CN102736969A - 一种针对硬件虚拟化的内存监控方法和系统 - Google Patents
一种针对硬件虚拟化的内存监控方法和系统 Download PDFInfo
- Publication number
- CN102736969A CN102736969A CN2012101606170A CN201210160617A CN102736969A CN 102736969 A CN102736969 A CN 102736969A CN 2012101606170 A CN2012101606170 A CN 2012101606170A CN 201210160617 A CN201210160617 A CN 201210160617A CN 102736969 A CN102736969 A CN 102736969A
- Authority
- CN
- China
- Prior art keywords
- address
- page
- internal memory
- domu
- physical address
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
- 238000000034 method Methods 0.000 title claims abstract description 328
- 230000015654 memory Effects 0.000 title claims abstract description 248
- 238000012544 monitoring process Methods 0.000 title claims abstract description 135
- 238000013507 mapping Methods 0.000 claims abstract description 18
- 238000005457 optimization Methods 0.000 claims abstract description 7
- 230000008569 process Effects 0.000 claims description 280
- 230000006870 function Effects 0.000 claims description 23
- 230000008676 import Effects 0.000 claims description 6
- 238000005516 engineering process Methods 0.000 description 7
- 238000013461 design Methods 0.000 description 3
- 230000007246 mechanism Effects 0.000 description 3
- 238000010586 diagram Methods 0.000 description 2
- 241000700605 Viruses Species 0.000 description 1
- 230000006399 behavior Effects 0.000 description 1
- 230000009286 beneficial effect Effects 0.000 description 1
- 230000008901 benefit Effects 0.000 description 1
- 238000004891 communication Methods 0.000 description 1
- 230000002349 favourable effect Effects 0.000 description 1
- 238000009434 installation Methods 0.000 description 1
- 230000002452 interceptive effect Effects 0.000 description 1
- 238000012986 modification Methods 0.000 description 1
- 230000004048 modification Effects 0.000 description 1
- 230000009897 systematic effect Effects 0.000 description 1
Images
Landscapes
- Memory System Of A Hierarchy Structure (AREA)
Abstract
本发明公开一种针对硬件虚拟化的内存监控方法和系统，所述方法包括：步骤1，建立客户域DomU，根据操作系统的运算能力建立内存监控参数，所述操作系统的运算能力包括32位操作系统和64位操作系统；步骤2，将客户域DomU的配置文件初始化，导入内存监控参数，并对内存监控参数进行映射操作，实现内存监控优化。
Description
技术领域
本发明涉及虚拟化环境Xen，具体涉及一种在虚拟化环境Xen中利用Windows特权虚拟机监控其他HVM虚拟机内存的方法及系统，属于计算机体系结构领域。
背景技术
近年来，随着处理器速度的不断提升和网络带宽的持续增长，虚拟化技术得到了广泛的重视。在数据中心中，虚拟化技术得到了广泛的应用。Xen是由剑桥大学计算机实验室系统研究组开发的虚拟机监视器，以其高效性和灵活性而著称。其作为一个高性能的开源的虚拟机软件，也引起了业界极大的关注，其良好的性能表现，比物理机仅低3%~5%的性能，也赢得了市场的一片好评。
Xen属于硬件级虚拟化软件，即直接运行在硬件级上，为其上运行的操作系统内核提供虚拟化的硬件环境。Xen的结构包括一个虚拟机管理层（VirtualMachine Monitor，以下简称VMM），在Xen中也称作管理程序（XenHypervisor），一个特权域（Privileged Domain），还有其他的客户域（Domain），特权域和客户域都可以被称为虚拟机。其中，特权域成为Domain 0（Dom0），主要功能是辅助Xen管理其他Domain，提供相应的虚拟资源服务，其他则称为Domain U（DomU）。
由于目前市场占有率比较高的x86架构的处理器在设计之初未考虑支持虚拟化技术，其本身的结构和复杂性使得在其之上进行虚拟化非常困难，因此，在Xen设计之初，采用的是一种半虚拟化的解决方案，即通过对客户机的操作系统（Guest OS）进行代码级修改来避开x86架构带来的弊端，但这种做法十分繁琐，且带来了一些系统指令级别的冲突以及运行效率的问题。目前Intel与AMD在硬件级都提供了对虚拟化的支持，能够支持未经修改的Guest OS直接运行，减少了虚拟机运行的系统开销，这些利用硬件进行虚拟化的虚拟机被称为硬件虚拟域（Hardware-based Virtual Machine，简称HVM）。Xen中已经提供了对HVM用户的支持。
内存中存有操作系统的内核以及执行的进程的内容，因此，通过对内存中内容的监控，可以获得执行中的进程信息以及操作系统内核中主要数据的信息，从而更好地分析操作系统的运行状况，识别出进程的恶意行为，由于每台虚拟机的内存之间是隔离的，利用虚拟化技术来进行监控与本机上进行内存监控的方法相比具有天生的优势。文献1“Bryan D Payne,Martin D P De ACarbone,Wenke Lee.Secure and Flexible Monitoring of Virtual Machines.ACSAC 2007”中提到一种利用Xen提供的借口在Dom0中建立一套监控DomU的内存及磁盘信息的方法，但以此种方法为代表的目前虚拟机内存监控技术都是以Dom0为监控端,且仅能够监控装有32位操作系统的DomU,这对于64位操作系统越来越普遍的当前形势来说具有很大的局限性。本发明是在一台装有Windows系统的特权虚拟机上实现的针对HVM虚拟机的内存监控，且对于32位操作系统和64位操作系统的DomU都能进行监控，比现有的内存监控技术更加先进。
发明内容
本发明目的在于提供一种使用HVM特权虚拟机作为监控端，获取其他DomU内存信息的方法及其系统，其中，特权指的是该虚拟机具有与Xen的hypervisor通信的能力，内存地址形式主要是虚拟地址，DomU上安装的操作系统涉及32位与64位的Linux和windows操作系统，由于PAE模式已经使用得比较普遍，32位系统部分将默认采取PAE模式。
为了让HVM特权虚拟机能够使用Xen提供的Hypercall以及映射机制，我们在该特权虚拟机中添加IOCTL设备驱动，该设备驱动模拟Dom0与Xen的交互模式，提供给特权虚拟机与Xen进行交互的功能，该功能包括使用Xen提供的Hypercall以及映射机制。
本发明公开一种针对硬件虚拟化的内存监控方法，包括：
步骤1，建立客户域DomU，根据操作系统的运算能力建立内存监控参数，所述操作系统的运算能力包括32位操作系统和64位操作系统；
步骤2，将客户域DomU的配置文件初始化，导入内存监控参数，并对内存监控参数进行映射操作，实现内存监控优化。
所述的针对硬件虚拟化的内存监控方法，在步骤2执行32位操作系统时包括：
步骤21，用户提供要映射的DomU的进程的pid、DomU的id值以及虚拟地址；
步骤22，若pid为0，则该被监控的虚拟地址属于内核空间；
