[發(fā)明專利]一種基于LSM來實(shí)現(xiàn)動(dòng)態(tài)的系統(tǒng)調(diào)用劫持的方法

在審

• 申請(qǐng)?zhí)枺?/td>: 202110012280.8
• 申請(qǐng)日: 2021-01-06
• 公開（公告）號(hào): CN112668008A
• 公開（公告）日: 2021-04-16
• 發(fā)明（設(shè)計(jì)）人: 鄧瑩;鄭翔;孫禹
• 申請(qǐng)（專利權(quán)）人: 上海湖頂大數(shù)據(jù)科技有限公司
• 主分類號(hào): G06F21/56
• 分類號(hào): G06F21/56
• 代理公司: 上海劍秋知識(shí)產(chǎn)權(quán)代理有限公司 31382
• 代理人: 徐浩俊

1.一種基于LSM來實(shí)現(xiàn)動(dòng)態(tài)的系統(tǒng)調(diào)用劫持的方法，其特征在于，所述方法包括如下步驟：

步驟S1:加載定制的內(nèi)核模塊，轉(zhuǎn)步驟S2；

步驟S2：將一個(gè)指針地址作為第一命名模塊加載到定制的內(nèi)核模塊，并在第一命名模塊中實(shí)現(xiàn)一個(gè)定制的檢測(cè)函數(shù)，轉(zhuǎn)步驟S3；

步驟S3：用戶進(jìn)程調(diào)用系統(tǒng)調(diào)用函數(shù)，轉(zhuǎn)步驟S4；

步驟S4：系統(tǒng)調(diào)用函數(shù)運(yùn)行LSM框架插入的鉤子函數(shù)，鉤子函數(shù)調(diào)用動(dòng)態(tài)加載的LSM檢測(cè)函數(shù)，根據(jù)指針地址將當(dāng)前安全操作集中第一命名的檢測(cè)函數(shù)的地址保存起來，并且以舊檢測(cè)函數(shù)命名存儲(chǔ)，將當(dāng)前安全操作集中第一命名的檢測(cè)函數(shù)指針指向定制的檢測(cè)函數(shù)，轉(zhuǎn)步驟S5；

步驟S5：系統(tǒng)調(diào)用execve在執(zhí)行時(shí)，先調(diào)用定制的檢測(cè)函數(shù)，如果通過了定制的檢測(cè)，再調(diào)用第一命名的檢測(cè)函數(shù)，當(dāng)LSM框架中安全模塊的鉤子函數(shù)被調(diào)用時(shí)，該安全模塊從主客體結(jié)構(gòu)中獲取該安全模塊的安全上下文信息并將其發(fā)送給安全模塊策略引擎，安全模塊策略引擎根據(jù)主客體安全上下文信息以及安全策略庫，作出該安全模塊對(duì)于此次調(diào)用的決策，實(shí)現(xiàn)系統(tǒng)的調(diào)用劫持。

2.根據(jù)權(quán)利要求1所述的一種基于LSM來實(shí)現(xiàn)動(dòng)態(tài)的系統(tǒng)調(diào)用劫持的方法，其特征在于：所述步驟S2中在定制的內(nèi)核模塊中實(shí)現(xiàn)一個(gè)定制的檢測(cè)函數(shù)，所述定制的內(nèi)核模塊中添加一個(gè)指針地址作為第一命名模塊加載參數(shù)，所述檢測(cè)函數(shù)用于檢查將被執(zhí)行的程序是否處于臨時(shí)目錄下，如果程序處于臨時(shí)目錄下，則認(rèn)為是一個(gè)危險(xiǎn)程序，禁止該程序執(zhí)行，如果程序不處于臨時(shí)目錄下，則認(rèn)為是一個(gè)安全程序，允許該程序執(zhí)行。

3.根據(jù)權(quán)利要求1所述的一種基于LSM來實(shí)現(xiàn)動(dòng)態(tài)的系統(tǒng)調(diào)用劫持的方法，其特征在于：所述步驟S2中定制的檢測(cè)函數(shù)插入鏈表頭部，可將定制的檢測(cè)函數(shù)以鏈表的形式串聯(lián)起來。

4.根據(jù)權(quán)利要求1所述的一種基于LSM來實(shí)現(xiàn)動(dòng)態(tài)的系統(tǒng)調(diào)用劫持的方法，其特征在于：所述步驟S2中將定制函數(shù)以鏈表形式串聯(lián)的步驟如下：

在LSM框架中的鉤子函數(shù)指針結(jié)構(gòu)中添加一個(gè)鏈表，將定制的檢測(cè)函數(shù)插入鏈表頭部；

在LSM框架中創(chuàng)建一個(gè)字段數(shù)組，該字段數(shù)組中的每一個(gè)指針對(duì)應(yīng)一個(gè)安全模塊的安全域；

在LSM框架初始化階段，LSM框架根據(jù)配置獲得多個(gè)安全模塊的啟動(dòng)參數(shù)，并初始化鏈表結(jié)構(gòu)；

當(dāng)安全模塊加載進(jìn)入Linux內(nèi)核時(shí)，安全模塊獲得一個(gè)鉤子函數(shù)指針結(jié)構(gòu)體，然后將該安全模塊中的鉤子函數(shù)與該鉤子函數(shù)指針結(jié)構(gòu)體中的指針相連接并給該安全模塊分配一個(gè)定位值，之后通過鉤子函數(shù)指針結(jié)構(gòu)體的鏈表結(jié)構(gòu)將安全模塊與其他已加載進(jìn)入Linux內(nèi)核的安全模塊的鉤子函數(shù)指針結(jié)構(gòu)體鏈接，其中，定位值代表安全模塊的啟動(dòng)順序。

5.根據(jù)權(quán)利要求1所述的一種基于LSM來實(shí)現(xiàn)動(dòng)態(tài)的系統(tǒng)調(diào)用劫持的方法，其特征在于：所述步驟S2中若將定制的檢測(cè)函數(shù)插入鏈表頭部，在步驟S4中定制的檢測(cè)函數(shù)以鏈表的形式存在，運(yùn)行LSM框架插入的鉤子函數(shù)，定制的檢測(cè)函數(shù)優(yōu)先生效，實(shí)現(xiàn)系統(tǒng)調(diào)用劫持。

6.根據(jù)權(quán)利要求5所述的一種基于LSM來實(shí)現(xiàn)動(dòng)態(tài)的系統(tǒng)調(diào)用劫持的方法，其特征在于：所述步驟S2中若將定制的檢測(cè)函數(shù)插入鏈表頭部，所述步驟S4中按鏈表順序依次運(yùn)行定制的檢測(cè)函數(shù)。