信息監視模塊以及虛擬機管理器內部的內存訪問控制模塊，其中，

所述運行于虛擬機用戶態的驅動隔離加載模塊：將驅動模塊文件中監視未定義符號與內存信息監視模塊中監視包裝函數建立聯系，使得驅動以隔離方式運行，并向內存信息監視模塊中的隔離控制子模塊發出被隔離驅動程序提醒消息，以使得進入內核的驅動為被隔離驅動程序；所述監視未定義符號包括內存管理函數的未定義符號和驅動注冊函數的未定義符號；

所述虛擬機內核態的內存信息監視模塊包括：包裝函數庫、隔離控制子模塊以及消息通信子模塊，其中，

所述包裝函數庫：為虛擬機內核中所監控的函數建立內核包裝函數，并為虛擬機內核中驅動接口中的接口函數建立驅動包裝函數，以使得被隔離驅動與內核和驅動包裝函數鏈接，并進入隔離運行模式；所述內核包裝函數包括內存包裝函數和注冊包裝函數，所述內存包裝函數是指內核中內存管理函數的包裝函數，所述注冊包裝函數是指內核中驅動注冊函數的包裝函數；

所述隔離控制子模塊：接收運行于虛擬機用戶態的驅動隔離加載模塊發出的被隔離驅動程序提醒消息，建立被隔離驅動程序的相關信息，并指示消息通信子模塊向所述虛擬機管理器內部的內存訪問控制模塊發送設置被隔離驅動授權表的指令，同時，根據需要獲取可信任的虛擬機內核的地址范圍，注入到內存訪問控制模塊，并發出設置虛擬機管理器中影子頁表的指令；所述可信任的虛擬機內核的地址范圍包括虛擬機內核代碼和未被隔離的驅動程序代碼的內存起始地址及其大小；

所述消息通信子模塊：向內存訪問控制模塊實時報告被隔離驅動所使用內存信息、可信任的虛擬機內核的地址范圍、及發送建立被隔離驅動授權表的指令；所述消息通信子模塊被所述包裝函數庫和所述隔離控制子模塊調用；

所述內存訪問控制模塊：用于控制被隔離驅動程序寫操作，包括：授權表管理子模塊、頁面設置子模塊以及缺頁處理子模塊，其中，

所述授權表管理子模塊：接收所述內存信息監視模塊發出的設置被隔離驅動授權表的指令后，設置被隔離驅動程序可寫內存范圍的授權表，并負責確認寫操作地址是否在授權表中；

所述頁面設置子模塊：接收所述內存信息監視模塊發出的設置虛擬機管理器中影子頁表的指令，并根據所述被隔離驅動所在虛擬機的內核空間在虛擬機管理器中所對應的影子頁表，將影子頁表設置為只讀另外，當缺頁處理子模塊允許寫操作時，還接收所述缺頁處理子模塊發出的允許寫操作段的指令，并設置寫操作目標地址對應的影子頁表，在寫操作結束后，重新將影子頁表設置為只讀；

所述缺頁處理子模塊：當被隔離驅動所在虛擬機內核出現寫操作時，根據寫操作指令的來源和被隔離驅動對應的授權表，判斷和控制是否允許進行寫操作。

2.根據權利要求1所述的一種在虛擬機內部的驅動隔離系統，其特征在于，運行于虛擬機用戶態的驅動隔離加載模塊具體用于：

運行于虛擬機用戶態的驅動隔離加載模塊，將驅動模塊文件中的內存管理函數的未定義符號和驅動注冊函數的未定義符號替換為對應的所述內存包裝函數和注冊包裝函數的符號及其符號名；

調用虛擬機內核的原模塊加載方式加載驅動程序模塊，以使驅動程序模塊中包裝函數符號將自動鏈接到所述虛擬機內存信息監視模塊中的所監控的包裝函數，從而完成與內核包裝函數建立聯系；

虛擬機內核的原模塊加載方式會調用驅動模塊的初始化函數，執行驅動注冊，驅動會自動調用已經鏈接到注冊包裝函數的驅動注冊函數，完成與驅動包裝函數建立聯系。