CN104268471A - 一种检测面向返程的编程攻击的方法及装置 - Google Patents

一种检测面向返程的编程攻击的方法及装置 Download PDF

Info

Publication number
CN104268471A
CN104268471A CN201410459638.1A CN201410459638A CN104268471A CN 104268471 A CN104268471 A CN 104268471A CN 201410459638 A CN201410459638 A CN 201410459638A CN 104268471 A CN104268471 A CN 104268471A
Authority
CN
China
Prior art keywords
api function
calling
postponing
call
return address
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201410459638.1A
Other languages
English (en)
Other versions
CN104268471B (zh
Inventor
薛小昊
刘桂峰
姚辉
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Zhuhai Seal Interest Technology Co Ltd
Original Assignee
Zhuhai Juntian Electronic Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Zhuhai Juntian Electronic Technology Co Ltd filed Critical Zhuhai Juntian Electronic Technology Co Ltd
Priority to CN201410459638.1A priority Critical patent/CN104268471B/zh
Publication of CN104268471A publication Critical patent/CN104268471A/zh
Application granted granted Critical
Publication of CN104268471B publication Critical patent/CN104268471B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/566—Dynamic detection, i.e. detection performed at run-time, e.g. emulation, suspicious activities
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/03—Indexing scheme relating to G06F21/50, monitoring users, programs or devices to maintain the integrity of platforms
    • G06F2221/033—Test or assess software

Abstract

本发明的实施例公开一种检测面向返程的编程攻击的方法及装置。检测面向返程的编程攻击的方法包括：分别在每一待监测的应用程序的进程中注入预先设置的应用编程接口函数监测程序；监测到所述待监测的应用程序的进程调用预先设置的应用编程接口API函数库中的API函数时，暂缓所述待监测的应用程序的进程对所述API函数的调用；按照预先设置的面向返程的编程ROP防护策略处理暂缓调用的所述API函数，以确定是否允许调用暂缓调用的所述API函数。应用本发明，可以有效检测ROP攻击、提升网络安全性。

Description

一种检测面向返程的编程攻击的方法及装置
技术领域
本发明涉及网络安全技术，尤其涉及一种检测面向返程的编程(ROP，Return-oriented Programming)攻击的方法及装置。
背景技术
随着计算机网络技术的广泛应用，互联网逐渐成为恶意应用程序攻击用户的主要途径，恶意应用程序通过将应用程序文件伪装成其他类型文件，并引诱用户点击和下载，在恶意应用程序被下载到用户计算机并成功运行后，攻击者就可以利用安装的恶意应用程序，针对操作系统以及应用程序软件的漏洞实施攻击，例如，破坏用户计算机、窃取用户隐私信息等。其中，漏洞是指操作系统或应用程序软件在逻辑设计上的缺陷或在编写时产生的错误。这些缺陷或错误往往可以被攻击者利用，并植入木马等恶意应用程序，从而侵害、控制甚至破坏用户计算机软硬件系统，或者窃取用户隐私信息，给用户的网络安全带来极大隐患。
