[發明專利]一種目標樣本文件的檢測方法和裝置

在審

• 申請號: 201611065424.1
• 申請日: 2016-11-28
• 公開（公告）號: CN106713277A
• 公開（公告）日: 2017-05-24
• 發明（設計）人: 邱鵬
• 申請（專利權）人: 北京奇虎科技有限公司;奇智軟件（北京）有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06F21/57;G06F21/53
• 代理公司: 北京市隆安律師事務所11323
• 代理人: 權鮮枝,何立春

1.一種目標樣本文件的檢測方法，其中，包括：

從數據源接收目標樣本文件，將所述目標樣本文件投放到沙箱中運行；

在所述目標樣本文件在沙箱中運行的過程中，監聽沙箱中用于阻止內核執行用戶空間的代碼的保護機制是否失效；

是則，確定所述目標樣本文件是威脅樣本文件；

否則，確定所述目標樣本文件不是威脅樣本文件。

2.如權利要求1所述的方法，其中，所述監聽沙箱中用于阻止內核執行用戶空間的代碼的保護機制是否失效包括：

監聽對所述保護機制進行禁止操作的事件；

當監聽到對所述保護機制進行禁止操作的事件時，確定沙箱中用于阻止內核執行用戶空間的代碼的保護機制失效。

3.如權利要求2所述的方法，其中，所述監聽對所述保護機制進行禁止操作的事件包括：

在對所述保護機制進行操作的函數上掛載鉤子函數；

當該函數被調用時，利用所述鉤子函數攔截該函數的調用指令；

判斷所述調用指令是否指示對所述保護機制進行禁用操作，是則，確定監聽到對所述保護機制進行禁止操作的事件，利用所述鉤子函數強制結束所述調用指令；否則，利用所述鉤子函數放行所述調用指令。

4.如權利要求2所述的方法，其中，沙箱中用于阻止內核執行用戶空間的代碼的保護機制包括：SMEP機制；對所述保護機制進行禁止操作的事件包括：對SMEP機制進行禁止操作的事件；

所述監聽對所述保護機制進行禁止操作的事件包括：

監聽對沙箱中的CR4寄存器的SMEP位的數據進行修改的指令；

當監聽到所述指令時，確定監聽到對SMEP機制進行禁止操作的事件。

5.如權利要求4所述的方法，其中，所述監聽對沙箱中的CR4寄存器的SMEP位的數據進行修改的指令包括：

在對沙箱中的CR4寄存器進行操作的函數上掛載鉤子函數；

當所述函數被調用時，利用所述鉤子函數攔截對所述函數進行調用的指令；

如果所攔截的指令指示對CR4寄存器的SMEP位的數據進行修改，確定監聽到對沙箱中的CR4寄存器的SMEP位的數據進行修改的指令，利用所述鉤子函數強制結束所攔截的指令；否則利用鉤子函數放行所攔截的指令。

6.一種目標樣本文件的檢測裝置，其中，包括：

樣本接收單元，適于從數據源接收目標樣本文件；

檢測處理單元，適于將所述目標樣本文件投放到沙箱中運行；在所述目標樣本文件在沙箱中運行的過程中，監聽沙箱中用于阻止內核執行用戶空間的代碼的保護機制是否失效；是則，確定所述目標樣本文件是威脅樣本文件；否則，確定所述目標樣本文件不是威脅樣本文件。

7.如權利要求6所述的裝置，其中，

所述檢測處理單元，適于監聽對所述保護機制進行禁止操作的事件；當監聽到對所述保護機制進行禁止操作的事件時，確定沙箱中用于阻止內核執行用戶空間的代碼的保護機制失效。

8.如權利要求7所述的裝置，其中，

所述檢測處理單元，適于在對所述保護機制進行操作的函數上掛載鉤子函數；當該函數被調用時，利用所述鉤子函數攔截該函數的調用指令；判斷所述調用指令是否指示對所述保護機制進行禁用操作，是則，確定監聽到對所述保護機制進行禁止操作的事件，利用所述鉤子函數強制結束所述調用指令；否則，利用所述鉤子函數放行所述調用指令。

9.如權利要求7所述的裝置，其中，沙箱中用于阻止內核執行用戶空間的代碼的保護機制包括：SMEP機制；對所述保護機制進行禁止操作的事件包括：對SMEP機制進行禁止操作的事件；

所述檢測處理單元，適于監聽對沙箱中的CR4寄存器的SMEP位的數據進行修改的指令；當監聽到所述指令時，確定監聽到對SMEP機制進行禁止操作的事件。

10.如權利要求9所述的裝置，其中，

所述檢測處理單元，適于在對沙箱中的CR4寄存器進行操作的函數上掛載鉤子函數；當所述函數被調用時，利用所述鉤子函數攔截對所述函數進行調用的指令；如果所攔截的指令指示對CR4寄存器的SMEP位的數據進行修改，確定監聽到對沙箱中的CR4寄存器的SMEP位的數據進行修改的指令，利用所述鉤子函數強制結束所攔截的指令；否則利用鉤子函數放行所攔截的指令。