CN101295278A - 定位被改写代码段所在进程的方法及装置 - Google Patents

Abstract

本发明公开了一种定位被改写代码段所在进程的方法，该方法包括步骤：备份代码段信息；利用代码段备份信息，核查运行的代码段是否被改写，若是，立即获取进程切换记录；分析所述进程切换记录，确定被改写代码段所在进程。本发明利用代码段备份信息对运行的代码段进行核查，发现运行代码段与备份信息不一致时，及时获取并分析进程切换记录，在代码段出现问题的第一时间对进程切换记录进行分析，从而能够精确定位被改写代码段所在进程；而且，本发明在确定被改写代码段所在进程后，可快速利用备份的代码段副本恢复代码段，保证系统的正常运行。与上述方法相对应，本发明还提供一种定位被改写代码段所在进程的装置。

Description

定位被改写代码段所在进程的方法及装置

技术领域

本发明涉及信息安全技术领域，尤其涉及一种定位被改写代码段所在进程的方法及装置。

背景技术

某些带操作系统的处理器，例如TI64X系列芯片，代码段和数据段是统一编址的，造成代码段很容易被改写，而且被改写代码和改写内容往往是随机的，造成代码段被改写很难定位，这种情况下，确定是那块程序运行引起的代码段改写是非常困难的。

目前的处理器设计时，在操作系统的任务切换间添加了进程切换记录，当驱动检测到处理器故障时，会将处理器状态记录下来，通过进程切换记录进行分析和定位问题。如果代码段被改写，造成了处理器进入死循环或者进入驱动异常进程，此时记录进程切换信息，从而可以通过进程切换记录，查找最近被哪些进程调用，并基本可以确定就是在这些进程的调用过程中，造成了代码改写。

但是，代码段被改写往往是一个循序渐进的过程，常常是某些代码段被改写还不足以导致系统故障，那么此时驱动认为系统正常，不会及时获取并分析进程切换记录来定位问题。当代码段被改写的范围扩大，出现多处代码段被改写以致系统故障时，驱动才会对历史进程切换记录进行分析来定位问题，但是此时获取的进程切换记录已经非常繁多。可见，由于没有及时分析进程切换记录，在发现系统故障时不得不分析众多历史进程切换记录。在众多历史进程切换记录中，几乎无法获知哪些代码先被改写、被哪些进程改写。由此，这种仅依靠进程切换记录的方式，针对性不明确，很难确定是由哪个进程引起的代码段改写。

发明内容

本发明目的是提供一种定位被改写代码段所在进程的方法及装置，实现对被改写代码段所在进程的精确定位。

为此，本发明实施例采用如下技术方案：

一种定位被改写代码段所在进程的方法，包括步骤：备份代码段信息；利用代码段备份信息，核查运行的代码段是否被改写，若是，立即获取进程切换记录；分析所述进程切换记录，确定被改写代码段所在进程。

优选地，所述代码段备份信息包括代码段副本和代码段校验值；核查运行的代码段是否被改写的过程是：计算运行的代码段的校验值，比较计算的校验值与备份的校验值是否一致，若否，确定代码段被改写；再利用代码段副本对上述被改写代码段逐字比较，从而确定被改写代码段的具体字段。

或者，所述代码段备份信息是指代码段副本；核查运行的代码段是否被改写的过程是：逐字比较运行中的代码段和代码段副本是否一致，若否，则确定运行的代码段被改写。

或者，所述代码段备份信息是指代码段校验值；核查运行的代码段是否被改写的过程是：计算运行中的代码段的校验值，比较计算出的校验值与备份的校验值是否一致；若否，则确定运行的代码段被改写。

所述方法还包括：备份代码段校验值的检验值；在运行的代码段校验值与备份代码段校验值一致时，计算运行中的代码段校验值的检验值，并比较计算的检验值与备份的检验值是否一致，若否，则确定运行的代码段被改写。

所述代码段的校验值，是指代码段逐字累加之和、代码段逐字作与操作的结果，或者代码段逐字作异或操作的结果；所述代码段校验值的检验值，是指校验值逐字累加之和、校验值逐字作与操作的结果，或者校验值逐字作异或操作的结果。

