[發(fā)明專利]內(nèi)存快照存儲方法、裝置、計(jì)算機(jī)設(shè)備和存儲介質(zhì)

在審

• 申請?zhí)枺?/td>: 202211380415.7
• 申請日: 2022-11-04
• 公開（公告）號: CN115906076A
• 公開（公告）日: 2023-04-04
• 發(fā)明（設(shè)計(jì)）人: 王天博;王欣
• 申請（專利權(quán)）人: 杭州安恒信息技術(shù)股份有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 杭州華進(jìn)聯(lián)浙知識產(chǎn)權(quán)代理有限公司 33250
• 代理人: 賀才杰

本申請涉及一種內(nèi)存快照存儲方法、裝置、計(jì)算機(jī)設(shè)備和存儲介質(zhì)，包括：響應(yīng)于當(dāng)前的內(nèi)存修改操作，獲取內(nèi)存修改過程；將所述內(nèi)存修改過程存儲至數(shù)據(jù)庫中，所述數(shù)據(jù)庫中存儲有初始內(nèi)存快照。通過本方法可以解決當(dāng)前虛擬執(zhí)行環(huán)境內(nèi)存快照保存耗時(shí)長、數(shù)據(jù)量大和幀數(shù)低的問題，達(dá)到提高快照保存效率、增加內(nèi)存快照幀數(shù)和減少快照數(shù)據(jù)量的技術(shù)效果。

技術(shù)領(lǐng)域

本申請涉及信息安全技術(shù)領(lǐng)域，特別是涉及一種內(nèi)存快照存儲方法、裝置、計(jì)算機(jī)設(shè)備和存儲介質(zhì)。

背景技術(shù)

隨著信息安全的發(fā)展，對于惡意程序的檢測越來越受到重視。沙箱作為一個(gè)隔離的系統(tǒng)環(huán)境，已經(jīng)被安全研究人員運(yùn)用于分析不受信任的文件或程序的過程中。

目前，安全研究人員通過沙箱分析惡意程序往往采用生成內(nèi)存快照的方式，由于單個(gè)內(nèi)存快照的數(shù)據(jù)量較大，在任意時(shí)刻保存多個(gè)內(nèi)存快照進(jìn)行分析的方法不現(xiàn)實(shí)，因此安全研究人員往往將程序退出前的最后時(shí)刻的內(nèi)存快照進(jìn)行保存，并在回溯過程中打開特定時(shí)刻的內(nèi)存快照進(jìn)行分析。然而如果惡意程序在程序退出前將惡意內(nèi)容抹除，則安全研究人員無法分析出其惡意內(nèi)容，存在較大的安全隱患。

由此可見，目前虛擬執(zhí)行環(huán)境仍存在內(nèi)存快照保存耗時(shí)長、數(shù)據(jù)量大和幀數(shù)低的問題。

發(fā)明內(nèi)容

基于此，有必要針對上述技術(shù)問題，提供一種能夠降低內(nèi)存快照保存時(shí)長、和數(shù)據(jù)量以及提高幀數(shù)的內(nèi)存快照存儲方法、裝置、計(jì)算機(jī)設(shè)備和計(jì)算機(jī)可讀存儲介質(zhì)。

第一個(gè)方面，本實(shí)施例提供了一種內(nèi)存快照存儲方法，所述方法包括：

響應(yīng)于當(dāng)前的內(nèi)存修改操作，獲取內(nèi)存修改過程；

將所述內(nèi)存修改過程存儲至數(shù)據(jù)庫中，所述數(shù)據(jù)庫中存儲有初始內(nèi)存快照。

在其中一個(gè)實(shí)施例中，所述內(nèi)存修改過程包括多個(gè)操作節(jié)點(diǎn)，所述操作節(jié)點(diǎn)中包括至少一個(gè)內(nèi)存修改操作，所述響應(yīng)于內(nèi)存修改操作，獲取內(nèi)存修改過程，包括：

獲取前一時(shí)刻的歷史修改過程；

基于所述歷史修改過程確定前一時(shí)刻的操作節(jié)點(diǎn)；

獲取當(dāng)前的所述內(nèi)存修改操作的操作參數(shù)；

若所述操作參數(shù)與所述前一時(shí)刻的操作節(jié)點(diǎn)匹配，則將當(dāng)前的所述內(nèi)存修改操作合并至所述前一時(shí)刻的操作節(jié)點(diǎn)，得到內(nèi)存修改過程。

在其中一個(gè)實(shí)施例中，所述獲取當(dāng)前的所述內(nèi)存修改操作的操作參數(shù)之后還包括：

若所述操作參數(shù)與所述前一時(shí)刻的操作節(jié)點(diǎn)不匹配，則基于當(dāng)前的所述內(nèi)存修改操作新建操作節(jié)點(diǎn)，并基于新建的所述操作節(jié)點(diǎn)以及歷史修改過程得到內(nèi)存修改過程。

在其中一個(gè)實(shí)施例中，所述操作參數(shù)包括地址范圍，若所述操作參數(shù)與所述前一時(shí)刻的操作節(jié)點(diǎn)匹配，則將當(dāng)前的所述內(nèi)存修改操作合并至所述前一時(shí)刻的操作節(jié)點(diǎn)包括：

判斷所述地址范圍與所述前一時(shí)刻的操作節(jié)點(diǎn)的地址范圍是否重合；

若不重合，則視為匹配，將當(dāng)前的所述內(nèi)存修改操作合并至所述前一時(shí)刻的操作節(jié)點(diǎn)。

在其中一個(gè)實(shí)施例中，所述操作參數(shù)包括操作時(shí)間，若所述操作參數(shù)與所述前一時(shí)刻的操作節(jié)點(diǎn)匹配，則將當(dāng)前的所述內(nèi)存修改操作合并至所述前一時(shí)刻的操作節(jié)點(diǎn)包括：

判斷所述操作時(shí)間與所述前一時(shí)刻的操作節(jié)點(diǎn)的時(shí)間范圍是否匹配；

若匹配，則將當(dāng)前的內(nèi)存修改操作合并至所述前一時(shí)刻的操作節(jié)點(diǎn)。

在其中一個(gè)實(shí)施例中，將所述內(nèi)存修改過程存儲至數(shù)據(jù)庫中之后，還包括：

獲取內(nèi)存快照生成指令，基于所述內(nèi)存快照生成指令確定目標(biāo)內(nèi)存修改操作；