[發(fā)明專利]檢測與攔截Mimikatz的方法、裝置、計算機設備及可讀存儲介質(zhì)

在審

• 申請?zhí)枺?/td>: 201711319675.2
• 申請日: 2017-12-12
• 公開（公告）號: CN108052823A
• 公開（公告）日: 2018-05-18
• 發(fā)明（設計）人: 陳志華;劉超穎;王文佳;向宇;張會杰
• 申請（專利權）人: 廣東省信息安全測評中心
• 主分類號: G06F21/55
• 分類號: G06F21/55;G06F21/56
• 代理公司: 廣州華進聯(lián)合專利商標代理有限公司 44224
• 代理人: 黃曉慶

1.一種檢測與攔截Mimikatz的方法，其特征在于，包括下述步驟：

實時獲得進程運行時加載的動態(tài)鏈接庫中的dll文件；

將所述dll文件與Mimikatz-dll特征庫中的dll文件一一對比，所述Mimikatz-dll特征庫為所述Mimikatz運行時加載的dll文件組成的特征庫；

當所述dll文件中包含所述Mimikatz-dll特征庫中的所有dll文件時，攔截所述dll文件對應的進程；

當攔截成功時，返回所述實時獲得運行進程時加載的動態(tài)鏈接庫中的dll文件的步驟。

2.根據(jù)權利要求1所述的檢測與攔截Mimikatz的方法，其特征在于，還包括：

當檢測到的所述dll文件中不包含Mimikatz-dll特征庫中包含的任一dll文件時，返回所述實時獲得運行進程時加載的動態(tài)鏈接庫中的dll文件的步驟。

3.根據(jù)權利要求1所述的檢測與攔截Mimikatz的方法，其特征在于，還包括：

當接收到結(jié)束檢測指令時，結(jié)束實時檢測。

4.根據(jù)權利要求1所述的檢測與攔截Mimikatz的方法，其特征在于，所述Mimikatz-dll特征庫包括32位Mimikatz-dll特征庫和64位Mimikatz-dll特征庫。

5.一種檢測與攔截Mimikatz的裝置，其特征在于，包括：

檢測模塊，用于實時獲得進程運行時加載的動態(tài)鏈接庫中的dll文件；

對比模塊，用于將所述dll文件與Mimikatz-dll特征庫中的dll文件一一對比，所述Mimikatz-dll特征庫為所述Mimikatz運行時加載的dll文件組成的特征庫；

攔截模塊，用于當所述dll文件中包含所述Mimikatz-dll特征庫中的所有dll文件時，攔截所述dll文件對應的進程；

循環(huán)模塊，用于當攔截成功時，控制所述檢測模塊執(zhí)行所述實時獲得運行進程時加載的動態(tài)鏈接庫中的dll文件的操作。

6.根據(jù)權利要求5所述的檢測與攔截Mimikatz的裝置，其特征在于，還包括：

直接循環(huán)模塊，用于當檢測到的所述dll文件中不包含Mimikatz-dll特征庫中包含的任一dll文件時，控制所述檢測模塊執(zhí)行所述實時獲得運行進程時加載的動態(tài)鏈接庫中的dll文件的操作。

7.根據(jù)權利要求5所述的檢測與攔截Mimikatz的裝置，其特征在于，還包括：

結(jié)束檢測模塊，用于當接收到結(jié)束檢測指令時，結(jié)束實時檢測。

8.根據(jù)權利要求5所述的檢測與攔截Mimikatz的裝置，其特征在于，所述Mimikatz-dll特征庫包括32位Mimikatz-dll特征庫和64位Mimikatz-dll特征庫。

9.一種計算機設備，包括存儲器、處理器及存儲在存儲器上并可在處理器上運行的計算機程序，其特征在于，所述處理器執(zhí)行所述程序時實現(xiàn)權利要求1-4任一項所述方法的步驟。

10.一種計算機可讀存儲介質(zhì)，其上存儲有計算機程序，其特征在于，該程序被處理器執(zhí)行時實現(xiàn)權利要求1-4任一項所述方法的步驟。