步骤23，若pid不为0，则该虚拟地址属于pid对应的进程地址空间，由于在用户空间中地址的存在形式为虚拟地址，首先获取该进程的页目录表项基址的虚拟地址，然后转换为其物理地址进行寻址。
所述的针对硬件虚拟化的内存监控方法，步骤22包括：
步骤31，通过特权虚拟机中实现的访问Xen的内核模块向Xen发送获取要映射的DomU的CR3寄存器中的页目录表物理内存基址；
步骤32，根据页表基址的值和逻辑地址的值，计算出页目录项指针PDPE的物理地址值，之后，需要将该物理地址的内容映射到特权虚拟机的内存中；
步骤33，根据PDPE和虚拟地址的值，计算出页目录项PDE的物理地址值，并将DomU中该物理地址的内容映射到特权虚拟机的内存中；
步骤34，根据PDE和虚拟地址的值，计算出页表项PTE的物理地址值，并将DomU中该物理地址的内容映射到特权虚拟机的内存中；
步骤35，根据PTE和虚拟地址的值，计算出虚拟地址在DomU中对应的物理地址值，并将DomU中该物理地址的内容映射到特权虚拟机的内存中；
步骤36，得到的特权虚拟机中分配的页中的内容为要监控的虚拟地址的内容，通过对该页的内容进行读取操作完成监控操作。
所述的针对硬件虚拟化的内存监控方法，步骤32包括：
步骤41，对得到的物理地址值进行计算，得到对应的页框号以及在该页中的偏移量，页框号即该页所在页的起始地址；
步骤42，利用页框号及DomU的id，利用已经实现的特权虚拟机的内核模块的地址映射功能，在特权虚拟机中分配空闲页，将该页框号对应的一页内存的内容映射到该空闲页，即让这页内存对应到DomU中要映射页对应的机器地址中的页上，返回该空闲页；
步骤43，在返回的内存页中利用之前求得的PDPE在页中的偏移量既得PDPE的值；
步骤44，返回PDPE的值。
所述的针对硬件虚拟化的内存监控方法，步骤23包括：
步骤51，得到pid对应的进程的页目录表基址的虚拟地址；
步骤52，得到的进程的页目录表基地址的虚拟地址属于内核空间，因此，通过步骤22得到其对应的物理地址；
步骤53，利用得到的进程的页目录表基地址的物理地址进行页表查询，重复执行步骤22完成进程地址空间的内存的监控操作。
所述的针对硬件虚拟化的内存监控方法，步骤51包括：
步骤61，通过初始化得到DomU的初始进程init task的物理地址、进程结构的偏移量；
步骤62，由于进程在内存中是链表排列的，每个进程结构中都有一个指向下一个进程的指针，因此，从初始进程开始遍历所有的进程，利用获得的pid偏移量得到链表中每个进程的pid的值，与提供的pid进行比对，如果相同，则是要找的进程，否则继续查找；
步骤63，进程的页目录表项基地址的虚拟地址存在于进程结构中，利用之前得到的偏移量以及找到的进程地址即算出该地址。
所述的针对硬件虚拟化的内存监控方法，在步骤2执行64位操作系统时包括：
步骤71，用户提供要映射的DomU的进程的pid、DomU的id值以及虚拟地址；
步骤72，若pid为0，则该被监控的虚拟地址属于内核空间；
步骤73，若pid不为0，则该虚拟地址属于pid对应的进程地址空间，需拿到该进程的页目录表项基址的虚拟地址，再进一步转换为其物理地址进行寻址。
所述的针对硬件虚拟化的内存监控方法，步骤72包括：
步骤81，通过特权虚拟机中实现的访问Xen的内核模块向Xen发送获取要映射的DomU的CR3寄存器中的页目录表物理内存基址；
步骤82，根据页表基址的值和逻辑地址的值，计算出第四级页表项PML4E的物理地址值，之后，将该物理地址的内容映射到特权虚拟机的内存中；
步骤83，根据PML4E和虚拟地址的值，计算出页目录项指针PDPE的物理地址值，并将DomU中该物理地址的内容映射到特权虚拟机的内存中；
步骤84，根据PDPE和虚拟地址的值，计算出页目录项PDE的物理地址值，并将DomU中该物理地址的内容映射到特权虚拟机的内存中；
步骤85，根据PDE和虚拟地址的值，计算出页表项PTE的物理地址值，并将DomU中该物理地址的内容映射到特权虚拟机的内存中；
步骤86，根据PTE和虚拟地址的值，计算出虚拟地址在DomU中对应的物理地址值，并将DomU中该物理地址的内容映射到特权虚拟机的内存中；
步骤87，得到的特权虚拟机中分配的页中的内容既是要监控的虚拟地址的内容，通过对该页的内容读取操作完成监控操作。
所述的针对硬件虚拟化的内存监控方法，步骤82包括：
步骤91，对得到的物理地址值进行计算，得到对应的页框号以及在该页中的偏移量，页框号即该页所在页的起始地址；
步骤92，利用页框号及DomU的id，利用已经实现的特权虚拟机的内核模块的地址映射功能，在特权虚拟机中分配一页空闲页，将该页框号对应的一页内存的内容映射到该空闲页，即让这页内存对应到DomU中要映射页对应的机器地址中的页上，返回该空闲页；
步骤93，在返回的内存页中利用之前求得的PML4E在页中的偏移量既得PML4E的值；
步骤94，返回PML4E的值。
所述的针对硬件虚拟化的内存监控方法，步骤73包括：
步骤101，得到pid对应的进程的页目录表基址的虚拟地址；
步骤102，利用得到的进程的页目录表基地址的虚拟地址通过A2步骤可以得到其对应的物理地址；
步骤103，利用得到的进程的页目录表基地址的物理地址进行页表查询，重复执行步骤72，从而完成进程地址空间的内存的监控操作。
所述的针对硬件虚拟化的内存监控方法，步骤101包括：
步骤111，通过初始化得到DomU的初始进程init task的物理地址、进程结构的偏移量；
步骤112，由于进程在内存中是链表排列的，每个进程结构中都有一个指向下一个进程的指针，因此，从初始进程开始遍历所有的进程，利用获得的pid偏移量得到链表中每个进程的pid的值，与提供的pid进行比对，如果相同，则是要找的进程，否则继续查找；
步骤113，进程的页目录表项基地址的虚拟地址存在于进程结构中，利用之前得到的偏移量以及找到的进程地址即算出该地址。
本发明公开一种针对硬件虚拟化的内存监控系统，包括：
建立监控参数模块，用于建立客户域DomU，根据操作系统的运算能力建立内存监控参数，所述操作系统的运算能力包括32位操作系统和64位操作系统；
监控优化模块，用于将客户域DomU的配置文件初始化，导入内存监控参数，并对内存监控参数进行映射操作，实现内存监控优化。
所述的针对硬件虚拟化的内存监控系统，在32位操作系统的监控优化模块包括：
提供信息模块，用于用户提供要映射的DomU的进程的pid、DomU的id值以及虚拟地址；
指向内核空间模块，用于若pid为0，则该被监控的虚拟地址属于内核空间；
指向进程地址空间模块，用于若pid不为0，则该虚拟地址属于pid对应的进程地址空间，由于在用户空间中地址的存在形式为虚拟地址，首先获取该进程的页目录表项基址的虚拟地址，然后转换为其物理地址进行寻址。
所述的针对硬件虚拟化的内存监控系统，指向内核空间模块包括：
发送地址模块，用于通过特权虚拟机中实现的访问Xen的内核模块向Xen发送获取要映射的DomU的CR3寄存器中的页目录表物理内存基址；
计算模块，用于根据页表基址的值和逻辑地址的值，计算出页目录项指针PDPE的物理地址值，之后，需要将该物理地址的内容映射到特权虚拟机的内存中；根据PDPE和虚拟地址的值，计算出页目录项PDE的物理地址值，并将DomU中该物理地址的内容映射到特权虚拟机的内存中；根据PDE和虚拟地址的值，计算出页表项PTE的物理地址值，并将DomU中该物理地址的内容映射到特权虚拟机的内存中；根据PTE和虚拟地址的值，计算出虚拟地址在DomU中对应的物理地址值，并将DomU中该物理地址的内容映射到特权虚拟机的内存中；
获得虚拟地址模块，用于得到的特权虚拟机中分配的页中的内容为要监控的虚拟地址的内容，通过对该页的内容进行读取操作完成监控操作。
所述的针对硬件虚拟化的内存监控系统，计算模块还包括：
对得到的物理地址值进行计算，得到对应的页框号以及在该页中的偏移量，页框号即该页所在页的起始地址；利用页框号及DomU的id，利用已经实现的特权虚拟机的内核模块的地址映射功能，在特权虚拟机中分配空闲页，将该页框号对应的一页内存的内容映射到该空闲页，即让这页内存对应到DomU中要映射页对应的机器地址中的页上，返回该空闲页；在返回的内存页中利用之前求得的PDPE在页中的偏移量既得PDPE的值；返回PDPE的值。
所述的针对硬件虚拟化的内存监控系统，指向进程地址空间模块包括：
获得虚拟地址模块，用于得到pid对应的进程的页目录表基址的虚拟地址；
获得物理地址模块，用于得到的进程的页目录表基地址的虚拟地址属于内核空间，因此，通过指向内核空间模块得到其对应的物理地址；
页表查询模块，用于利用得到的进程的页目录表基地址的物理地址进行页表查询，重复执行指向内核空间模块完成进程地址空间的内存的监控操作。
所述的针对硬件虚拟化的内存监控系统，获得虚拟地址模块包括：
通过初始化得到DomU的初始进程init task的物理地址、进程结构的偏移量；由于进程在内存中是链表排列的，每个进程结构中都有一个指向下一个进程的指针，因此，从初始进程开始遍历所有的进程，利用获得的pid偏移量得到链表中每个进程的pid的值，与提供的pid进行比对，如果相同，则是要找的进程，否则继续查找；进程的页目录表项基地址的虚拟地址存在于进程结构中，利用之前得到的偏移量以及找到的进程地址即算出该地址。
所述的针对硬件虚拟化的内存监控系统，在64位操作系统的监控优化模块包括：
提供信息模块，用于用户提供要映射的DomU的进程的pid、DomU的id值以及虚拟地址；
指向内核空间模块，用于若pid为0，则该被监控的虚拟地址属于内核空间；