所述方法还包括：确定代码段备份信息中包含代码段副本时，利用所述代码段副本更新确定的进程中被改写的代码段。

核查运行的代码段的时机是：操作系统空闲进程，或者，操作系统的任务切换期间。

一种定位被改写代码段所在进程的装置，包括：获取单元，用于获取进程切换记录；定位单元，用于依据所述获取单元提供的进程切换记录，确定被改写代码段所在进程；所述装置还包括：备份单元，存储有代码段信息；核查单元，利用所述备份单元提供的代码段信息，核查运行中的代码段是否被改写；指示单元，从所述核查单元获知运行中的代码段被改写时，立即启动所述获取单元。

所述备份单元存储的代码段信息，是指代码段副本，代码段校验值，代码段校验值与校验值的检验值，代码段副本与代码段校验值，或者，代码段副本、代码段校验值与校验值的检验值的集合。

所述装置还包括：恢复单元，利用所述备份单元提供的代码段副本，更新所述定位单元确定的进程中被改写的代码段。

对于上述技术方案的技术效果分析如下：

本发明利用代码段备份信息对运行的代码段进行核查，发现运行代码段与备份信息不一致时，及时获取并分析进程切换记录。不同于现有技术在导致系统故障时才分析进程切换记录的方式，本发明在代码段出现问题的第一时间对进程切换记录进行分析，从而能够精确定位被改写代码段所在进程。而且，本发明在确定被改写代码段所在进程后，可快速利用备份的代码段副本恢复代码段，保证系统的正常运行。

附图说明

图1为本发明方法实施例一流程图；

图2为本发明装置实施例示意图。

具体实施方式

本发明实施例通过核查代码段被改写情况，在代码段被改写的第一时间获取并分析进程切换记录，从而保证对被改写代码段所在进程进行精确定位。下面结合附图，对本发明实施例作详细介绍。

首先，介绍本发明方法实施例一：

正如前面分析，按照现有技术定位被改写代码段所在进程的方式，只有在驱动发现操作系统出现故障时，才会获取并分析进程切换记录，从而定位代码段所在进程，然而，一处或几处代码段的改写，表明上也许不会导致操作系统的故障，那么按照现有方式就不可能及时获取并分析进程切换记录，待到系统故障时，进程切换记录很可能众多，很难从中精确定位被改写代码段所在进程。

本发明正是从这一点出发，通过在合适的时机对代码段进行核查，当发现运行的代码段不正确，也就是运行的代码段被改写的情况下，立即获取进程切换记录，从而保证在第一时间获取进程切换记录。

核查代码段的时机，可以根据处理器的使用频率、进程多少以及进程切换频率来进行选择。对于使用频率高、进程多、进程切换频繁的处理器，应尽量减少时间开销，可以在操作系统空闲进程(IDLE)进行代码段的核查；反之，对于使用频率低、进程少、进程切换不频繁的处理器，可以在操作系统的任务切换期间进行代码段核查，实时性强，能够准确定位产生问题的进程。

至于代码段核查的具体方式，主要包括两个步骤：备份正确的代码段信息；比较运行的代码段与备份的代码段信息。

请参见图1，为实施例一流程图，包括：

步骤101：备份代码段信息；

可以将正确的代码段信息备份在安全的位置，例如外存中，以减小备份信息被篡改的风险。

步骤102：利用备份代码段信息，在合适的时机，核查运行中的代码段是否被改写，若是，执行步骤103，否则，重复执行本步骤；

所谓合适时机，正如前面介绍，可以是操作系统空闲进程或操作系统的任务切换期间。

核查的过程也就是将备份信息与运行中的代码段进行比较的过程，如果二者不一致，则确定运行中的代码段被改写，从而启动后续步骤。

步骤103：获取进程切换记录；

此时获取的进程切换记录是核查到代码段被改写最近的进程切换记录，最近运行的进程极可能就是被改写代码段的进程，因此及时获知这一记录非常重要。

步骤104：分析进程切换记录，确定被改写代码段所在进程。

分析进程切换记录的过程中，需要借助一些全局参数，这些参数包括循环变量、指针、变量值等，通过核查全局参数是否正常，从而精确定位被改写代码段所在进程。

本发明实施例一利用代码段备份信息对运行的代码段进行核查，发现运行代码段与备份信息不一致时，及时获取并分析进程切换记录。不同于现有技术在导致系统故障时才分析进程切换记录的方式，本发明在代码段出现问题的第一时间对进程切换记录进行分析，从而能够精确定位被改写代码段所在进程。

