CN103514395A - 插件权限控制方法及系统 - Google Patents

Abstract

本申请提供了一种插件权限控制方法，包括：在插件进程中，将执行到NTDLL层的WINDOWS API对NTDLL层的API的调用请求重定向到代理进程；代理进程基于预定的权限规则，判断当前插件进程中WINDOWS API对NTDLL层的API的调用请求是否满足对应的权限规则，若满足，则在代理进程中代替WINDOWS API向内核层调用所述NTDLL层的API，反之，则拒绝此次调用；在内核层判断调用NTDLL层的API的调用请求的发送进程，若是代理进程发送，则返回调用结果，若是插件进程发送，则拒绝此次调用。本申请还提供一种实现前述方法的插件权限控制系统。本申请的一种插件权限控制方法及系统，能够避免插件权限被恶意修改。

Description

插件权限控制方法及系统

技术领域

本申请涉及计算机网络安全技术领域，特别是涉及一种插件权限控制方法及系统。

背景技术

目前很多应用程序或软件都支持插件，插件是一种遵循一定规范的应用程序编程接口编写出来的程序。例如，网页浏览器常用的flash插件、realplayer插件、activex控件、游戏软件中的外挂等等。插件作为计算机软件中的一种特殊程序，不能单独执行，而需要在一定的环境下才能运行，即必须依赖于某个软件。支持插件运行的应用环境成为宿主容器，即应用程序或软件，例如，网页浏览器等等。

插件要实现宿主容器不具有的功能，需要使用宿主容易所提供的开放性接口。但是，因为很多插件是独立开发者所开发的，考虑其安全性的问题，宿主容器一般会允许以web页面的方式来加入插件，并不会引入执行本地代码插件。例如，内嵌一个页面，页面是由第三方开发，由于在web页面中无法直接执行本地代码，安全性得以保证。前述两种方法都能够提高宿主容器的安全性，避免被恶意插件利用，但是因为限制了过多插件的权限，会导致很多功能无法实现，从而局限了宿主容器的开发应用。

为此，宿主容器还通常会通过控制插件的权限，开放部分接口，而选取一部分敏感接口不开放的方式来尽可能的扩大插件的使用范围。以即时通信软件为例，一些敏感接口，例如联系人信息、账户信息、交易记录、商品列表等接口并不会对插件开放。但是，对于恶意的插件开发者来说，为了能够调用敏感接口，通常会采用恶意的技术手段来更改宿主容易的权限，从而绕过这些权限限制。因此，如何对插件权限进行控制，避免其被恶意修改显得尤为重要。

发明内容

本申请提供一种插件权限控制方法及系统，能够解决插件权限被恶意修改的问题。

为了解决上述问题，本申请公开了一种插件权限控制方法，包括以下步骤：

在插件进程中，将执行到NTDLL层的WINDOWS API对NTDLL层的API的调用请求重定向到代理进程；

代理进程基于预定的权限规则，判断当前插件进程中WINDOWS API对NTDLL层的API的调用请求是否满足对应的权限规则，若满足，则在代理进程中代替WINDOWS API向内核层调用所述NTDLL层的API，反之，则拒绝此次调用；

