[發明專利]一種監控ELF文件調用系統函數的方法、裝置及存儲介質

有效

• 申請號: 201810377593.1
• 申請日: 2018-04-25
• 公開（公告）號: CN108509795B
• 公開（公告）日: 2020-08-04
• 發明（設計）人: 劉星;魏麗珍;林貴淇;梁煜麓;羅佳;楊心恩
• 申請（專利權）人: 廈門安勝網絡科技有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06F21/52
• 代理公司: 廈門福貝知識產權代理事務所(普通合伙) 35235
• 代理人: 郝學江

1.一種監控ELF文件調用系統函數的方法，其特征在于，該方法包括：

內核編譯步驟，基于安卓內核源代碼創建用戶空間的通信設備并修改系統調用中斷函數，然后編譯生成安卓內核；所述通信設備是使用misc_register創建的，并實現所述通信設備的open、read、compat_ioctl、poll和release功能，其中：open用于打開通信設備，read用于從所述通信設備中讀取內核獲取到的系統函數的操作信息，compat_ioctl用于通過進程PID或者ELF路徑設置被監控進程信息，poll用于以輪訓方式檢測文件描述符是否有數據可讀，release用于關閉由open打開的文件描述符；

調用系統函數監控步驟，啟動所述安卓內核后，在用戶空間打開所述通信設備并使用read讀取ELF文件調用的系統函數的操作信息。

2.根據權利要求1所述的方法，其特征在于，所述修改系統調用中斷函數為在中斷處理函數調用表sys_call_table和/或compat_sys_call_table中對應的中斷函數前后分別增加before_call和after_call兩個自定義函數；

其中，在before_call中，根據PID把調用前數據包寫入所述通信設備的緩沖區中；在after_call中，根據PID監控條件把調用后數據包寫入所述通信設備的緩沖區中。

3.根據權利要求2所述的方法，其特征在于，所述調用前數據包由系統調用的序號、參數、當前的系統時間、當前進程的PID、線程TID和當前ELF文件的信息組成，所述調用后數據包由系統調用序號、參數、當前的系統時間、當前進程的PID、線程TID、系統函數返回值和當前ELF文件的信息組成。

4.根據權利要求3的方法，其特征在于，在before_call中，判斷調用的系統函數是否為execve函數，如果是，則將監控信息中的ELF路徑轉換成對應的PID并將該PID加入到監控隊列；判斷調用的系統函數是否為exit函數，如果是，則將當前PID從監控隊列移除。

5.根據權利要求3的方法，其特征在于，在after_call中，判斷調用的系統函數是否為fork函數，如果是，則將新創建的進程PID加入到監控對列。

6.根據權利要求1的方法，其特征在于，所述調用的系統函數的操作信息包括調用參數、調用進程的PID、調用線程的TID、調用時間和返回值。

7.根據權利要求6的方法，其特征在于，該方法還包括：

ELF文件調用系統函數展示步驟，通過對所述操作信息中的調用進程的PID、調用線程的TID、系統調用參數、返回值和調用時間進行處理，展示所述ELF文件調用系統函數的過程。

8.一種監控ELF文件調用系統函數的裝置，其特征在于，該裝置包括：

內核編譯單元，用于基于安卓內核源代碼創建用戶空間的通信設備并修改系統調用中斷函數，然后編譯生成安卓內核；所述通信設備是使用misc_register創建的，并實現所述通信設備的open、read、compat_ioctl、poll和release功能，其中：open用于打開通信設備，read用于從所述通信設備中讀取內核獲取到的系統函數的操作信息，compat_ioctl用于通過進程PID或者ELF路徑設置被監控進程信息，poll用于以輪訓方式檢測文件描述符是否有數據可讀，release用于關閉由open打開的文件描述符；

調用系統函數監控單元，用于啟動所述安卓內核后，在用戶空間打開所述通信設備并使用read讀取ELF文件調用的系統函數的操作信息。