[發(fā)明專利]一種檢測(cè)面向返程的編程攻擊的方法及裝置

有效

• 申請(qǐng)?zhí)枺?/td>: 201410459638.1
• 申請(qǐng)日: 2014-09-10
• 公開(kāi)（公告）號(hào): CN104268471B
• 公開(kāi)（公告）日: 2017-04-26
• 發(fā)明（設(shè)計(jì)）人: 薛小昊;劉桂峰;姚輝
• 申請(qǐng)（專利權(quán)）人: 珠海市君天電子科技有限公司
• 主分類號(hào): G06F21/56
• 分類號(hào): G06F21/56
• 代理公司: 北京市廣友專利事務(wù)所有限責(zé)任公司11237
• 代理人: 祁獻(xiàn)民

1.一種檢測(cè)面向返程的編程攻擊的方法，其特征在于，分別在每一待監(jiān)測(cè)的應(yīng)用程序的進(jìn)程中注入預(yù)先設(shè)置的應(yīng)用編程接口函數(shù)監(jiān)測(cè)程序；該方法還包括：

監(jiān)測(cè)到所述待監(jiān)測(cè)的應(yīng)用程序的進(jìn)程調(diào)用預(yù)先設(shè)置的應(yīng)用編程接口API函數(shù)庫(kù)中的API函數(shù)時(shí)，暫緩所述待監(jiān)測(cè)的應(yīng)用程序的進(jìn)程對(duì)所述API函數(shù)的調(diào)用；

按照預(yù)先設(shè)置的面向返程的編程ROP防護(hù)策略處理暫緩調(diào)用的所述API函數(shù)，以確定是否允許調(diào)用暫緩調(diào)用的所述API函數(shù)；

所述在待監(jiān)測(cè)的應(yīng)用程序的進(jìn)程中注入預(yù)先設(shè)置的應(yīng)用編程接口函數(shù)監(jiān)測(cè)程序包括：

在待監(jiān)測(cè)的應(yīng)用程序中注入預(yù)先設(shè)置的應(yīng)用編程接口函數(shù)監(jiān)測(cè)程序的分析以及回調(diào)模塊，利用所述注入的分析以及回調(diào)模塊替換所述待監(jiān)測(cè)的應(yīng)用程序的調(diào)用管理模塊；

監(jiān)測(cè)到所述待監(jiān)測(cè)的應(yīng)用程序啟動(dòng)，同步啟動(dòng)注入在所述待監(jiān)測(cè)的應(yīng)用程序中的所述分析以及回調(diào)模塊。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述按照預(yù)先設(shè)置的ROP防護(hù)策略處理暫緩調(diào)用的所述API函數(shù)，以確定是否允許調(diào)用暫緩調(diào)用的所述API函數(shù)包括：

獲取暫緩調(diào)用的API函數(shù)的返回地址，判斷所述返回地址的屬性是否具有可執(zhí)行屬性，如果是，不允許調(diào)用暫緩調(diào)用的所述API函數(shù)，如果否，允許調(diào)用暫緩調(diào)用的所述API函數(shù)。

3.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述按照預(yù)先設(shè)置的ROP防護(hù)策略處理暫緩調(diào)用的所述API函數(shù)，以確定是否允許調(diào)用暫緩調(diào)用的所述API函數(shù)包括：

獲取暫緩調(diào)用的API函數(shù)的返回地址，判斷所述返回地址是否在所述應(yīng)用程序的進(jìn)程所加載的系統(tǒng)動(dòng)態(tài)鏈接庫(kù)模塊的加載地址范圍內(nèi)，如果是，允許調(diào)用暫緩調(diào)用的所述API函數(shù)，如果否，不允許調(diào)用暫緩調(diào)用的所述API函數(shù)。

4.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述按照預(yù)先設(shè)置的ROP防護(hù)策略處理暫緩調(diào)用的所述API函數(shù)，以確定是否允許調(diào)用暫緩調(diào)用的所述API函數(shù)包括：

獲取暫緩調(diào)用的API函數(shù)的返回地址，判斷所述返回地址處的上一條指令是否為CALL指令，如果是，允許調(diào)用暫緩調(diào)用的所述API函數(shù)，如果否，不允許調(diào)用暫緩調(diào)用的所述API函數(shù)。

5.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述按照預(yù)先設(shè)置的ROP防護(hù)策略處理暫緩調(diào)用的所述API函數(shù)，以確定是否允許調(diào)用暫緩調(diào)用的所述API函數(shù)包括：

獲取暫緩調(diào)用的API函數(shù)的返回地址，判斷所述返回地址是否在當(dāng)前線程環(huán)境塊中所描述的棧空間范圍內(nèi)，如果是，允許調(diào)用暫緩調(diào)用的所述API函數(shù)，如果否，不允許調(diào)用暫緩調(diào)用的所述API函數(shù)。

6.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述按照預(yù)先設(shè)置的ROP防護(hù)策略處理暫緩調(diào)用的所述API函數(shù)，以確定是否允許調(diào)用暫緩調(diào)用的所述API函數(shù)包括：

獲取暫緩調(diào)用API函數(shù)的通用命名規(guī)則路徑，判斷獲取的通用命名規(guī)則路徑是否為遠(yuǎn)程路徑，如果是，不允許調(diào)用暫緩調(diào)用的所述API函數(shù)，如果否，允許調(diào)用暫緩調(diào)用的所述API函數(shù)。

7.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述按照預(yù)先設(shè)置的ROP防護(hù)策略處理暫緩調(diào)用的所述API函數(shù)，以確定是否允許調(diào)用暫緩調(diào)用的所述API函數(shù)包括：

在API函數(shù)NtProtectVirtualMemory中，判斷是否可將暫緩調(diào)用的API函數(shù)的屬性修改為棧空間的可執(zhí)行屬性，如果是，不允許調(diào)用暫緩調(diào)用的所述API函數(shù)，如果否，允許調(diào)用暫緩調(diào)用的所述API函數(shù)。

8.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述按照預(yù)先設(shè)置的ROP防護(hù)策略處理暫緩調(diào)用的所述API函數(shù)，以確定是否允許調(diào)用暫緩調(diào)用的所述API函數(shù)包括：

A1，獲取暫緩調(diào)用的API函數(shù)的返回地址，判斷所述返回地址的屬性是否具有可執(zhí)行屬性，如果是，執(zhí)行步驟A2，如果否，允許調(diào)用暫緩調(diào)用的所述API函數(shù)；

A2，獲取暫緩調(diào)用的API函數(shù)的返回地址，判斷所述返回地址的屬性是否在所述應(yīng)用程序的進(jìn)程所加載的系統(tǒng)動(dòng)態(tài)鏈接庫(kù)模塊的加載地址范圍內(nèi)，如果是，允許調(diào)用暫緩調(diào)用的所述API函數(shù)，如果否，不允許調(diào)用暫緩調(diào)用的所述API函數(shù)。