指向进程地址空间模块，用于若pid不为0，则该虚拟地址属于pid对应的进程地址空间，需拿到该进程的页目录表项基址的虚拟地址，再进一步转换为其物理地址进行寻址。
所述的针对硬件虚拟化的内存监控系统，指向内核空间模块还包括：
发送地址模块，用于通过特权虚拟机中实现的访问Xen的内核模块向Xen发送获取要映射的DomU的CR3寄存器中的页目录表物理内存基址；
计算模块，用于根据页表基址的值和逻辑地址的值，计算出第四级页表项PML4E的物理地址值，之后，将该物理地址的内容映射到特权虚拟机的内存中；根据PML4E和虚拟地址的值，计算出页目录项指针PDPE的物理地址值，并将DomU中该物理地址的内容映射到特权虚拟机的内存中；根据PDPE和虚拟地址的值，计算出页目录项PDE的物理地址值，并将DomU中该物理地址的内容映射到特权虚拟机的内存中；根据PDE和虚拟地址的值，计算出页表项PTE的物理地址值，并将DomU中该物理地址的内容映射到特权虚拟机的内存中；根据PTE和虚拟地址的值，计算出虚拟地址在DomU中对应的物理地址值，并将DomU中该物理地址的内容映射到特权虚拟机的内存中；
获得虚拟地址模块，用于得到的特权虚拟机中分配的页中的内容既是要监控的虚拟地址的内容，通过对该页的内容读取操作完成监控操作。
所述的针对硬件虚拟化的内存监控系统，计算模块还包括：
对得到的物理地址值进行计算，得到对应的页框号以及在该页中的偏移量，页框号即该页所在页的起始地址；利用页框号及DomU的id，利用已经实现的特权虚拟机的内核模块的地址映射功能，在特权虚拟机中分配一页空闲页，将该页框号对应的一页内存的内容映射到该空闲页，即让这页内存对应到DomU中要映射页对应的机器地址中的页上，返回该空闲页；在返回的内存页中利用之前求得的PML4E在页中的偏移量既得PML4E的值；返回PML4E的值。
所述的针对硬件虚拟化的内存监控系统，指向进程地址空间模块包括：
获得虚拟地址模块，用于得到pid对应的进程的页目录表基址的虚拟地址；
获得物理地址模块，用于利用得到的进程的页目录表基地址的虚拟地址通过A2步骤可以得到其对应的物理地址；
页表查询模块，用于利用得到的进程的页目录表基地址的物理地址进行页表查询，重复执行指向内核空间模块，从而完成进程地址空间的内存的监控操作。
所述的针对硬件虚拟化的内存监控系统，获得虚拟地址模块包括：
通过初始化得到DomU的初始进程init task的物理地址、进程结构的偏移量；由于进程在内存中是链表排列的，每个进程结构中都有一个指向下一个进程的指针，因此，从初始进程开始遍历所有的进程，利用获得的pid偏移量得到链表中每个进程的pid的值，与提供的pid进行比对，如果相同，则是要找的进程，否则继续查找；进程的页目录表项基地址的虚拟地址存在于进程结构中，利用之前得到的偏移量以及找到的进程地址即算出该地址。
本发明的有益效果为：使用特权虚拟机代替Dom0来进行内存监控，且对于装有32位操作系统和64位操作系统的DomU都可以进行内存监控，这样设计既可以将内存监控功能独立管理，也减轻了Dom0的性能负担，提供了一种针对虚拟化架构实用性强的内存监控技术，为检测病毒特征、恶意软件攻击行为以及分析操作系统运行机理等提供了一种高效实用的手段。
附图说明
图1为本发明特权虚拟机内存监控流程示意图；
图2为本发明特权虚拟机内核模块内存映射流程示意图；
图3为本发明针对硬件虚拟化的内存监控方法流程图；
图4为本发明针对硬件虚拟化的内存监控系统流程图。
具体实施方式
下面给出本发明的具体实施方式，结合附图对本发明做出了详细描述。
本方法针对两种平台。在内存监控的程序中，需要对32位和64位系统采取独立的步骤，通过用户给定的一台DomU需要监控进程号（系统中以pid表示）以及该进程中要监控的虚拟地址来对该地址的内容进行监控的步骤如下：
当DomU的操作系统为32位操作系统的PAE模式时，步骤如下，流程如图1所示：
A1.用户提供要映射的DomU的进程的pid、DomU的id值以及虚拟地址。
A2.若pid为0，则该被监控的虚拟地址属于内核空间，具体实施步骤如下：
1.通过特权虚拟机中实现的访问Xen的内核模块向Xen发送获取要映射的DomU的CR3寄存器中的页目录表物理内存基址。
2.根据页表基址的值和逻辑地址的值，计算出页目录项指针（PageDirectory Pointer Entry，以下简称PDPE）的物理地址值，之后，需要将该物理地址的内容映射到特权虚拟机的内存中，具体步骤如下：
1).对得到的物理地址值进行计算，得到对应的页框号以及在该页中的偏移量，页框号即该页所在页的起始地址。
2).利用页框号及DomU的id，利用已经实现的特权虚拟机的内核模块的地址映射功能，在特权虚拟机中分配一页空闲页，将该页框号对应的一页内存的内容映射到该空闲页，即让这页内存对应到DomU中要映射页对应的机器地址中的页上，返回该空闲页，如图2所示。
3).在返回的内存页中利用之前求得的PDPE在页中的偏移量既得PDPE的值。
4).返回PDPE的值。
3.根据PDPE和虚拟地址的值，计算出页目录项（Page Directory Entry，以下简称PDE）的物理地址值，并将DomU中该物理地址的内容映射过来，具体步骤参见A2的步骤2，其中的PDPE在本例中是PDE。
4.根据PDE和虚拟地址的值，计算出页表项（Page Table Entry，以下简称PTE）的物理地址值，并将DomU中该物理地址的内容映射过来，具体步骤参见A2的步骤2，其中的PDPE在本例中是PTE。
5.根据PTE和虚拟地址的值，计算出虚拟地址在DomU中对应的物理地址值，并将DomU中该物理地址的内容映射过来，具体步骤参见A2的步骤2，其中的PDPE在本例中要求的虚拟地址对应的物理地址值
6.得到的特权虚拟机中分配的页中的内容既是要监控的虚拟地址的内容，这时候就可以通过对该页的内容读取操作完成监控功能。
A3.若pid不为0，则该虚拟地址属于pid对应的进程地址空间，由于在用户空间中地址的存在形式都是虚拟地址，因此首先需要拿到该进程的页目录表项基址的虚拟地址，再进一步转换为其物理地址进行寻址。具体实施步骤如下：
1．得到pid对应的进程的页目录表基址的虚拟地址，具体实施步骤如下：
1).通过初始化得到DomU的初始进程（init task）的物理地址、进程结构中的一些项的偏移量（如pid在进程结构中的偏移量）。
2).由于进程在内存中是链表排列的，每个进程结构中都有一个指向下一个进程的指针，因此，可以从初始进程开始遍历所有的进程，利用获得的pid偏移量得到链表中每个进程的pid的值，与提供的pid进行比对，如果相同，则是要找的进程，否则继续查找；
3).进程的页目录表项基地址的虚拟地址存在于进程结构中，利用之前得到的偏移量以及找到的进程地址即算出该地址；
2.得到的进程的页目录表基地址的虚拟地址属于内核空间，因此，通过A2步骤可以得到其对应的物理地址。
3.利用得到的进程的页目录表基地址的物理地址进行页表查询，具体步骤同A2，如此，完成了进程地址空间的内存的监控功能。
当DomU的操作系统为64位时，步骤如下，流程图可参考图1，比上种情况多一层映射。
A1.用户提供要映射的DomU的进程的pid、DomU的id值以及虚拟地址。
A2.若pid为0，则该被监控的虚拟地址属于内核空间，具体实施步骤如下：
1.通过特权虚拟机中实现的访问Xen的内核模块向Xen发送获取要映射的DomU的CR3寄存器中的页目录表物理内存基址。
2.根据页表基址的值和逻辑地址的值，计算出第四级页表项（Page MapLevel 4 Entry，以下简称PML4E）的物理地址值，之后，需要将该物理地址的内容映射到特权虚拟机的内存中，具体步骤如下：
1).对得到的物理地址值进行计算，得到对应的页框号以及在该页中的偏移量，页框号即该页所在页的起始地址；
2).利用页框号及DomU的id，利用已经实现的特权虚拟机的内核模块的地址映射功能，在特权虚拟机中分配一页空闲页，将该页框号对应的一页内存的内容映射到该空闲页，即让这页内存对应到DomU中要映射页对应的机器地址中的页上，返回该空闲页；
3).在返回的内存页中利用之前求得的PML4E在页中的偏移量既得PML4E的值；
4).返回PML4E的值；
3.根据PML4E和虚拟地址的值，计算出页目录项指针（Page DirectoryPointer Entry，以下简称PDPE）的物理地址值，并将DomU中该物理地址的内容映射过来，具体步骤参见A2的步骤2，其中的PML4E在本例中是PDPE；
4.根据PDPE和虚拟地址的值，计算出页目录项（Page Directory Entry，以下简称PDE）的物理地址值，并将DomU中该物理地址的内容映射过来，具体步骤参见A2的步骤2，其中的PML4E在本例中是PDE；
5.根据PDE和虚拟地址的值，计算出页表项（Page Table Entry，以下简称PTE）的物理地址值，并将DomU中该物理地址的内容映射过来，具体步骤参见A2的步骤2，其中的PML4E在本例中是PTE；
6.根据PTE和虚拟地址的值，计算出虚拟地址在DomU中对应的物理地址值，并将DomU中该物理地址的内容映射过来，具体步骤参见A2的步骤2，其中的PML4E在本例中是求的虚拟地址对应的物理地址值；
7.得到的特权虚拟机中分配的页中的内容既是要监控的虚拟地址的内容，这时候就可以通过对该页的内容读取操作完成监控功能。
