[發明專利]基于操作系統驅動的進程防護方法

在審

• 申請號: 202210097642.2
• 申請日: 2022-01-27
• 公開（公告）號: CN114462021A
• 公開（公告）日: 2022-05-10
• 發明（設計）人: 夏春宇;苗維杰
• 申請（專利權）人: 杭州立思辰安科科技有限公司
• 主分類號: G06F21/52
• 分類號: G06F21/52;G06F9/54
• 代理公司: 北京中濟緯天專利代理有限公司 11429
• 代理人: 張瑩

1.一種基于操作系統驅動的進程防護方法，其特征在于，包括以下步驟：

(1)檢測跨平臺軟件的進程是否正在運行，并將所述的跨平臺軟件的進程的ID號發送給操作系統的驅動，所述的操作系統的驅動使用OpenProcess函數進行所述的跨平臺軟件的進程的監控；

(2)若監控到所述的跨平臺軟件的進程被關閉，所述的操作系統的驅動創建線程函數體，并將所述的線程函數體的線程參數拷貝至操作系統的進程地址空間內；

(3)所述的操作系統的驅動調用內核模塊來重啟新的進程。

2.根據權利要求1所述的基于操作系統驅動的進程防護方法，其特征在于：

步驟(1)中OpenProcess函數存儲在操作系統的API庫中；

步驟(1)中所述的跨平臺軟件的進程的監控利用影子內核方式來實現，影子內核通過加電啟動來加載所述的跨平臺軟件的進程對應的內存數據鏡像至操作系統的物理內存中。

3.根據權利要求2所述的基于操作系統驅動的進程防護方法，其特征在于：

所述的影子內核數據鏡像的校驗步驟如下：

(1)將內核鏡像以PE文件格式進行內存映射，加載內核鏡像文件中的代碼及數據，形成影子內核代碼初始態；

(2)影子內核數據未經歷系統開機啟動時刻的內核初始化，需重定位到原內核數據，影子內核進行正常執行；依據影子內核代碼及數據與原內核代碼及數據相對位置不變這一原理，有：

D_actual-D_{actual_imageBase}＝D_default-D_{default_imageBase}

(Ⅰ)

式中，D_{actual_imageBase}是原內核加載基地址；D_actual是原內核中數據的正確值地址，也是影子內核重定向數據指向的數據位置；D_{default_imageBase}是影子內核加載基地址；D_default是重定向表給出的需要修復的重定向數據地址；

(3)修復影子內核系統調用表中系統調用的地址，使其指向影子內核純凈的可執行代碼；根據影子內核加載基地址與原內核加載基地址之間的偏移，可依據式(2)確定每一個系統調用函數地址：

NewSSDTFuncAddr＝OrigSSDTFuncAddr+Δ (Ⅱ)

式中，NewSSDTFuncAddr是影子內核SSDT表中的某個系統調用函數地址；OrigSSDTFuncAddr是原內核SSDT表中對應的系統調用函數地址；Δ是影子內核加載基地址與原內核加載基地址之間的偏移量。

4.根據權利要求3所述的基于操作系統驅動的進程防護方法，其特征在于：

步驟(2)中所述的線程函數體為影子內核自動產生的BLAS庫函數體，其中自動產生方法為影子內核利用系統鉤子將LoadLibarary函數加載至空白的dll模塊上。

5.根據權利要求4所述的基于操作系統驅動的進程防護方法，其特征在于：

步驟(2)中系統鉤子的使用方法如下：

(1)創建鉤子函數，其中，所述鉤子函數中包含第一參數和第二參數，所述第一參數用于保存所述的跨平臺軟件的進程的句柄，所述第二參數用于保存所述的跨平臺軟件的進程的屬性信息；

(2)將所述的鉤子函數的函數地址替換所述的操作系統的服務描述符表SSDT表中用于設置所述的跨平臺軟件的內核函數的原始函數地址；

(3)根據所述第一參數和所述第二參數判斷當前所述的操作系統是否滿足進程保護條件；

(4)如果當前所述的操作系統滿足所述進程保護條件，則通過所述的鉤子函數攔截對所述的跨平臺軟件的進程的屬性設置。

6.根據權利要求4所述的基于操作系統驅動的進程防護方法，其特征在于：

所述的系統鉤子攔截對所述的跨平臺軟件的進程的屬性設置，包括：通過所述的系統鉤子生成拒絕訪問信息，并根據所述的拒絕訪問信息退出所述的鉤子函數的執行。