CN102902912B - 免安装ActiveX插件安全检测装置及方法 - Google Patents

Abstract

本发明涉及网络安全技术领域，公开了一种免安装ActiveX插件安全检测装置，包括：调用函数检测模块，适于检测免安装ActiveX插件调用的预先建立的插件安全调用表中的待监控函数；安全检测模块，适于根据所述插件安全调用表判断所述免安装ActiveX插件是否安全；其中，所述调用函数检测模块进一步包括：拦截模块，适于通过拦截所述插件安全调用表中的待监控函数来检测所述免安装ActiveX插件是否调用所述待监控函数，若未调用，则所述免安装ActiveX插件安全。本发明还公开了一种免安装ActiveX插件安全检测方法。本发明通过插件安全调用表对免安装ActiveX插件进行安全检测，有效的遏制了ActiveX插件安全问题的传播，增强了ActiveX插件的安全性，进一步维护了浏览器级的安全。

Description

免安装ActiveX插件安全检测装置及方法

技术领域

本发明涉及网络安全技术领域，特别涉及一种免安装ActiveX插件安全检测装置及方法。

背景技术

ActiveX是一个开放的集成平台，为开发人员、用户和Web生产商提供了一个快速而简便的在Internet和Intranet创建程序和集成内容的方法。使用ActiveX,可轻松方便的在Web页中插入多媒体效果、交互式对象、以及复杂程序，创建用户体验相当的高质量多媒体CD-ROM。基于ActiveX的ActiveX插件也具有越来越广泛的应用。ActiveX插件技术是国际上通用的基于Windows平台的软件技术，许多软件均采用此种方式开发，例如Flash动画播放插件、Microsoft MediaPlayer插件、Adobe PDF阅读插件等。

ActiveX插件叫做OLE插件或OCX插件，它是一些软件组件或对象，可以将其插入到WEB网页或其它应用程序中。当用户浏览到特定的网页时，浏览器会提示用户下载并安装ActiveX插件。ActiveX插件基于COM技术，每个ActiveX插件都有一个全球唯一的CLSID（class identifier，类标识符）。

除了上述的进行安装的ActiveX插件以外，还有一种不需要进行安装的ActiveX插件在安全浏览器中进行使用，即免安装版本的ActiveX插件。免安装插件是经过安全浏览器审核的，免安装插件的行为是可以预判的，而非免安装插件（第三方）可操作性不强。在免安装版本的ActiveX插件中，可以拦截加载及调用过程中使用的API函数，阻止API函数去注册表查询相关信息，浏览器将预先获取的相应的查询值通知给相应API函数。通过Hook CoGetClassObject函数，拦截该免安装ActiveX插件的加载过程，从而获取该免安装ActiveX插件文件所在的磁盘的文件路径，调用LoadLibrary函数加载完成该免安装ActiveX插件。

安全软件对于浏览器插件的安全问题停留在系统层面上，或者浏览器的层面上，没有细化到对浏览器中插件安全的进一步跟踪。因此，若插件中存在漏洞或者被人修改过时，运行该插件就可能导致系统安全问题，造成安全隐患。对于浏览器插件的安全保证没有一个浏览器级别的保证。

发明内容

为解决上述技术问题，本发明提供了一种免安装ActiveX插件安全检测装置，包括：

调用函数检测模块，适于检测免安装ActiveX插件调用的预先建立的插件安全调用表中的待监控函数，所述插件安全调用表记录了待监控函数集和有权调用所述待监控函数集中的各待监控函数的免安装ActiveX插件列表；

安全检测模块，适于根据所述插件安全调用表判断所述免安装ActiveX插件是否安全；

其中，所述调用函数检测模块进一步包括：拦截模块，适于通过拦截所述插件安全调用表中的待监控函数来检测所述免安装ActiveX插件是否调用所述待监控函数，若未调用，则所述免安装ActiveX插件安全。

可选地，还包括：提示模块，适于根据插件安全性的判断结果向用户进行提示。

可选地，所述待监控函数集中的待监控函数包括以下至少一个：读/写注册表的函数、读/写系统文件的函数、创建新进程的函数。

可选地，所述拦截模块具体适于通过Detours函数库的hook函数实现对所述插件安全调用表中的待监控函数的拦截。

可选地，所述安全检测模块具体包括：

列表查询模块，适于对于所述免安装ActiveX插件调用的每个待监控函数，查询有权调用该待监控函数的免安装ActiveX插件列表；

插件判断模块，适于判断所述免安装ActiveX插件是否记录在所述每个待监控函数对应的有权调用该待监控函数的免安装ActiveX插件列表中，若都记录在对应列表中，则所述免安装ActiveX插件安全，否则不安全。

