[發明專利]基于虛擬機的內核漏洞檢測進程保護方法及裝置有效
| 申請號： | 201611071694.3 | 申請日： | 2016-11-28 |
| 公開（公告）號： | CN106778244B | 公開（公告）日： | 2019-12-06 |
| 發明（設計）人： | 李琦 | 申請（專利權）人： | 北京奇虎科技有限公司;奇智軟件(北京)有限公司 |
| 主分類號： | G06F21/53 | 分類號： | G06F21/53;G06F21/57 |
| 代理公司： | 11276 北京市浩天知識產權代理事務所(普通合伙) | 代理人： | 宋菲;劉云貴<國際申請>=<國際公布>= |
| 地址： | 100088 北京市西城區新*** | 國省代碼： | 北京;11 |
| 權利要求書： | 查看更多 | 說明書： | 查看更多 |
| 摘要： | |||
| 搜索關鍵詞： | 基于 虛擬機 內核 漏洞 檢測 進程 保護 方法 裝置 | ||
1.一種基于虛擬機的內核漏洞檢測進程保護方法，所述方法在虛擬機沙箱隔離環境下運行，方法包括：
接收用戶層進程通過IO控制碼發送的各檢測子進程的進程ID，獲取各檢測子進程的相關信息，將各檢測子進程的相關信息寫入進程過濾名單中；
利用掛鉤技術，在調用指定API之前，獲取當前上下背景文進程的相關信息和操作目標進程的相關信息；
判斷所述操作目標進程的相關信息是否記錄在所述進程過濾名單中，且所述當前上下背景文進程的相關信息是否未記錄在所述進程過濾名單中；
若是，終止調用所述指定API。
2.根據權利要求1所述的方法，所述相關信息具體為EPROCESS結構地址。
3.根據權利要求1所述的方法，所述方法還包括：若判斷出所述操作目標進程的相關信息未記錄在所述進程過濾名單中，或者，所述當前上下背景文進程的相關信息記錄在所述進程過濾名單中，則繼續調用所述指定API，向調用者返回所述指定API的返回值。
4.一種基于虛擬機的內核漏洞檢測進程保護裝置，所述裝置在虛擬機沙箱隔離環境下運行，裝置包括：
接收模塊，適于接收用戶層進程通過IO控制碼發送的各檢測子進程的進程ID；
寫入模塊，適于獲取各檢測子進程的相關信息，將各檢測子進程的相關信息寫入進程過濾名單中；
掛鉤處理模塊，適于利用掛鉤技術，在調用指定API之前，獲取當前上下背景文進程的相關信息和操作目標進程的相關信息；
判斷模塊，適于判斷所述操作目標進程的相關信息是否記錄在所述進程過濾名單中，且所述當前上下背景文進程的相關信息是否未記錄在所述進程過濾名單中；
終止模塊，適于若所述判斷模塊判斷出所述操作目標進程的相關信息記錄在所述進程過濾名單中，且所述當前上下背景文進程的相關信息未記錄在所述進程過濾名單中，終止調用所述指定API。
5.根據權利要求4所述的裝置，所述相關信息具體為EPROCESS結構地址。
6.根據權利要求4所述的裝置，所述裝置還包括：調用模塊，適于若所述判斷模塊判斷出所述操作目標進程的相關信息未記錄在所述進程過濾名單中，或者，所述當前上下背景文進程的相關信息記錄在所述進程過濾名單中，則繼續調用所述指定API，向調用者返回所述指定API的返回值。
該專利技術資料僅供研究查看技術是否侵權等信息，商用須獲得專利權人授權。該專利全部權利屬于北京奇虎科技有限公司;奇智軟件(北京)有限公司，未經北京奇虎科技有限公司;奇智軟件(北京)有限公司許可，擅自商用是侵權行為。如果您想購買此專利、獲得商業授權和技術合作，請聯系【客服】
本文鏈接：http://www.szxzyx.cn/pat/books/201611071694.3/1.html，轉載請聲明來源鉆瓜專利網。