通过缓冲区溢出的方式对操作系统漏洞实施攻击，是近年来操作系统遭受恶意应用程序攻击的主要方式。缓冲区是操作系统在应用程序运行期间，为该应用程序分配的用于存放局部变量及函数参数的一段连续的存储空间。当应用程序向预分配的固定大小(容量)的缓冲区中进行数据填充时，如果填充的数据超过缓冲区容量，在操作系统不对缓冲区中填充的数据进行边界检测的情况下，将发生缓冲区溢出现象，溢出的数据将向与缓冲区相邻的高地址继续写入，形成缓冲区溢出现象。
由于操作系统存在缺乏边界安全检查的机制，从而为攻击者入侵提供了可乘之机，攻击者可以利用缓冲区溢出现象，通过构造用于填充缓冲区的填充数据，从而使得溢出的数据覆盖到该应用程序的关键位置，例如，函数指针、函数的返回地址或是栈指针等，实现对该应用程序执行流程的控制，并进而可以将该应用程序引导到预先存放的恶意代码处执行，从而达到破坏操作系统甚至获得操作系统控制权限。例如，通过缓冲区溢出，可以获取根(root)权限或管理员权限，并利用获得的根权限或管理员权限，窃取用户隐私信息的目的。
目前，针对缓冲区溢出，业界虽然提出了许多检测和防护策略，但缓冲区溢出攻击仍面临较为严峻的形势，一方面，在于不断有新的操作系统漏洞被发掘和利用，另一方面，已有的防护策略也被层出不穷的攻击方式所攻破。因而，针对缓冲区溢出攻击的研究是网络安全领域的一个热点研究。
ROP攻击是一种新的缓冲区溢出攻击方式，采用基于代码的复用技术，ROP攻击通过从操作系统内存中已经存在的二进制代码段的指令片断(gadget)或者可执行文件中，寻找合适的指令片断(gadget)，并通过精心设计返回堆栈，从而将各寻找到的合适的gadget拼接起来形成包含恶意代码的攻击序列，从而达到恶意攻击的目的。由于ROP攻击利用的都是内存中合法的的代码，可以绕过操作系统防护缓冲区溢出的重要保护机制，例如，数据执行保护(DEP，DataExecution Prevention)，从而给操作系统以及网络带来极大的安全威胁。
以Windows操作系统为例，ROP攻击一直是微软面临的最大安全问题。虽然微软在不断完善ROP攻击的防护策略，例如，在Vista以上的版本中开始加入Windows地址空间配置随机化(ASLR，Address Space Layout Randomization)防护技术或Mandatory ASLR防护技术，可以较为有效地防范恶意应用程序中的ROP攻击，但该防范技术需要编译器的支持。这样，一方面，使得很多早期的操作系统，例如，早期版本msvcrt.dll、gdi32.dll等，由于都不支持ASLR以及支持编译器，导致早期的操作系统，容易被攻击者利用，从而成功构造ROP攻击代码进行操作系统攻击；另一方面，由于层出不穷的漏洞攻击，尤其是在微软停止XP服务后，已有的防护策略可能被其他的攻击方式所攻破，使得许多基于Windows操作系统的用户将面临更为严重的安全问题。
发明内容
有鉴于此，本发明实施例提供一种检测面向返程的编程攻击的方法及装置，能够有效检测ROP攻击、提升网络安全性。
为达到上述目的，本发明的实施例采用如下技术方案：
一方面，本发明实施例提供一种检测面向返程的编程攻击的方法，分别在每一待监测的应用程序的进程中注入预先设置的应用编程接口函数监测程序；该方法还包括：
监测到所述待监测的应用程序的进程调用预先设置的应用编程接口API函数库中的API函数时，暂缓所述待监测的应用程序的进程对所述API函数的调用；
按照预先设置的面向返程的编程ROP防护策略处理暂缓调用的所述API函数，以确定是否允许调用暂缓调用的所述API函数。
本发明实施例提供的检测面向返程的编程攻击的方法，通过注入的方法注入应用编程接口函数监测程序，用以监测API函数的调用，在监测到API函数被调用时，先暂缓该API函数的调用，并对暂缓调用的API函数进行是否为ROP攻击的判断，以避免ROP攻击，可以不依赖系统版本、模块版本或软件版本，能够有效检测到是否为ROP攻击，并对检测到的ROP攻击进行有效的防护，提升了网络安全性。
另一方面，本发明实施例提供一种检测面向返程的编程攻击的装置，包括：注入模块、监测模块以及处理模块，其中，
注入模块，用于分别在每一待监测的应用程序的进程中注入预先设置的应用编程接口函数监测程序；