A3.若pid不为0，则该虚拟地址属于pid对应的进程地址空间，需拿到该进程的页目录表项基址的虚拟地址，再进一步转换为其物理地址进行寻址。具体实施步骤如下：
1．得到pid对应的进程的页目录表基址的虚拟地址，具体实施步骤同第一种情况的A3中步骤1；
2.利用得到的进程的页目录表基地址的虚拟地址通过A2步骤可以得到其对应的物理地址；
3.利用得到的进程的页目录表基地址的物理地址进行页表查询，具体步骤同A2，如此，完成了进程地址空间的内存的监控功能。
实现的系统基于Xen架构，特权虚拟机的操作系统为windows server 2003，32位的DomU的操作系统为windows xp sp3，支持PAE模式，64位的DomU的系统为SUSE 11 SP1。
具体实施方式为：a)构建可以与Xen进行通信的特权虚拟机，该虚拟机为HVM形式，装有windows 2003操作系统；b)利用该虚拟机，在32位PAE模式HVM DomU运行过程中对其虚拟地址对应的内存内容进行监控；c)利用该虚拟机，在64位HVM DomU运行过程中对其虚拟地址对应的内存内容进行监控。
具体步骤如下：
1、构建HVM特权虚拟机，具体实现方法如下：
a）启动Xen
b）启动该特权虚拟机，安装windows 2003操作系统
c）安装具备与Xen通信功能的驱动模块
d）开启监控程序，等待输入参数
2、对运行态的32位PAE模式的装有windows xp sp3的HVM虚拟机进行内存监控，具体实现方法如下：
a）输入监控参数，包括DomU的id值、要监控的进程pid、要监控的虚拟内存地址。
b）读取对应DomU的配置文件进行初始化，这个文件需要用户提供，包括操作系统类型、起始进程地址、进程结构偏移量、进程pid偏移量、进程页目录表基址偏移量。
c）申请内存空间，根据参数进行映射操作，返回给用户该内存空间的指针。
对运行态的64位的装有SUSE11 SP1的HVM虚拟机进行内存监控，具体实现方法同2。
如图3所示，本发明公开一种针对硬件虚拟化的内存监控方法，包括：
步骤1，建立客户域DomU，根据操作系统的运算能力建立内存监控参数，所述操作系统的运算能力包括32位操作系统和64位操作系统；
步骤2，将客户域DomU的配置文件初始化，导入内存监控参数，并对内存监控参数进行映射操作，实现内存监控优化。
所述的针对硬件虚拟化的内存监控方法，在步骤2执行32位操作系统时包括：
步骤21，用户提供要映射的DomU的进程的pid、DomU的id值以及虚拟地址；
步骤22，若pid为0，则该被监控的虚拟地址属于内核空间；
步骤23，若pid不为0，则该虚拟地址属于pid对应的进程地址空间，由于在用户空间中地址的存在形式为虚拟地址，首先获取该进程的页目录表项基址的虚拟地址，然后转换为其物理地址进行寻址。
所述的针对硬件虚拟化的内存监控方法，步骤22包括：
步骤31，通过特权虚拟机中实现的访问Xen的内核模块向Xen发送获取要映射的DomU的CR3寄存器中的页目录表物理内存基址；
步骤32，根据页表基址的值和逻辑地址的值，计算出页目录项指针PDPE的物理地址值，之后，需要将该物理地址的内容映射到特权虚拟机的内存中；
步骤33，根据PDPE和虚拟地址的值，计算出页目录项PDE的物理地址值，并将DomU中该物理地址的内容映射到特权虚拟机的内存中；
步骤34，根据PDE和虚拟地址的值，计算出页表项PTE的物理地址值，并将DomU中该物理地址的内容映射到特权虚拟机的内存中；
步骤35，根据PTE和虚拟地址的值，计算出虚拟地址在DomU中对应的物理地址值，并将DomU中该物理地址的内容映射到特权虚拟机的内存中；
步骤36，得到的特权虚拟机中分配的页中的内容为要监控的虚拟地址的内容，通过对该页的内容进行读取操作完成监控操作。
所述的针对硬件虚拟化的内存监控方法，步骤32包括：
步骤41，对得到的物理地址值进行计算，得到对应的页框号以及在该页中的偏移量，页框号即该页所在页的起始地址；
步骤42，利用页框号及DomU的id，利用已经实现的特权虚拟机的内核模块的地址映射功能，在特权虚拟机中分配空闲页，将该页框号对应的一页内存的内容映射到该空闲页，即让这页内存对应到DomU中要映射页对应的机器地址中的页上，返回该空闲页；
步骤43，在返回的内存页中利用之前求得的PDPE在页中的偏移量既得PDPE的值；
步骤44，返回PDPE的值。
所述的针对硬件虚拟化的内存监控方法，步骤23包括：
步骤51，得到pid对应的进程的页目录表基址的虚拟地址；
步骤52，得到的进程的页目录表基地址的虚拟地址属于内核空间，因此，通过步骤22得到其对应的物理地址；
步骤53，利用得到的进程的页目录表基地址的物理地址进行页表查询，重复执行步骤22完成进程地址空间的内存的监控操作。
所述的针对硬件虚拟化的内存监控方法，步骤51包括：
步骤61，通过初始化得到DomU的初始进程init task的物理地址、进程结构的偏移量；
步骤62，由于进程在内存中是链表排列的，每个进程结构中都有一个指向下一个进程的指针，因此，从初始进程开始遍历所有的进程，利用获得的pid偏移量得到链表中每个进程的pid的值，与提供的pid进行比对，如果相同，则是要找的进程，否则继续查找；
步骤63，进程的页目录表项基地址的虚拟地址存在于进程结构中，利用之前得到的偏移量以及找到的进程地址即算出该地址。
所述的针对硬件虚拟化的内存监控方法，在步骤2执行64位操作系统时包括：
步骤71，用户提供要映射的DomU的进程的pid、DomU的id值以及虚拟地址；
步骤72，若pid为0，则该被监控的虚拟地址属于内核空间；
步骤73，若pid不为0，则该虚拟地址属于pid对应的进程地址空间，需拿到该进程的页目录表项基址的虚拟地址，再进一步转换为其物理地址进行寻址。
所述的针对硬件虚拟化的内存监控方法，步骤72包括：
步骤81，通过特权虚拟机中实现的访问Xen的内核模块向Xen发送获取要映射的DomU的CR3寄存器中的页目录表物理内存基址；
步骤82，根据页表基址的值和逻辑地址的值，计算出第四级页表项PML4E的物理地址值，之后，将该物理地址的内容映射到特权虚拟机的内存中；
步骤83，根据PML4E和虚拟地址的值，计算出页目录项指针PDPE的物理地址值，并将DomU中该物理地址的内容映射到特权虚拟机的内存中；
步骤84，根据PDPE和虚拟地址的值，计算出页目录项PDE的物理地址值，并将DomU中该物理地址的内容映射到特权虚拟机的内存中；
步骤85，根据PDE和虚拟地址的值，计算出页表项PTE的物理地址值，并将DomU中该物理地址的内容映射到特权虚拟机的内存中；
步骤86，根据PTE和虚拟地址的值，计算出虚拟地址在DomU中对应的物理地址值，并将DomU中该物理地址的内容映射到特权虚拟机的内存中；
步骤87，得到的特权虚拟机中分配的页中的内容既是要监控的虚拟地址的内容，通过对该页的内容读取操作完成监控操作。
所述的针对硬件虚拟化的内存监控方法，步骤82包括：
步骤91，对得到的物理地址值进行计算，得到对应的页框号以及在该页中的偏移量，页框号即该页所在页的起始地址；
步骤92，利用页框号及DomU的id，利用已经实现的特权虚拟机的内核模块的地址映射功能，在特权虚拟机中分配一页空闲页，将该页框号对应的一页内存的内容映射到该空闲页，即让这页内存对应到DomU中要映射页对应的机器地址中的页上，返回该空闲页；
步骤93，在返回的内存页中利用之前求得的PML4E在页中的偏移量既得PML4E的值；
步骤94，返回PML4E的值。
所述的针对硬件虚拟化的内存监控方法，步骤73包括：
步骤101，得到pid对应的进程的页目录表基址的虚拟地址；
步骤102，利用得到的进程的页目录表基地址的虚拟地址通过A2步骤可以得到其对应的物理地址；
步骤103，利用得到的进程的页目录表基地址的物理地址进行页表查询，重复执行步骤72，从而完成进程地址空间的内存的监控操作。
所述的针对硬件虚拟化的内存监控方法，步骤101包括：
步骤111，通过初始化得到DomU的初始进程init task的物理地址、进程结构的偏移量；
步骤112，由于进程在内存中是链表排列的，每个进程结构中都有一个指向下一个进程的指针，因此，从初始进程开始遍历所有的进程，利用获得的pid偏移量得到链表中每个进程的pid的值，与提供的pid进行比对，如果相同，则是要找的进程，否则继续查找；
步骤113，进程的页目录表项基地址的虚拟地址存在于进程结构中，利用之前得到的偏移量以及找到的进程地址即算出该地址。
如图4所示，本发明公开一种针对硬件虚拟化的内存监控系统，包括：
建立监控参数模块10，用于建立客户域DomU，根据操作系统的运算能力建立内存监控参数，所述操作系统的运算能力包括32位操作系统和64位操作系统；
监控优化模块20，用于将客户域DomU的配置文件初始化，导入内存监控参数，并对内存监控参数进行映射操作，实现内存监控优化。
所述的针对硬件虚拟化的内存监控系统，在32位操作系统的监控优化模块包括：
提供信息模块，用于用户提供要映射的DomU的进程的pid、DomU的id值以及虚拟地址；
指向内核空间模块，用于若pid为0，则该被监控的虚拟地址属于内核空间；
指向进程地址空间模块，用于若pid不为0，则该虚拟地址属于pid对应的进程地址空间，由于在用户空间中地址的存在形式为虚拟地址，首先获取该进程的页目录表项基址的虚拟地址，然后转换为其物理地址进行寻址。
所述的针对硬件虚拟化的内存监控系统，指向内核空间模块包括：
发送地址模块，用于通过特权虚拟机中实现的访问Xen的内核模块向Xen发送获取要映射的DomU的CR3寄存器中的页目录表物理内存基址；
