[發明專利]一種虛擬機檢測對抗方法、裝置、電子設備及存儲介質

在審

• 申請號: 202010171002.2
• 申請日: 2020-03-12
• 公開（公告）號: CN113391874A
• 公開（公告）日: 2021-09-14
• 發明（設計）人: 曹有理;譚昱;沈江波;齊文杰;劉敏;彭寧
• 申請（專利權）人: 騰訊科技（深圳）有限公司
• 主分類號: G06F9/455
• 分類號: G06F9/455
• 代理公司: 深圳市深佳知識產權代理事務所(普通合伙) 44285
• 代理人: 王兆林

1.一種虛擬機檢測對抗方法，其特征在于，包括：

運行待檢測樣本；

當接收到所述待檢測樣本發送的查詢指令時，運行所述查詢指令對應的查詢函數，并在運行所述查詢函數的過程中，利用對應的修改程序，將所述查詢函數獲取的虛擬機特征值替換為非虛擬機特征值；

利用所述查詢函數根據所述非虛擬機特征值獲取查詢結果，并將所述查詢結果返回給所述待檢測樣本。

2.根據權利要求1所述的虛擬機檢測對抗方法，其特征在于，在所述運行待檢測樣本之前，還包括：

在所述查詢函數中注入所述修改程序。

3.根據權利要求2所述的虛擬機檢測對抗方法，其特征在于，所述在所述查詢函數中注入所述修改程序，包括：

獲取所述查詢函數的地址；

根據所述地址，將所述修改程序掛鉤到所述查詢函數中。

4.根據權利要求1所述的虛擬機檢測對抗方法，其特征在于，當所述查詢函數為檢索對象查詢函數時，所述利用對應的修改程序，將所述查詢函數獲取的虛擬機特征值替換為非虛擬機特征值，包括：

利用所述修改程序判斷所述檢索對象查詢函數接收到的所述查詢指令中是否存在所述虛擬機特征值；

若存在所述虛擬機特征值，則生成與所述虛擬機特征值不同的替換字符串作為所述非虛擬機特征值，以替換所述虛擬機特征值。

5.根據權利要求1所述的虛擬機檢測對抗方法，其特征在于，當所述查詢函數為枚舉結果檢索函數時，所述利用對應的修改程序，將所述查詢函數獲取的虛擬機特征值替換為非虛擬機特征值，包括：

利用所述修改程序獲取所述枚舉結果檢索函數得到的進程信息中屬性值參數對應的屬性字段，并判斷所述屬性字段中是否存在預設屬性字段；

若存在所述預設屬性字段，則獲取所述預設屬性字段對應的屬性值；

判斷所述屬性值是否為所述虛擬機特征值；

若為所述虛擬機特征值，則生成與所述虛擬機特征值不同的替換字符串作為所述非虛擬機特征值，以替換所述虛擬機特征值。

6.根據權利要求4或5所述的虛擬機檢測對抗方法，其特征在于，所述生成與所述虛擬機特征值不同的替換字符串作為所述非虛擬機特征值，包括：

生成與所述虛擬機特征值的前綴不同并且后綴相同的替換字符串作為所述非虛擬機特征值。

7.一種虛擬機檢測對抗裝置，其特征在于，包括：

樣本運行模塊，用于運行待檢測樣本；

查詢函數運行模塊，用于當接收到所述待檢測樣本發送的查詢指令時，運行所述查詢指令對應的查詢函數，并在運行所述查詢函數的過程中，利用對應的修改程序，將所述查詢函數獲取的虛擬機特征值替換為非虛擬機特征值，并利用所述查詢函數根據所述非虛擬機特征值獲取查詢結果；

查詢結果返回模塊，用于將所述查詢結果返回給所述待檢測樣本。

8.根據權利要求7所述的虛擬機檢測對抗裝置，其特征在于，還包括：

注入模塊，用于在所述查詢函數中注入所述修改程序。

9.一種電子設備，其特征在于，包括：

存儲器，用于存儲計算機程序；

處理器，用于執行所述計算機程序時實現如權利要求1至6任一項所述的虛擬機檢測對抗方法。

10.一種存儲介質，其特征在于，所述存儲介質中存儲有計算機可執行指令，所述計算機可執行指令被處理器加載并執行時，實現如權利要求1至6任一項所述的虛擬機檢測對抗方法。