CN103778375A

CN103778375A - 防止用户设备加载非法的动态链接库文件的装置和方法

Info

Publication number: CN103778375A
Application number: CN201210410548.4A
Authority: CN
Inventors: 吴海涛
Original assignee: Tencent Technology Shenzhen Co Ltd
Current assignee: Tencent Technology Shenzhen Co Ltd
Priority date: 2012-10-24
Filing date: 2012-10-24
Publication date: 2014-05-07
Anticipated expiration: 2032-10-24
Also published as: CN103778375B

Abstract

本发明公开了一种防止用户设备加载非法的动态链接库文件的装置，包括：监控模块，用于监控动态链接库文件是否被用户设备加载并生成监控结果；信息收集模块，用于在监控结果为动态链接库文件被用户设备加载时收集动态链接库文件的信息；检验模块，用于根据该信息对动态链接库文件进行安全性检验并生成检验结果；控制模块，用于在检验结果为动态链接库文件不安全时控制用户设备取消加载动态链接库文件，以及用于在检验结果为动态链接库文件安全时控制用户设备加载动态链接库文件。本发明还公开了一种防止用户设备加载非法的动态链接库文件的方法。本发明能防止非法的动态链接库文件被用户设备加载，从而防止用户设备不因加载非法的动态链接库文件而受到破坏。

Description

防止用户设备加载非法的动态链接库文件的装置和方法

【技术领域】

本发明涉及安全软件领域，特别涉及一种防止用户设备加载非法的动态链接库文件的装置和方法。

【背景技术】

动态链接库（DLL，Dynamic Link Library）文件是一个包含可以由多个程序共同使用的代码的库，传统的用户设备（例如，计算机）的可执行程序在运行的过程中一般需要对动态链接库文件进行加载，对于针对动态链接库文件的加载操作，上述可执行程序首先需要获知要加载的动态链接库文件的文件名，然后根据该文件名在用户设备中搜索该动态链接库文件，在搜索到目标动态链接库文件之后，再执行加载操作。

病毒文件攻击用户设备的方式日新月异，目前，出现了一种利用非法的动态链接库文件来破坏用户设备的方式，这种利用非法的动态链接库文件来破坏用户设备的方式如下：

在用户设备的可执行程序运行的过程中，将要加载的正常的动态链接库文件替换成一个恶意的动态链接库文件，或者通过修改可执行文件的导入表，或者利用重定向文件等技术来加载非法的动态链接库文件。

可执行程序加载该非法的动态链接库文件会使得该可执行程序甚至其它文件被破坏。

传统的安全软件对病毒文件进行防护的技术方案为：

捕获第三方程序的可疑操作，然后对相应的可执行程序进行安全性检查（例如，扫描木马等），若发现该可疑操作是一个恶意操作，则拦截该操作，从而保护用户设备。

但是，上述传统的安全软件对病毒文件进行防护的技术方案不能识别和防止非法的动态链接库文件被加载，从而无法更好地保护用户设备。

故，有必要提出一种新的技术方案，以解决上述技术问题。

【发明内容】

本发明的一个目的在于提供一种防止用户设备加载非法的动态链接库文件的装置，其能防止非法的动态链接库文件被用户设备加载，从而防止用户设备不因加载非法的动态链接库文件而受到破坏。

为解决上述问题，本发明提供了一种防止用户设备加载非法的动态链接库文件的装置，包括：监控模块，用于监控动态链接库文件是否被用户设备加载并生成监控结果；信息收集模块，用于在所述监控结果为所述动态链接库文件被所述用户设备加载时收集所述动态链接库文件的信息；检验模块，用于根据所述信息对所述动态链接库文件进行安全性检验并生成检验结果；控制模块，用于在所述检验结果为所述动态链接库文件不安全时控制所述用户设备取消加载所述动态链接库文件，以及用于在所述检验结果为所述动态链接库文件安全时控制所述用户设备加载所述动态链接库文件。

