[發明專利]內存改寫檢測方法及裝置

在審

• 申請號: 201711471848.2
• 申請日: 2017-12-29
• 公開（公告）號: CN108255746A
• 公開（公告）日: 2018-07-06
• 發明（設計）人: 聶保珍;李翔
• 申請（專利權）人: 北京元心科技有限公司
• 主分類號: G06F12/14
• 分類號: G06F12/14;G06F21/79
• 代理公司: 北京金闕華進專利事務所(普通合伙) 11224
• 代理人: 陳建春

1.一種內存改寫檢測方法，其特征在于，所述方法包括：

獲取一進程的不應被改寫的內存區域的地址范圍；

獲得所述進程的跟蹤權限；

逐字對所述內存區域中的數據進行讀取；

將讀取的數據壓縮生成固定長度的數字摘要；

將新生成的數字摘要與所述內存區域的相應最原始數字摘要進行比較；

基于比較結果的一致性確定所述內存區域是否被改寫。

2.根據權利要求1所述的方法，其特征在于，所述方法還包括：

響應于確定所述內存區域被改寫，使發生內存改寫的進程退出運行。

3.根據權利要求1所述的方法，其特征在于，所述方法還包括：

利用私鑰對生成的數字摘要進行加密生成簽名。

4.根據權利要求1-3任一所述的方法，其特征在于，調用Ptrace接口函數獲得所述進程的跟蹤權限及逐字對所述內存區域中的數據進行讀取。

5.根據權利要求1-3任一所述的方法，其特征在于，所述獲取一進程的不應被改寫的內存區域的地址范圍包括：

解析所述進程的內存映像文件以獲取不應被改寫的內存區域的地址范圍。

6.一種內存改寫檢測裝置，其特征在于，所述裝置包括：

地址范圍獲取模塊，用于獲取一進程的不應被改寫的內存區域的地址范圍；

跟蹤權限獲得模塊，用于獲得所述進程的跟蹤權限；

數據讀取模塊，用于逐字對所述內存區域中的數據進行讀取；

數字摘要生成模塊，用于將讀取的數據壓縮生成固定長度的數字摘要；

比較模塊，用于將新生成的數字摘要與所述內存區域的相應最原始數字摘要進行比較；

改寫確定模塊，用于基于比較結果的一致性確定所述內存區域是否被改寫。

7.根據權利要求6所述的裝置，其特征在于，所述裝置還包括：

退出模塊，用于響應于確定所述內存區域被改寫，使發生內存改寫的進程退出運行。

8.根據權利要求6所述的裝置，其特征在于，所述裝置還包括：

簽名模塊，用于利用私鑰對生成的數字摘要進行加密生成簽名。

9.根據權利要求6-8任一所述的裝置，其特征在于，所述跟蹤權限獲得模塊和所述數據讀取模塊通過調用Ptrace接口函數實現。

10.根據權利要求6-8任一所述的裝置，其特征在于，所述地址范圍獲取模塊包括：

解析子模塊，用于解析所述進程的內存映像文件以獲取不應被改寫的內存區域的地址范圍。