[發明專利]檢測與攔截Mimikatz的方法、裝置、計算機設備及可讀存儲介質

在審

• 申請號: 201711319675.2
• 申請日: 2017-12-12
• 公開（公告）號: CN108052823A
• 公開（公告）日: 2018-05-18
• 發明（設計）人: 陳志華;劉超穎;王文佳;向宇;張會杰
• 申請（專利權）人: 廣東省信息安全測評中心
• 主分類號: G06F21/55
• 分類號: G06F21/55;G06F21/56
• 代理公司: 廣州華進聯合專利商標代理有限公司 44224
• 代理人: 黃曉慶

本申請涉及一種檢測與攔截Mimikatz的方法、裝置、計算機設備及可讀存儲介質，其中，方法包括：實時獲得進程運行時加載的動態鏈接庫中的dll文件；將dll文件與Mimikatz?dll特征庫中的dll文件一一對比，Mimikatz?dll特征庫為Mimikatz運行時加載的dll文件組成的特征庫；當dll文件中包含Mimikatz?dll特征庫中的所有dll文件時，攔截dll文件對應的進程；當攔截成功時，返回實時獲得運行進程時加載的動態鏈接庫中的dll文件。

技術領域

本申請涉及計算機技術領域，特別是涉及一種檢測與攔截Mimikatz的方法、裝置、計算機設備及可讀存儲介質。

背景技術

Mimikatz是一款由法國人編寫的輕量級調試工具，具備很多的功能，比如說提升進程權限，注入進程，讀取進程內存等等，較為人所知的是使用Mimikatz來獲取Windows的明文密碼。Mimikatz能夠從Windows認證的進程中獲取內存，并且獲取明文密碼和NTLM(NTLAN Manager，標準安全協議)哈希值，攻擊者可以借此漫游內網。

Mimikatz攻擊工具不僅會造成Windows系統中密碼被公開，而且，以此攻擊工具為漏洞利用工具結合其他惡意軟件，會對網絡安全造成很大的危害。比如，以Mimikatz攻擊工具為基礎之一的新型勒索病毒“壞兔子”要求受害人登錄某個服務網站，并支付0.5個比特幣的贖金，潛在危險較高，影響較大。

雖然，Mimikatz的源代碼已經公開，但是，目前，沒有針對Mimikatz攻擊軟件的快速的檢測和攔截技術。

發明內容

基于此，有必要針對Mimikatz工具獲取密碼的問題，提供一種檢測與攔截Mimikatz的方法、裝置、計算機設備及可讀存儲介質。

一種檢測與攔截Mimikatz的方法，包括下述步驟：

實時獲得進程運行時加載的動態鏈接庫中的dll文件；

將dll文件與Mimikatz-dll特征庫中的dll文件一一對比，Mimikatz-dll特征庫為Mimikatz運行時加載的dll文件組成的特征庫；

當dll文件中包含Mimikatz-dll特征庫中的所有dll文件時，攔截dll文件對應的進程；

當攔截成功時，返回實時獲得運行進程時加載的動態鏈接庫中的dll文件的步驟。

在其中一個實施例中，還包括：

當檢測到的dll文件中不包含Mimikatz-dll特征庫中包含的任一dll文件時，返回實時獲得運行進程時加載的動態鏈接庫中的dll文件的步驟。

在其中一個實施例中，還包括：當接收到結束檢測指令時，結束實時檢測。

在其中一個實施例中，Mimikatz-dll特征庫包括32位Mimikatz-dll特征庫和64位Mimikatz-dll特征庫。

一種檢測與攔截Mimikatz的裝置，包括：

檢測模塊，用于實時獲得進程運行時加載的動態鏈接庫中的dll文件；

對比模塊，用于將dll文件與Mimikatz-dll特征庫中的dll文件一一對比，Mimikatz-dll特征庫為Mimikatz運行時加載的dll文件組成的特征庫；

攔截模塊，用于當dll文件中包含Mimikatz-dll特征庫中的所有dll文件時，攔截dll文件對應的進程；

循環模塊，用于當攔截成功時，控制檢測模塊執行實時獲得運行進程時加載的動態鏈接庫中的dll文件的操作。

在其中一個實施例中，還包括：