本发明的另一个目的在于提供一种防止用户设备加载非法的动态链接库文件的方法，其能防止非法的动态链接库文件被用户设备加载，从而防止用户设备不因加载非法的动态链接库文件而受到破坏。

为解决上述问题，本发明提供了一种防止用户设备加载非法的动态链接库文件的方法，所述方法包括以下步骤：监控动态链接库文件是否被用户设备加载并生成监控结果；在所述监控结果为所述动态链接库文件被所述用户设备加载时收集所述动态链接库文件的信息；根据所述信息对所述动态链接库文件进行安全性检验并生成检验结果；在所述检验结果为所述动态链接库文件不安全时控制所述用户设备取消加载所述动态链接库文件，以及在所述检验结果为所述动态链接库文件安全时控制所述用户设备加载所述动态链接库文件。

相对现有技术，本发明直接地对该要被用户设备加载的动态链接库文件进行安全性检验，减轻了用户设备在加载动态链接库文件的过程中搜索动态链接库文件的负担，便于快速和精确地判断该动态链接库文件的安全性，有效地实现防止非法的动态链接库文件被用户设备加载，进而实现保护用户设备的目的。本发明针对动态链接库文件的安全性检验所耗费的时间较少，有利于用户设备中的可执行程序在获知是否允许加载该动态链接库文件之前不需等待较长的时间，有利于保持该可执行程序运行的连贯性，此外，还有利于减少用户设备中的计算机资源消耗。

为让本发明的上述内容能更明显易懂，下文特举优选实施例，并配合所附图式，作详细说明如下：

【附图说明】

图1为本发明的防止用户设备加载非法的动态链接库文件的装置的第一较佳实施例的框图；

图2为图1中检验模块的较佳实施例的框图；

图3和图4为本发明的防止用户设备加载非法的动态链接库文件的方法的较佳实施例的流程图。

【具体实施方式】

以下各实施例的说明是参考附加的图式，用以例示本发明可用以实施的特定实施例。

为了防止非法的动态链接库文件被用户设备加载，从而防止用户设备不因加载非法的动态链接库文件而受到破坏，本发明的技术方案如下：

参考图1和图2，图1为本发明的防止用户设备加载非法的动态链接库文件的装置的第一较佳实施例的框图，图2为图1中检验模块的较佳实施例的框图。本发明的防止用户设备加载非法的动态链接库文件的装置包括监控模块101、信息收集模块102、检验模块103和控制模块104。监控模块101电性连接信息收集模块102，检验模块103电性连接信息收集模块102和控制模块104。

监控模块101用于监控动态链接库文件是否被用户设备加载并生成监控结果，例如，监控模块101可以通过截获用户设备的操作系统向文件系统发送的诸如IRP_MJ_ACQUIRE_FOR_SECTION_SYNCHRONIZATION这样的信息来监控用户设备中的可执行程序是否要加载动态链接库文件。监控模块101针对动态链接库文件的监控这一操作可以通过动态地/实时地询问计算机操作系统的文件系统来实现，例如，监控模块101通过监控文件系统的注册回调动作来获取相关的针对动态链接库文件的操作，以此获知相应的动态链接库文件是否被用户设备加载。信息收集模块102用于在监控结果为动态链接库文件被用户设备加载时收集动态链接库文件的信息。收集动态链接库文件的信息是为了更深入地获知被用户设备加载的动态链接库文件的信息，例如，该动态链接库文件所在的路径，这样是为了减轻用户设备在加载动态链接库文件的过程中搜索动态链接库文件的负担，使得用户设备能够精确和快速地查找到要加载的动态链接库文件；此外，所收集的动态链接库文件的信息还可以用来提供给检验模块103，使得检验模块103能够利用该信息直接地对该要被用户设备加载的动态链接库文件进行安全性检验，便于检验模块103快速和精确地判断该动态链接库文件的安全性。检验模块103用于根据信息对动态链接库文件进行安全性检验，以及用于判断动态链接库文件是否安全并生成检验结果。检验模块103对动态链接库文件进行安全性检验是为了判断用户设备所要加载的动态链接库文件的安全性，为决定是否应该阻止用户设备加载非法的动态链接库文件提供判断依据，检验模块103针对动态链接库文件的安全性检验是有针对性和有目的性的，原因是检验模块103直接根据要被用户设备加载的动态链接文件的信息来对该动态链接库文件进行安全性检验；此操作的一个衍生的技术效果是：检验模块103因此针对动态链接库文件的安全性检验所耗费的时间较少，有利于用户设备中的可执行程序在获知是否允许加载该动态链接库文件之前不需等待较长的时间，有利于保持该可执行程序运行的连贯性，此外，还有利于减少用户设备中的计算机资源消耗。控制模块104用于在检验结果为动态链接库文件不安全时控制用户设备取消加载动态链接库文件，以及用于在检验结果为动态链接库文件安全时控制用户设备加载动态链接库文件。控制模块104可以通过控制用户设备的文件系统中的过滤驱动来控制动态链接库文件的加载，通过控制用户设备针对动态链接库文件的加载操作，本发明可以有效地实现防止非法的动态链接库文件被用户设备加载，从而实现保护用户设备的目的。

