[發明專利]一種虛擬化運行環境下的異常處理方法、裝置及系統

有效

• 申請號: 201710554394.9
• 申請日: 2017-07-03
• 公開（公告）號: CN107450962B
• 公開（公告）日: 2020-04-24
• 發明（設計）人: 邱學強;張朝鵬
• 申請（專利權）人: 北京東土科技股份有限公司;北京科銀京成技術有限公司
• 主分類號: G06F9/455
• 分類號: G06F9/455
• 代理公司: 北京同達信恒知識產權代理有限公司 11291
• 代理人: 黃志華

1.一種虛擬化運行環境下的異常處理方法，其特征在于，包括：

監測在虛擬機上運行的客戶操作系統Guest OS產生的異常；

若根據獲取的所述異常的上下文信息，確定所述異常是由Guest OS對虛擬機中操作權限受限的內核代碼的越限操作產生的，則拒絕Guest OS對所述內核代碼的越限操作；

根據以下步驟確定所述異常是由Guest OS對虛擬機中操作權限受限的內核代碼的越限操作產生的：

獲取所述異常的上下文信息中的內存頁面錯誤地址；

若所述內存頁面錯誤地址包含在預先保存的操作權限受限的內核代碼對應的地址段中、且Guest OS對該地址段中的內核代碼具有訪問權限，則確定所述異常是由Guest OS對虛擬機中操作權限受限的內核代碼的越限操作產生的。

2.如權利要求1所述的方法，其特征在于，拒絕Guest OS對所述內核代碼的越限操作，包括：

判斷是否存在用戶自定義的異常處理函數；

若存在，則調用所述異常處理函數對所述越限操作進行處理；

否則，拒絕產生所述異常時Guest OS執行的操作指令；所述操作指令是從所述異常的上下文信息中獲取的。

3.如權利要求2所述的方法，其特征在于，還包括：

監測并處理在調用所述異常處理函數對所述越限操作進行處理的過程中產生的二次異常。

4.一種虛擬化運行環境下的異常處理裝置，其特征在于，包括：

監測模塊，用于監測在虛擬機上運行的客戶操作系統Guest OS產生的異常；

處理模塊，用于若根據獲取的所述異常的上下文信息，確定所述異常是由Guest OS對虛擬機中操作權限受限的內核代碼的越限操作產生的，則拒絕Guest OS對所述內核代碼的越限操作；

所述處理模塊具體用于根據以下步驟確定所述異常是由Guest OS對虛擬機中操作權限受限的內核代碼的越限操作產生的：

獲取所述異常的上下文信息中的內存頁面錯誤地址；

若所述內存頁面錯誤地址包含在預先保存的操作權限受限的內核代碼對應的地址段中、且Guest OS對該地址段中的內核代碼具有訪問權限，則確定所述異常是由Guest OS對虛擬機中操作權限受限的內核代碼的越限操作產生的。

5.如權利要求4所述的裝置，其特征在于，所述處理模塊具體用于：

判斷是否存在用戶自定義的異常處理函數；

若存在，則調用所述異常處理函數對所述越限操作進行處理；

否則，拒絕產生所述異常時Guest OS執行的操作指令；所述操作指令是從所述異常的上下文信息中獲取的。

6.如權利要求5所述的裝置，其特征在于，還包括：

所述監測模塊，還用于監測在調用所述異常處理函數對所述越限操作進行處理的過程中產生的二次異常；

所述處理模塊，還用于對所述二次異常進行處理。

7.一種虛擬化運行環境下的異常處理系統，其特征在于，包括：虛擬機管理器、至少一個第一虛擬機、以及一個用于對所述至少一個第一虛擬機進行安全防護的第二虛擬機，其中：

所述虛擬機管理器，用于對每個第一虛擬機，監測在該第一虛擬機上運行的客戶操作系統Guest OS產生的異常；將獲取的所述異常的上下文信息發送給所述第二虛擬機；

所述第二虛擬機，用于接收所述異常的上下文信息；若根據所述異常的上下文信息，確定所述異常是由Guest OS對該第一虛擬機中操作權限受限的內核代碼的越限操作產生的，則拒絕Guest OS對所述內核代碼的越限操作；

所述第二虛擬機具體用于：

獲取所述異常的上下文信息中的內存頁面錯誤地址；

若所述內存頁面錯誤地址包含在預先保存的操作權限受限的內核代碼對應的地址段中、且Guest OS對該地址段中的內核代碼具有訪問權限，則確定所述異常是由Guest OS對第一虛擬機中操作權限受限的內核代碼的越限操作產生的。