监测模块，用于在监测到所述待监测的应用程序的进程调用预先设置的应用编程接口API函数库中的API函数后，暂缓所述待监测的应用程序的进程对所述API函数的调用；
处理模块，用于按照预先设置的面向返程的编程ROP防护策略处理暂缓调用的所述API函数，以确定是否允许调用暂缓调用的所述API函数。
本发明实施例提供的检测面向返程的编程攻击的装置，注入模块通过注入的方法注入应用编程接口函数监测程序，监测模块根据注入的应用编程接口函数监测程序监测API函数的调用，并在监测到API函数被调用时，先暂缓该API函数的调用，并对暂缓调用的API函数进行是否为ROP攻击的判断，以避免ROP攻击，从而能够有效检测到是否为ROP攻击，并对检测到的ROP攻击进行有效的防护，提升了网络安全性。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其它的附图。
图1为本发明实施例检测面向返程的编程攻击的方法流程示意图；
图2为本发明实施例检测面向返程的编程攻击的方法具体流程示意图；
图3为本发明实施例检测面向返程的编程攻击的装置结构示意图。
具体实施方式
下面结合附图对本发明实施例进行详细描述。
应当明确，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。
图1为本发明实施例检测面向返程的编程攻击的方法流程示意图。参见图1，该方法包括：
步骤101，分别在每一待监测的应用程序的进程中注入预先设置的应用编程接口函数监测程序；
本步骤中，在应用程序的进程中注入应用编程接口函数监测程序，是为了使注入的所述应用编程接口函数监测程序监测并处理所述待监测的应用程序的进程后续的调用事宜。
由于不同的用户，对操作系统进行操作的权限可能不同。例如，以Windows操作系统为例，Windows操作系统将用户分为不同的权限组，并为每个权限组赋予相应的操作权限。其中，权限组可以包括：管理员权限组、高权限用户组、普通用户组以及匿名权限组等。其中，管理员权限组对应的操作权限为管理员权限，高权限用户组对应的操作权限为高权限，普通用户组对应的操作权限为普通权限等。
本发明实施例中，考虑到不同的操作权限虽然将用户对操作系统的操作限制在相应的操作权限内，但由于各操作权限之间并不相互独立，都依赖于同样的指令完成权限操作。因而，可以利用提升权限(Adjust Token Privilege)，例如，钩子(Hook)的方法提升用户访问的操作权限，其中，提升权限是指程序员或相关技术人员利用各种操作系统漏洞，突破操作系统指派的操作权限级别，将自己当前的操作权限提高一个或多个级别，从而使用户获取更多对操作系统进行操作的权限，例如，通过提升权限的方法，可以使用户获取原先未曾拥有的对系统文件的删、增、改等权限。
这样，通过提升权限的方法将本发明实施例的应用编程接口函数监测程序注入到运行的待监测应用程序的进程中，使得注入的应用编程接口函数监测程序能够对应用程序进程进行监测并拥有对进程进行处理的权限，由于拥有操作系统的高级权限，从而在后续应用中，本发明实施例提出的检测面向返程的编程攻击的方法可以不依赖于操作系统及模块版本，也无需编译器的支持，可以对早期Windows系统或者早期PE文件进行有效防护；进一步地，由于通过注入的方式，实现的是主动防御，可以实现对进程的有效监控，并能在后续进程调用应用编程接口(API，Application Program Interface)函数时，能够实时进行处理，从而降低操作系统遭受攻击的风险。
所应说明的是，该步骤只需执行一次，而无需在每次检测面向返程的编程攻击时都执行。
步骤102，监测到所述待监测的应用程序的进程调用预先设置的应用编程接口函数库中的API函数时，暂缓所述待监测的应用程序的进程对所述API函数的调用；
本步骤中，注入的应用编程接口函数监测程序在监测到该应用程序的进程调用API函数时，例如，在进程发出调用API函数的请求时，截获该调用API函数的请求，如果调用API函数的请求中包含的API函数属于预先设置的API函数库中的一API函数，则暂缓该API函数的调用，以对该API函数进行处理后再确定是否允许该应用程序的进程调用该API函数。
步骤103，按照预先设置的ROP防护策略处理暂缓调用的所述API函数，以确定是否允许调用暂缓调用的所述API函数。
本步骤中，如果依据ROP防护策略，确定调用API函数的应用程序为恶意应用程序，则拒绝应用程序的进程调用暂缓调用的所述API函数，从而避免ROP攻击；如果确定调用API函数的应用程序为非恶意应用程序，允许调用暂缓调用的所述API函数，以执行正常的应用程序业务。
