[發(fā)明專利]一種監(jiān)控程序的方法、裝置、電子設備及存儲介質

在審

• 申請?zhí)枺?/td>: 201711471136.0
• 申請日: 2017-12-28
• 公開（公告）號: CN108875361A
• 公開（公告）日: 2018-11-23
• 發(fā)明（設計）人: 李林哲;王永亮;關墨辰;王小豐;肖新光
• 申請（專利權）人: 北京安天網(wǎng)絡安全技術有限公司
• 主分類號: G06F21/53
• 分類號: G06F21/53;G06F11/30
• 代理公司: 北京市廣友專利事務所有限責任公司 11237
• 代理人: 祁獻民

1.一種監(jiān)控程序的方法，其特征在于，應用于宿主機，該方法包括：

判斷當前客戶機中樣本程序是否執(zhí)行到的分支節(jié)點；

當客戶機中的樣本程序執(zhí)行到分支節(jié)點時，獲取所述分支節(jié)點對應分支狀態(tài)信息，所述分支狀態(tài)信息包括多個分支對應的跳轉條件以及跳轉地址；

根據(jù)所述分支狀態(tài)信息，執(zhí)行每個分支并采集執(zhí)行過程中的行為數(shù)據(jù)直至所述分支節(jié)點中包含的所述多個分支均執(zhí)行完成。

2.根據(jù)權利要求1所述的方法，其特征在于，所述判斷當前是否執(zhí)行到客戶機中樣本程序的分支節(jié)點，包括：

獲取當前被調用的應用程序接口API以及樣本程序的地址空間；

當調用所述API的函數(shù)地址位于所述樣本程序的地址空間內，且所述API為第一類API時，確定所述客戶機中的樣本程序執(zhí)行到分支節(jié)點，所述第一類API為樣本程序中執(zhí)行分支邏輯時被調用的API。

3.根據(jù)權利要求1所述的方法，其特征在于，所述判斷當前是否執(zhí)行到客戶機中樣本程序的分支節(jié)點，包括：

檢測當前運行的應用程序是否為樣本程序；

在當前運行的應用程序為樣本程序，且截獲的客戶機當前執(zhí)行的指令為第一類指令時，確定所述客戶機中的樣本程序執(zhí)行到分支節(jié)點，所述第一類指令為樣本程序中用于執(zhí)行分支邏輯的選擇指令。

4.根據(jù)權利要求1-3任一項所述的方法，其特征在于，所述判斷當前是否執(zhí)行到客戶機中樣本程序的分支節(jié)點之前，還包括：

建立樣本程序需要監(jiān)控的分支選擇行為的集合，所述集合包括第一類API和/或第一類指令。

5.根據(jù)權利要求1-3任一項所述的方法，其特征在于，所述根據(jù)所述分支狀態(tài)信息，執(zhí)行每個分支并采集執(zhí)行過程中的行為數(shù)據(jù)直至所述分支節(jié)點中包含的所述多個分支均執(zhí)行完成之前，還包括：

當客戶機中的樣本程序執(zhí)行到分支節(jié)點時，保存當前指令執(zhí)行現(xiàn)場信息，所述指令執(zhí)行現(xiàn)場信息包括指針地址、棧地址以及寄存器的當前狀態(tài)；

所述根據(jù)所述分支狀態(tài)信息，執(zhí)行每個分支并采集執(zhí)行過程中的行為數(shù)據(jù)直至所述分支節(jié)點中包含的所述多個分支均執(zhí)行完成，包括：

根據(jù)所述分支狀態(tài)信息以及所述當前指令執(zhí)行現(xiàn)場信息，執(zhí)行每個分支并采集執(zhí)行過程中的行為數(shù)據(jù)直至所述分支節(jié)點中包含的所述多個分支均執(zhí)行完成。

6.根據(jù)權利要求2或3任一項所述的方法，其特征在于，所述根據(jù)所述分支狀態(tài)信息，執(zhí)行每個分支并采集執(zhí)行過程中的行為數(shù)據(jù)直至所述分支節(jié)點中包含的所述多個分支均執(zhí)行完成，包括：

根據(jù)當前執(zhí)行指令對應的跳轉條件確定執(zhí)行分支，將執(zhí)行指針跳轉至對應的跳轉地址；

當所述執(zhí)行分支執(zhí)行完畢，根據(jù)所述分支狀態(tài)信息，模擬所述分支節(jié)點中除所述執(zhí)行分支之外的剩余分支對應的跳轉條件進行分支執(zhí)行，直至所述分支節(jié)點中包含的所述多個分支均執(zhí)行完成。

7.根據(jù)權利要求6所述的方法，其特征在于，在調用所述API的函數(shù)地址位于所述樣本程序的地址空間內，且所述API為第一類API，確定所述客戶機中的樣本程序執(zhí)行到分支節(jié)點的情況下，所述當所述執(zhí)行分支執(zhí)行完畢，根據(jù)所述分支狀態(tài)信息，模擬所述分支節(jié)點中除所述執(zhí)行分支之外的剩余分支對應的跳轉條件進行分支執(zhí)行，包括：

當所述執(zhí)行分支執(zhí)行完畢，根據(jù)所述分支狀態(tài)信息，修改所述API的返回值，以觸發(fā)所述執(zhí)行分支之外的其它分支執(zhí)行；其中，修改后的API返回值，不同于作為已執(zhí)行完畢的分支的執(zhí)行條件的API返回值；或者，

當所述執(zhí)行分支執(zhí)行完畢，根據(jù)所述分支狀態(tài)信息，修改執(zhí)行環(huán)境中不滿足的條件，使所述API返回表示條件滿足的返回值，以觸發(fā)所述執(zhí)行分支之外的其它分支執(zhí)行。