计算模块，用于根据页表基址的值和逻辑地址的值，计算出页目录项指针PDPE的物理地址值，之后，需要将该物理地址的内容映射到特权虚拟机的内存中；根据PDPE和虚拟地址的值，计算出页目录项PDE的物理地址值，并将DomU中该物理地址的内容映射到特权虚拟机的内存中；根据PDE和虚拟地址的值，计算出页表项PTE的物理地址值，并将DomU中该物理地址的内容映射到特权虚拟机的内存中；根据PTE和虚拟地址的值，计算出虚拟地址在DomU中对应的物理地址值，并将DomU中该物理地址的内容映射到特权虚拟机的内存中；
获得虚拟地址模块，用于得到的特权虚拟机中分配的页中的内容为要监控的虚拟地址的内容，通过对该页的内容进行读取操作完成监控操作。
所述的针对硬件虚拟化的内存监控系统，计算模块还包括：
对得到的物理地址值进行计算，得到对应的页框号以及在该页中的偏移量，页框号即该页所在页的起始地址；利用页框号及DomU的id，利用已经实现的特权虚拟机的内核模块的地址映射功能，在特权虚拟机中分配空闲页，将该页框号对应的一页内存的内容映射到该空闲页，即让这页内存对应到DomU中要映射页对应的机器地址中的页上，返回该空闲页；在返回的内存页中利用之前求得的PDPE在页中的偏移量既得PDPE的值；返回PDPE的值。
所述的针对硬件虚拟化的内存监控系统，指向进程地址空间模块包括：
获得虚拟地址模块，用于得到pid对应的进程的页目录表基址的虚拟地址；
获得物理地址模块，用于得到的进程的页目录表基地址的虚拟地址属于内核空间，因此，通过指向内核空间模块得到其对应的物理地址；
页表查询模块，用于利用得到的进程的页目录表基地址的物理地址进行页表查询，重复执行指向内核空间模块完成进程地址空间的内存的监控操作。
所述的针对硬件虚拟化的内存监控系统，获得虚拟地址模块包括：
通过初始化得到DomU的初始进程init task的物理地址、进程结构的偏移量；由于进程在内存中是链表排列的，每个进程结构中都有一个指向下一个进程的指针，因此，从初始进程开始遍历所有的进程，利用获得的pid偏移量得到链表中每个进程的pid的值，与提供的pid进行比对，如果相同，则是要找的进程，否则继续查找；进程的页目录表项基地址的虚拟地址存在于进程结构中，利用之前得到的偏移量以及找到的进程地址即算出该地址。
所述的针对硬件虚拟化的内存监控系统，在64位操作系统的监控优化模块包括：
提供信息模块，用于用户提供要映射的DomU的进程的pid、DomU的id值以及虚拟地址；
指向内核空间模块，用于若pid为0，则该被监控的虚拟地址属于内核空间；
指向进程地址空间模块，用于若pid不为0，则该虚拟地址属于pid对应的进程地址空间，需拿到该进程的页目录表项基址的虚拟地址，再进一步转换为其物理地址进行寻址。
所述的针对硬件虚拟化的内存监控系统，指向内核空间模块还包括：
发送地址模块，用于通过特权虚拟机中实现的访问Xen的内核模块向Xen发送获取要映射的DomU的CR3寄存器中的页目录表物理内存基址；
计算模块，用于根据页表基址的值和逻辑地址的值，计算出第四级页表项PML4E的物理地址值，之后，将该物理地址的内容映射到特权虚拟机的内存中；根据PML4E和虚拟地址的值，计算出页目录项指针PDPE的物理地址值，并将DomU中该物理地址的内容映射到特权虚拟机的内存中；根据PDPE和虚拟地址的值，计算出页目录项PDE的物理地址值，并将DomU中该物理地址的内容映射到特权虚拟机的内存中；根据PDE和虚拟地址的值，计算出页表项PTE的物理地址值，并将DomU中该物理地址的内容映射到特权虚拟机的内存中；根据PTE和虚拟地址的值，计算出虚拟地址在DomU中对应的物理地址值，并将DomU中该物理地址的内容映射到特权虚拟机的内存中；
获得虚拟地址模块，用于得到的特权虚拟机中分配的页中的内容既是要监控的虚拟地址的内容，通过对该页的内容读取操作完成监控操作。
所述的针对硬件虚拟化的内存监控系统，计算模块还包括：
对得到的物理地址值进行计算，得到对应的页框号以及在该页中的偏移量，页框号即该页所在页的起始地址；利用页框号及DomU的id，利用已经实现的特权虚拟机的内核模块的地址映射功能，在特权虚拟机中分配一页空闲页，将该页框号对应的一页内存的内容映射到该空闲页，即让这页内存对应到DomU中要映射页对应的机器地址中的页上，返回该空闲页；在返回的内存页中利用之前求得的PML4E在页中的偏移量既得PML4E的值；返回PML4E的值。
所述的针对硬件虚拟化的内存监控系统，指向进程地址空间模块包括：
获得虚拟地址模块，用于得到pid对应的进程的页目录表基址的虚拟地址；
获得物理地址模块，用于利用得到的进程的页目录表基地址的虚拟地址通过A2步骤可以得到其对应的物理地址；
页表查询模块，用于利用得到的进程的页目录表基地址的物理地址进行页表查询，重复执行指向内核空间模块，从而完成进程地址空间的内存的监控操作。
所述的针对硬件虚拟化的内存监控系统，获得虚拟地址模块包括：
通过初始化得到DomU的初始进程init task的物理地址、进程结构的偏移量；由于进程在内存中是链表排列的，每个进程结构中都有一个指向下一个进程的指针，因此，从初始进程开始遍历所有的进程，利用获得的pid偏移量得到链表中每个进程的pid的值，与提供的pid进行比对，如果相同，则是要找的进程，否则继续查找；进程的页目录表项基地址的虚拟地址存在于进程结构中，利用之前得到的偏移量以及找到的进程地址即算出该地址。
本领域的技术人员在不脱离权利要求书确定的本发明的精神和范围的条件下，还可以对以上内容进行各种各样的修改。因此本发明的范围并不仅限于以上的说明，而是由权利要求书的范围来确定的。
Claims (22)
1.一种针对硬件虚拟化的内存监控方法，其特征在于，包括：
步骤1，建立客户域DomU，根据操作系统的运算能力建立内存监控参数，所述操作系统的运算能力包括32位操作系统和64位操作系统；
步骤2，将客户域DomU的配置文件初始化，导入内存监控参数，并对内存监控参数进行映射操作，实现内存监控优化。
2.如权利要求1所述的针对硬件虚拟化的内存监控方法，其特征在于，在步骤2执行32位操作系统时包括：
步骤21，用户提供要映射的DomU的进程的pid、DomU的id值以及虚拟地址；
步骤22，若pid为0，则该被监控的虚拟地址属于内核空间；
步骤23，若pid不为0，则该虚拟地址属于pid对应的进程地址空间，由于在用户空间中地址的存在形式为虚拟地址，首先获取该进程的页目录表项基址的虚拟地址，然后转换为其物理地址进行寻址。
3.如权利要求2所述的针对硬件虚拟化的内存监控方法，其特征在于，步骤22包括：
步骤31，通过特权虚拟机中实现的访问Xen的内核模块向Xen发送获取要映射的DomU的CR3寄存器中的页目录表物理内存基址；
步骤32，根据页表基址的值和逻辑地址的值，计算出页目录项指针PDPE的物理地址值，之后，需要将该物理地址的内容映射到特权虚拟机的内存中；
步骤33，根据PDPE和虚拟地址的值，计算出页目录项PDE的物理地址值，并将DomU中该物理地址的内容映射到特权虚拟机的内存中；
步骤34，根据PDE和虚拟地址的值，计算出页表项PTE的物理地址值，并将DomU中该物理地址的内容映射到特权虚拟机的内存中；
步骤35，根据PTE和虚拟地址的值，计算出虚拟地址在DomU中对应的物理地址值，并将DomU中该物理地址的内容映射到特权虚拟机的内存中；
步骤36，得到的特权虚拟机中分配的页中的内容为要监控的虚拟地址的内容，通过对该页的内容进行读取操作完成监控操作。
4.如权利要求3所述的针对硬件虚拟化的内存监控方法，其特征在于，步骤32包括：
步骤41，对得到的物理地址值进行计算，得到对应的页框号以及在该页中的偏移量，页框号即该页所在页的起始地址；
步骤42，利用页框号及DomU的id，利用已经实现的特权虚拟机的内核模块的地址映射功能，在特权虚拟机中分配空闲页，将该页框号对应的一页内存的内容映射到该空闲页，即让这页内存对应到DomU中要映射页对应的机器地址中的页上，返回该空闲页；
步骤43，在返回的内存页中利用之前求得的PDPE在页中的偏移量既得PDPE的值；
步骤44，返回PDPE的值。
5.如权利要求2所述的针对硬件虚拟化的内存监控方法，其特征在于，步骤23包括：
步骤51，得到pid对应的进程的页目录表基址的虚拟地址；
步骤52，得到的进程的页目录表基地址的虚拟地址属于内核空间，因此，通过步骤22得到其对应的物理地址；
步骤53，利用得到的进程的页目录表基地址的物理地址进行页表查询，重复执行步骤22完成进程地址空间的内存的监控操作。
6.如权利要求5所述的针对硬件虚拟化的内存监控方法，其特征在于，步骤51包括：
步骤61，通过初始化得到DomU的初始进程init task的物理地址、进程结构的偏移量；
步骤62，由于进程在内存中是链表排列的，每个进程结构中都有一个指向下一个进程的指针，因此，从初始进程开始遍历所有的进程，利用获得的pid偏移量得到链表中每个进程的pid的值，与提供的pid进行比对，如果相同，则是要找的进程，否则继续查找；
步骤63，进程的页目录表项基地址的虚拟地址存在于进程结构中，利用之前得到的偏移量以及找到的进程地址即算出该地址。
7.如权利要求1所述的针对硬件虚拟化的内存监控方法，其特征在于，在步骤2执行64位操作系统时包括：
步骤71，用户提供要映射的DomU的进程的pid、DomU的id值以及虚拟地址；
步骤72，若pid为0，则该被监控的虚拟地址属于内核空间；