本发明实施例中，作为一可选实施例，按照预先设置的ROP防护策略处理暂缓调用的所述API函数，以确定是否允许调用暂缓调用的所述API函数包括：
获取暂缓调用的API函数的返回地址，判断所述返回地址的属性是否具有可执行属性，如果是，不允许调用暂缓调用的所述API函数，如果否，允许调用暂缓调用的所述API函数。
作为另一可选实施例，按照预先设置的ROP防护策略处理暂缓调用的所述API函数，以确定是否允许调用暂缓调用的所述API函数也可以包括：
获取暂缓调用的API函数的返回地址，判断所述返回地址是否在所述应用程序的进程所加载的系统动态链接库模块的加载地址范围内，如果是，允许调用暂缓调用的所述API函数，如果否，不允许调用暂缓调用的所述API函数。
作为再一可选实施例，按照预先设置的ROP防护策略处理暂缓调用的所述API函数，以确定是否允许调用暂缓调用的所述API函数也可以包括：
获取暂缓调用的API函数的返回地址，判断所述返回地址处的上一条指令是否为CALL指令，如果是，允许调用暂缓调用的所述API函数，如果否，不允许调用暂缓调用的所述API函数。
作为再一可选实施例，按照预先设置的ROP防护策略处理暂缓调用的所述API函数，以确定是否允许调用暂缓调用的所述API函数也可以包括：
获取暂缓调用的API函数的返回地址，判断所述返回地址是否在当前线程环境块中所描述的栈空间范围内，如果是，允许调用暂缓调用的所述API函数，如果否，不允许调用暂缓调用的所述API函数。
作为再一可选实施例，按照预先设置的ROP防护策略处理暂缓调用的所述API函数，以确定是否允许调用暂缓调用的所述API函数也可以包括：
获取暂缓调用API函数的通用命名规则路径，判断获取的通用命名规则路径是否为远程路径，如果是，不允许调用暂缓调用的所述API函数，如果否，允许调用暂缓调用的所述API函数。
作为再一可选实施例，按照预先设置的ROP防护策略处理暂缓调用的所述API函数，以确定是否允许调用暂缓调用的所述API函数也可以包括：
在API函数NtProtectVirtualMemory中，判断是否可将暂缓调用的API函数的属性修改为栈空间的可执行属性，如果是，不允许调用暂缓调用的所述API函数，如果否，允许调用暂缓调用的所述API函数。
实际应用中，也可以结合上述方法的任意组合，以确定是否允许调用暂缓调用的所述API函数。即组合的ROP防护策略包括：返回地址属性检测策略、和/或，调用空间检测策略、和/或，调用指令检测策略、和/或，栈异常检测策略、和/或，通用命名规则路径检测策略、和/或，栈空间属性修改检测策略。
对于组合的情形，当根据当前的ROP防护策略确定不允许调用暂缓调用的所述API函数时，启用下一ROP防护策略，对是否允许调用暂缓调用的所述API函数进行判断。以组合的ROP防护策略包括：返回地址属性检测策略以及调用空间检测策略为例，按照预先设置的ROP防护策略处理暂缓调用的所述API函数，以确定是否允许调用暂缓调用的所述API函数包括：
A1，获取暂缓调用的API函数的返回地址，判断所述返回地址的属性是否具有可执行属性，如果是，执行步骤A2，如果否，允许调用暂缓调用的所述API函数；
A2，获取暂缓调用的API函数的返回地址，判断所述返回地址的属性是否在所述应用程序的进程所加载的系统动态链接库模块的加载地址范围内，如果是，允许调用暂缓调用的所述API函数，如果否，不允许调用暂缓调用的所述API函数。
本发明实施例中，在确定不允许调用暂缓调用的所述API函数之后，该方法还可以进一步包括：
发送消息提醒，以提醒用户进行处理；和/或，
对调用API函数的应用程序进行安全扫描，并对扫描结果为不安全的应用程序进行及时处理；和/或，
卸载调用API函数的应用程序，以避免该应用程序运行时带来的潜在风险；和/或，
为调用API函数的应用程序设置访问权限，例如，设置禁止网络访问权限或有限访问权限。
以下以一组合的ROP防护策略为例，对本发明实施例检测面向返程的编程攻击的方法流程进行详细描述。
图2为本发明实施例检测面向返程的编程攻击的方法具体流程示意图。参见图2，该方法包括：
步骤201，在待监测的应用程序的进程中注入预先设置的应用编程接口函数监测程序；
本步骤中，作为可选实施例，应用编程接口函数监测程序包括主程序以及防护模块，并由主程序负责将防护模块注入到待监测的应用程序的进程中，即需要保护的进程中。例如，QQ应用程序进程、微信进程、IE进程、Office进程、应用程序安装进程等。具体地，可以预先在每一待监测的应用程序中注入一应用编程接口函数监测程序，并设置在待监测的应用程序启动时，同步启动注入的应用编程接口函数监测程序。
作为可选实施例，在待监测的应用程序的进程中注入预先设置的应用编程接口函数监测程序包括：