可选地，还包括：插件安全调用表加载模块，适于在所述浏览器启动时将所述插件安全调用表加载到浏览器侧的内存中。

可选地，还包括：插件安全调用表建立模块，适于建立所述插件安全调用表。

本发明还提供了一种免安装ActiveX插件安全检测方法，包括以下步骤：

检测免安装ActiveX插件调用的预先建立的插件安全调用表中的待监控函数，所述插件安全调用表记录了待监控函数集和有权调用所述待监控函数集中的各待监控函数的免安装ActiveX插件列表；

根据所述插件安全调用表判断所述免安装ActiveX插件是否安全；

其中所述检测免安装ActiveX插件调用的预先建立的插件安全调用表中的待监控函数具体包括：

通过拦截所述插件安全调用表中的待监控函数来检测所述免安装ActiveX插件是否调用所述待监控函数，若未调用，则所述免安装ActiveX插件安全。

可选地，所述根据所述插件安全调用表判断所述免安装ActiveX插件是否安全之后还包括：根据插件安全性的判断结果向用户进行提示。

可选地，所述待监控函数集中的待监控函数包括以下至少一个：读/写注册表的函数、读/写系统文件的函数、创建新进程的函数。

可选地，通过Detours函数库的hook函数实现对所述插件安全调用表中的待监控函数的拦截。

可选地，所述根据所述插件安全调用表判断所述免安装ActiveX插件是否安全具体包括：

对于所述免安装ActiveX插件调用的每个待监控函数，查询有权调用该待监控函数的免安装ActiveX插件列表；

判断所述免安装ActiveX插件是否记录在所述每个待监控函数对应的有权调用该待监控函数的免安装ActiveX插件列表中，若都记录在对应列表中，则所述免安装ActiveX插件安全，否则不安全。

可选地，所述检测免安装ActiveX插件调用的预先建立的插件安全调用表中的待监控函数之前还包括：在所述浏览器启动时将所述插件安全调用表加载到浏览器侧的内存中。

可选地，所述在所述浏览器启动时将所述插件安全调用表加载到浏览器侧的内存中之前还包括：建立所述插件安全调用表。

本发明通过插件安全调用表对免安装ActiveX插件进行安全检测，有效的遏制了ActiveX插件安全问题的传播，增强了ActiveX插件的安全性，进一步维护了浏览器级的安全。相对于传统安全软件针对浏览器的安全检测只停留在操作系统层面，无法细化到浏览器内部的每一个插件的缺陷，本发明实现了对浏览器内部ActiveX插件进行安全检测，弥补了传统安全软件的不足，打造更加安全可靠的浏览器，为用户上网购物起到保驾护航的作用。

附图说明

图1是本发明实施例的一种免安装ActiveX插件安全检测方法流程图；

图2是图1中步骤S120的具体流程图；

图3是本发明实施例的一种免安装ActiveX插件安全检测装置结构示意图。

具体实施方式

下面结合附图和实施例，对本发明的具体实施方式作进一步详细描述。以下实施例用于说明本发明，但不用来限制本发明的范围。

为了在浏览器中预防将要使用的免安装ActiveX插件存在安全威胁，本发明的免安装ActiveX插件安全检测方法流程如图1所示，包括：

步骤S110，检测免安装ActiveX插件调用的预先建立的插件安全调用表中的待监控函数。其中，插件安全调用表中记录了待监控函数集和有权调用待监控函数集中的各待监控函数的免安装ActiveX插件。具体通过拦截技术来检测免安装ActiveX插件调用了插件安全调用表中的哪些待监控函数，即在浏览器加载免安装ActiveX插件时通过拦截将调用插件安全调用表中的待监控函数信息通知给浏览器。本实施例中利用微软的Detours技术（对于windows操作系统）实现对插件安全调用表中的所有待监控函数的接管。由此针对一个免安装ActiveX插件，当其调用插件安全调用表中的待监控函数时，通过Detours函数库中的hook函数将该待监控函数的信息通知浏览器。若未拦截到待监控函数，表示该免安装ActiveX插件未调用插件安全调用表中的待监控函数，则该免安装ActiveX插件安全，可以正常加载。

本实施例并不限于微软的Detours技术，不同的操作系统，实现拦截的方式不同，此处不再赘述。

步骤S120，根据插件安全调用表判断该免安装ActiveX插件是否安全。

该插件安全调用表事先在一服务器中创建，且在安装浏览器时以数据文件的形式（例如：saferule.dat）分发到浏览器，并被拷贝在指定的安装目录下。进一步地，为了防止恶意篡改数据文件，保证该插件安全调用表的安全性，该数据文件优选是加密的、且为只读属性数据文件，拒绝本地修改。若要更改插件安全调用表中的内容时，只能是得到该服务器授权后重新分发包含新的插件安全调用表的数据文件至指定的安装目录以覆盖旧的数据文件。该插件安全调用表会在浏览器启动时或第一次加载免安装ActiveX插件时加载到浏览器侧的内存中。