在内核层判断调用NTDLL层的API的调用请求的发送进程，若是代理进程发送，则返回调用结果，若是插件进程发送，则拒绝此次调用。

进一步地，所述在内核层判断调用NTDLL层的API的调用请求的发送进程，若是代理进程发送，则返回调用结果，若是插件进程发送，则拒绝此次调用包括：

采用系统服务描述表上的挂钩对所述插件进程中发送的调用请求进行拦截。

进一步地，所述重定向基于进程间通信来实现。

进一步地，所述重定向基于操作系统提供的管道机制实现，具体包括如下步骤：

在插件进程中将所述需要调用的NTDLL层的API的调用参数和名称序列化成一段二进制数据流；

将所述二进制数据流通过管道传递到代理进程；

代理进程将所述二进制数据流进行反序列化操作，重新解析成API的调用参数和名称。

进一步地，所述在代理进程中代替WINDOWS API向内核层调用所述NTDLL层的API包括：

接收所述插件进程传递的WINDOWS API对所述NTDLL层的API的调用请求中的调用参数和API名称；

基于所述调用参数和API名称来实现对所述NTDLL层的API的调用。

进一步地，所述方法还包括：

代理进程接收调用结果，并将调用结果返回给插件进程。

进一步地，所述代理进程接收调用结果，并将调用结果返回给插件进程包括：

代理进程将调用结果数据序列化成一段二进制数据流，通过管道将二进制数据流传回插件进程，插件进程收到数据后，进行反序列化操作，得到调用结果。

为了解决上述问题，本申请还公开了一种插件权限控制系统，包括：

重定向模块，用于在插件进程中，将执行到NTDLL层的WINDOWSAPI对NTDLL层的API的调用请求重定向到代理进程；

代理进程，用于基于预定的权限规则，判断当前插件进程中WINDOWS API对NTDLL层的API的调用请求是否满足对应的权限规则，若满足，则在代理进程中代替WINDOWS API向内核层调用所述NTDLL层的API，反之，则拒绝此次调用；

调用处理模块，用于在内核层中判断调用NTDLL层的API的调用请求的发送进程，若是代理进程发送，则返回调用结果，若是插件进程发送，则拒绝此次调用。

进一步地，所述调用处理模块包括：

系统服务描述表上的挂钩，用于对所述插件进程中发送的调用请求进行拦截。

进一步地，所述重定向模块包括：

序列化单元，用于在插件进程中将所述需要调用的NTDLL层的API的调用参数和名称序列化成一段二进制数据流；

传递单元，用于将所述二进制数据流通过管道传递到代理进程；和

反序列单元，用于将所述二进制数据流进行反序列化操作，重新解析成API的调用参数和名称。

与现有技术相比，本申请包括以下优点：

本申请的插件权限控制方法及系统通过对插件进程的调用请求进行重定向到代理进程，由代理进程中根据预定的权限规则决定是否放行API调用请求的模式，插件进程无法干预。因为插件进程和代理进程为两个独立的进程，插件进程如果试图修改这个权限，则必然首先需要访问代理进程，而访问代理进程这种对象却需要先由代理进程基于其中的权限规则进程审核，因此审核的结果必然是不通过，插件进程也就无法修改权限。即使插件进程绕过重定向，直接向内核层请求调用，内核层中设置的拦截驱动也会对插件进程的调用请求进行拦截，从而很好的保证拦截不会被绕过，从而可以很好的对插线权限进行控制。

另外，通过使用拦截代码在内核模式下来对WINDOWS API在插件进程中调用NTDLL层的API的调用请求进行拦截，作为插件开发者，一般来说对于调用正常的系统API，只是关注到WINDOWS API这个层面，而不会对后续调用继续检测，本申请重定向的是WINDOWS API对NTDLL层的API的调用请求，对于开发者来说完全没有感知，对于一些遗留代码就不需要做任何改动就可以迁移过来。在内核模式下做拦截而不是用户模式下做拦截，可以很好的确保拦截不被绕过。

当然，实施本申请的任一产品不一定需要同时达到以上所述的所有优点。

附图说明

图1是本申请的插件权限控制方法实施例一的流程图；

图2是本申请的插件权限控制方法实施例二的流程图；

图3是本申请的插件权限控制系统实施例一的结构示意图；

图4是本申请的插件权限控制方法及系统实现的应用场景图。

具体实施方式

为使本申请的上述目的、特征和优点能够更加明显易懂，下面结合附图和具体实施方式对本申请作进一步详细的说明。

本申请的插件权限控制方法及系统，通过将WINDOWS API的调用请求实行重定向到代理进程以及预置的拦截代码在内核层对插件进程直接发起的调用请求进行拦截，代理进程对重定向后的调用请求基于预定的权限规则进行权限判断，来确定是否允许放行该API的调用，并结合在内核模式下进行拦截两种机制，可以很好的避免拦截被绕过。