作为一种改进，控制模块104还用于在监控结果为动态链接库文件被用户设备加载时控制用户设备暂停针对动态链接库文件的加载操作。控制模块104也可以通过控制文件系统中的过滤驱动来控制用户设备暂停加载动态链接库文件。在未确定要加载的动态链接库文件的安全性之前暂停该动态链接库文件的加载是为了确保用户设备的安全，防止病毒文件欺骗用户设备加载非法的动态链接库文件，从而防止用户设备被破坏。

为了获知用户设备要加载的动态链接库文件的安全性，需要对该动态链接库文件进行安全性检验，为此，检验模块103包括存储模块1031和对比模块1033。存储模块1031和对比模块1033电性连接，对比模块1033还与信息收集模块102和控制模块104电性连接。存储模块1031用于存储并提供关于动态链接库文件的白名单信息，该关于动态链接库文件的白名单信息可以是包括不会被病毒文件利用、攻击、篡改或替换的动态链接库文件的信息。对比模块1033用于将白名单信息与动态链接库文件进行对比以判断动态链接库文件是否处于白名单中并生成对比结果，该对比结果有两种情况，一种是该动态链接库文件处于该白名单中，另一种是该动态链接库文件不处于该白名单中。控制模块104还用于在对比结果为动态链接库文件处于白名单时控制用户设备加载动态链接库文件。

作为一种改进，检验模块103还包括更新模块1032，该更新模块1032与存储模块1031电性连接，该更新模块1032还可以与服务器建立通信连接。更新模块1032用于对白名单进行更新，更新模块1032可以从服务器中获取关于白名单的更新文件，然后对该存储模块1031中的白名单进行更新。

进一步地，检验模块103包括云扫描模块1034，云扫描模块1034电性连接对比模块1033，云扫描模块1034还可以与服务器建立通信连接。云扫描模块1034用于在对比结果为动态链接库文件不处于白名单中时通知服务器对动态链接库文件进行云扫描，以及用于接收服务器关于所扫描的对象（动态链接库文件）的安全性的反馈。在此技术方案中，云扫描模块1034与服务器联合起来对动态链接库文件进行云扫描。控制模块1034还用于在该反馈为动态链接库文件安全时控制用户设备加载动态链接库文件，以及用于在该反馈为动态链接库文件不安全时控制用户设备取消加载动态链接库文件。

