[發明專利]進程監控的方法、裝置和智能終端

有效

• 申請號: 201410433260.8
• 申請日: 2014-08-28
• 公開（公告）號: CN104156662B
• 公開（公告）日: 2017-10-27
• 發明（設計）人: 李常坤;孫年忠
• 申請（專利權）人: 北京奇虎科技有限公司;奇智軟件（北京）有限公司
• 主分類號: G06F21/54
• 分類號: G06F21/54;G06F21/56
• 代理公司: 北京國昊天誠知識產權代理有限公司11315
• 代理人: 許志勇,劉戈

1.一種進程監控的方法，其特征在于，所述方法包括：

在父進程創建子進程時，攔截所述子進程的創建，并使用注入器替換所述子進程，從而創建所述注入器；

其中，所述在父進程創建子進程時，攔截子進程的創建，并使用注入器替換所述子進程，從而創建所述注入器，包括：在父進程通過Execve函數調用子進程對應的路徑參數時，攔截Execve函數調用命令，將調用命令中子進程對應的路徑參數替換為注入器對應的路徑參數，從而創建注入器；

通過所述注入器創建監控進程，利用攔截所述子進程的創建時獲取的參數繼續創建所述子進程，并通過所述監控進程將預設的Hook監控模塊注入所述子進程，從而完成對所述子進程的創建；

在完成對所述子進程的創建后，使所述監控進程退出運行，通過所述Hook監控模塊對所述子進程的運行進行監控。

2.如權利要求1所述的方法，其特征在于，在父進程創建子進程時，攔截所述子進程的創建，并使用注入器替換所述子進程，從而創建所述注入器，包括：

在父進程創建子進程時，判斷所述父進程是否是通過賬戶切換SU提權方式創建所述子進程；

如果是，則攔截所述子進程的創建，并使用注入器替換所述子進程，從而創建所述注入器，通過賬戶切換SU提權方式提升所述注入器的權限；

如果不是，則攔截所述子進程的創建，并使用注入器替換所述子進程，從而創建所述注入器。

3.如權利要求2所述的方法，其特征在于，判斷所述父進程是否是通過賬戶切換SU提權方式創建所述子進程，包括：

判斷所述子進程中是否包含分享S屬性的函數；

如果包含所述S屬性的函數，則判定是通過所述SU提權方式創建所述子進程；

如果不包含所述S屬性的函數，則判定不是通過所述SU提權方式創建所述子進程。

4.如權利要求2所述的方法，其特征在，通過賬戶切換SU提權方式提升所述注入器的權限，包括：

在賬戶切換SU提權方式相應的指令中，加入以－C參數引導的用于啟動所述注入器的指令，從而將所述SU提權方式轉換為啟動所述注入器并提升所述注入器的權限，其中所述－C參數為特定用戶執行參數。

5.如權利要求1所述的方法，其特征在于，在父進程創建子進程時，攔截所述子進程的創建，并使用注入器替換所述子進程，從而創建所述注入器，包括：

監控到所述父進程通過fork函數創建出所述子進程的鏡像，并通過Execve函數調用所述子進程對應的路徑參數時，攔截所述Execve函數的調用命令，將所述調用命令中所述子進程對應的路徑參數替換為所述注入器對應的路徑參數，從而創建所述注入器。

6.如權利要求1所述的方法，其特征在于，通過所述注入器創建監控進程，包括：

通過所述注入器創建出所述監控進程的鏡像；

通過所述注入器將所述Hook監控模塊注入所述監控進程的鏡像，創建所述監控進程。

7.如權利要求6所述的方法，其特征在于，利用攔截所述子進程的創建時獲取的參數繼續創建所述子進程，并通過所述監控進程將預設的Hook監控模塊注入所述子進程，從而完成對所述子進程的創建，包括：

通過所述注入器創建所述子進程的鏡像；

解析攔截所述子進程的創建時所獲取的Execve函數的調用命令中所述子進程對應的路徑參數，使得所述注入器根據所述子進程對應的路徑參數調用所述子進程對應的組件，并將所述子進程對應的組件加載進所述子進程的鏡像；

將注入所述Hook監控模塊的所述監控進程注入所述子進程的鏡像，命令所述子進程加載分享S屬性，從而完成對所述子進程的創建。

8.如權利要求7所述的方法，其特征在于，通過所述Hook監控模塊對所述子進程的運行進行監控，包括：

命令所述Hook監控模塊通過所述S屬性對所述子進程的運行進行監控；

當通過所述Hook監控模塊監控到所述子進程通過Execve函數和/或Fork函數創建進程時，將所述子進程作為所述父進程，執行所述進程監控方法。

9.如權利要求1-8任一所述的方法，其特征在于，

所述父進程包括：JAVA類進程或Native類進程；

所述子進程包括：JAVA類子進程或Native類子進程。