本实施例中，该插件安全调用表采用如下形式：

待监控函数1    插件1    插件2

待监控函数2    插件3    插件4    插件5

待监控函数3    插件6    插件7    插件8    插件9

待监控函数m    插件n－2    插件n－1    插件n

插件安全调用表中通过在待监控函数后以列表的形式罗列插件名以授权该免安装ActiveX插件调用该待监控函数。即待监控函数j（j＝1,2,…m）后面各自的罗列的插件i（i=1,2,…n）表示有权调用对应待监控函数j的免安装ActiveX插件名。

其中，待监控函数通常为涉及危害系统安全的函数，包括读/写注册表、读/写系统文件、创建新的进程等中的一个或多个安全性操作的函数。

例如：一个具体的插件安全调用表如表1所示：

表1插件安全调用表

由上述插件安全调用表可见，Flash.ocx允许所有的安全操作；

Unity.ocx只允许注册表操作；

reader.ocx允许进行文件和注册表操作；

music.ocx只允许进行文件操作。

表中所列的函数是操作系统的系统级函数，对这些函数的调用将导致：

1、注册表操作：

创建：RegOpenKey RegOpenKeyEx RegCreateKeyRegCreateKeyEx。

修改:RegSetValue RegSetKeyValue。

2、文件操作：

创建：CreateFile。

删除：DeleteFile。

移动：MoveFile。

3、进程线程操作：

创建进程：CreateProcessA CreateProcessWCreateProcessInternalA CreateProcessInternalW。

创建远程线程：CreateRemoteThread。

加载dll：LoadLibraryExA LoadLibraryExW LdrLoadDll。

步骤S120的具体流程如图2所示，包括：

步骤S210，对于免安装ActiveX插件调用的每个待监控函数，查询有权调用该待监控函数的免安装ActiveX插件列表，即查询上述表1中的待监控函数后面列出的免安装ActiveX插件。

步骤S220，判断该免安装ActiveX插件是否记录在每个待监控函数对应的有权调用该待监控函数的免安装ActiveX插件列表中，若都记录在对应列表中，则该免安装ActiveX插件安全，否则不安全。

为了及时提示用户，还包括步骤S130，根据插件安全性的判断结果向用户进行提示。

本实施例的免安装ActiveX插件安全检测方法能够可靠有效地对插件的安全性进行检测，从而预防用户使用安全性有漏洞的插件，进一步维护了浏览器级的安全。

本发明还提供了一种免安装ActiveX插件安全检测装置，其结构如图3所示，包括：

调用函数检测模块310，适于检测免安装ActiveX插件调用的预先建立的插件安全调用表中的待监控函数。该调用函数检测模块310进一步包括：拦截模块，适于通过拦截所述插件安全调用表中的待监控函数来检测所述免安装ActiveX插件是否调用所述待监控函数，若未调用，则所述免安装ActiveX插件安全。拦截模块具体通过Detours函数库的hook函数实现对插件安全调用表中的待监控函数的拦截。

安全检测模块320，适于根据插件安全调用表判断所述免安装ActiveX插件是否安全，插件安全调用表记录了待监控函数集和有权调用所述待监控函数集中的各待监控函数的免安装ActiveX插件列表。其中，待监控函数集中的待监控函数包括以下至少一个：读/写注册表的函数、读/写系统文件的函数、创建新进程的函数。该安全检测模块具体包括：

列表查询模块321，适于对于所述免安装ActiveX插件调用的每个待监控函数，查询有权调用该待监控函数的免安装ActiveX插件列表。

插件判断模块322，适于判断所述免安装ActiveX插件是否记录在所述每个待监控函数对应的有权调用该待监控函数的免安装ActiveX插件列表中，若都记录在对应列表中，则所述免安装ActiveX插件安全，否则不安全。

本实施例的免安装ActiveX插件安全检测装置还包括：提示模块330，适于根据插件安全性的判断结果向用户进行提示。

本实施例的免安装ActiveX插件安全检测装置还包括：插件安全调用表加载模块，适于在所述浏览器启动时将所述插件安全调用表加载到浏览器侧的内存中。

本实施例的免安装ActiveX插件安全检测装置还包括：插件安全调用表建立模块，适于建立所述插件安全调用表。

应当注意的是，在本发明的控制器的各个部件中，根据其要实现的功能而对其中的部件进行了逻辑划分，但是，本发明不受限于此，可以根据需要对各个部件进行重新划分或者组合，例如，可以将一些部件组合为单个部件，或者可以将一些部件进一步分解为更多的子部件。