步骤73，若pid不为0，则该虚拟地址属于pid对应的进程地址空间，需拿到该进程的页目录表项基址的虚拟地址，再进一步转换为其物理地址进行寻址。
8.如权利要求7所述的针对硬件虚拟化的内存监控方法，其特征在于，步骤72包括：
步骤81，通过特权虚拟机中实现的访问Xen的内核模块向Xen发送获取要映射的DomU的CR3寄存器中的页目录表物理内存基址；
步骤82，根据页表基址的值和逻辑地址的值，计算出第四级页表项PML4E的物理地址值，之后，将该物理地址的内容映射到特权虚拟机的内存中；
步骤83，根据PML4E和虚拟地址的值，计算出页目录项指针PDPE的物理地址值，并将DomU中该物理地址的内容映射到特权虚拟机的内存中；
步骤84，根据PDPE和虚拟地址的值，计算出页目录项PDE的物理地址值，并将DomU中该物理地址的内容映射到特权虚拟机的内存中；
步骤85，根据PDE和虚拟地址的值，计算出页表项PTE的物理地址值，并将DomU中该物理地址的内容映射到特权虚拟机的内存中；
步骤86，根据PTE和虚拟地址的值，计算出虚拟地址在DomU中对应的物理地址值，并将DomU中该物理地址的内容映射到特权虚拟机的内存中；
步骤87，得到的特权虚拟机中分配的页中的内容既是要监控的虚拟地址的内容，通过对该页的内容读取操作完成监控操作。
9.如权利要求8所述的针对硬件虚拟化的内存监控方法，其特征在于，步骤82包括：
步骤91，对得到的物理地址值进行计算，得到对应的页框号以及在该页中的偏移量，页框号即该页所在页的起始地址；
步骤92，利用页框号及DomU的id，利用已经实现的特权虚拟机的内核模块的地址映射功能，在特权虚拟机中分配一页空闲页，将该页框号对应的一页内存的内容映射到该空闲页，即让这页内存对应到DomU中要映射页对应的机器地址中的页上，返回该空闲页；
步骤93，在返回的内存页中利用之前求得的PML4E在页中的偏移量既得PML4E的值；
步骤94，返回PML4E的值。
10.如权利要求7所述的针对硬件虚拟化的内存监控方法，其特征在于，步骤73包括：
步骤101，得到pid对应的进程的页目录表基址的虚拟地址；
步骤102，利用得到的进程的页目录表基地址的虚拟地址通过A2步骤可以得到其对应的物理地址；
步骤103，利用得到的进程的页目录表基地址的物理地址进行页表查询，重复执行步骤72，从而完成进程地址空间的内存的监控操作。
11.如权利要求10所述的针对硬件虚拟化的内存监控方法，其特征在于，步骤101包括：
步骤111，通过初始化得到DomU的初始进程init task的物理地址、进程结构的偏移量；
步骤112，由于进程在内存中是链表排列的，每个进程结构中都有一个指向下一个进程的指针，因此，从初始进程开始遍历所有的进程，利用获得的pid偏移量得到链表中每个进程的pid的值，与提供的pid进行比对，如果相同，则是要找的进程，否则继续查找；
步骤113，进程的页目录表项基地址的虚拟地址存在于进程结构中，利用之前得到的偏移量以及找到的进程地址即算出该地址。
12.一种针对硬件虚拟化的内存监控系统，其特征在于，包括：
建立监控参数模块，用于建立客户域DomU，根据操作系统的运算能力建立内存监控参数，所述操作系统的运算能力包括32位操作系统和64位操作系统；
监控优化模块，用于将客户域DomU的配置文件初始化，导入内存监控参数，并对内存监控参数进行映射操作，实现内存监控优化。
13.如权利要求12所述的针对硬件虚拟化的内存监控系统，其特征在于，在32位操作系统的监控优化模块包括：
提供信息模块，用于用户提供要映射的DomU的进程的pid、DomU的id值以及虚拟地址；
指向内核空间模块，用于若pid为0，则该被监控的虚拟地址属于内核空间；
指向进程地址空间模块，用于若pid不为0，则该虚拟地址属于pid对应的进程地址空间，由于在用户空间中地址的存在形式为虚拟地址，首先获取该进程的页目录表项基址的虚拟地址，然后转换为其物理地址进行寻址。
14.如权利要求13所述的针对硬件虚拟化的内存监控系统，其特征在于，指向内核空间模块包括：
发送地址模块，用于通过特权虚拟机中实现的访问Xen的内核模块向Xen发送获取要映射的DomU的CR3寄存器中的页目录表物理内存基址；
计算模块，用于根据页表基址的值和逻辑地址的值，计算出页目录项指针PDPE的物理地址值，之后，需要将该物理地址的内容映射到特权虚拟机的内存中；根据PDPE和虚拟地址的值，计算出页目录项PDE的物理地址值，并将DomU中该物理地址的内容映射到特权虚拟机的内存中；根据PDE和虚拟地址的值，计算出页表项PTE的物理地址值，并将DomU中该物理地址的内容映射到特权虚拟机的内存中；根据PTE和虚拟地址的值，计算出虚拟地址在DomU中对应的物理地址值，并将DomU中该物理地址的内容映射到特权虚拟机的内存中；
获得虚拟地址模块，用于得到的特权虚拟机中分配的页中的内容为要监控的虚拟地址的内容，通过对该页的内容进行读取操作完成监控操作。
15.如权利要求14所述的针对硬件虚拟化的内存监控系统，其特征在于，计算模块还包括：
对得到的物理地址值进行计算，得到对应的页框号以及在该页中的偏移量，页框号即该页所在页的起始地址；利用页框号及DomU的id，利用已经实现的特权虚拟机的内核模块的地址映射功能，在特权虚拟机中分配空闲页，将该页框号对应的一页内存的内容映射到该空闲页，即让这页内存对应到DomU中要映射页对应的机器地址中的页上，返回该空闲页；在返回的内存页中利用之前求得的PDPE在页中的偏移量既得PDPE的值；返回PDPE的值。
16.如权利要求13所述的针对硬件虚拟化的内存监控系统，其特征在于，指向进程地址空间模块包括：
获得虚拟地址模块，用于得到pid对应的进程的页目录表基址的虚拟地址；
获得物理地址模块，用于得到的进程的页目录表基地址的虚拟地址属于内核空间，因此，通过指向内核空间模块得到其对应的物理地址；
页表查询模块，用于利用得到的进程的页目录表基地址的物理地址进行页表查询，重复执行指向内核空间模块完成进程地址空间的内存的监控操作。
17.如权利要求16所述的针对硬件虚拟化的内存监控系统，其特征在于，获得虚拟地址模块包括：
通过初始化得到DomU的初始进程init task的物理地址、进程结构的偏移量；由于进程在内存中是链表排列的，每个进程结构中都有一个指向下一个进程的指针，因此，从初始进程开始遍历所有的进程，利用获得的pid偏移量得到链表中每个进程的pid的值，与提供的pid进行比对，如果相同，则是要找的进程，否则继续查找；进程的页目录表项基地址的虚拟地址存在于进程结构中，利用之前得到的偏移量以及找到的进程地址即算出该地址。
18.如权利要求12所述的针对硬件虚拟化的内存监控系统，其特征在于，在64位操作系统的监控优化模块包括：
提供信息模块，用于用户提供要映射的DomU的进程的pid、DomU的id值以及虚拟地址；
指向内核空间模块，用于若pid为0，则该被监控的虚拟地址属于内核空间；
指向进程地址空间模块，用于若pid不为0，则该虚拟地址属于pid对应的进程地址空间，需拿到该进程的页目录表项基址的虚拟地址，再进一步转换为其物理地址进行寻址。
19.如权利要求18所述的针对硬件虚拟化的内存监控系统，其特征在于，指向内核空间模块还包括：
发送地址模块，用于通过特权虚拟机中实现的访问Xen的内核模块向Xen发送获取要映射的DomU的CR3寄存器中的页目录表物理内存基址；
计算模块，用于根据页表基址的值和逻辑地址的值，计算出第四级页表项PML4E的物理地址值，之后，将该物理地址的内容映射到特权虚拟机的内存中；根据PML4E和虚拟地址的值，计算出页目录项指针PDPE的物理地址值，并将DomU中该物理地址的内容映射到特权虚拟机的内存中；根据PDPE和虚拟地址的值，计算出页目录项PDE的物理地址值，并将DomU中该物理地址的内容映射到特权虚拟机的内存中；根据PDE和虚拟地址的值，计算出页表项PTE的物理地址值，并将DomU中该物理地址的内容映射到特权虚拟机的内存中；根据PTE和虚拟地址的值，计算出虚拟地址在DomU中对应的物理地址值，并将DomU中该物理地址的内容映射到特权虚拟机的内存中；
获得虚拟地址模块，用于得到的特权虚拟机中分配的页中的内容既是要监控的虚拟地址的内容，通过对该页的内容读取操作完成监控操作。
20.如权利要求19所述的针对硬件虚拟化的内存监控系统，其特征在于，计算模块还包括：
对得到的物理地址值进行计算，得到对应的页框号以及在该页中的偏移量，页框号即该页所在页的起始地址；利用页框号及DomU的id，利用已经实现的特权虚拟机的内核模块的地址映射功能，在特权虚拟机中分配一页空闲页，将该页框号对应的一页内存的内容映射到该空闲页，即让这页内存对应到DomU中要映射页对应的机器地址中的页上，返回该空闲页；在返回的内存页中利用之前求得的PML4E在页中的偏移量既得PML4E的值；返回PML4E的值。
21.如权利要求18所述的针对硬件虚拟化的内存监控系统，其特征在于，指向进程地址空间模块包括：
获得虚拟地址模块，用于得到pid对应的进程的页目录表基址的虚拟地址；
获得物理地址模块，用于利用得到的进程的页目录表基地址的虚拟地址通过A2步骤可以得到其对应的物理地址；
页表查询模块，用于利用得到的进程的页目录表基地址的物理地址进行页表查询，重复执行指向内核空间模块，从而完成进程地址空间的内存的监控操作。
22.如权利要求21所述的针对硬件虚拟化的内存监控系统，其特征在于，获得虚拟地址模块包括：