A11，在待监测的应用程序中注入预先设置的应用编程接口函数监测程序的分析以及回调模块，利用所述注入的分析以及回调模块替换所述待监测的应用程序的调用管理模块；
本步骤中，可以通过调用WindowManager的addview方法替换所述待监测的应用程序的调用管理模块。这样，通过替换待监测的应用程序的调用管理模块，从而可以在后续流程中，在应用程序的进程调用API函数，可以按照注入的分析以及回调模块对调用的API函数进行处理。关于调用WindowManager的addview方法，属于公知技术，在此略去详述。
作为可选实施例，利用所述注入的分析以及回调模块替换所述待监测的应用程序的调用管理模块包括：
A111，查找所述待监测的应用程序的调用管理模块的内存变量；
A112，将所述调用管理模块的内存变量替换为分析以及回调模块的内存变量。
本发明实施例中，作为可选实施例，步骤A112可以具体包括：
将分析以及回调模块的内存变量对应的代码写入动态链接库(DLL，Dynamic Link Library)中，利用操作系统中的windows钩子(Hook)将写入动态链接库中的内存变量代码映射到所述调用管理模块。
作为另一可选实施例，步骤A112也可以包括：
将分析以及回调模块的内存变量对应的代码写入动态链接库中，利用操作系统中的远程注入(CreatRemoteThread)以及动态加载(LoadLibrary)将写入动态链接库中的内存变量代码映射到所述调用管理模块。
本发明实施例中，替换后的分析以及回调模块中相对应的内存变量代码所实现的功能与调用管理模块中的相关内存变量代码所实现的功能一致，且追加有暂缓调用以及依据ROP防护策略处理暂缓调用的API函数的功能。这样，可以实现对调用的API函数进行暂缓调用，并对其进行处理以确定是否允许其被调用。
所应说明的是，本发明实施例中的注入仅是示例性的，本领域普通技术人员可以采用其他的技术来完成替换流程，例如，在操作系统启动后调用SetWindowsHookEx接口向Windows操作系统注册本发明实施例的应用编程接口函数监测程序，用于监测和处理应用程序的进程调用API函数的事例，本发明实施例不再一一例举。
A12，监测到所述待监测的应用程序启动，同步启动注入在所述待监测的应用程序中的所述分析以及回调模块。
本步骤中，应用程序在启动的过程中，操作系统为该应用程序分配进程，在进程启动后，加载入在所述待监测的应用程序中的所述分析以及回调模块。
作为可选实施例，在注入预先设置的应用编程接口函数监测程序之前，该方法进一步包括：
调用Windows操作系统的SetWindowsHookEx接口，设置用于监测和处理进程调用的API函数的应用编程接口函数监测程序。
本步骤中，应用编程接口函数监测程序是Windows操作系统中用于监测和处理进程调用的API函数的钩子程序。通过设置应用编程接口函数监测程序，每当进程发出调用API函数的请求之后，在没有调用API函数之前，应用编程接口函数监测程序可以捕获该调用API函数请求，即应用编程接口函数监测程序优先得到控制权。这样，应用编程接口函数监测程序可以修改该调用API函数请求，也可以不作处理而继续传递该调用API函数请求，还可以强制结束该调用API函数请求的传递。
作为另一可选实施例，在注入预先设置的应用编程接口函数监测程序之前，该方法可以进一步包括：
获取操作系统的根(Root)权限。
本步骤中，通过预先获取操作系统的Root权限，从而可以实现提升权限。其中，Root是Linux操作系统、Windows操作系统和Unix操作系统中的超级管理员用户账户，如果获得Root权限，表示已经获取操作系统的最高权限。这样，可以对操作系统中的任何文件(包括操作系统文件)执行增、删、改、查等操作，从而实现应用编程接口函数监测程序的注入。
步骤202，利用应用编程接口函数监测程序监测所述待监测的应用程序的进程对预先设置的API函数库中API函数的调用；
本步骤中，当前述的防护模块被注入到待监测的应用程序的进程中后，对进程调用预先设置的API函数进行监测，即利用API Hook技术，对当前进程中的所有关键API函数进行监测。
本发明实施例中，API Hook技术是一种通过修改API函数指令来检测API函数的执行或者改变API函数执行结果的技术。也就是说，在Windows操作系统下的应用程序编程，需要接触到API函数的调用以实现预设的功能，当对某些API函数的功能不满意的情况下，则可以通过API Hook技术修改或编辑API函数，使之能更好地服务于应用程序。
