[發(fā)明專利]一種沙箱監(jiān)控方法和裝置

有效

• 申請?zhí)枺?/td>: 201711250084.4
• 申請日: 2017-12-01
• 公開（公告）號: CN109472133B
• 公開（公告）日: 2021-09-28
• 發(fā)明（設(shè)計）人: 關(guān)墨辰;李林哲;王永亮;王小豐;肖新光
• 申請（專利權(quán)）人: 北京安天網(wǎng)絡(luò)安全技術(shù)有限公司
• 主分類號: G06F21/53
• 分類號: G06F21/53;G06F21/56
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種沙箱監(jiān)控方法，其特征在于，包括：

在沙箱中啟動待分析的程序；

確定所述待分析程序的進(jìn)程ID；

在待分析程序運(yùn)行期間，確定當(dāng)前產(chǎn)生的中斷或者執(zhí)行的特定指令為系統(tǒng)調(diào)用；

確定所述系統(tǒng)調(diào)用由所述待分析程序的進(jìn)程ID標(biāo)識的進(jìn)程產(chǎn)生，其中，確定所述系統(tǒng)調(diào)用由所述待分析程序的進(jìn)程ID標(biāo)識的進(jìn)程產(chǎn)生，包括：獲取運(yùn)行沙箱程序的虛擬機(jī)程序進(jìn)程空間中與虛擬機(jī)操作系統(tǒng)對應(yīng)的地址；根據(jù)獲取的與虛擬機(jī)操作系統(tǒng)對應(yīng)的地址，確定與虛擬機(jī)操作系統(tǒng)對應(yīng)的物理地址；通過從內(nèi)存中讀取確定的物理地址的數(shù)據(jù)，獲取虛擬機(jī)操作系統(tǒng)當(dāng)前執(zhí)行的進(jìn)程的進(jìn)程ID；若獲取的進(jìn)程的進(jìn)程ID與所述待分析程序的進(jìn)程ID一致，則確定所述系統(tǒng)調(diào)用由所述待分析程序的進(jìn)程ID標(biāo)識的進(jìn)程產(chǎn)生；

獲取所述系統(tǒng)調(diào)用及其參數(shù)，并獲取所述系統(tǒng)調(diào)用的結(jié)果，以將獲取的所述系統(tǒng)調(diào)用及其參數(shù)和所述系統(tǒng)調(diào)用的結(jié)果傳遞給所述沙箱分析流程進(jìn)行分析。

2.如權(quán)利要求1所述的方法，其特征在于，所述特定指令包括下列指令之一或其組合：

syscall、sysenter、iret和sysexit。

3.如權(quán)利要求1所述的方法，其特征在于，確定當(dāng)前產(chǎn)生的中斷為系統(tǒng)調(diào)用，包括：

根據(jù)當(dāng)前產(chǎn)生的中斷的中斷號，確定當(dāng)前產(chǎn)生的中斷為系統(tǒng)調(diào)用。

4.如權(quán)利要求1所述的方法，其特征在于，確定當(dāng)前執(zhí)行的特定指令為系統(tǒng)調(diào)用，包括：

若當(dāng)前執(zhí)行的特定指令為syscall或者sysenter指令，則確定當(dāng)前執(zhí)行的特定指令為系統(tǒng)調(diào)用。

5.如權(quán)利要求1所述的方法，其特征在于，獲取所述系統(tǒng)調(diào)用及其參數(shù)，包括：

獲取所述系統(tǒng)調(diào)用的調(diào)用ID；

根據(jù)獲取的調(diào)用ID，獲得所述系統(tǒng)調(diào)用的參數(shù)列表和所述系統(tǒng)調(diào)用對應(yīng)的寄存器位置；

根據(jù)所述系統(tǒng)調(diào)用的參數(shù)列表和對應(yīng)的寄存器位置，獲取所述系統(tǒng)調(diào)用的參數(shù)。

6.如權(quán)利要求1所述的方法，其特征在于，運(yùn)行沙箱程序的虛擬機(jī)的操作系統(tǒng)為Windows系統(tǒng)，在沙箱中啟動待分析的程序，包括：

啟動沙箱，Explorer程序啟動；

Explorer程序?qū)懭胨錾诚涞淖詣拥卿浻脩舻摹皢印蹦夸浿械拇治龅某绦騿印?/p>

7.一種沙箱監(jiān)控裝置，其特征在于，包括：

啟動模塊，用于在沙箱中啟動待分析的程序；

第一確定模塊，用于確定所述待分析程序的進(jìn)程ID；

第二確定模塊，用于在待分析程序運(yùn)行期間，確定當(dāng)前產(chǎn)生的中斷或者執(zhí)行的特定指令為系統(tǒng)調(diào)用；

第三確定模塊，用于確定所述系統(tǒng)調(diào)用由所述待分析程序的進(jìn)程ID標(biāo)識的進(jìn)程產(chǎn)生，其中，確定所述系統(tǒng)調(diào)用由所述待分析程序的進(jìn)程ID標(biāo)識的進(jìn)程產(chǎn)生進(jìn)一步用于獲取運(yùn)行沙箱程序的虛擬機(jī)程序進(jìn)程空間中與虛擬機(jī)操作系統(tǒng)對應(yīng)的地址；根據(jù)獲取的與虛擬機(jī)操作系統(tǒng)對應(yīng)的地址，確定與虛擬機(jī)操作系統(tǒng)對應(yīng)的物理地址；通過從內(nèi)存中讀取確定的物理地址的數(shù)據(jù)，獲取虛擬機(jī)操作系統(tǒng)當(dāng)前執(zhí)行的進(jìn)程的進(jìn)程ID；若獲取的進(jìn)程的進(jìn)程ID與所述待分析程序的進(jìn)程ID一致，則確定所述系統(tǒng)調(diào)用由所述待分析程序的進(jìn)程ID標(biāo)識的進(jìn)程產(chǎn)生；

獲取模塊，用于獲取所述系統(tǒng)調(diào)用及其參數(shù)，并獲取所述系統(tǒng)調(diào)用的結(jié)果，以將獲取的所述系統(tǒng)調(diào)用及其參數(shù)和所述系統(tǒng)調(diào)用的結(jié)果傳遞給所述沙箱分析流程進(jìn)行分析。

8.如權(quán)利要求7所述的裝置，其特征在于，所述第二確定模塊用于：

根據(jù)當(dāng)前產(chǎn)生的中斷的中斷號，確定當(dāng)前產(chǎn)生的中斷為系統(tǒng)調(diào)用。

9.如權(quán)利要求7所述的裝置，其特征在于，所述第二確定模塊用于：

若當(dāng)前執(zhí)行的特定指令為syscall或者sysenter指令，則確定當(dāng)前執(zhí)行的特定指令為系統(tǒng)調(diào)用。