通过初始化得到DomU的初始进程init task的物理地址、进程结构的偏移量；由于进程在内存中是链表排列的，每个进程结构中都有一个指向下一个进程的指针，因此，从初始进程开始遍历所有的进程，利用获得的pid偏移量得到链表中每个进程的pid的值，与提供的pid进行比对，如果相同，则是要找的进程，否则继续查找；进程的页目录表项基地址的虚拟地址存在于进程结构中，利用之前得到的偏移量以及找到的进程地址即算出该地址。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201210160617.0A CN102736969B (zh) | 2012-05-22 | 2012-05-22 | 一种针对硬件虚拟化的内存监控方法和系统 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201210160617.0A CN102736969B (zh) | 2012-05-22 | 2012-05-22 | 一种针对硬件虚拟化的内存监控方法和系统 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN102736969A true CN102736969A (zh) | 2012-10-17 |
| CN102736969B CN102736969B (zh) | 2014-12-17 |
Family
ID=46992512
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN201210160617.0A Active CN102736969B (zh) | 2012-05-22 | 2012-05-22 | 一种针对硬件虚拟化的内存监控方法和系统 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN102736969B (zh) |
Cited By (12)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN103984536A (zh) * | 2014-02-14 | 2014-08-13 | 中国科学院计算技术研究所 | 一种云计算平台中的 i/o 请求计数系统及其方法 |
| CN104007956A (zh) * | 2013-02-27 | 2014-08-27 | 华为技术有限公司 | 一种操作系统进程识别跟踪及信息获取的方法和装置 |
| CN105393229A (zh) * | 2013-07-17 | 2016-03-09 | 比特梵德知识产权管理有限公司 | 虚拟机中的页面错误注入使得经换出的存储器页面映射到虚拟机虚拟化存储器中 |
| CN103744851B (zh) * | 2013-10-25 | 2017-04-12 | 中国科学院计算技术研究所 | 一种虚拟化环境中的进程信息监控系统及其方法 |
| WO2019062420A1 (zh) * | 2017-09-28 | 2019-04-04 | 华为技术有限公司 | 监控进程的方法和装置 |
| CN109582437A (zh) * | 2018-10-29 | 2019-04-05 | 中国科学院信息工程研究所 | 一种基于内存类型感知的恶意进程检测方法和系统 |
| CN109684829A (zh) * | 2018-12-04 | 2019-04-26 | 中国科学院数据与通信保护研究教育中心 | 一种虚拟化环境中服务调用监控方法和系统 |
| WO2020057394A1 (zh) * | 2018-09-19 | 2020-03-26 | 华为技术有限公司 | 监控样本进程的内存访问行为的方法和装置 |
| CN111026554A (zh) * | 2019-12-17 | 2020-04-17 | 山东省计算中心（国家超级计算济南中心） | 一种XenServer系统物理内存分析方法及系统 |
| CN114860627A (zh) * | 2022-07-06 | 2022-08-05 | 沐曦集成电路(上海)有限公司 | 基于地址信息动态生成页表的方法 |
| CN116126472A (zh) * | 2023-01-20 | 2023-05-16 | 北京麟卓信息科技有限公司 | 一种基于动态内存虚拟磁盘的跨运行环境文件快速共享方法 |
| CN117453352A (zh) * | 2023-12-21 | 2024-01-26 | 麒麟软件有限公司 | 一种Xen下的设备直通方法 |
Citations (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN101770551A (zh) * | 2008-12-30 | 2010-07-07 | 中国科学院软件研究所 | 一种基于硬件模拟器的处理隐藏进程的方法 |
| CN101814049A (zh) * | 2010-03-23 | 2010-08-25 | 北京大学 | 一种内存泄漏探测方法 |
-
2012
- 2012-05-22 CN CN201210160617.0A patent/CN102736969B/zh active Active
Patent Citations (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN101770551A (zh) * | 2008-12-30 | 2010-07-07 | 中国科学院软件研究所 | 一种基于硬件模拟器的处理隐藏进程的方法 |
| CN101814049A (zh) * | 2010-03-23 | 2010-08-25 | 北京大学 | 一种内存泄漏探测方法 |
Non-Patent Citations (2)
| Title |
|---|
| AMIR ALI SEMNANIAN: "Virtualization Technology and its Impact on Computer Hardware Architecture", 《IEEE》 * |
| BRYAN D: "Secure and Flexible Monitoring of Virtual Machines", 《IEEE》 * |
Cited By (24)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN104007956A (zh) * | 2013-02-27 | 2014-08-27 | 华为技术有限公司 | 一种操作系统进程识别跟踪及信息获取的方法和装置 |
| CN104007956B (zh) * | 2013-02-27 | 2017-08-04 | 华为技术有限公司 | 一种操作系统进程识别跟踪及信息获取的方法和装置 |
| CN105393229B (zh) * | 2013-07-17 | 2019-01-18 | 比特梵德知识产权管理有限公司 | 虚拟机中的页面错误注入 |
| CN105393229A (zh) * | 2013-07-17 | 2016-03-09 | 比特梵德知识产权管理有限公司 | 虚拟机中的页面错误注入使得经换出的存储器页面映射到虚拟机虚拟化存储器中 |
| CN103744851B (zh) * | 2013-10-25 | 2017-04-12 | 中国科学院计算技术研究所 | 一种虚拟化环境中的进程信息监控系统及其方法 |
| CN103984536A (zh) * | 2014-02-14 | 2014-08-13 | 中国科学院计算技术研究所 | 一种云计算平台中的 i/o 请求计数系统及其方法 |
| WO2019062420A1 (zh) * | 2017-09-28 | 2019-04-04 | 华为技术有限公司 | 监控进程的方法和装置 |
| CN109583190A (zh) * | 2017-09-28 | 2019-04-05 | 华为技术有限公司 | 监控进程的方法和装置 |
| CN109583190B (zh) * | 2017-09-28 | 2020-11-27 | 华为技术有限公司 | 监控进程的方法和装置 |
| US11972116B2 (en) | 2017-09-28 | 2024-04-30 | Huawei Technologies Co., Ltd. | Process monitoring method and apparatus |
| WO2020057394A1 (zh) * | 2018-09-19 | 2020-03-26 | 华为技术有限公司 | 监控样本进程的内存访问行为的方法和装置 |
| CN110928737A (zh) * | 2018-09-19 | 2020-03-27 | 华为技术有限公司 | 监控样本进程的内存访问行为的方法和装置 |
| US11467977B2 (en) | 2018-09-19 | 2022-10-11 | Huawei Technologies Co., Ltd. | Method and apparatus for monitoring memory access behavior of sample process |
| CN110928737B (zh) * | 2018-09-19 | 2021-05-18 | 华为技术有限公司 | 监控样本进程的内存访问行为的方法和装置 |