参照图1，其示出本申请的一种插件权限控制方法实施例一，包括以下步骤：

步骤101，在插件进程中，将执行到NTDLL层的WINDOWS API对NTDLL层的API的调用请求重定向到代理进程。

插件进程在执行WINDOW操作系统的调用WINDOWS API的请求时，会通过WINDOWS API调用NTDLL层的API，此时，插件进程中设置的重定向装置会将该WINDOWS API对NTDLL层的API的调用请求重定向到代理进程。重定向可以基于进程间通信来实现，例如，基于操作系统提供的管道机制实现。

具体的，通过管道机制实现时可以采用如下方式：

插件进程中的重定向装置会将执行到NTDLL层，对NTDLL层的API进行调用的WINDOWS API的调用请求中的调用参数和名称序列化成一段二进制数据流，再利用管道传递到代理进程，代理进程收到这段二进制数据流后，进行反序列化操作，重新解析成WINDOWS API的调用参数和名称。

步骤102，代理进程基于预定的权限规则，判断当前插件进程中WINDOWS API对NTDLL层的API的调用请求是否满足对应的权限规则，若满足，则在代理进程中代替WINDOWS API向内核层调用所述NTDLL层的API，反之，则拒绝此次调用。

代理进程预先会收集各种插件以及设置各种插件的权限，例如，某些插件可以对自身的某些文件夹进行读写操作、对系统目录以及用户数据目录只能进行读的操作，对某些文档类型文件不能进行读写操作、对注册表以及其他进程的不同访问权限等等。

当代理进程接收重定向的WINDOWS API对NTDLL层的API的调用请求后，会根据预定的权限规则查询该插件进程是否有对应的权限，若有，则在代理进程中代替该WINDOWS API向内核层调用所述NTDLL层的API，反之，则拒接该调用，例如返回一个失败的值等。

具体的，代理进程代替该插件进程中的WINDOWS API调用NTDLL层的API，可以通过插件进程传递的调用参数以及需要调用的API名称来实现。即，接收所述插件进程传递的WINDOWS API对所述NTDLL层的API的调用请求中的调用参数和API名称；基于所述调用参数和API名称来实现对所述NTDLL层的API的调用。例如，若插件进程通过管道机制将需要调用的NTDLL层的API的调用参数和该API名称等数据传递给代理进程，则代理进程对接收的数据进行反序列化操作，解析出其中的调用参数和API名称，即可进行调用。

步骤103，在内核层判断调用NTDLL层的API的调用请求的发送进程，若是代理进程发送，则返回调用结果，若是插件进程发送，则拒绝此次调用。

内核层中设置有拦截驱动，会拒绝WINDOWS API直接通过插件进程发送的调用请求。因为对于恶意插件或者存在有恶意代码的插件进程来说，很容易绕过插件进程中的重定向，而直接向内核层进行调用。因此，内核层在接收到调用请求后，首先会判断此次调用请求是来自代理进程还是插件进程，若是代理进程，则执行调用，给出调用结果，若是插件进程，则拒绝此次调用。

具体的，内核层可以通过SSDT(System Services Descriptor Table，系统服务描述表)上的hook（挂钩）实现拦截等等。即，通过挂钩对插件进行中发送的调用请求进行拦截。可以理解，还可以通过其他常见的拦截调用请求的方式在内核中进行拦截，本申请对此并不限制。

参照图2，优选地，在实施例一的步骤103中，若在代理进程中代替WINDOWS API向内核层调用所述NTDLL层的API还包括：

代理进程接收调用结果，并返回给插件进程。

结果也可以通过进程间通信实现。例如，以管道机制为例，代理进程将调用结果数据序列化成一段二进制数据流，通过管道将二进制数据流传回插件进程，插件进程收到数据后，进行反序列化操作，得到调用结果，比如返回值等，返回调用。

例如，对于需要返回的结果为句柄时，代理进程会首先利用可以实现句柄复制的API，将句柄复制到插件进程中，另外，代理进程将复制所得的句柄值序列化成一段二进制数据流，通过管道将二进制数据流传回插件进程，插件进程在接收到数据后，进行反序列化操作，得到返回数据，返回API调用。

