[發(fā)明專利]用于管理程序環(huán)境中的關(guān)鍵地址空間保護的系統(tǒng)和方法

在審

• 申請?zhí)枺?/td>: 201280053614.5
• 申請日: 2012-09-15
• 公開（公告）號: CN103907098A
• 公開（公告）日: 2014-07-02
• 發(fā)明（設(shè)計）人: R.布哈塔查爾杰;N.芒賈爾;B.辛格;P.辛格
• 申請（專利權(quán)）人: 邁可菲公司
• 主分類號: G06F12/14
• 分類號: G06F12/14;G06F9/455;G06F21/53
• 代理公司: 中國專利代理(香港)有限公司 72001
• 代理人: 柯廣華;湯春龍

1.一種用于計算機的方法，包括：

檢測對包括管理程序的管理程序環(huán)境中的客戶操作系統(tǒng)(OS)的關(guān)鍵地址空間(CAS)的訪問嘗試，其中所述客戶OS實現(xiàn)地址空間布局隨機化(ASLR)；

識別執(zhí)行所述訪問嘗試的進程；以及

如果不準許所述進程訪問所述CAS，則采取動作，

其中，識別執(zhí)行所述訪問嘗試的所述進程包括：讀取與所述進程對應(yīng)的CR3寄存器。

2.如權(quán)利要求1所述的方法，其中，所述動作從下列項中選取：

向所述管理程序的管理控制臺報告所述訪問嘗試；

向所述客戶OS提供推薦；以及

在所述客戶OS內(nèi)自動采取動作。

3.如權(quán)利要求2所述的方法，其中，向所述管理程序的管理控制臺報告所述訪問嘗試包括：將所述客戶OS的狀態(tài)標記為受感染。

4.如權(quán)利要求2所述的方法，其中，向所述客戶OS提供推薦包括下列至少一個：

推薦將所述進程列入黑名單，直到它由安全工具來掃描并且列入白名單；或者

對所述進程運行防病毒。

5.如權(quán)利要求2所述的方法，其中，在所述客戶OS內(nèi)采取動作包括下列至少一個：

在所述客戶OS中運行防病毒程序；或者

關(guān)閉所述客戶OS或保存所述客戶OS的狀態(tài)以供離線掃描。

6.如權(quán)利要求1-5中的任一項所述的方法，還包括使用策略來驗證所述訪問嘗試，所述策略包括：

如果所述進程從存儲器元件的可寫區(qū)域執(zhí)行，則拒絕所述訪問；以及

如果所述進程從所述存儲器元件的只讀區(qū)域執(zhí)行，則準許所述訪問。

7.如權(quán)利要求1-5中的任一項所述的方法，還包括：

識別與所述CAS對應(yīng)的機器地址，識別所述機器地址包括：

促使所述客戶OS中的頁錯誤；

從與所述CAS對應(yīng)的客戶虛擬地址來解析客戶物理地址；以及

將所述機器地址映射到所述客戶物理地址。

8.如權(quán)利要求1-5中的任一項所述的方法，其中，檢測所述訪問嘗試包括：

在所述管理程序的影子頁表中為對應(yīng)于所述CAS的頁生成頁表條目(PTE)；

標記所述PTE，使得所述訪問嘗試引起頁錯誤。

9.一種用于計算機的設(shè)備，包括：

配置成存儲數(shù)據(jù)的存儲器元件；以及

可操作以執(zhí)行與所述數(shù)據(jù)關(guān)聯(lián)的指令的計算處理器；

管理程序；以及

駐留在客戶操作系統(tǒng)(OS)中的代理，使得所述設(shè)備配置用于：

檢測對包括所述管理程序的管理程序環(huán)境中的客戶OS的關(guān)鍵地址空間(CAS)的訪問嘗試，其中所述客戶OS實現(xiàn)地址空間布局隨機化(ASLR)；

識別執(zhí)行所述訪問嘗試的進程；以及

如果不準許所述進程訪問所述CAS，則采取動作，

其中，識別執(zhí)行所述訪問嘗試的所述進程包括：讀取與所述進程對應(yīng)的CR3寄存器。

10.如權(quán)利要求9所述的設(shè)備，其中，所述動作從下列項中選取：

向所述管理程序的管理控制臺報告所述訪問嘗試；

向所述客戶OS提供推薦；以及

在所述客戶OS內(nèi)自動采取動作。

11.如權(quán)利要求10所述的設(shè)備，其中，向所述管理程序的管理控制臺報告所述訪問嘗試包括：將所述客戶OS的狀態(tài)標記為受感染。

12.如權(quán)利要求10所述的設(shè)備，其中，向所述客戶OS提供推薦包括下列至少一個：

推薦將所述進程列入黑名單，直到它由安全工具來掃描并且列入白名單；或者

對所述進程運行防病毒。