[發明專利]一種基于虛擬機的信息記錄方法

有效

• 申請號: 201210530485.6
• 申請日: 2012-12-10
• 公開（公告）號: CN102999374A
• 公開（公告）日: 2013-03-27
• 發明（設計）人: 陳錦;劉業欣
• 申請（專利權）人: 北京神州綠盟信息安全科技股份有限公司;北京神州綠盟科技有限公司
• 主分類號: G06F9/455
• 分類號: G06F9/455
• 代理公司: 北京同達信恒知識產權代理有限公司 11291
• 代理人: 郭紅麗

1.一種基于虛擬機的信息記錄方法，其特征在于，包括：

虛擬機運行選定程序時，根據所述選定程序中的跳轉指令分割所述選定程序，得到若干代碼塊；以及

在執行代碼塊的過程中，所述虛擬機監控事件發生，并按照事件發生的先后順序記錄事件標識和事件信息，所述事件信息包括：創建的線程或進程信息、加載的模塊信息、進程分配的堆信息、進程創建的棧信息、數據改寫信息、代碼塊信息、循環次數信息、新棧頂的位置信息、函數調用信息、函數返回信息、以及中央處理器CPU異常信息中之一或組合。

2.如權利要求1所述的方法，其特征在于，所述虛擬機監控事件發生，并按照事件發生的先后順序記錄事件標識和事件信息，具體包括：

若所述虛擬機監控到線程或進程的創建，則在日記文件中記錄創建標識和創建的進程或線程信息；

若所述虛擬機監控到模塊加載，則在所述日記文件中記錄加載標識和加載的模塊信息；

若所述虛擬機監控到進程分配堆，則在所述日記文件中記錄所述加載標識和分配的堆信息；

若所述虛擬機監控到進程創建棧，則在所述日記文件中記錄所述加載標識和創建的棧信息；

若所述虛擬機監控到數據改寫，則判斷記錄的當前信息類型是否是代碼塊信息，若是，則在所述日記文件中記錄信息類型切換標識和數據改寫信息；否則，則在所述日記文件中記錄數據改寫信息；

所述虛擬機執行完一個代碼塊后，則判斷所述當前信息類型是否是數據改寫信息，若是，則在所述日記文件中記錄所述信息類型切換標識和代碼塊信息；否則，則在所述日記文件中記錄代碼塊信息；

所述虛擬機執行完一個代碼塊后，判斷寄存器的值是否改變，若改變，則在所述日記文件中記錄棧頂變化標識和新棧頂的位置信息；若執行完的代碼塊的最后一個跳轉指令為函數調用指令，則在所述日記文件中記錄函數調用標識；以及，若所述最后一個跳轉指令為函數返回指令，則在所述日記文件中記錄函數返回標識；以及，若執行完的代碼塊與上一個代碼塊的起始地址和終止地址均相同，則在所述日記文件中記錄循環標識和循環次數信息；

若虛擬機監控到CPU異常，則在所述日記文件中記錄異常標識和CPU異常信息。

3.如權利要求2所述的方法，其特征在于，所述創建標識為VM_THEAD；

所述創建的進程信息的結構為設定字節的進程標識ID；

所述創建的線程信息的結構為所述設定字節的線程ID。

4.如權利要求2所述的方法，其特征在于，所述加載標識為VM_MEMORY；

所述加載的模塊信息的結構為所述設定字節的進程ID、二分之一所述設定字節的模塊名長度、模塊名字符串、所述設定字節的模塊加載的基地址、所述設定字節的模塊映射的內存大小、所述設定字節模塊文件的大小、模塊文件的二進制數據；

所述創建的堆信息的結構為所述設定字節的進程ID、二分之一所述設定字節的模塊名長度、所述設定字節的模塊加載的基地址、所述設定字節的堆大小、所述設定字節的無用數據；

所述創建的棧信息的結構為所述設定字節的進程ID、二分之一所述設定字節的模塊名長度、所述設定字節的模塊加載的基地址、所述設定字節的模塊加載的基地址、所述設定字節的棧大小、所述設定字節的無用數據。

5.如權利要求2所述的方法，其特征在于，所述信息類型切換標識為VM_ESCAPE；

所述數據改寫信息的結構為所述設定字節的進行數據改寫指令的地址、所述設定字節的數據改寫的起始地址、所述設定字節的記錄長度、記錄的數據內容。

6.如權利要求2所述的方法，其特征在于，所述異常標識為VM_EXCPTION，所述CPU異常信息結構為四分之一所述設定字節的異常類型、二分之一所述設定字節的異常特征位、所述設定字節的程序執行地址、所述設定字節的異常訪問地址。

7.如權利要求2所述的方法，其特征在于，所述棧頂變化標識為VM_STACK；

所述新棧頂位置信息的結構為所述設定字節的新棧頂位置。

8.如權利要求2所述的方法，其特征在于，所述信息類型切換標識為VM_ESCAPE；

所述代碼塊信息的結構為所述設定字節的代碼塊的起始地址、所述設定字節的代碼塊的結束地址。

9.如權利要求2所述的方法，其特征在于，所述函數調用標識為VM_CALL。