本发明的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以固件或以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器（DSP）来实现根据本发明实施例的控制器中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序（例如，计算机程序和计算机程序产品）。这样的实现本发明的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。

应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。

以上实施方式仅用于说明本发明，而并非对本发明的限制，有关技术领域的普通技术人员，在不脱离本发明的精神和范围的情况下，还可以做出各种变化和变型，因此所有等同的技术方案也属于本发明的范畴，本发明的专利保护范围应由权利要求限定。

Claims (12)

1.一种免安装ActiveX插件安全检测装置，包括：

调用函数检测模块，适于在浏览器加载免安装ActiveX插件时检测免安装ActiveX插件调用的预先建立的插件安全调用表中的待监控函数，所述插件安全调用表记录了待监控函数集和有权调用所述待监控函数集中的各待监控函数的免安装ActiveX插件列表；

安全检测模块，适于根据所述插件安全调用表判断所述免安装ActiveX插件是否安全；

其中，所述调用函数检测模块进一步包括：拦截模块，适于通过拦截所述插件安全调用表中的待监控函数来检测所述免安装ActiveX插件是否调用所述待监控函数，若未调用，则所述免安装ActiveX插件安全；

所述安全检测模块具体包括：

列表查询模块，适于对于所述免安装ActiveX插件调用的每个待监控函数，查询有权调用该待监控函数的免安装ActiveX插件列表；

插件判断模块，适于判断所述免安装ActiveX插件是否记录在所述每个待监控函数对应的有权调用该待监控函数的免安装ActiveX插件列表中，若都记录在对应列表中，则所述免安装ActiveX插件安全，否则不安全。

2.如权利要求1所述的免安装ActiveX插件安全检测装置，还包括：提示模块，适于根据插件安全性的判断结果向用户进行提示。

3.如权利要求1所述的免安装ActiveX插件安全检测装置，所述待监控函数集中的待监控函数包括以下至少一个：读/写注册表的函数、读/写系统文件的函数、创建新进程的函数。

4.如权利要求1至3中任意一项所述的免安装ActiveX插件安全检测装置，所述拦截模块具体适于通过Detours函数库的hook函数实现对所述插件安全调用表中的待监控函数的拦截。

5.如权利要求1所述的免安装ActiveX插件安全检测装置，还包括：插件安全调用表加载模块，适于在所述浏览器启动时将所述插件安全调用表加载到浏览器侧的内存中。

6.如权利要求5所述的免安装ActiveX插件安全检测装置，还包括：插件安全调用表建立模块，适于建立所述插件安全调用表。

7.一种免安装ActiveX插件安全检测方法，包括：

在浏览器加载免安装ActiveX插件时检测免安装ActiveX插件调用的预先建立的插件安全调用表中的待监控函数，所述插件安全调用表记录了待监控函数集和有权调用所述待监控函数集中的各待监控函数的免安装ActiveX插件列表；

根据所述插件安全调用表判断所述免安装ActiveX插件是否安全；

其中，所述检测免安装ActiveX插件调用的预先建立的插件安全调用表中的待监控函数具体包括：

通过拦截所述插件安全调用表中的待监控函数来检测所述免安装ActiveX插件是否调用所述待监控函数，若未调用，则所述免安装ActiveX插件安全；

所述根据所述插件安全调用表判断所述免安装ActiveX插件是否安全具体包括：

对于所述免安装ActiveX插件调用的每个待监控函数，查询有权调用该待监控函数的免安装ActiveX插件列表；

判断所述免安装ActiveX插件是否记录在所述每个待监控函数对应的有权调用该待监控函数的免安装ActiveX插件列表中，若都记录在对应列表中，则所述免安装ActiveX插件安全，否则不安全。

8.如权利要求7所述的免安装ActiveX插件安全检测方法，所述根据所述插件安全调用表判断所述免安装ActiveX插件是否安全之后还包括：根据插件安全性的判断结果向用户进行提示。

9.如权利要求7所述的免安装ActiveX插件安全检测方法，所述待监控函数集中的待监控函数包括以下至少一个：读/写注册表的函数、读/写系统文件的函数、创建新进程的函数。

10.如权利要求7至9中任意一项所述的免安装ActiveX插件安全检测方法，通过Detours函数库的hook函数实现对所述插件安全调用表中的待监控函数的拦截。

11.如权利要求7所述的免安装ActiveX插件安全检测方法，所述检测免安装ActiveX插件调用的预先建立的插件安全调用表中的待监控函数之前还包括：在所述浏览器启动时将所述插件安全调用表加载到浏览器侧的内存中。

12.如权利要求11所述的免安装ActiveX插件安全检测方法，所述在所述浏览器启动时将所述插件安全调用表加载到浏览器侧的内存中之前还包括：建立所述插件安全调用表。