[發明專利]檢測與攔截Mimikatz的方法、裝置、計算機設備及可讀存儲介質

在審

• 申請號: 201711319675.2
• 申請日: 2017-12-12
• 公開（公告）號: CN108052823A
• 公開（公告）日: 2018-05-18
• 發明（設計）人: 陳志華;劉超穎;王文佳;向宇;張會杰
• 申請（專利權）人: 廣東省信息安全測評中心
• 主分類號: G06F21/55
• 分類號: G06F21/55;G06F21/56
• 代理公司: 廣州華進聯合專利商標代理有限公司 44224
• 代理人: 黃曉慶

1.一種檢測與攔截Mimikatz的方法，其特征在于，包括下述步驟：

實時獲得進程運行時加載的動態鏈接庫中的dll文件；

將所述dll文件與Mimikatz-dll特征庫中的dll文件一一對比，所述Mimikatz-dll特征庫為所述Mimikatz運行時加載的dll文件組成的特征庫；

當所述dll文件中包含所述Mimikatz-dll特征庫中的所有dll文件時，攔截所述dll文件對應的進程；

當攔截成功時，返回所述實時獲得運行進程時加載的動態鏈接庫中的dll文件的步驟。

2.根據權利要求1所述的檢測與攔截Mimikatz的方法，其特征在于，還包括：

當檢測到的所述dll文件中不包含Mimikatz-dll特征庫中包含的任一dll文件時，返回所述實時獲得運行進程時加載的動態鏈接庫中的dll文件的步驟。

3.根據權利要求1所述的檢測與攔截Mimikatz的方法，其特征在于，還包括：

當接收到結束檢測指令時，結束實時檢測。

4.根據權利要求1所述的檢測與攔截Mimikatz的方法，其特征在于，所述Mimikatz-dll特征庫包括32位Mimikatz-dll特征庫和64位Mimikatz-dll特征庫。

5.一種檢測與攔截Mimikatz的裝置，其特征在于，包括：

檢測模塊，用于實時獲得進程運行時加載的動態鏈接庫中的dll文件；

對比模塊，用于將所述dll文件與Mimikatz-dll特征庫中的dll文件一一對比，所述Mimikatz-dll特征庫為所述Mimikatz運行時加載的dll文件組成的特征庫；

攔截模塊，用于當所述dll文件中包含所述Mimikatz-dll特征庫中的所有dll文件時，攔截所述dll文件對應的進程；

循環模塊，用于當攔截成功時，控制所述檢測模塊執行所述實時獲得運行進程時加載的動態鏈接庫中的dll文件的操作。

6.根據權利要求5所述的檢測與攔截Mimikatz的裝置，其特征在于，還包括：

直接循環模塊，用于當檢測到的所述dll文件中不包含Mimikatz-dll特征庫中包含的任一dll文件時，控制所述檢測模塊執行所述實時獲得運行進程時加載的動態鏈接庫中的dll文件的操作。

7.根據權利要求5所述的檢測與攔截Mimikatz的裝置，其特征在于，還包括：

結束檢測模塊，用于當接收到結束檢測指令時，結束實時檢測。

8.根據權利要求5所述的檢測與攔截Mimikatz的裝置，其特征在于，所述Mimikatz-dll特征庫包括32位Mimikatz-dll特征庫和64位Mimikatz-dll特征庫。

9.一種計算機設備，包括存儲器、處理器及存儲在存儲器上并可在處理器上運行的計算機程序，其特征在于，所述處理器執行所述程序時實現權利要求1-4任一項所述方法的步驟。

10.一種計算機可讀存儲介質，其上存儲有計算機程序，其特征在于，該程序被處理器執行時實現權利要求1-4任一項所述方法的步驟。