[發明專利]一種在線取證的方法、裝置、計算機設備和可讀存儲介質

在審

• 申請號: 202011024888.4
• 申請日: 2020-09-25
• 公開（公告）號: CN112199678A
• 公開（公告）日: 2021-01-08
• 發明（設計）人: 陳曦;范淵
• 申請（專利權）人: 杭州安恒信息技術股份有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06Q50/18
• 代理公司: 杭州華進聯浙知識產權代理有限公司 33250
• 代理人: 金無量

1.一種在線取證的方法，其特征在于，所述方法包括：

獲取在線取證軟件的進程信息；

根據所述進程信息，得到待保護的內存區域；

在檢測到惡意程序對所述待保護的內存區域的代碼段進行修改操作時，利用虛擬化頁表機制，將所述修改操作轉移到其他物理內存頁面中；當所述代碼段被執行時，再將所述執行操作轉移到原物理內存頁面中。

2.根據權利要求1所述的方法，其特征在于，所述根據所述進程信息，得到待保護的內存區域包括：

根據所述進程信息中的代碼段地址和動態鏈接庫，獲得所述內存區域。

3.根據權利要求1或2所述的方法，其特征在于，在檢測到惡意程序對所述待保護的內存區域的代碼段進行修改操作時，利用虛擬化頁表機制，將所述修改操作轉移到其他物理內存頁面中；當所述代碼段被執行時，再將所述執行操作轉移到原物理內存頁面中，包括以下步驟：

修改擴展頁表，將所述待保護的內存區域設置為禁止讀寫；

當檢測到所述惡意程序對所述待保護的內存區域中的代碼段進行修改操作時，復制所述內存區域中虛擬內存頁面所映射的所述原物理內存頁面，生成新物理內存頁面；

再次修改所述擴展頁表，將所述修改操作轉移到所述新物理內存頁面中，并將所述新物理內存頁面設置為禁止執行；

當所述在線取證軟件執行所述待保護的內存區域中的代碼段時，再次修改所述擴展頁表，使所述待保護的內存區域中的虛擬內存映射到所述原物理內存頁面，將所述執行操作轉移到所述原物理內存頁面中。

4.根據權利要求3所述的方法，其特征在于，在將所述新物理內存頁面設置為禁止執行后，還包括：

當所述在線取證軟件執行所述新物理內存頁面時，產生擴展頁面異常；

在所述擴展頁表異常產生后，修改所述擴展頁表，將所述執行操作轉移到所述原物理內存頁面中。

5.一種在線取證的裝置，其特征在于，所述裝置包括獲取模塊、內存區域模塊和取證模塊；

所述獲取模塊，用于獲取在線取證軟件的進程信息；

所述內存區域模塊，用于根據所述進程信息，得到待保護的內存區域；

所述取證模塊，用于在檢測到惡意程序對所述待保護的內存區域的代碼段進行修改操作時，利用虛擬化頁表機制，將所述修改操作轉移到其他物理內存中；當所述代碼段被執行時，再將所述執行操作轉移到原物理內存中。

6.根據權利要求5所述的裝置，其特征在于，所述內存區域模塊還用于根據所述進程信息中的代碼段地址和動態鏈接庫，獲得所述內存區域。

7.根據權利要求5或6所述的裝置，其特征在于，所述取證模塊包括第一擴展頁表修改單元、復制單元、第二擴展頁表修改單元和執行單元；

所述第一擴展頁表修改單元，用于修改擴展頁表，將所述待保護的內存區域設為禁止讀寫；

所述復制單元，用于當檢測到所述惡意程序對所述待保護的內存區域中的代碼段進行修改操作時，復制所述內存區域中虛擬內存頁面所映射的所述原物理內存頁面，生成新物理內存頁面；

所述第二擴展頁表修改單元，用于再次修改所述擴展頁表，將所述修改操作轉移到所述新物理內存頁面中，并將所述新物理內存頁面設置為禁止執行；

所述執行單元，當所述在線取證軟件執行所述待保護的內存區域中的代碼段時，再次修改所述擴展頁表，使所述待保護的內存區域中的虛擬內存映射到所述原物理內存頁面，將所述執行操作轉移到所述原物理內存頁面中將所述執行操作轉移到原物理內存頁面。

8.根據權利要求7所述的裝置，其特征在于，所述執行單元包括異常產生單元子單元和執行子單元；

所述異常產生子單元，用于當所述在線取證軟件執行所述新物理內存頁面時，產生擴展頁面異常；

所述執行子單元，用于當所述擴展頁表異常產生后，修改擴展頁表，使所述在線取證軟件的執行操作轉移到所述原物理內存頁面。