CN102073818A - 一种漏洞检测设备和方法 - Google Patents

Abstract

本发明公开了一种漏洞检测方法，用于对启用了数据执行保护（DEP）的系统进行漏洞检测，该方法包括步骤：检测针对DEP的操作；以及当检测到关闭DEP的操作时，则认为系统中发生利用漏洞的行为。本发明还公开了相应的漏洞检测设备。

Description

一种漏洞检测设备和方法

技术领域

本发明涉及计算机网络安全领域，尤其涉及基于数据执行保护（DEP）的漏洞检测设备和方法。

背景技术

随着计算机网络的发展，网络应用变得越来越普及。由于网络应用所在的网络服务器的操作系统和应用层软件不可避免地存在有漏洞，黑客们可以通过利用这些漏洞来非法入侵这些网络服务器，从而给网络应用，尤其是给使用这些网络应用的用户的财产带来了极大的威胁。

利用漏洞的过程一般包括两个部分：触发漏洞和执行shellcode。首先，黑客会去触发目标机器上的漏洞，随后通过在触发漏洞之后执行shellcode来成功入侵目标机器。shellcode是在利用漏洞的过程中所使用的一小段代码，由于通常该代码会启动一个命令行控制台，以便黑客可以利用该控制台来控制被入侵的机器，因此，该段代码在网络安全领域被称为shellcode。而一个典型的利用漏洞的过程如下：首先，利用目标机器上某个进程中的漏洞获得对指令寄存器的控制，并同时或者之前就将shellcode插入到该进程中，随后将指令寄存器调整为指向shellcode，从而执行该shellcode以便成功入侵目标机器。

由于触发漏洞的方式会随具体漏洞而不同，所以对触发漏洞的行为进行检测也需要针对不同漏洞来进行不同的处理。由此导致，在目前为止，还没有一种统一的方式来对目标机器上利用漏洞的非法操作进行监测。

由于采用微软视窗操作系统的设备(例如网络服务器和客户机等)日益增多，如何对这些设备上利用漏洞的非法操作进行监测成为了日益重要的问题。

现在的微软视窗操作系统中采用了一种称为数据执行保护（DEP）的软硬件结合的安全技术来防止驻留在操作系统上的应用或者服务从不可执行的内存区域执行代码。在多数采用微软视窗操作系统的网络设备中，已经启用了数据执行保护（DEP）来加强系统安全。

然而，在现有采用微软视窗操作系统的设备中，还没有一种可以全面而高效地对这些设备中利用漏洞的非法操作进行监测的方法和设备。

为此，需要一种新的漏洞监测设备和方法，其可以以一种统一、全面且高效的方式来对这些利用漏洞的非法操作进行监测。

发明内容

鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分地解决或者减缓上述问题的漏洞检测设备和方法。

申请人注意到，在采用微软视窗操作系统并且启用了数据执行保护（DEP）的设备中，在利用漏洞的过程中shellcode通常都位于被标记为不可执行的数据区中，直接执行shellcode的行为将触发异常，最终导致shellcode执行失败。这使得如果要正常执行shellcode就必须对DEP进行关闭或者绕过操作。如果可以对关闭DEP的操作进行监测，就可以检测到在这些设备中利用漏洞的异常行为，本发明基于此而做出。

根据本发明的一个方面，提供了一种漏洞监测方法，用于对启用了数据执行保护（DEP）的系统进行漏洞监测，该方法包括步骤：监测针对数据执行保护（DEP）的操作；以及当检测到关闭数据执行保护（DEP）的操作时，则认为该系统中发生利用漏洞的行为。

可选地，监测针对所述数据执行保护（DEP）的操作包括对系统中关闭数据执行保护所必需的一个或者多个函数中的任一个进行监测。另外，这些函数可以是NtSetInformationProcess()和NtSetSystemInformation() 中的任何一个或者二者。由于关闭DEP的操作一般需要调用NtSetInformationProcess()和NtSetSystemInformation()等函数的某个功能号来实现，因此通过对这些函数调用进行监测，就可以达到监测企图执行shellcode行为的目的。

另外，对系统中关闭所述数据执行保护所必需的一个或者多个函数中的任一个进行监测可以利用钩子（hook）技术来处理。Hook是在视窗操作系统的消息处理机制中的一个点，在该点处，可以插入一些子例程来监控消息或者在消息到达目的应用之前对其进行修改。利用hook的技术一般称为hook技术，其是安全软件中普遍使用的技术，hook技术通过修改软件代码的执行流程可以实现对代码的审计和访问控制等功能。在视窗操作系统中，利用hook技术可以实现对特定函数的监控。

