[發(fā)明專利]一種內(nèi)存馬檢測方法、裝置、計算機設(shè)備及存儲介質(zhì)

有效

• 申請?zhí)枺?/td>: 202310341260.4
• 申請日: 2023-03-31
• 公開（公告）號: CN116049823B
• 公開（公告）日: 2023-07-25
• 發(fā)明（設(shè)計）人: 李馨蕊;薛鋒;樊興華
• 申請（專利權(quán)）人: 北京微步在線科技有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京中知恒瑞知識產(chǎn)權(quán)代理事務(wù)所(普通合伙) 11889
• 代理人: 袁忠林

1.一種內(nèi)存馬檢測方法，其特征在于，包括：

獲取待檢測的內(nèi)存代碼；其中，所述內(nèi)存代碼中包括可執(zhí)行的操作碼；

在檢測到所述內(nèi)存代碼中包含第一函數(shù)的情況下，為所述第一函數(shù)中的參數(shù)添加標記；其中，所述第一函數(shù)為攻擊者可控的函數(shù)；

對添加標記后的內(nèi)存代碼進行解析，確定添加標記后的內(nèi)存代碼中執(zhí)行預設(shè)危險操作的第二函數(shù)對應(yīng)的標記識別結(jié)果，其中，所述第二函數(shù)為所述第一函數(shù)之間具有參數(shù)傳遞；

基于所述標記識別結(jié)果確定所述內(nèi)存代碼對應(yīng)的內(nèi)存馬檢測結(jié)果；

所述對添加標記后的內(nèi)存代碼進行解析，確定添加標記后的內(nèi)存代碼中執(zhí)行危險操作的第二函數(shù)對應(yīng)的標記識別結(jié)果，包括：基于與各操作碼類型匹配的解析方式對所述添加標記后的內(nèi)存代碼進行解析，以確定所述添加標記后的內(nèi)存代碼中執(zhí)行所述危險操作的第二函數(shù)，并檢測所述第二函數(shù)對應(yīng)的參數(shù)中是否包含所述標記；

所述基于與各操作碼類型匹配的解析方式對所述添加標記后的內(nèi)存代碼進行解析，包括：按照各操作碼在所述內(nèi)存代碼中的代碼順序，依次確定各操作碼的操作類型，并按照如下方法對各操作碼進行解析，在解析完成之后，按照所述代碼順序?qū)ο乱徊僮鞔a進行解析；

所述對各操作碼進行解析，包括：在檢測到當前解析的操作碼的操作碼類型為字符操作類型或存儲操作類型的情況下，模擬執(zhí)行當前解析的操作碼；以及，在檢測到當前解析的操作碼的操作碼類型為其他函數(shù)調(diào)用類型的情況下，檢測當前解析的操作碼包含的函數(shù)執(zhí)行的操作是否為所述預設(shè)危險操作，并檢測當前解析的操作碼包含的函數(shù)的參數(shù)中是否包含所述標記；以及，在檢測到當前解析的操作碼的操作碼類型為非調(diào)用非存儲操作類型的情況下，跳過當前解析的操作碼；

所述基于所述標記識別結(jié)果確定所述內(nèi)存代碼對應(yīng)的內(nèi)存馬檢測結(jié)果，包括：將所述第一函數(shù)對應(yīng)的第一代碼位置信息，以及包含所述標記的第二函數(shù)對應(yīng)的第二代碼位置信息作為所述內(nèi)存代碼對應(yīng)的內(nèi)存馬檢測結(jié)果。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述獲取待檢測的內(nèi)存代碼，包括：

從系統(tǒng)進程文件中獲取互聯(lián)網(wǎng)信息服務(wù)進程文件；

對所述互聯(lián)網(wǎng)信息服務(wù)進程文件中的運行環(huán)境模塊進行遍歷，獲取所述運行環(huán)境模塊對應(yīng)的內(nèi)存代碼。

3.根據(jù)權(quán)利要求2所述的方法，其特征在于，所述對所述互聯(lián)網(wǎng)信息服務(wù)進程文件中的運行環(huán)境模塊進行遍歷，獲取所述運行環(huán)境模塊對應(yīng)的內(nèi)存代碼，包括：

對所述互聯(lián)網(wǎng)信息服務(wù)進程文件中的運行環(huán)境模塊的模塊名稱進行遍歷，確定各所述運行環(huán)境模塊中滿足預設(shè)條件的內(nèi)存代碼模塊，并獲取與所述內(nèi)存代碼模塊對應(yīng)的內(nèi)存代碼；其中，所述預設(shè)條件包括以下至少一種：

模塊名稱以預設(shè)內(nèi)容作為開頭、模塊名稱對應(yīng)的模塊屬性為預設(shè)的與內(nèi)存代碼關(guān)聯(lián)的屬性。

4.根據(jù)權(quán)利要求3所述的方法，其特征在于，所述獲取與所述內(nèi)存代碼模塊對應(yīng)的內(nèi)存代碼，包括：

從與所述內(nèi)存代碼模塊對應(yīng)的內(nèi)存文件中獲取內(nèi)存代碼；或者，

根據(jù)內(nèi)存代碼模塊對應(yīng)的內(nèi)存屬性信息，從所述互聯(lián)網(wǎng)信息服務(wù)進程文件對應(yīng)的內(nèi)存空間中獲取內(nèi)存代碼。

5.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述方法還包括根據(jù)以下方法確定所述內(nèi)存代碼中的第一函數(shù)：

按照預設(shè)函數(shù)類型，確定所述內(nèi)存代碼中的第一函數(shù)。

6.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述為所述第一函數(shù)添加標記，包括：

為所述第一函數(shù)中的參數(shù)添加標志位；或者，為所述第一函數(shù)中的參數(shù)添加隨機生成的字符串。