参照图3，其示出本申请的一种插件权限控制系统实施例一，包括重定向模块20、代理进程30和调用处理模块40。

重定向模块20，用于在插件进程中，将执行到NTDLL层的WINDOWS API对NTDLL层的API的调用请求重定向到代理进程。重定向可以通过进程间通信实现。优选地，采用操作系统的管道机制实现，此时，重定向模块20包括序列化单元、传递单元和反序列单元。序列化单元，用于在插件进程中将所述需要调用的NTDLL层的API的调用参数和名称序列化成一段二进制数据流。传递单元，用于将所述二进制数据流通过管道传递到代理进程。反序列单元，用于将所述二进制数据流进行反序列化操作，重新解析成API的调用参数和名称。

代理进程30，用于基于预定的权限规则，判断当前插件进程中WINDOWS API对NTDLL层的API的调用请求是否满足对应的权限规则，若满足，则在代理进程中代替WINDOWS API向内核层调用所述NTDLL层的API，反之，则拒绝此次调用。

调用处理模块40，用于在内核层中判断调用NTDLL层的API的调用请求的发送方，若是代理进程发送，则返回调用结果，若是插件进程发送，则拒绝此次调用。对于插件进程的调用请求，内核层可以直接拦截，拦截可以通过在内核层中添加拦截代码实现，例如，系统服务描述表上的挂钩等等。

优选地，该插件权限控制系统还包括调用结果返回模块，用于将调用结果返回给插件进程。

参照图4，其示出本申请的插件权限控制应用场景图。在插件进程中，对于WINDOWS API执行到NTDLL层，对NTDLL层的API的调用请求时，插件进程中的重定向装置会将该调用请求重定向到代理进程，代理进程基于接收到的调用请求来判断插件进程此次调用是否满足放行策略，如果不满足，则拒绝此次调用；如果满足，则解析本次调用请求中需要调用的NTDLL层的API的调用参数和API名称，然后在代理进程中代替WINDOWS API调用NTDLL层的API。内核层在接收调用请求后，首先会判断调用请求是来自插件进程还是代理进程，若是代理进程，则执行调用，返回调用结果，若是插件进程，则拒绝调用。具体的，通过在内核层中添加NTDLL hook来实现对插件进程直接发送的调用请求，内核层可以通过SSDT(System Services Descriptor Table，系统服务描述表)上的hook（挂钩）实现拦截等等。NTDLL hook会拦截插件进程直接向内核层发送的调用NTDLL层的API的调用请求，内核层的hook会拦截插件进程直接向内核层发送的API调用请求。

代理进程后续还会接收调用结果，然后返回给插件进程，从而实现插件进程对API的调用。

本申请的插件权限控制方法及系统通过对插件进程的调用请求进行重定向到代理进程，由代理进程中根据预定的权限规则决定是否放行API调用请求的模式，插件进程无法干预。因为插件进程和代理进程为两个独立的进程，插件进程如果试图修改这个权限，则必然首先需要访问代理进程，而访问代理进程这种对象却需要先由代理进程基于其中的权限规则进程审核，因此审核的结果必然是不通过，插件进程也就无法修改权限。即使插件进程绕过重定向，直接向内核层请求调用，内核层中设置的拦截驱动也会对插件进程的调用请求进行拦截，从而很好的保证拦截不会被绕过，从而可以很好的对插线权限进行控制。

另外，通过使用拦截代码在内核模式下来对WINDOWS API在插件进程中调用NTDLL层的API的调用请求进行拦截，作为插件开发者，一般来说对于调用正常的系统API，只是关注到WINDOWS API这个层面，而不会对后续调用继续检测，本申请重定向的是WINDOWS API对NTDLL层的API的调用请求，对于开发者来说完全没有感知，对于一些遗留代码就不需要做任何改动就可以迁移过来。在内核模式下做拦截而不是用户模式下做拦截，可以很好的确保了拦截不被绕过。

本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。对于系统实施例而言，由于其与方法实施例基本相似，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