根据本发明的另一个方面，提供了一种漏洞监测设备，用于对启用了数据执行保护（DEP）的系统进行漏洞监测，该设备包括：监测单元，适于监测针对数据执行保护（DEP）的操作；以及判断单元，适于在所述监测单元检测到关闭所述数据执行保护（DEP）的操作时，断定所述系统中发生利用漏洞的行为。

根据本发明的漏洞监测方法和设备考虑到在启用了DEP的系统中，利用系统存在的漏洞的非法操作通常需要在执行shellcode之前关闭DEP，因此通过对针对DEP的操作进行监测，可以高效地监测这些非法操作，并且提供了一种监测这些非法操作的统一方式。

附图说明

通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：

图1示意性地示出了根据本发明一个实施例的漏洞监测方法的流程图；以及

图2示意性地示出了根据本发明一个实施例的漏洞检测设备的框图。

具体实施方式

下面结合附图和具体的实施方式对本发明作进一步的描述。

图1示出了根据本发明一个实施例的漏洞监测方法100的流程图。该漏洞监测方法100适于对采用了启用数据执行保护（DEP）的系统的设备进行漏洞监测。而启用了DEP的系统通常为微软视窗操作系统。如图1所示，该方法始于步骤S110，其中对该系统中所有针对DEP的操作进行监控。如上所述，在启用了DEP的系统中，利用漏洞的恶意行为为了能够执行shellcode，必须关闭DEP，因此通过监测针对DEP的操作，可以及时发现这些恶意行为。

可选地，在微软视窗操作系统中，针对DEP的操作，尤其是关闭DEP的操作，必然涉及到一个或者多个系统函数。为此，监测操作可以包括对关闭DEP所必需的一个或者多个函数的至少一个进行监测。例如，这些函数可以是NtSetInformationProcess()和NtSetSystemInformation()。当然，随着视窗操作系统的发展，这些函数可能不局限于上述具体函数。所以在关闭DEP中涉及的函数都在本发明的保护范围之内。

可选地，在视窗操作系统中，为了对函数进行监控，可以采用钩子（hook）技术，即在操作系统的消息处理机制中的某个点进行监控，以监控针对这些函数的调用以及调用所涉及的消息内容。具体而言，根据本发明的一个实施例，可以在操作系统的内核中加载一个模块，该模块对SSDT(系统服务描述表)中的函数NtSetInformationProcess（）和/或NtSetSystemInformation（），尤其是这些函数中的相关功能号进行了hook，如果有调用这些函数的行为，就对调用这些函数的参数进行分析以确定是否是关闭DEP的行为。

随后，在步骤S120中，当在步骤S110中检测到关闭DEP的操作时，则认为目标系统中发生利用漏洞的行为。可选地，在步骤S130中，以各种方式将所检测到的利用漏洞的行为告知系统管理员，这例如包括以日志方式记录该行为、发警告通知系统管理员等。应当注意的是，其他任何可以在目标系统中采用来记录和/或通知系统管理员有关利用漏洞行为的方式都在本发明的保护范围之内。

根据本发明的漏洞监测方法通过对关闭DEP的操作进行监控，从而可以有效地检测到目标系统中利用系统漏洞进行操作的行为。

图2示意性地示出了根据本发明一个实施例的漏洞检测设备200的框图。该漏洞监测设备200适于对采用了启用数据执行保护（DEP）的系统的设备进行漏洞监测。如图2所示，该漏洞检测设备200包括监测单元210和判断单元220。

监测单元210适于监测针对DEP的操作。如上所述，在启用了DEP的系统中，利用漏洞的恶意行为为了能够执行shellcode，必须关闭DEP，因此监测单元210通过监测针对DEP的操作，可以及时发现这些恶意行为。

可选地，在微软视窗操作系统中，针对DEP的操作，尤其是关闭DEP的操作，必然涉及到一个或者多个系统函数。为此，监测单元210可以对关闭DEP所必需的一个或者多个函数的至少一个进行监测。例如，这些函数可以是NtSetInformationProcess()和NtSetSystemInformation()。当然，随着视窗操作系统的发展，这些函数可能不局限于上述具体函数。所有在关闭DEP中涉及的函数都在本发明的保护范围之内。