| CN109582437A (zh) * | 2018-10-29 | 2019-04-05 | 中国科学院信息工程研究所 | 一种基于内存类型感知的恶意进程检测方法和系统 |
| CN109684829A (zh) * | 2018-12-04 | 2019-04-26 | 中国科学院数据与通信保护研究教育中心 | 一种虚拟化环境中服务调用监控方法和系统 |
| CN111026554A (zh) * | 2019-12-17 | 2020-04-17 | 山东省计算中心（国家超级计算济南中心） | 一种XenServer系统物理内存分析方法及系统 |
| CN111026554B (zh) * | 2019-12-17 | 2023-05-02 | 山东省计算中心（国家超级计算济南中心） | 一种XenServer系统物理内存分析方法及系统 |
| CN114860627B (zh) * | 2022-07-06 | 2022-09-30 | 沐曦集成电路(上海)有限公司 | 基于地址信息动态生成页表的方法 |
| CN114860627A (zh) * | 2022-07-06 | 2022-08-05 | 沐曦集成电路(上海)有限公司 | 基于地址信息动态生成页表的方法 |
| CN116126472A (zh) * | 2023-01-20 | 2023-05-16 | 北京麟卓信息科技有限公司 | 一种基于动态内存虚拟磁盘的跨运行环境文件快速共享方法 |
| CN116126472B (zh) * | 2023-01-20 | 2023-06-09 | 北京麟卓信息科技有限公司 | 一种基于动态内存虚拟磁盘的跨运行环境文件快速共享方法 |
| CN117453352A (zh) * | 2023-12-21 | 2024-01-26 | 麒麟软件有限公司 | 一种Xen下的设备直通方法 |
| CN117453352B (zh) * | 2023-12-21 | 2024-04-09 | 麒麟软件有限公司 | 一种Xen下的设备直通方法 |
Also Published As
| Publication number | Publication date |
|---|---|
| CN102736969B (zh) | 2014-12-17 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN102736969B (zh) | 一种针对硬件虚拟化的内存监控方法和系统 | |
| US11868792B2 (en) | Dynamic device virtualization for use by guest user processes based on observed behaviors of native device drivers | |
| Mavridis et al. | Combining containers and virtual machines to enhance isolation and extend functionality on cloud computing | |
| US10691363B2 (en) | Virtual machine trigger | |
| KR101782398B1 (ko) | 보안된 가상 머신간 공유된 메모리 통신을 위한 기술 | |
| US9495540B2 (en) | Method and system for monitoring calls to an application program interface (API) function | |
| Ibrahim et al. | Cloudsec: a security monitoring appliance for virtual machines in the iaas cloud model | |
| US10102017B2 (en) | Timer access from user mode through a shared memory page | |
| US8613000B2 (en) | Method and apparatus for dynamically assigning I/O device in virtual machine system | |
| US10102022B2 (en) | System and method for configuring a virtual device | |
| US20180267819A1 (en) | Hypervisor-assisted approach for locating operating system data structures based on attribute matching | |
| Agarwal et al. | Containing the hype | |
| US10025580B2 (en) | Systems and methods for supporting multiple operating system versions | |
| KR101077908B1 (ko) | 서버 가상화 장치 | |
| US9600190B2 (en) | Virtual machine functions for multiple privileged pages | |
| US20230185593A1 (en) | Virtual device translation for nested virtual machines | |
| US11714756B2 (en) | Information handling systems and methods to improve the security and performance of a shared cache memory contained within a multi-core host processor | |
| US20220035649A1 (en) | Event notification support for nested virtual machines | |
| Liu et al. | Research on Hardware I/O Passthrough in Computer Virtualization | |
| Vasudevan et al. | The uber extensible micro-hypervisor framework (uberxmhf) | |
| US20230350710A1 (en) | Fast memory mapped io support by register switch | |
| Azab | Unikernel and Advanced Container Support in the Socker Tool | |
| Yu et al. | A Low Overhead and Reliable Nested Virtualization VMM for Cloud Computing | |
| Yoder | Kvm on embedded power architecture platforms | |
| Ke | Intel virtualization technology overview |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| C06 | Publication | ||
| PB01 | Publication | ||
| C10 | Entry into substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| C14 | Grant of patent or utility model | ||
| GR01 | Patent grant | ||
| TR01 | Transfer of patent right | ||
| TR01 | Transfer of patent right |
Effective date of registration: 20240320 Address after: Room 711C, Floor 7, Building A, Yard 19, Ronghua Middle Road, Daxing District, Beijing Economic-Technological Development Area, 100176 Patentee after: Beijing Zhongke Flux Technology Co.,Ltd. Country or region after: China Address before: 100190 No. 6 South Road, Zhongguancun Academy of Sciences, Beijing, Haidian District Patentee before: Institute of Computing Technology, Chinese Academy of Sciences Country or region before: China |