下面介绍本发明方法实施例二：

在实施例一的基础上，实施例二具体介绍一种代码逐字比较的核查方式。

具体而言，首先在安全位置上备份代码段副本，然后，当需要核查运行中的代码段时，逐字比较代码段副本与运行中的代码段是否一致，如果不一致，则认为运行中的代码段被改写，需要启动后续步骤。

上面所说的安全位置，优选代码段所依托硬件的外部，例如处理器的外存，由于外存一般存放使用率比较低的数据，不会被经常访问，减少了备份的代码段副本被改写的可能性，如果选择在外存备份，在核查之前，应该首先从外存将代码段副本搬移回来。在硬件内存空间允许的情况下，也可以选择在内存备份，只要保证备份的代码段副本的安全即可，如果选择在内存备份，在核查时，直接从内存调用代码段副本即可。

实施例二提供的这种逐字比较的代码段核查方式，能够定位到确切的被改写字段的起始位置。在定位出被改写代码段所在进程之后，可利用代码段副本更新被改写的代码段，从而快速恢复故障。

下面介绍本发明方法实施例三：

在实施例一的基础上，实施例三具体介绍一种代码逐段校验的核查方式。

具体而言，首先在安全位置上备份代码段校验值，然后，当需要核查运行中的代码段时，计算运行中的代码段的校验值，比较新计算的校验值与备份的校验值是否一致，如果不一致，则认为运行中的代码段被改写，需要启动后续步骤。

代码段校验值备份位置的选择，可参见实施例二，优选外存。

备份的代码段校验值以及运行中代码段的校验值，都是通过同一种计算方式得到的。可供选择的计算校验值的方式有多种，只要保证校验速度并且校验正确性即可，例如，可以采用最简单的累加和作为校验值，或者，逐字“与”操作的结果作为校验值，或者，逐字“异或”操作的结果作为校验值，等等。

这种逐段校验的核准方式的优点是，能够快速查到被改写代码所在，计算量小，速度块。

为了进一步保证校验值的安全，可以增加对校验值的检验，此时，除了备份代码段的校验值，还需备份校验值的检验值。所谓检验值，就是对代码段校验值再一次利用某种计算方式获得的值，这里的计算方式仍可采用上述计算校验值的方法，例如累加和、与操作、异或操作等。具体利用检验值的过程是：在运行的代码段校验值与备份代码段校验值一致时，计算运行的代码段校验值的检验值，并比较计算的检验值与备份的检验值是否一致，若否，则确定运行的代码段被改写。这样，在经代码段校验通过后，进一步利用校验值的检验值进行核查，更加确保核查的准确性。

下面介绍本发明方法实施例四：

在上述实施例的基础上，实施例四具体介绍了一种代码逐段校验和代码逐字比较相结合的核查方式。

具体而言，这种方式需要同时对代码段副本以及代码段校验值进行备份；在核查过程中，首先进行逐段校验，当定位到某一段代码内有被改写字段时，获取进程切换记录，记录改写时间点；然后再利用逐字比较的方式，准确定位被改写字段。

这种方式结合了实施例二和实施例三的优点，是本发明优选的核查方式。分为两步对代码段进行核查：前期主要利用校验值比较方式初步定位代码段，后期对初步确定的代码段逐字比较，精确定位被改写代码段的具体字段。

而且，实施例二介绍的利用代码段副本恢复被改写代码段的方式也同样适用本实施例，以快速实现故障消除。

同理，实施例三中的对校验值进一步检验的方式在此实施例中也同样适用，从而进一步保证定位的准确性。

与定位被改写代码段所在进程的方法相对应，本发明还提供一种定位被改写代码段所在进程的装置。

参见图2，为本发明提供装置的结构示意图。该装置不但包括现有的获取单元201和定位单元202，还包括备份单元203、核查单元204以及指示单元205。下面对各单元的工作情况进行详细介绍。

获取单元201，用于获取进程切换记录；

定位单元202，用于依据获取单元201提供的进程切换记录，确定被改写代码段所在进程；

备份单元203，存储有代码段信息；

核查单元204，利用备份单元203提供的代码段信息，核查运行中的代码段是否被改写；

指示单元205，从核查单元204获知运行中的代码段被改写时，立即启动获取单元201。

与现有技术中待操作系统故障时才分析进程切换记录不同，本发明提供的装置，在核查到有被改写的代码段的第一时间就获取并分析进程切换记录，从而避免在纷繁复杂的进程切换记录中定位困难的问题，也保证最近的进程切换记录是最有可能被改写的，从而快速定位。