进一步地，检验模块103包括数字签名获取模块1035和验证模块1036，数字签名获取模块1035电性连接云扫描模块1034和验证模块1036。数字签名获取模块1035用于在反馈为不确定动态链接库文件的安全性时获取动态链接库文件的数字签名。该数字签名获取模块1035可以通过获取动态链接库文件中固定部位的信息来生成哈希值，并以此作为该动态链接库文件的数字签名，数字签名获取模块1035可以利用哈希算法来将该动态链接库文件中的相应信息生成哈希值。验证模块1036用于根据数字签名验证动态链接库文件是否安全并生成验证结果，具体地，验证模块1036将正常的动态链接库中相应部位的信息对应的哈希值与该数字签名获取模块1035所生成的哈希值进行比对和验证，从而验证该动态链接库文件是否是正常的动态链接库文件，以此来判断其安全性。控制模块104还用于在验证结果为动态链接库文件安全时控制用户设备加载动态链接库文件，以及用于在验证结果为动态链接库文件不安全时控制用户设备取消加载动态链接库文件。

参考图3和图4，图3和图4为本发明的防止用户设备加载非法的动态链接库文件的方法的较佳实施例的流程图。本发明的防止用户设备加载非法的动态链接库文件的方法由防止用户设备加载非法的动态链接库文件的方法执行。

在步骤301，监控模块101监控动态链接库文件是否被用户设备加载并生成监控结果。例如，监控模块101可以通过截获用户设备的操作系统向文件系统发送的诸如IRP_MJ_ACQUIRE_FOR_SECTION_SYNCHRONIZATION这样的信息来监控用户设备中的可执行程序是否要加载动态链接库文件，若是，则进入步骤302，否则，继续监控。监控模块101针对动态链接库文件的监控这一操作可以通过动态地/实时地询问计算机操作系统的文件系统来实现，例如，监控模块101通过监控文件系统的注册回调动作来获取相关的针对动态链接库文件的操作，以此获知相应的动态链接库文件是否被用户设备加载。

在步骤302，控制模块104控制用户设备暂停针对动态链接库文件的加载操作。控制模块104也可以通过控制文件系统中的过滤驱动来控制用户设备暂停加载动态链接库文件。在未确定要加载的动态链接库文件的安全性之前暂停该动态链接库文件的加载是为了确保用户设备的安全，防止病毒文件欺骗用户设备加载非法的动态链接库文件，从而防止用户设备被破坏。

在步骤303，信息收集模块102收集动态链接库文件的信息。收集动态链接库文件的信息是为了更深入地获知被用户设备加载的动态链接库文件的信息，例如，该动态链接库文件所在的路径，这样是为了减轻用户设备在加载动态链接库文件的过程中搜索动态链接库文件的负担，使得用户设备能够精确和快速地查找到要加载的动态链接库文件；此外，所收集的动态链接库文件的信息还可以用来提供给检验模块103，使得检验模块103能够利用该信息直接地对该要被用户设备加载的动态链接库文件进行安全性检验，便于检验模块103快速和精确地判断该动态链接库文件的安全性。

为了获知用户设备要加载的动态链接库文件的安全性，需要对该动态链接库文件进行安全性检验，在步骤304至步骤311，检验模块103根据信息对动态链接库文件进行安全性检验，以及判断动态链接库文件是否安全并生成检验结果。检验模块103对动态链接库文件进行安全性检验是为了判断用户设备所要加载的动态链接库文件的安全性，为决定是否应该阻止用户设备加载非法的动态链接库文件提供判断依据，检验模块103针对动态链接库文件的安全性检验是有针对性和有目的性的，原因是检验模块103直接根据要被用户设备加载的动态链接文件的信息来对该动态链接库文件进行安全性检验；此操作的一个衍生的技术效果是：检验模块103因此针对动态链接库文件的安全性检验所耗费的时间较少，有利于用户设备中的可执行程序在获知是否允许加载该动态链接库文件之前不需等待较长的时间，有利于保持该可执行程序运行的连贯性，此外，还有利于减少用户设备中的计算机资源消耗。

在步骤304，存储模块1031存储并提供关于动态链接库文件的白名单信息，该关于动态链接库文件的白名单信息可以是包括不会被病毒文件利用、攻击、篡改或替换的动态链接库文件的信息。作为一种改进，检验模块103还包括更新模块1032，该更新模块1032与存储模块1031电性连接，该更新模块1032还可以与服务器建立通信连接。更新模块1032对白名单进行更新，更新模块1032可以从服务器中获取关于白名单的更新文件，然后对该存储模块1031中的白名单进行更新。

