[發(fā)明專利]惡意程序主動攔截方法和裝置及客戶端設(shè)備

有效

• 申請?zhí)枺?/td>: 201210563985.X
• 申請日: 2012-12-21
• 公開（公告）號: CN103020526A
• 公開（公告）日: 2013-04-03
• 發(fā)明（設(shè)計(jì)）人: 董杰
• 申請（專利權(quán)）人: 北京奇虎科技有限公司;奇智軟件（北京）有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京市隆安律師事務(wù)所 11323
• 代理人: 權(quán)鮮枝;齊輝

1.一種惡意程序主動攔截方法，包括：

根據(jù)客戶端對按鍵輸入數(shù)據(jù)的訪問方式選取需要攔截的攔截對象；

在應(yīng)用層和/或驅(qū)動層中設(shè)置針對所述攔截對象的攔截執(zhí)行信息；

當(dāng)監(jiān)測到按鍵輸入數(shù)據(jù)時(shí)，獲取訪問所述按鍵輸入數(shù)據(jù)的程序的信息；

根據(jù)所述程序的信息判斷該程序是否為安全程序，若是，允許該程序調(diào)用所述按鍵輸入數(shù)據(jù)，若否，利用所述攔截執(zhí)行信息對該程序進(jìn)行攔截；

其中，在獲取訪問所述按鍵輸入數(shù)據(jù)的程序的信息之前，所述方法還包括：

判斷監(jiān)測到的按鍵輸入數(shù)據(jù)是否為需要保護(hù)的數(shù)據(jù)，若是，獲取訪問所述按鍵輸入數(shù)據(jù)的程序的信息，若否，結(jié)束操作。

2.根據(jù)權(quán)利要求1所述的方法，其中，所述判斷監(jiān)測到的按鍵輸入數(shù)據(jù)是否為需要保護(hù)的數(shù)據(jù)包括：

判斷監(jiān)測到的按鍵輸入數(shù)據(jù)是否為通過預(yù)定按鍵輸入的數(shù)據(jù)，若是，確認(rèn)該按鍵輸入數(shù)據(jù)為需要保護(hù)的數(shù)據(jù)，若否，確認(rèn)該按鍵輸入數(shù)據(jù)為不需要保護(hù)的數(shù)據(jù)。

3.根據(jù)權(quán)利要求2所述的方法，其中，所述預(yù)定按鍵包括字母鍵、數(shù)字鍵和/或常用標(biāo)點(diǎn)符號鍵。

4.根據(jù)權(quán)利要求1所述的方法，其中，所述選取的攔截對象包括：

同步獲取按鍵狀態(tài)GetKeyState事件、異步獲取按鍵狀態(tài)GetAsyncKeyState事件、獲取鍵盤狀態(tài)GetKeyboardState事件、獲取設(shè)備輸入數(shù)據(jù)GetRawInputData事件、批量獲取設(shè)備輸入數(shù)據(jù)GetRawInputBuffer事件、和/或掛鉤KeUserModeCallback事件。

5.根據(jù)權(quán)利要求1所述的方法，其中，所述在應(yīng)用層中設(shè)置針對所述攔截對象的攔截執(zhí)行信息包括：

通過內(nèi)聯(lián)鉤子方式在應(yīng)用層中設(shè)置針對所述攔截對象的攔截執(zhí)行信息；和/或，通過修改各程序的導(dǎo)入表中的內(nèi)容在應(yīng)用層中設(shè)置針對所述攔截對象的攔截執(zhí)行信息。

6.根據(jù)權(quán)利要求1所述的方法，其中，所述在驅(qū)動層中設(shè)置針對所述攔截對象的攔截執(zhí)行信息包括：

通過修改攔截對象所對應(yīng)的函數(shù)在系統(tǒng)服務(wù)描述符表中的地址信息，將攔截執(zhí)行信息設(shè)置在驅(qū)動層中。

7.根據(jù)權(quán)利要求1所述的方法，其中，所述程序的信息包括程序所在的進(jìn)程名稱、程序的路徑和程序中文件的哈希值，所述根據(jù)所述程序的信息判斷該程序是否為安全程序包括：

判斷所述程序的信息是否存在于獲知的安全程序列表中，若是，確認(rèn)該程序?yàn)榘踩绦颍舴瘢_認(rèn)該程序不是安全程序；和/或,

根據(jù)程序的信息判斷該程序的進(jìn)程鏈的等級是否為安全等級，若是，確認(rèn)該程序?yàn)榘踩绦颍舴瘢_認(rèn)該程序不是安全程序。

8.一種惡意程序主動攔截裝置，包括：

攔截對象選取單元，適于根據(jù)客戶端對按鍵輸入數(shù)據(jù)的訪問方式選取需要攔截的攔截對象；

攔截信息設(shè)置單元，適于在應(yīng)用層和/或驅(qū)動層中設(shè)置針對所述攔截對象的攔截執(zhí)行信息；

攔截點(diǎn)監(jiān)測單元，適于當(dāng)監(jiān)測到按鍵輸入數(shù)據(jù)時(shí)，獲取訪問所述按鍵輸入數(shù)據(jù)的程序的信息；

攔截執(zhí)行單元，適于根據(jù)所述程序的信息判斷該程序是否為安全程序，若是，允許該程序調(diào)用所述按鍵輸入數(shù)據(jù)，若否，利用所述攔截執(zhí)行信息對該程序進(jìn)行攔截；

其中，所述攔截點(diǎn)監(jiān)測單元，適于在獲取訪問所述按鍵輸入數(shù)據(jù)的程序的信息之前，判斷監(jiān)測到的按鍵輸入數(shù)據(jù)是否為需要保護(hù)的數(shù)據(jù)，若是，獲取訪問所述按鍵輸入數(shù)據(jù)的程序的信息，若否，結(jié)束操作。

9.根據(jù)權(quán)利要求8所述的裝置，其中，所述攔截點(diǎn)監(jiān)測單元，還適于判斷監(jiān)測到的按鍵輸入數(shù)據(jù)是否為通過預(yù)定按鍵輸入的數(shù)據(jù)，若是，確認(rèn)該按鍵輸入數(shù)據(jù)為需要保護(hù)的數(shù)據(jù)，若否，確認(rèn)該按鍵輸入數(shù)據(jù)為不需要保護(hù)的數(shù)據(jù)。

10.根據(jù)權(quán)利要求9所述的裝置，其中，所述攔截點(diǎn)監(jiān)測單元監(jiān)測的預(yù)定按鍵包括字母鍵、數(shù)字鍵和/或常用標(biāo)點(diǎn)符號鍵。

11.根據(jù)權(quán)利要求8所述的裝置，其中，所述攔截對象選取單元選取的攔截對象包括：

同步獲取按鍵狀態(tài)GetKeyState事件、異步獲取按鍵狀態(tài)GetAsyncKeyState事件、獲取鍵盤狀態(tài)GetKeyboardState事件、獲取設(shè)備輸入數(shù)據(jù)GetRawInputData事件、批量獲取設(shè)備輸入數(shù)據(jù)GetRawInputBuffer事件、和/或掛鉤KeUserModeCallback事件。