正如上面对方法实施例的介绍，备份单元203存储的代码段信息可以是多种，例如：

①代码段副本

此时，核查单元204对代码段副本与运行中代码段进行逐字比较，如果不一致，则确定代码段被改写。

②代码段校验值

此时，核查单元204首先计算运行中代码段的校验值，然后将此计算的检验值与备份的校验值进行比较，如果不一致，则确定代码段被改写。

③代码段校验值与校验值的检验值

在计算的校验值与备份校验值一致的情况下，核查单元204进一步计算运行中的代码段校验值的检验值，并将此计算的检验值与备份的检验值比较，如果不一致，则确定代码段被改写。

④代码段副本与代码段校验值

首先比较运行中代码段校验值与备份的校验值，在二者不一致的情况下，逐字比较此段代码与代码段副本，从而精确快速定位进程。

⑤代码段副本与代码段校验值以及校验值的检验值

在校验值比较一致的情况下，利用检验值比较，如果不一致，则对此段代码逐字与代码段副本比较，从而准确定位进程。

如果备份单元203存储有代码段副本，本发明提供的装置还可以包括恢复单元206，参见图2中虚线所示。此恢复单元206负责利用备份单元203提供的代码段副本，更新定位单元202确定的进程中被改写的代码段，从而快速恢复故障。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (11)

1、一种定位被改写代码段所在进程的方法，其特征在于，包括：

备份代码段信息；

利用代码段备份信息，核查运行的代码段是否被改写，若是，立即获取进程切换记录；

分析所述进程切换记录，确定被改写代码段所在进程。

2、根据权利要求1所述方法，其特征在于，

所述代码段备份信息是指代码段副本；

核查运行的代码段是否被改写的过程是：逐字比较运行中的代码段和代码段副本是否一致，若否，则确定运行的代码段被改写。

3、根据权利要求1所述方法，其特征在于，

所述代码段备份信息是指代码段校验值；

核查运行的代码段是否被改写的过程是：计算运行中的代码段的校验值，比较计算出的校验值与备份的校验值是否一致；若否，则确定运行的代码段被改写。

4、根据权利要求1所述方法，其特征在于，

所述代码段备份信息包括代码段副本和代码段校验值；

核查运行的代码段是否被改写的过程是：

计算运行的代码段的校验值，比较计算的校验值与备份的校验值是否一致，若否，确定代码段被改写；

再利用代码段副本对上述被改写代码段逐字比较，从而确定被改写代码段的具体字段。

5、根据权利要求3或4所述方法，其特征在于，还包括：

备份代码段校验值的检验值；

在运行的代码段校验值与备份代码段校验值一致时，计算运行中的代码段校验值的检验值，并比较计算的检验值与备份的检验值是否一致，若否，则确定运行的代码段被改写。

6、根据权利要求5所述方法，其特征在于，

所述代码段的校验值，是指代码段逐字累加之和、代码段逐字作与操作的结果，或者代码段逐字作异或操作的结果；

所述代码段校验值的检验值，是指校验值逐字累加之和、校验值逐字作与操作的结果，或者校验值逐字作异或操作的结果。

7、根据权利要求1至4中任一项所述方法，其特征在于，还包括：

确定代码段备份信息中包含代码段副本时，利用所述代码段副本更新确定的进程中被改写的代码段。

8、根据权利要求1至4中任一项所述方法，其特征在于，

核查运行的代码段的时机是：操作系统空闲进程，或者，操作系统的任务切换期间。

9、一种定位被改写代码段所在进程的装置，包括：

获取单元，用于获取进程切换记录；

定位单元，用于依据所述获取单元提供的进程切换记录，确定被改写代码段所在进程；

其特征在于，还包括：

备份单元，存储有代码段信息；

核查单元，利用所述备份单元提供的代码段信息，核查运行中的代码段是否被改写；

指示单元，从所述核查单元获知运行中的代码段被改写时，立即启动所述获取单元。

10、根据权利要求9所述装置，其特征在于，

所述备份单元存储的代码段信息，是指代码段副本，代码段校验值，代码段校验值与校验值的检验值，代码段副本与代码段校验值，或者，代码段副本、代码段校验值与校验值的检验值的集合。

11、根据权利要求10所述装置，其特征在于，还包括：

恢复单元，利用所述备份单元提供的代码段副本，更新所述定位单元确定的进程中被改写的代码段。

Images