在步骤305，对比模块1033将白名单信息与动态链接库文件进行对比以判断动态链接库文件是否处于白名单中并生成对比结果，该对比结果有两种情况，一种是该动态链接库文件处于该白名单中，另一种是该动态链接库文件不处于该白名单中。

在步骤306，控制模块104根据该对比结果判断该要加载的动态链接库文件是否处于该白名单中，若是，则进入步骤313，否则，进入步骤307。

在步骤307，云扫描模块1034在对比结果为动态链接库文件不处于白名单中时通知服务器对动态链接库文件进行云扫描。

在步骤308，接收服务器关于所扫描的对象（动态链接库文件）的安全性的反馈。在步骤307和步骤308的技术方案中，云扫描模块1034与服务器联合起来对动态链接库文件进行云扫描。

在步骤309，控制模块104根据该反馈判断该要加载的动态链接库文件是否安全，若是，则进入步骤313，否则，进入步骤310。

在步骤310，数字签名获取模块1035获取动态链接库文件的数字签名。该数字签名获取模块1035可以通过获取动态链接库文件中固定部位的信息来生成哈希值，并以此作为该动态链接库文件的数字签名，数字签名获取模块1035可以利用哈希算法来将该动态链接库文件中的相应信息生成哈希值。

在步骤311，验证模块1036根据数字签名验证动态链接库文件是否安全并生成验证结果，具体地，验证模块1036将正常的动态链接库中相应部位的信息对应的哈希值与该数字签名获取模块1035所生成的哈希值进行比对和验证，从而验证该动态链接库文件是否是正常的动态链接库文件，以此来判断其安全性。

在步骤312，控制模块104根据该验证结果判断该要加载的动态链接库文件是否安全，若是，则进入步骤313，否则，进入步骤314。

在步骤313，控制模块104控制用户设备加载动态链接库文件。

在步骤314，控制模块104控制用户设备取消加载动态链接库文件。在步骤313和步骤314的技术方案中，控制模块104可以通过控制用户设备的文件系统中的过滤驱动来控制动态链接库文件的加载，通过控制用户设备针对动态链接库文件的加载操作，本发明可以有效地实现防止非法的动态链接库文件被用户设备加载，从而实现保护用户设备的目的。

综上所述，虽然本发明已以优选实施例揭露如上，但上述优选实施例并非用以限制本发明，本领域的普通技术人员，在不脱离本发明的精神和范围内，均可作各种更动与润饰，因此本发明的保护范围以权利要求界定的范围为准。

Claims

1.一种防止用户设备加载非法的动态链接库文件的装置，其特征在于，包括：

监控模块，用于监控动态链接库文件是否被用户设备加载并生成监控结果；

信息收集模块，用于在所述监控结果为所述动态链接库文件被所述用户设备加载时收集所述动态链接库文件的信息；

检验模块，用于根据所述信息对所述动态链接库文件进行安全性检验并生成检验结果；

控制模块，用于在所述检验结果为所述动态链接库文件不安全时控制所述用户设备取消加载所述动态链接库文件，以及用于在所述检验结果为所述动态链接库文件安全时控制所述用户设备加载所述动态链接库文件。

2.根据权利要求1所述的防止用户设备加载非法的动态链接库文件的装置，其特征在于，所述控制模块还用于在所述监控结果为所述动态链接库文件被所述用户设备加载时控制所述用户设备暂停针对所述动态链接库文件的加载操作。

