[發明專利]Linux下基于elf二進制標準解析的內核Rootkit檢測方法及裝置

在審

• 申請號: 201911323902.8
• 申請日: 2019-12-20
• 公開（公告）號: CN111027072A
• 公開（公告）日: 2020-04-17
• 發明（設計）人: 董事;尚超;徐翰隆;肖新光;王小豐
• 申請（專利權）人: 北京安天網絡安全技術有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56;H04L29/06;H04L29/08
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種Linux下基于elf二進制標準解析的內核Rootkit檢測方法，其特征在于，包括：

加載待測內核，讀取其中內核文件或者內核模塊文件到內存；

讀取內核及內核模塊的elf文件中代碼段和只讀數據段的內容；

將讀取到的代碼段和只讀數據段內容與運行中的待測內核的代碼區和只讀數據區進行逐一比對獲取差異；

若差異出現在只讀數據段則直接判定為內核Rootkit；若差異出現在代碼段，則需進一步排除差異是否屬于內核運行時的修改，如果不是則判定為內核Rootkit。

2.如權利要求1所述的方法，其特征在于，所述加載待測內核，具體為：通過在應用層使用insmod命令直接加載待測內核。

3.如權利要求1所述的方法，其特征在于，所述讀取內核及內核模塊的elf文件中代碼段和只讀數據段的內容，具體為：針對內核文件，獲取段表起始地址和大小，解析段表來獲取內核及內核模塊文件的表段段起始地址、大小、名稱和標志類型；針對內核模塊文件，在獲取段表起始地址和大小，解析段表來獲取內核及內核模塊文件的表段段起始地址、大小、名稱和標志類型的基礎上，還需要循環掃描所有的表段，根據獲取的表段起始地址和大小，將所有表段段起始地址與運行中的待測內核模塊的加載地址偏移相加，模擬內核模塊實際的運行加載地址，并且針對內核模塊中標志類型為SHT_SYMTAB的表段中描述的所有未定義符號，解析運行中內核的符號進行填充，循環遍歷所有類型為“SHT_RELA段”的重定位表段并按照elf標準規則進行相應的計算填充。

4.如權利要求3所述的方法，其特征在于，所述獲取段表起始地址和大小，解析段表來獲取內核及內核模塊文件的表段段起始地址、大小、名稱和標志類型，具體為：所述內核及內核模塊文件的表段包括：.text代碼段，.rodata只讀數據段，.data段,.smp_locks段，.strtab段,.altinstructions段，.parainstructions段，SHT_SYMTAB段，SHT_RELA段；所述獲取內核及內核模塊文件的表段段起始地址和大小和名稱和標志類型，包括：解析出elf文件格式中段表的起始位置和大小，并循環掃描所有的段信息，根據段名稱，解析elf文件格式頭包含需要解析的對比的代碼段和只讀數據段在內存中的地址，具體為：根據運行中待測內核的jump_table相關符號地址，解析elf文件格式頭包含需要解析的內核自身修改自身所需要的包含在.data表地址中的.jump_table表信息地址；根據段名稱，解析elf文件格式頭包含需要解析的內核自身修改自身所需要的.smp_locks表地址；根據段名稱，解析elf文件格式頭包含需要解析的內核自身修改自身所需要的.altinstructions表地址；根據段名稱，解析elf文件格式頭包含需要解析的內核自身修改自身所需要的.parainstructions表地址；根據段標志，解析elf文件格式頭包含需要解析的內核模塊所需要的判斷類型為SHT_SYMTAB的表地址，根據類型為SHT_SYMTAB的表，解析elf文件格式頭包含需要輔助使用的.strtab表地址；根據段標志，解析elf文件格式頭包含需要解析的內核模塊所需要的判斷類型為SHT_RELA的全部表地址。

5.如權利要求4所述方法，其特征在于，所述排除差異是否屬于內核運行時的修改體為：排除差異為內核運行時修改，需要對內核及內核模塊的elf可執行文件中包含的運行時修改表段進行解析，判斷內容不同的地址是否屬于運行時修改；排除差異為內核運行時修改，需要對是否是內核xsaveopt和fentry機制進行判斷，判斷內容不同的地址是否屬于這兩種機制。