[發(fā)明專利]虛擬機(jī)內(nèi)核的保護(hù)方法及裝置

有效

• 申請(qǐng)?zhí)枺?/td>: 201510980458.2
• 申請(qǐng)日: 2015-12-23
• 公開（公告）號(hào): CN106909437B
• 公開（公告）日: 2021-01-29
• 發(fā)明（設(shè)計(jì)）人: 萬榮飛;陳興蜀
• 申請(qǐng)（專利權(quán)）人: 華為技術(shù)有限公司
• 主分類號(hào): G06F9/455
• 分類號(hào): G06F9/455
• 代理公司: 北京同立鈞成知識(shí)產(chǎn)權(quán)代理有限公司 11205
• 代理人: 楊貝貝;黃健

1.一種虛擬機(jī)內(nèi)核的保護(hù)方法，其特征在于，包括：

截獲應(yīng)用程序發(fā)起的系統(tǒng)調(diào)用函數(shù)；

根據(jù)虛擬機(jī)原始內(nèi)核基地址與影子內(nèi)核基地址的偏移值，將所述系統(tǒng)調(diào)用函數(shù)指向影子內(nèi)核，根據(jù)所述影子內(nèi)核中的影子系統(tǒng)服務(wù)描述表SSDT確定所述系統(tǒng)調(diào)用函數(shù)在影子內(nèi)核中對(duì)應(yīng)的入口地址；

其中，所述影子內(nèi)核構(gòu)建于所述虛擬機(jī)原始內(nèi)核的非分頁池中，所述影子內(nèi)核為根據(jù)所述虛擬機(jī)原始內(nèi)核的鏡像文件構(gòu)建的可執(zhí)行內(nèi)核代碼。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述截獲應(yīng)用程序發(fā)起的系統(tǒng)調(diào)用函數(shù)之前，所述方法還包括：

構(gòu)建所述影子內(nèi)核。

3.根據(jù)權(quán)利要求2所述的方法，其特征在于，所述構(gòu)建所述影子內(nèi)核，包括：

將所述虛擬機(jī)原始內(nèi)核的文件進(jìn)行復(fù)制以獲取鏡像文件；

將所述鏡像文件按照可執(zhí)行格式文件映射到所述虛擬機(jī)原始內(nèi)核的非分頁池中，以形成影子內(nèi)核初始代碼；

根據(jù)所述鏡像文件所映射的地址以及影子內(nèi)核基地址，對(duì)所述影子內(nèi)核初始代碼中的待重定向數(shù)據(jù)進(jìn)行修復(fù)，并獲取修復(fù)后的待重定向數(shù)據(jù)；

將所述修復(fù)后的待重定向數(shù)據(jù)中SSDT對(duì)應(yīng)的數(shù)據(jù)和影子中斷描述表IDT對(duì)應(yīng)的數(shù)據(jù)進(jìn)行備份，以獲取影子IDT和所述影子SSDT；

將所述修復(fù)后的待重定向數(shù)據(jù)重定向到所述虛擬機(jī)原始內(nèi)核，以獲取目標(biāo)重定向數(shù)據(jù)，并將所述目標(biāo)重定向數(shù)據(jù)中的SSDT和IDT替換為所述影子SSDT和所述影子IDT。

4.根據(jù)權(quán)利要求3所述的方法，其特征在于，所述將所述虛擬機(jī)原始內(nèi)核的文件進(jìn)行復(fù)制以獲取鏡像文件之前，所述方法還包括：

在所述虛擬機(jī)原始內(nèi)核的非分頁池中申請(qǐng)緩沖區(qū)，其中，所述影子內(nèi)核構(gòu)建于所述緩沖區(qū)中。

5.根據(jù)權(quán)利要求4所述的方法，其特征在于，所述根據(jù)所述鏡像文件所映射的地址以及影子內(nèi)核基地址，對(duì)所述影子內(nèi)核初始代碼中的待重定向數(shù)據(jù)進(jìn)行修復(fù)，以獲取修復(fù)后的待重定向數(shù)據(jù)，包括：

根據(jù)公式D_actual-D_{actual_imagebase}＝D_default-D_{default_imagebase}將所述影子內(nèi)核初始代碼中的待重定向數(shù)據(jù)進(jìn)行修復(fù)，以獲取修復(fù)后的待重定向數(shù)；

其中，D_default為所述待重定向數(shù)據(jù)的地址，D_{actual_imagebase}為所述緩沖區(qū)的首地址，D_{default_imagebase}為所述影子內(nèi)核基地址，D_actual為所述修復(fù)后的待重定向數(shù)的地址。

6.根據(jù)權(quán)利要求1-5任一所述的方法，其特征在于，所述將所述系統(tǒng)調(diào)用函數(shù)指向影子內(nèi)核之后，還包括：

攔截所述應(yīng)用程序?qū)λ鎏摂M機(jī)原始內(nèi)核中的SSDT的讀寫操作。

7.根據(jù)權(quán)利要求3-5任一所述的方法，其特征在于，所述影子SSDT包括：系統(tǒng)調(diào)用函數(shù)的標(biāo)識(shí)和在影子內(nèi)核中入口地址的對(duì)應(yīng)關(guān)系；相應(yīng)地，

所述根據(jù)所述影子內(nèi)核中的影子SSDT確定所述系統(tǒng)調(diào)用函數(shù)在影子內(nèi)核中對(duì)應(yīng)的入口地址，包括：

根據(jù)所述影子SSDT中系統(tǒng)調(diào)用函數(shù)的標(biāo)識(shí)和在影子內(nèi)核中入口地址的對(duì)應(yīng)關(guān)系，確定所述系統(tǒng)調(diào)用函數(shù)在影子內(nèi)核中對(duì)應(yīng)的入口地址。

8.根據(jù)權(quán)利要求1-5任一所述的方法，其特征在于，所述方法還包括：

截獲虛擬機(jī)中斷處理函數(shù)；

根據(jù)原始內(nèi)核基地址與影子內(nèi)核基地址的偏移值，將所述中斷處理函數(shù)指向所述影子內(nèi)核，根據(jù)所述影子內(nèi)核中的影子IDT確定所述中斷處理函數(shù)在影子內(nèi)核中對(duì)應(yīng)的入口地址。

9.根據(jù)權(quán)利要求8所述的方法，其特征在于，所述將所述中斷處理函數(shù)指向所述影子內(nèi)核之后，還包括：

攔截所述應(yīng)用程序?qū)μ摂M機(jī)原始內(nèi)核中的IDT的讀寫操作。