[發明專利]一種檢測結構化異常處理攻擊的方法及裝置

有效

• 申請號: 201410459683.7
• 申請日: 2014-09-10
• 公開（公告）號: CN104217163B
• 公開（公告）日: 2017-04-26
• 發明（設計）人: 薛小昊;劉桂峰;姚輝
• 申請（專利權）人: 珠海市君天電子科技有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京市廣友專利事務所有限責任公司11237
• 代理人: 祁獻民

1.一種檢測結構化異常處理攻擊的方法，其特征在于，該方法包括：

分別在每一待監測的應用程序的進程中注入預先設置的SEH監測處理包；

運行注入的SEH監測處理包，以在所述待監測的應用程序的進程中加載所述SEH監測處理包中的VEH監測程序；

獲取待監測的應用程序的進程中的每一線程，并在所述每一線程的SEH結構鏈表的鏈尾，填充所述SEH監測處理包中預先設置的標記信息；

在所述VEH監測程序獲取到所述待監測的應用程序的進程中發生異常的線程后，提取所述發生異常的線程的SEH結構鏈表的鏈尾信息；

如果提取的鏈尾信息與所述標記信息不匹配，確定所述發生異常的線程對應的應用程序發生SEH攻擊。

2.根據權利要求1所述的方法，其特征在于，所述方法進一步包括：

按照預先設置的SEH攻擊處理策略，對發生SEH攻擊的線程對應的應用程序進行處理。

3.根據權利要求2所述的方法，其特征在于，所述按照預先設置的SEH攻擊處理策略，對發生SEH攻擊的線程對應的應用程序進行處理包括：

發送消息提醒；和/或，

對發生SEH攻擊的線程對應的應用程序進行安全掃描，并對掃描結果為不安全的應用程序進行隔離；和/或，

卸載所述發生SEH攻擊的線程對應的應用程序；和/或，

為所述發生SEH攻擊的線程對應的應用程序設置訪問權限。

4.根據權利要求1所述的方法，其特征在于，在所述注入預先設置的SEH監測處理包之前，所述方法進一步包括：

調用Windows操作系統的SetWindowsHookEx接口，設置用于監測和處理進程操作的SEH監測處理包。

5.根據權利要求1所述的方法，其特征在于，在所述注入預先設置的SEH監測處理包之前，所述方法進一步包括：

獲取操作系統的根權限。

6.根據權利要求1至5任一項所述的方法，其特征在于，所述在每一待監測的應用程序的進程中注入預先設置的SEH監測處理包包括：

在待監測的應用程序中注入預先設置的SEH監測處理包中的監測及分析防護模塊，以在所述待監測的應用程序中增加所述注入的監測及分析防護模塊；

監測到所述待監測的應用程序啟動，以及，SEH監測處理包監測到操作系統為啟動的應用程序配置進程后，在配置的進程中啟動注入在所述待監測的應用程序中的所述監測及分析防護模塊。

7.根據權利要求6所述的方法，其特征在于，所述在待監測的應用程序中注入預先設置的SEH監測處理包中的監測及分析防護模塊包括：

將監測及分析防護模塊的內存變量對應的代碼寫入動態鏈接庫中，利用操作系統中的windows鉤子技術，將寫入動態鏈接庫中的內存變量代碼映射到所述待監測的應用程序中。

8.根據權利要求6所述的方法，其特征在于，所述在待監測的應用程序中注入預先設置的SEH監測處理包中的監測及分析防護模塊包括：

將監測及分析防護模塊的內存變量對應的代碼寫入動態鏈接庫中，利用操作系統中的遠程注入以及動態加載，將寫入動態鏈接庫中的內存變量代碼映射到所述待監測的應用程序中。

9.根據權利要求1至5任一項所述的方法，其特征在于，所述進程中的每一線程對應一VEH監測程序。

10.根據權利要求1至5任一項所述的方法，其特征在于，所述標記信息為預先設置的SEHEnd()函數。