可选地，在视窗操作系统中，为了对函数进行监控，可以采用钩子（hook）技术，即在操作系统的消息处理机制中的某个点进行监控，以监控针对这些函数的调用以及调用所涉及的消息内容。具体而言，根据本发明的一个实施例，监测单元210可以包括在操作系统的内核中加载的模块，该模块对SSDT(系统服务描述表)中的函数NtSetInformationProcess（）和/或NtSetSystemInformation（），尤其是这些函数中的相关功能号进行hook，如果有调用这些函数的行为，就对调用这些函数的参数进行分析以确定是否是关闭DEP的行为。一般而言，监测单元210可以执行上述监测方法中的步骤S110。

判断单元220对监测单元210所监测到的操作进行分析，在监测单元210检测到关闭DEP的操作时，判断单元220就断定目标系统中发生利用漏洞的行为，可选地，判断单元220将该判断结果发送给告警单元230，以便由告警单元230以各种方式将所检测到的利用漏洞的行为告知系统管理员，这例如包括以日志方式记录该行为、发警告通知系统管理员等。应当注意的是，其他任何可以在目标系统中采用来记录和/或通知系统管理员有关利用漏洞行为的方式都在本发明的保护范围之内。一般而言，判断单元220可以执行上述监测方法中的步骤S120，以及告警单元230可以执行上述监测方法中的步骤S130。

根据本发明的漏洞监测设备200通过对关闭DEP的操作进行监控，从而可以有效地检测到目标系统中利用系统漏洞进行操作的行为。

应当注意的是，在本发明的漏洞监测设备200的各个部件中，根据其要实现的功能而对其中的部件进行了逻辑划分，但是，本发明不受限于此，可以根据需要对各个部件进行重新划分或者组合，例如，可以将一些部件组合为单个部件，或者可以将一些部件进一步分解为更多的子部件。

本发明的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器（DSP）来实现根据本发明实施例的解码设备中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序（例如，计算机程序和计算机程序产品）。这样的实现本发明的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。

应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。

Claims (10)

1.一种漏洞监测方法，用于对启用了数据执行保护（DEP）的系统进行漏洞监测，该方法包括步骤：

监测针对所述数据执行保护（DEP）的操作；以及

当检测到关闭所述数据执行保护（DEP）的操作时，则认为所述系统中发生利用漏洞的行为。

2.如权利要求1所述的漏洞监测方法，其中所述监测针对所述数据执行保护（DEP）的操作包括：

对所述系统中关闭所述数据执行保护所必需的一个或者多个函数中的至少一个进行监测。

3.如权利要求2所述的漏洞监测方法，其中所述关闭所述数据执行保护所必需的一个或者多个函数包括NtSetInformationProcess()和NtSetSystemInformation()。

4.如权利要求2或者3所述的漏洞监测方法，其中所述监测针对所述数据执行保护（DEP）的操作包括：

对所述系统中关闭所述数据执行保护所必需的一个或者多个函数中的任一个进行钩子（hook）处理。

5.如权利要求1-4中任一个所述的漏洞监测方法，还包括步骤：

在认为所述系统发生利用漏洞的行为时，记录有关该行为的日志或者发警告通知系统管理员有关该行为的消息。

6.一种漏洞监测设备，用于对启用了数据执行保护（DEP）的系统进行漏洞监测，该设备包括：

监测单元，适于监测针对所述数据执行保护（DEP）的操作；以及

判断单元，适于在所述监测单元检测到关闭所述数据执行保护（DEP）的操作时，断定所述系统中发生利用漏洞的行为。

7.如权利要求6所述的漏洞监测设备，其中所述监测单元适于对所述系统中关闭所述数据执行保护所必需的一个或者多个函数中的任一个进行监测。

8.如权利要求7所述的漏洞监测设备，其中所述关闭所述数据执行保护所必需的一个或者多个函数包括NtSetInformationProcess()和NtSetSystemInformation()中的任何一个或者二者。

9.如权利要求7或者8所述的漏洞监测设备，其中所述监测单元适于对所述系统中关闭所述数据执行保护所必需的一个或者多个函数中的任一个进行钩子（hook）处理。

10.如权利要求6-9中任一个所述的漏洞监测设备，还包括：

告警单元，适于在所述判断单元认为所述系统发生利用漏洞的行为时，记录有关该行为的日志或者发警告通知系统管理员有关该行为的消息。

Images