3.根据权利要求1所述的防止用户设备加载非法的动态链接库文件的装置，其特征在于，所述检验模块包括：

存储模块，用于存储关于所述动态链接库文件的白名单信息；

对比模块，用于将所述白名单信息与所述动态链接库文件进行对比以判断所述动态链接库文件是否处于所述白名单中并生成对比结果；

所述控制模块还用于在所述对比结果为所述动态链接库文件处于所述白名单时控制所述用户设备加载所述动态链接库文件。

4.根据权利要求3所述的防止用户设备加载非法的动态链接库文件的装置，其特征在于，所述检验模块还包括：

更新模块，用于对所述白名单进行更新。

5.根据权利要求3所述的防止用户设备加载非法的动态链接库文件的装置，其特征在于，所述检验模块包括：

云扫描模块，用于在所述对比结果为所述动态链接库文件不处于所述白名单中时通知服务器对所述动态链接库文件进行云扫描，以及用于接收所述服务器的反馈；

所述控制模块还用于在所述反馈为所述动态链接库文件安全时控制所述用户设备加载所述动态链接库文件，以及用于在所述反馈为所述动态链接库文件不安全时控制所述用户设备取消加载所述动态链接库文件。

6.根据权利要求5所述的防止用户设备加载非法的动态链接库文件的装置，其特征在于，所述检验模块包括：

数字签名获取模块，用于在所述反馈为不确定所述动态链接库文件的安全性时获取所述动态链接库文件的数字签名；

验证模块，用于根据所述数字签名验证所述动态链接库文件是否安全并生成验证结果；

所述控制模块还用于在所述验证结果为所述动态链接库文件安全时控制所述用户设备加载所述动态链接库文件，以及用于在所述验证结果为所述动态链接库文件不安全时控制所述用户设备取消加载所述动态链接库文件。

7.一种防止用户设备加载非法的动态链接库文件的方法，其特征在于，所述方法包括以下步骤：

监控动态链接库文件是否被用户设备加载并生成监控结果；

在所述监控结果为所述动态链接库文件被所述用户设备加载时收集所述动态链接库文件的信息；

根据所述信息对所述动态链接库文件进行安全性检验并生成检验结果；

在所述检验结果为所述动态链接库文件不安全时控制所述用户设备取消加载所述动态链接库文件，以及在所述检验结果为所述动态链接库文件安全时控制所述用户设备加载所述动态链接库文件。

8.根据权利要求7所述的防止用户设备加载非法的动态链接库文件的方法，其特征在于，所述方法还包括以下步骤：

在所述监控结果为所述动态链接库文件被所述用户设备加载时控制所述用户设备暂停针对所述动态链接库文件的加载操作。

9.根据权利要求7所述的防止用户设备加载非法的动态链接库文件的方法，其特征在于，所述方法还包括以下步骤：

提供关于所述动态链接库文件的白名单信息；

将所述白名单信息与所述动态链接库文件进行对比以判断所述动态链接库文件是否处于所述白名单中并生成对比结果；

在所述对比结果为所述动态链接库文件处于所述白名单时控制所述用户设备加载所述动态链接库文件。

10.根据权利要求9所述的防止用户设备加载非法的动态链接库文件的方法，其特征在于，所述方法还包括以下步骤：

对所述白名单进行更新。

11.根据权利要求9所述的防止用户设备加载非法的动态链接库文件的方法，其特征在于，所述方法还包括以下步骤：

在所述对比结果为所述动态链接库文件不处于所述白名单中时通知服务器对所述动态链接库文件进行云扫描，以及接收所述服务器的反馈；

在所述反馈为所述动态链接库文件安全时控制所述用户设备加载所述动态链接库文件，以及在所述反馈为所述动态链接库文件不安全时控制所述用户设备取消加载所述动态链接库文件。

12.根据权利要求11所述的防止用户设备加载非法的动态链接库文件的方法，其特征在于，所述方法还包括以下步骤：

在所述反馈为不确定所述动态链接库文件的安全性时获取所述动态链接库文件的数字签名；

根据所述数字签名验证所述动态链接库文件是否安全并生成验证结果；

在所述验证结果为所述动态链接库文件安全时控制所述用户设备加载所述动态链接库文件，以及在所述验证结果为所述动态链接库文件不安全时控制所述用户设备取消加载所述动态链接库文件。