[發明專利]一種基于深度學習的程序執行路徑的監控方法及系統

有效

• 申請號: 201510056365.0
• 申請日: 2015-02-03
• 公開（公告）號: CN104715190B
• 公開（公告）日: 2018-02-06
• 發明（設計）人: 馬引;孫毓忠
• 申請（專利權）人: 中國科學院計算技術研究所
• 主分類號: G06F21/52
• 分類號: G06F21/52;G06F21/56
• 代理公司: 北京律誠同業知識產權代理有限公司11006
• 代理人: 祁建國,梁揮

1.一種基于深度學習的程序執行路徑的監控方法，其特征在于，包括：

步驟1，對所述程序中的函數插入探測點，獲取所述函數運行時的返回地址，并通過棧指針回溯查詢所述函數的函數地址；

步驟2，獲取用戶層和/或系統層中所有函數的函數地址區間，將所述函數地址與所述函數地址空間進行對比，獲取與所述函數地址相對應的函數名；

步驟3，根據所述返回地址、所述函數地址空間、所述函數名，獲取所述程序中的所述函數在所述用戶層和/或所述系統層中的調用路徑；

步驟4，通過所述步驟1-3完成一次函數執行路徑的提取與分析，將其作為深度學習的一個原始輸入，重復所述步驟1-3，大量收集函數的調用路徑，并通過深度學習形成特征行為庫，將所述調用路徑與所述特征行為庫進行對比，以完成對所述程序執行路徑的監控。

2.如權利要求1所述的基于深度學習的程序執行路徑的監控方法，其特征在于，所述步驟3之前還包括：將所述函數名與所述返回地址進行封裝。

3.如權利要求1所述的基于深度學習的程序執行路徑的監控方法，其特征在于，所述步驟3包括：獲取每個進程從所述用戶層和/或所述系統層調用到所述探測點的所有所述函數的所述調用路徑。

4.如權利要求1所述的基于深度學習的程序執行路徑的監控方法，其特征在于，所述步驟4還包括：判斷所述調用路徑是否被篡改，若被篡改，則停止運行所述程序。

5.一種基于深度學習的程序執行路徑的監控系統，其特征在于，包括：

獲取函數地址模塊，用于對所述程序中的函數插入探測點，獲取所述函數運行時的返回地址，并通過棧指針回溯查詢所述函數的函數地址；

獲取函數名模塊，用于獲取用戶層和/或系統層中所有函數的函數地址區間，將所述函數地址與所述函數地址空間進行對比，獲取與所述函數地址相對應的函數名；

獲取調用路徑模塊，用于根據所述返回地址、所述函數地址空間、所述函數名，獲取所述程序中的所述函數在所述用戶層和/或所述系統層中的調用路徑；

深度學習模塊，用于調用所述獲取函數地址模塊、所述獲取函數名模塊和所述獲取調用路徑模塊完成一次函數執行路徑的提取與分析，將其作為深度學習的一個原始輸入，重復調用所述獲取函數地址模塊、所述獲取函數名模塊和所述獲取調用路徑模塊，大量收集函數的調用路徑，并通過深度學習形成特征行為庫，將所述調用路徑與所述特征行為庫進行對比，以完成對所述程序執行路徑的監控。

6.如權利要求5所述的基于深度學習的程序執行路徑的監控系統，其特征在于，還包括：封裝模塊，用于將所述函數名與所述返回地址進行封裝。

7.如權利要求5所述的基于深度學習的程序執行路徑的監控系統，其特征在于，所述獲取調用路徑模塊包括，用于獲取每個進程從所述用戶層和/或所述系統層調用到所述探測點的所有所述函數的所述調用路徑。

8.如權利要求5所述的基于深度學習的程序執行路徑的監控系統，其特征在于，所述深度學習模塊還包括：用于判斷所述調用路徑是否被篡改，若被篡改，則停止運行所述程序。