[發(fā)明專利]對(duì)內(nèi)存代碼執(zhí)行的防護(hù)方法

有效

• 申請(qǐng)?zhí)枺?/td>: 201710819138.8
• 申請(qǐng)日: 2017-09-12
• 公開（公告）號(hào): CN109492393B
• 公開（公告）日: 2022-03-01
• 發(fā)明（設(shè)計(jì)）人: 宋磊
• 申請(qǐng)（專利權(quán)）人: 珠海市一知安全科技有限公司
• 主分類號(hào): G06F21/56
• 分類號(hào): G06F21/56;G06F21/60
• 代理公司: 北京集佳知識(shí)產(chǎn)權(quán)代理有限公司 11227
• 代理人: 王學(xué)強(qiáng)

1.一種對(duì)內(nèi)存代碼執(zhí)行的防護(hù)方法，其特征在于，包括如下步驟：

A)開啟對(duì)內(nèi)存相關(guān)函數(shù)的監(jiān)控；所述內(nèi)存相關(guān)函數(shù)為申請(qǐng)可執(zhí)行內(nèi)存和修改內(nèi)存屬性的函數(shù)；

B)當(dāng)有應(yīng)用程序申請(qǐng)可執(zhí)行內(nèi)存請(qǐng)求時(shí)，過濾具有執(zhí)行權(quán)限的內(nèi)存操作；

C)對(duì)所有的可執(zhí)行內(nèi)存請(qǐng)求的內(nèi)存地址、大小和申請(qǐng)者地址進(jìn)行記錄，并對(duì)記錄的數(shù)據(jù)進(jìn)行機(jī)器學(xué)習(xí)；

D)根據(jù)機(jī)器學(xué)習(xí)得到的規(guī)則，判斷所述可執(zhí)行內(nèi)存請(qǐng)求是否是可疑惡意內(nèi)存操作，如是，阻斷應(yīng)用進(jìn)一步操作，并上報(bào)警告；否則，按照系統(tǒng)正常流程處理；

所述步驟D)進(jìn)一步包括：

D1)獲取所述可執(zhí)行內(nèi)存請(qǐng)求時(shí)的相關(guān)元數(shù)據(jù)；所述相關(guān)元數(shù)據(jù)包括申請(qǐng)者地址、內(nèi)存大小、所屬模塊、進(jìn)程名和是否在棧中；

D2)對(duì)所述相關(guān)元數(shù)據(jù)進(jìn)行機(jī)器學(xué)習(xí)，并判斷所述可執(zhí)行內(nèi)存請(qǐng)求的惡意評(píng)分是否超過預(yù)定值，如是，執(zhí)行步驟D3)；否則，執(zhí)行步驟D4)；

D3)攔截操作并上報(bào)；

D4)根據(jù)已有的規(guī)則，判斷所述可執(zhí)行內(nèi)存請(qǐng)求是否屬于惡意請(qǐng)求，如是，返回步驟D3)；否則，進(jìn)行系統(tǒng)正常流程；

其中，所述步驟D2)進(jìn)一步包括：

D21)分析所述可執(zhí)行內(nèi)存請(qǐng)求在計(jì)算機(jī)所有歷史請(qǐng)求中的比例；

D22)分析所述可執(zhí)行內(nèi)存請(qǐng)求與前N條歷史請(qǐng)求的關(guān)系；所述N為大于0的整數(shù)；

D23)分析所述可執(zhí)行內(nèi)存請(qǐng)求在云端數(shù)據(jù)中的比例；

D24)根據(jù)步驟D21)的分析結(jié)果、步驟D21)的分析結(jié)果以及步驟D23)的分析結(jié)果，識(shí)別出所述可執(zhí)行內(nèi)存請(qǐng)求是否為危險(xiǎn)命令。

2.根據(jù)權(quán)利要求1所述的對(duì)內(nèi)存代碼執(zhí)行的防護(hù)方法，其特征在于，還包括如下步驟：

E)開啟線程創(chuàng)建，并啟動(dòng)對(duì)線程入口點(diǎn)的監(jiān)控；

F)過濾新的線程啟動(dòng)操作；

G)判斷線程起始地址是否在可疑內(nèi)存塊，如是，執(zhí)行步驟H)；否則，執(zhí)行步驟I)；

H)進(jìn)行攔截并報(bào)警；

I)判斷線程創(chuàng)建者是否在所述可疑內(nèi)存塊，如是，返回步驟H)；否則，執(zhí)行步驟J)；

J)對(duì)線程起始地址處的內(nèi)存進(jìn)行安全分析，并判斷是否安全，如是，系統(tǒng)按照正常流程處理；否則，返回步驟H)。

3.根據(jù)權(quán)利要求2所述的對(duì)內(nèi)存代碼執(zhí)行的防護(hù)方法，其特征在于，所述步驟J)進(jìn)一步包括：

J1)獲取線程起始地址的歷史記錄信息，當(dāng)查詢到所述線程起始地址的歷史記錄信息中匹配數(shù)小于正常值時(shí)，則認(rèn)為當(dāng)前線程是高度危險(xiǎn)線程；

J2)獲取線程創(chuàng)建者的歷史記錄信息，當(dāng)查詢到所述線程創(chuàng)建者的歷史記錄信息中匹配數(shù)小于正常值時(shí)，則認(rèn)為當(dāng)前線程是高度危險(xiǎn)線程；

J3)獲取所述線程起始地址是否位于當(dāng)前進(jìn)程的正常已加載模塊列表中，當(dāng)不位于時(shí)，則認(rèn)為當(dāng)前線程是高度危險(xiǎn)線程；

J4)獲取所述線程創(chuàng)建者地址是否位于當(dāng)前進(jìn)程的正常已加載模塊列表中，當(dāng)不位于時(shí)，則認(rèn)為當(dāng)前線程是高度危險(xiǎn)線程；

J5)獲取所述線程起始地址是否位于當(dāng)前進(jìn)程的棧空間內(nèi)，當(dāng)位于時(shí)，則認(rèn)為當(dāng)前線程是高度危險(xiǎn)線程；

J6)結(jié)合預(yù)先定義的規(guī)則，綜合判斷線程是否具有危險(xiǎn)性，如是，系統(tǒng)按照正常流程處理；否則，返回步驟H)。