[發明專利]一種基于內核模塊的惡意軟件攔截方法及裝置有效
| 申請號： | 202010033639.5 | 申請日： | 2020-01-13 |
| 公開（公告）號： | CN111259392B | 公開（公告）日： | 2023-06-13 |
| 發明（設計）人： | 屈夢夢;李常坤;張聰;湯迪斌 | 申請（專利權）人： | 奇安信科技集團股份有限公司;奇安信網神信息技術（北京）股份有限公司 |
| 主分類號： | G06F21/56 | 分類號： | G06F21/56 |
| 代理公司： | 北京路浩知識產權代理有限公司 11002 | 代理人： | 苗曉靜 |
| 地址： | 100088 北京市西城區*** | 國省代碼： | 北京;11 |
| 權利要求書： | 查看更多 | 說明書： | 查看更多 |
| 摘要： | |||
| 搜索關鍵詞： | 一種 基于 內核 模塊 惡意 軟件 攔截 方法 裝置 | ||
1.一種基于內核模塊的惡意軟件攔截方法，其特征在于，包括：
利用系統鉤子在檢測到內核注入行為時，對內核模塊信息進行預檢測；
確定檢測到內核模塊加載通知，對內核模塊信息進行合法性檢測，獲得合法性檢測結果；所述合法性檢測至少包括檢測是否存在反初始化函數；
若確定所述內核模塊信息中不存在所述反初始化函數，確定合法性檢測結果為不合法，則確定存在惡意軟件加載內核模塊，并攔截所述惡意軟件；
其中，所述對內核模塊信息進行合法性檢測，獲得合法性檢測結果，還包括：
若確定所述內核模塊信息中存在所述反初始化函數，則檢測在內核鏈表中是否存在所述內核模塊信息對應的內核模塊；
確定在內核鏈表中不存在所述內核模塊，則確定所述合法性檢測結果為不合法；
若確定在內核鏈表中存在所述內核模塊，則檢測導致觸發內核模塊加載通知的待檢測軟件是否在黑名單中；確定待檢測軟件在所述黑名單中，則確定所述合法性檢測結果為不合法；
確定待檢測軟件不在所述黑名單中，則檢測所述待檢測軟件是否在白名單中；
確定待檢測軟件不在所述白名單中，則調用用戶態層中的、由用戶維護的用戶態黑名單，并檢測所述待檢測軟件是否在所述用戶態黑名單中；
確定待檢測軟件在所述用戶態黑名單中，則確定所述合法性檢測結果為不合法。
2.根據權利要求1所述的基于內核模塊的惡意軟件攔截方法，其特征在于，所述惡意軟件為Rootkit。
3.一種基于內核模塊的惡意軟件攔截裝置，其特征在于，包括：
檢測單元，用于利用系統鉤子在檢測到內核注入行為時，對內核模塊信息進行預檢測；確定檢測到內核模塊加載通知，對內核模塊信息進行合法性檢測，獲得合法性檢測結果；所述合法性檢測至少包括檢測是否存在反初始化函數；
攔截單元，用于確定所述內核模塊信息中不存在所述反初始化函數時，確定合法性檢測結果為不合法，則確定存在惡意軟件加載內核模塊，并攔截所述惡意軟件；
其中，所述對內核模塊信息進行合法性檢測，獲得合法性檢測結果，還包括：
若確定所述內核模塊信息中存在所述反初始化函數，則檢測在內核鏈表中是否存在所述內核模塊信息對應的內核模塊；
確定在內核鏈表中不存在所述內核模塊，則確定所述合法性檢測結果為不合法；
若確定在內核鏈表中存在所述內核模塊，則檢測導致觸發內核模塊加載通知的待檢測軟件是否在黑名單中；確定待檢測軟件在所述黑名單中，則確定所述合法性檢測結果為不合法；
確定待檢測軟件不在所述黑名單中，則檢測所述待檢測軟件是否在白名單中；
確定待檢測軟件不在所述白名單中，則調用用戶態層中的、由用戶維護的用戶態黑名單，并檢測所述待檢測軟件是否在所述用戶態黑名單中；
確定待檢測軟件在所述用戶態黑名單中，則確定所述合法性檢測結果為不合法。
4.一種電子設備，包括存儲器、處理器及存儲在存儲器上并可在處理器上運行的計算機程序，其特征在于，所述處理器執行所述程序時實現如權利要求1或2所述方法的步驟。
5.一種非暫態計算機可讀存儲介質，其上存儲有計算機程序，其特征在于，所述計算機程序被處理器執行時實現如權利要求1或2所述方法的步驟。
該專利技術資料僅供研究查看技術是否侵權等信息，商用須獲得專利權人授權。該專利全部權利屬于奇安信科技集團股份有限公司;奇安信網神信息技術（北京）股份有限公司，未經奇安信科技集團股份有限公司;奇安信網神信息技術（北京）股份有限公司許可，擅自商用是侵權行為。如果您想購買此專利、獲得商業授權和技術合作，請聯系【客服】
本文鏈接：http://www.szxzyx.cn/pat/books/202010033639.5/1.html，轉載請聲明來源鉆瓜專利網。
- 上一篇：一種一體式外殼的工業插頭及其應用
- 下一篇：一種DFA空間壓縮方法及裝置
