[發(fā)明專利]一種注入攻擊檢測方法及裝置

有效

• 申請(qǐng)?zhí)枺?/td>: 201710297422.3
• 申請(qǐng)日: 2017-04-28
• 公開（公告）號(hào): CN107122663B
• 公開（公告）日: 2021-04-02
• 發(fā)明（設(shè)計(jì)）人: 闞志剛;陳彪;程顯龍;方寧;盧佐華
• 申請(qǐng)（專利權(quán)）人: 北京梆梆安全科技有限公司;成都梆梆信息技術(shù)咨詢服務(wù)有限公司
• 主分類號(hào): G06F21/56
• 分類號(hào): G06F21/56
• 代理公司: 北京國昊天誠知識(shí)產(chǎn)權(quán)代理有限公司 11315
• 代理人: 南霆

1.一種注入攻擊檢測方法，其特征在于，包括：

確定目標(biāo)進(jìn)程下的可執(zhí)行文件的特征值；

若所述目標(biāo)進(jìn)程下的可執(zhí)行文件的特征值中，存在與預(yù)設(shè)值匹配的特征值，則確定所述目標(biāo)進(jìn)程被注入工具攻擊；其中，所述預(yù)設(shè)值為預(yù)先確定的注入工具的特征值，預(yù)先確定的注入工具的特征值是預(yù)先對(duì)已有的注入工具進(jìn)行統(tǒng)計(jì)、分析，并提取這些注入工具的可執(zhí)行文件特征值而得到的，所述預(yù)設(shè)值被保存在數(shù)據(jù)庫中且所述數(shù)據(jù)庫被周期性更新；

所述目標(biāo)進(jìn)程是linux系統(tǒng)中的進(jìn)程，所述確定目標(biāo)進(jìn)程下的可執(zhí)行文件的特征值，具體包括：根據(jù)目標(biāo)進(jìn)程的進(jìn)程號(hào)，確定proc文件系統(tǒng)中與所述進(jìn)程號(hào)匹配的maps文件；根據(jù)所述maps文件，確定所述目標(biāo)進(jìn)程下的可執(zhí)行文件的特征值；其中，所述linux系統(tǒng)下的所述proc文件系統(tǒng)中的所述maps文件存儲(chǔ)所述進(jìn)程映射到每個(gè)所述可執(zhí)行文件和庫文件在內(nèi)存中的映射區(qū)域及其訪問權(quán)限所組成的列表；

其中，所述可執(zhí)行文件的特征值包括下述至少一種：

可執(zhí)行文件的名稱；可執(zhí)行文件的哈希值；

其中，當(dāng)所述可執(zhí)行文件的特征值為可執(zhí)行文件的哈希值時(shí)，所述根據(jù)所述maps文件，確定所述目標(biāo)進(jìn)程下的可執(zhí)行文件的特征值，具體包括：

確定所述maps文件中記錄的所述可執(zhí)行文件的唯一標(biāo)識(shí)；

根據(jù)所述唯一標(biāo)識(shí)，確定所述可執(zhí)行文件；

將所述可執(zhí)行文件的哈希值作為所述可執(zhí)行文件的特征值；

其中，所述可執(zhí)行文件的唯一標(biāo)識(shí)為所述可執(zhí)行文件的文件名、文件頭。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，在確定所述目標(biāo)進(jìn)程被注入工具攻擊后，所述方法還包括：

將目標(biāo)進(jìn)程下特征值與所述預(yù)設(shè)值匹配的可執(zhí)行文件，確定為注入工具注入目標(biāo)進(jìn)程中的非法可執(zhí)行文件。

3.根據(jù)權(quán)利要求2所述的方法，其特征在于，在確定出非法可執(zhí)行文件后，所述方法還包括：

將所述非法可執(zhí)行文件刪除。

4.根據(jù)權(quán)利要求1-3任一項(xiàng)所述的方法，其特征在于，在確定所述目標(biāo)進(jìn)程被注入工具攻擊后，所述方法還包括：

結(jié)束所述目標(biāo)進(jìn)程；和/或，

輸出所述目標(biāo)進(jìn)程被注入工具攻擊的提示信息。

5.一種注入攻擊檢測裝置，其特征在于，包括：

特征值確定模塊，用于確定目標(biāo)進(jìn)程下的可執(zhí)行文件的特征值；

注入攻擊確定模塊，用于若所述目標(biāo)進(jìn)程下的可執(zhí)行文件的特征值中，存在與預(yù)設(shè)值匹配的特征值，則確定所述目標(biāo)進(jìn)程被注入工具攻擊；其中，所述預(yù)設(shè)值為預(yù)先確定的注入工具的特征值，預(yù)先確定的注入工具的特征值是預(yù)先對(duì)已有的注入工具進(jìn)行統(tǒng)計(jì)、分析，并提取這些注入工具的可執(zhí)行文件特征值而得到的，所述預(yù)設(shè)值被保存在數(shù)據(jù)庫中且所述數(shù)據(jù)庫被周期性更新；

所述目標(biāo)進(jìn)程是linux系統(tǒng)中的進(jìn)程，所述特征值確定模塊具體包括：第一確定子模塊和第二確定子模塊；

所述第一確定子模塊，用于根據(jù)目標(biāo)進(jìn)程的進(jìn)程號(hào)，確定proc文件系統(tǒng)中與所述進(jìn)程號(hào)匹配的maps文件；

所述第二確定子模塊，用于根據(jù)所述maps文件，確定所述目標(biāo)進(jìn)程下的可執(zhí)行文件的特征值；

所述linux系統(tǒng)下的所述proc文件系統(tǒng)中的所述maps文件存儲(chǔ)所述進(jìn)程映射到每個(gè)所述可執(zhí)行文件和庫文件在內(nèi)存中的映射區(qū)域及其訪問權(quán)限所組成的列表；

其中，所述可執(zhí)行文件的特征值包括下述至少一種：

可執(zhí)行文件的名稱；可執(zhí)行文件的哈希值；

當(dāng)所述可執(zhí)行文件的特征值為可執(zhí)行文件的哈希值時(shí)，所述第二確定子模塊包括：

第一確定子單元，用于確定所述maps文件中記錄的所述可執(zhí)行文件的唯一標(biāo)識(shí)；

第二確定子單元，用于根據(jù)所述唯一標(biāo)識(shí)，確定所述可執(zhí)行文件；

第三確定子單元，用于將所述可執(zhí)行文件的哈希值作為所述可執(zhí)行文件的特征值；

其中，所述可執(zhí)行文件的唯一標(biāo)識(shí)為所述可執(zhí)行文件的文件名、文件頭。

6.根據(jù)權(quán)利要求5所述的裝置，其特征在于，還包括：

注入攻擊處理模塊，用于在所述確定所述目標(biāo)進(jìn)程被注入工具攻擊后，結(jié)束所述目標(biāo)進(jìn)程；和/或，輸出所述目標(biāo)進(jìn)程被注入工具攻擊的提示信息。