[發(fā)明專利]一種漏洞防利用方法及系統(tǒng)

有效

• 申請(qǐng)?zhí)枺?/td>: 201410372895.1
• 申請(qǐng)日: 2014-07-31
• 公開(kāi)（公告）號(hào): CN104217157B
• 公開(kāi)（公告）日: 2017-08-04
• 發(fā)明（設(shè)計(jì)）人: 張韜;劉桂峰;姚輝
• 申請(qǐng)（專利權(quán)）人: 珠海市君天電子科技有限公司
• 主分類號(hào): G06F21/52
• 分類號(hào): G06F21/52;G06F21/57
• 代理公司: 北京天悅專利代理事務(wù)所(普通合伙)11311
• 代理人: 田明,任曉航

1.一種漏洞防利用方法，包括以下步驟：

將漏洞防護(hù)模塊注入到要保護(hù)的進(jìn)程中；

利用漏洞防護(hù)模塊對(duì)漏洞進(jìn)行檢測(cè)；

當(dāng)檢測(cè)到有漏洞運(yùn)行時(shí)，對(duì)漏洞進(jìn)行攔截；

所述的漏洞防護(hù)模塊是通過(guò)DEP數(shù)據(jù)執(zhí)行保護(hù)、ALSR地址隨機(jī)化機(jī)制、ROP面向返回的編程攻擊三種防護(hù)手段實(shí)現(xiàn)對(duì)未知的漏洞進(jìn)行檢測(cè)；

所述的漏洞防護(hù)模塊中內(nèi)置開(kāi)關(guān)，通過(guò)開(kāi)關(guān)操作對(duì)DEP數(shù)據(jù)執(zhí)行保護(hù)、ALSR地址隨機(jī)化機(jī)制、ROP面向返回的編程攻擊三種防護(hù)手段實(shí)現(xiàn)開(kāi)啟或關(guān)閉；

該方法還包括以下步驟：若開(kāi)啟的DEP數(shù)據(jù)執(zhí)行保護(hù)、ALSR地址隨機(jī)化機(jī)制、ROP面向返回的編程攻擊三種防護(hù)手段與其他軟件發(fā)生沖突，則關(guān)閉存在沖突的防護(hù)手段。

2.如權(quán)利要求1所述的方法，其特征在于：通過(guò)本地配置文件和/或云端數(shù)據(jù)庫(kù)來(lái)判斷是否需要將漏洞防護(hù)模塊注入到要保護(hù)的進(jìn)程中。

3.如權(quán)利要求1所述的方法，其特征在于：所述的DEP數(shù)據(jù)執(zhí)行保護(hù)是將DEP注入進(jìn)程后打開(kāi)DEP，接受處理觸發(fā)的DEP異常，并且還會(huì)針對(duì)一些漏洞繞過(guò)DEP的方法進(jìn)行防護(hù)。

4.如權(quán)利要求3所述的方法，其特征在于：在NtVirtualProtectMemory設(shè)置了一個(gè)檢測(cè)點(diǎn)，檢測(cè)棧指針異常、堆棧執(zhí)行屬性修改，阻止漏洞繞過(guò)DEP防護(hù)。

5.如權(quán)利要求1所述的方法，其特征在于：

所述的ALSR地址隨機(jī)化機(jī)制是在NtVirtualProtectMemory函數(shù)中設(shè)置有hook點(diǎn)，當(dāng)dll加載時(shí)調(diào)用該函數(shù)，此時(shí)提前在dll加載地址申請(qǐng)內(nèi)存并重新加載dll，地址將會(huì)發(fā)生變化，就達(dá)到了讓地址隨機(jī)化的目的；在dll加載地址申請(qǐng)內(nèi)存時(shí)會(huì)記錄dll地址，當(dāng)shellcode試圖訪問(wèn)這個(gè)地址時(shí)將會(huì)拋出異常，被之前設(shè)置的異常接受例程接受到并處理。

6.如權(quán)利要求1所述的方法，其特征在于：所述ROP防護(hù)是在多個(gè)系統(tǒng)函數(shù)中設(shè)置觀察點(diǎn)，在程序執(zhí)行到這些函數(shù)的時(shí)候做一次檢測(cè)，如果發(fā)現(xiàn)異常則判定為溢出漏洞，其中，所述的檢測(cè)包括棧狀態(tài)檢查、返回地址檢查和模塊調(diào)用檢查。

7.如權(quán)利要求1至4任一項(xiàng)所述的方法，其特征在于：所要保護(hù)的進(jìn)程是office word進(jìn)程，所要攔截的漏洞是office word的溢出漏洞。

8.一種漏洞防利用系統(tǒng)，包括以下模塊：

注入模塊，用于將漏洞防護(hù)模塊注入到要保護(hù)的進(jìn)程中；

漏洞防護(hù)模塊，用于對(duì)漏洞進(jìn)行檢測(cè)，當(dāng)檢測(cè)到有漏洞運(yùn)行時(shí)，對(duì)漏洞進(jìn)行攔截；

所述的漏洞防護(hù)模塊包括DEP、ALSR、ROP三種防護(hù)單元，分別用于通過(guò)DEP數(shù)據(jù)執(zhí)行保護(hù)、ALSR地址隨機(jī)化機(jī)制、ROP面向返回的編程攻擊三種防護(hù)手段檢測(cè)未知漏洞；

所述的漏洞防護(hù)模塊中內(nèi)置開(kāi)關(guān)，通過(guò)開(kāi)關(guān)操作對(duì)DEP數(shù)據(jù)執(zhí)行保護(hù)、ALSR地址隨機(jī)化機(jī)制、ROP面向返回的編程攻擊三種防護(hù)單元實(shí)現(xiàn)開(kāi)啟或關(guān)閉；

該系統(tǒng)還設(shè)置了過(guò)濾模塊，用于在存在沖突軟件時(shí)關(guān)閉存在沖突的防護(hù)單元，保證漏洞防護(hù)模塊穩(wěn)定的運(yùn)行。