本申请是参照根据本申请实施例的方法、设备（系统）、和计算机程序产品的流程图和／或方框图来描述的。应理解可由计算机程序指令实现流程图和／或方框图中的每一流程和／或方框、以及流程图和／或方框图中的流程和／或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能的步骤。

以上对本申请所提供的插件权限控制方法及系统进行了详细介绍，本文中应用了具体个例对本申请的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本申请的方法及其核心思想；同时，对于本领域的一般技术人员，依据本申请的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本申请的限制。

Claims (10)

1.一种插件权限控制方法，其特征在于，包括以下步骤：

在插件进程中，将执行到NTDLL层的WINDOWS API对NTDLL层的API的调用请求重定向到代理进程；

代理进程基于预定的权限规则，判断当前插件进程中WINDOWS API对NTDLL层的API的调用请求是否满足对应的权限规则，若满足，则在代理进程中代替WINDOWS API向内核层调用所述NTDLL层的API，反之，则拒绝此次调用；

在内核层判断调用NTDLL层的API的调用请求的发送进程，若是代理进程发送，则返回调用结果，若是插件进程发送，则拒绝此次调用。

2.如权利要求1所述的插件权限控制方法，其特征在于，所述在内核层判断调用NTDLL层的API的调用请求的发送进程，若是代理进程发送，则返回调用结果，若是插件进程发送，则拒绝此次调用包括：

采用系统服务描述表上的挂钩对所述插件进程中发送的调用请求进行拦截。

3.如权利要求1所述的插件权限控制方法，其特征在于，所述重定向基于进程间通信来实现。

4.如权利要求3所述的插件权限控制方法，其特征在于，所述重定向基于操作系统提供的管道机制实现，具体包括如下步骤：

在插件进程中将所述需要调用的NTDLL层的API的调用参数和名称序列化成一段二进制数据流；

将所述二进制数据流通过管道传递到代理进程；

代理进程将所述二进制数据流进行反序列化操作，重新解析成API的调用参数和名称。

5.如权利要求1所述的插件权限控制方法，其特征在于，所述在代理进程中代替WINDOWS API向内核层调用所述NTDLL层的API包括：

接收所述插件进程传递的WINDOWS API对所述NTDLL层的API的调用请求中的调用参数和API名称；

基于所述调用参数和API名称来实现对所述NTDLL层的API的调用。

6.如权利要求1至5任一项所述的插件权限控制方法，其特征在于，所述方法还包括：

代理进程接收调用结果，并将调用结果返回给插件进程。

7.如权利要求6所述的插件权限控制方法，其特征在于，所述代理进程接收调用结果，并将调用结果返回给插件进程包括：

代理进程将调用结果数据序列化成一段二进制数据流，通过管道将二进制数据流传回插件进程，插件进程收到数据后，进行反序列化操作，得到调用结果。

8.一种插件权限控制系统，其特征在于，包括：

重定向模块，用于在插件进程中，将执行到NTDLL层的WINDOWSAPI对NTDLL层的API的调用请求重定向到代理进程；

代理进程，用于基于预定的权限规则，判断当前插件进程中WINDOWS API对NTDLL层的API的调用请求是否满足对应的权限规则，若满足，则在代理进程中代替WINDOWS API向内核层调用所述NTDLL层的API，反之，则拒绝此次调用；

调用处理模块，用于在内核层中判断调用NTDLL层的API的调用请求的发送进程，若是代理进程发送，则返回调用结果，若是插件进程发送，则拒绝此次调用。

9.如权利要求8所述的插件权限控制系统，其特征在于，所述调用处理模块包括：

系统服务描述表上的挂钩，用于对所述插件进程中发送的调用请求进行拦截。

10.如权利要求8所述的插件权限控制系统，其特征在于，所述重定向模块包括：

序列化单元，用于在插件进程中将所述需要调用的NTDLL层的API的调用参数和名称序列化成一段二进制数据流；

传递单元，用于将所述二进制数据流通过管道传递到代理进程；和

反序列单元，用于将所述二进制数据流进行反序列化操作，重新解析成API的调用参数和名称。

Images