[發(fā)明專利]基于虛擬機(jī)的內(nèi)核漏洞檢測方法及裝置

有效

• 申請?zhí)枺?/td>: 201611070436.3
• 申請日: 2016-11-28
• 公開（公告）號: CN106778242B
• 公開（公告）日: 2020-10-16
• 發(fā)明（設(shè)計(jì)）人: 李琦
• 申請（專利權(quán)）人: 北京奇虎科技有限公司;奇智軟件（北京）有限公司
• 主分類號: G06F21/53
• 分類號: G06F21/53;G06F21/56;G06F21/57
• 代理公司: 深圳市世紀(jì)恒程知識產(chǎn)權(quán)代理事務(wù)所 44287
• 代理人: 胡海國

1.一種基于虛擬機(jī)的內(nèi)核漏洞檢測方法，所述方法在虛擬機(jī)沙箱隔離環(huán)境下運(yùn)行，方法包括：

加載驅(qū)動程序；

接收用戶層進(jìn)程發(fā)送的樣本文件的相關(guān)信息以及各檢測功能點(diǎn)的開關(guān)信息；其中，樣本文件和檢測包來自虛擬機(jī)外部主機(jī)，啟動檢測包中的調(diào)度管控進(jìn)程，調(diào)度管控進(jìn)程獲取樣本文件存儲路徑，識別樣本文件類型，根據(jù)通用檢測配置文件中的配置選項(xiàng)選擇檢測模式和各檢測功能點(diǎn)，以創(chuàng)建針對所述樣本文件的目標(biāo)檢測配置文件；其中，針對不同類型的樣本文件，選擇的檢測模式和各檢測功能點(diǎn)有所不同；

根據(jù)各檢測功能點(diǎn)的開關(guān)信息開啟內(nèi)核層行為監(jiān)控總控開關(guān)；

當(dāng)系統(tǒng)啟動樣本進(jìn)程來運(yùn)行樣本文件時，將樣本進(jìn)程認(rèn)定為新進(jìn)程添加到進(jìn)程創(chuàng)建記錄名單中；

對所述新進(jìn)程的內(nèi)核層各操作行為進(jìn)行檢測；

根據(jù)檢測結(jié)果生成日志文件，將日志文件存儲到日志目錄下。

2.根據(jù)權(quán)利要求1所述的方法，在加載驅(qū)動程序過程中，所述方法還包括：記錄至少一個系統(tǒng)進(jìn)程的進(jìn)程ID，記錄HAL例程地址表中存儲的至少一項(xiàng)關(guān)鍵函數(shù)指針值。

3.根據(jù)權(quán)利要求1或2所述的方法，所述接收用戶層進(jìn)程發(fā)送的樣本文件的相關(guān)信息以及各檢測功能點(diǎn)的開關(guān)信息具體為：接收用戶層進(jìn)程通過IO控制碼發(fā)送的樣本文件的相關(guān)信息以及各檢測功能點(diǎn)的開關(guān)信息。

4.根據(jù)權(quán)利要求1或2所述的方法，在所述接收用戶層進(jìn)程發(fā)送的樣本文件的相關(guān)信息以及各檢測功能點(diǎn)的開關(guān)信息之后，所述方法還包括：

根據(jù)樣本文件的相關(guān)信息以及各檢測功能點(diǎn)的開關(guān)信息，掛鉤SSDT中針對各功能檢測點(diǎn)的指定API和NtQueryIntervalProfile。

5.根據(jù)權(quán)利要求4所述的方法，在所述接收用戶層進(jìn)程發(fā)送的樣本文件的相關(guān)信息以及各檢測功能點(diǎn)的開關(guān)信息之后，所述方法還包括：

設(shè)置進(jìn)程創(chuàng)建通知例程；

在所述進(jìn)程創(chuàng)建通知例程中記錄所創(chuàng)建的新進(jìn)程的屬性值。

6.根據(jù)權(quán)利要求4所述的方法，所述對所述新進(jìn)程的內(nèi)核層各操作行為進(jìn)行檢測還包括：

利用掛鉤技術(shù)，在調(diào)用NtQueryIntervalProfile之前，獲取HAL例程地址表中存儲的至少一項(xiàng)關(guān)鍵函數(shù)指針值；

將所獲取的HAL例程地址表中存儲的至少一項(xiàng)關(guān)鍵函數(shù)指針值與加載驅(qū)動程序過程中所記錄的HAL例程地址表中存儲的至少一項(xiàng)關(guān)鍵函數(shù)指針值進(jìn)行比對；

若所述至少一項(xiàng)關(guān)鍵函數(shù)指針值比對不一致，則檢測出所述新進(jìn)程存在提權(quán)行為。

7.根據(jù)權(quán)利要求4所述的方法，所述對所述新進(jìn)程的內(nèi)核層各操作行為進(jìn)行檢測還包括：

利用掛鉤技術(shù)，在調(diào)用相應(yīng)的指定API之前，根據(jù)加載驅(qū)動程序過程中所記錄的至少一個系統(tǒng)進(jìn)程的進(jìn)程ID獲取至少一個系統(tǒng)進(jìn)程的EPROCESS結(jié)構(gòu)地址，同時獲取所述新進(jìn)程的EPROCESS結(jié)構(gòu)地址；

將所述新進(jìn)程的EPROCESS結(jié)構(gòu)地址中的Token域的指針值與至少一個系統(tǒng)進(jìn)程的EPROCESS結(jié)構(gòu)地址中的Token域的指針值進(jìn)行比對；

若所述新進(jìn)程的EPROCESS結(jié)構(gòu)地址中的Token域的指針值與其中一個系統(tǒng)進(jìn)程的EPROCESS結(jié)構(gòu)地址中的Token域的指針值比對一致，則檢測出所述新進(jìn)程存在提權(quán)行為。

8.根據(jù)權(quán)利要求5所述的方法，所述對所述新進(jìn)程的內(nèi)核層各操作行為進(jìn)行檢測還包括：

利用掛鉤技術(shù)，在調(diào)用相應(yīng)的指定API之前，獲取所述新進(jìn)程的屬性值；

將所獲取的所述新進(jìn)程的屬性值與在所述進(jìn)程創(chuàng)建通知例程中所記錄的新進(jìn)程的屬性值進(jìn)行比對；

若比對不一致，則檢測出所述新進(jìn)程存在提權(quán)行為。