[發明專利]內核漏洞修復方法、裝置、服務器及系統

有效

• 申請號: 201811357666.7
• 申請日: 2018-11-15
• 公開（公告）號: CN109409096B
• 公開（公告）日: 2021-02-26
• 發明（設計）人: 李笑如;夏良釗
• 申請（專利權）人: 百度在線網絡技術（北京）有限公司
• 主分類號: G06F21/57
• 分類號: G06F21/57
• 代理公司: 北京市鑄成律師事務所 11313
• 代理人: 王珺;武晨燕

本發明實施例提出一種內核漏洞修復方法、裝置、服務器及系統，其中方法包括：向服務器發送熱補丁獲取請求，所述熱補丁獲取請求中包括終端設備的內核特征信息；接收服務器返回的修復代碼，所述修復代碼包括與所述內核特征信息對應的熱補丁；對所述熱補丁進行驗證，驗證通過后，將所述熱補丁加載到所述終端設備的操作系統的內核中，以對內核漏洞進行修復。本發明實施例及時修復內核漏洞，從而提高終端設備操作系統的可靠性，并且能夠節約系統資源。

技術領域

本發明涉及計算機技術領域，尤其涉及一種內核漏洞修復方法、終端設備、服務器及系統。

背景技術

內核是操作系統的核心，負責管理系統的進程、內存、設備驅動程序、文件和網絡系統等，決定著系統的性能和穩定性。漏洞是在硬件、軟件、協議的具體實現或系統安全策略上存在的缺陷，漏洞的存在使攻擊者能夠在未授權的情況下訪問或破壞系統。因此，當內核存在漏洞時，需要及時對內核中的漏洞進行修復。

目前的內核漏洞修復方式一般有兩種：

第一種，采用替換內核并重啟系統的方式。這種方式修復的周期較長，很多內核漏洞無法被及時修復。這些無法被及時修復的內核漏洞將對系統造成安全隱患，因此不能滿足高可靠性的要求。

第二種，采用從服務器獲取熱補丁的方式修復內核。由于Linux等操作系統的內核碎片化，不同的內核對于同一結構體的定義、同一函數的實現代碼可能不同，不同的編譯選項也可能會導致內核的差異。因此，目前業界在生成熱補丁時，需要編譯目標內核的源碼和修復代碼，這同時也限定了該熱補丁只能用于此目標內核。如果需要應用于其他目標內核，則需要重新編譯生成針對其他目標內核的熱補丁。當需要修補的內核版本較多時，需要花費大量的資源。

發明內容

本發明實施例提供一種內核漏洞修復方法、終端設備、服務器及系統，以至少解決現有技術中的以上技術問題。

第一方面，本發明實施例提供了一種內核漏洞修復方法，包括：

向服務器發送熱補丁獲取請求，所述熱補丁獲取請求中包括終端設備的內核特征信息；

接收服務器返回的修復代碼，所述修復代碼包括與所述內核特征信息對應的熱補丁；

對所述熱補丁進行驗證，驗證通過后，將所述熱補丁加載到所述終端設備的操作系統的內核中，以對內核漏洞進行修復。

在一種實施方式中，所述內核特征信息包括：內核版本信息和CPU架構信息。

在一種實施方式中，所述修復代碼還包括加載策略；

所述將所述熱補丁加載到所述終端設備的操作系統的內核中，包括：依據所述加載策略，將所述熱補丁加載到所述終端設備的操作系統的內核中。

在一種實施方式中，所述對所述熱補丁進行驗證包括：

終端設備的應用程序、守護進程和內核對所述熱補丁進行驗證；

或者，終端設備的守護進程和內核對所述熱補丁進行驗證。

在一種實施方式中，所述將所述熱補丁加載到所述終端設備的操作系統的內核中，包括：

根據所述熱補丁中的問題函數名稱，查找所述終端設備的操作系統的內核中的問題函數；采用所述熱補丁對所述問題函數進行替換或過濾。

在一種實施方式中，還包括：

監測加載所述熱補丁后的狀態信息，將所述狀態信息上報至服務器；所述狀態信息包括加載是否成功、加載失敗原因及所述內核的攻擊監測信息中的至少一項。

第二方面，本發明實施例還提出一種內核漏洞修復裝置，裝置包括：