具体来说，用户可以通过Hook操作，提高自己的操作系统权限，从而跨越不同进程间访问的限制，并通过Hook“接触”到需要修改的API函数入口点，并改变API函数的地址使之指向新的自定义函数，以修改其功能。其中，Hook操作是一个用于处理信息的程序段，通过操作系统调用，可以将用户编程的应用程序挂入到操作系统中预定的应用程序中。例如，在Windows操作系统中，在使用Hook技术对API函数实施监控后，只要是针对受监控的API函数的调用行为，都会被自动截获，使得执行调用API函数的流程跳转到执行用于暂缓调用该API函数，并对暂缓调用的该API函数进行处理。
本发明实施例中，为了绕过操作系统的DEP防护策略，因而，在恶意应用程序构建的ROP攻击代码中，包含有对实现绕过操作系统DEP防护策略的相关API函数的调用指令，由该相关API函数构成API函数库。因而，API函数库中的API函数包括但不限于：
″ntdll.dll″″NtMapViewOfSection″
″ntdll.dll″″NtCreateSection″
″ntdll.dll″″NtCreateFile″
″ntdll.dll″″NtWriteVirtualMemory″
″ntdll.dll″″NtCreateThreadEx″
″ntdll.dll″″NtCreateProcess″
″ntdll.dll″″NtCreateUserProcess″
″ntdll.dll″″RtlCreateHeap″
″ntdll.dll″″NtAllocateVirtualMemory″
″ntdll.dll″″LdrLoadDll″
″ntdll.dll″″NtProtectVirtualMemory″
″ntdll.dll″″LdrHotPatchRoutine″
″kernel32.dll″″MapViewOfFileEx″
″kernel32.dll″″MapViewOfFile″
″kernel32.dll″″CreateFileMappingW″
″kernel32.dll″″CreateFileMappingA″
″kernel32.dll″″CreateFileW″
″kernel32.dll″″CreateFileA″
″kernel32.dll″″WinExec″
″kernel32.dll″″WriteProcessMemory″
″kernel32.dll″″CreateRemoteThreadEx″
″kernel32.dll″″CreateRemoteThread″
″kernel32.dll″″CreateProcessInternalW″
″kernel32.dll″″CreateProcessInternalA″
″kernel32.dll″″CreateProcessW″
″kernel32.dll″″CreateProcessA″
″kernel32.dll″″HeapCreate″
″kernel32.dll″″VirtualAllocEx″
″kernel32.dll″″VirtualAlloc″
″kernel32.dll″″LoadLibraryExW″
″kernel32.dll″″LoadLibraryExA″
″kernel32.dll″″LoadLibraryW″
″kernel32.dll″″LoadLibraryA″
″kernel32.dll″″VirtualProtectEx″
″kernel32.dll″″VirtualProtect″
实际应用中，还可以根据实际需要，在API函数库中添加其它API函数或从中删除一些API函数。
步骤203，监测到Hook的API函数被调用，暂缓所述待监测的应用程序的进程的调用，进行返回地址属性检测，判断该返回地址是否具有可执行属性，如果否，执行步骤211，如果是，执行步骤204；
本步骤中，可以根据栈指针寄存器(ESP，Extended Stack Pointer)，获取待调用的API函数的返回地址，并判断该返回地址是否具有可执行属性。
作为可选实施例，可以通过VirtualQuery函数查询该返回地址处是否具有可执行属性。如果该返回地址处不具有可执行属性，则执行步骤211的返回攻击提醒流程，如果该返回地址具有可执行属性，则继续进行检测以确定是否为ROP攻击。其中，API函数的返回地址是指API函数的调用者(进程)所在的地址。因此，根据返回地址的特征可以确定API函数的调用者是否为恶意指令代码(shellcode)，如果确定出调用者是恶意代码，则该API函数的调用就属于不合法的调用，向用户返回攻击提醒，由用户选择是否允许调用API函数，或者，直接拒绝该应用程序的进程对该API函数的调用。其中，Shellcode是一段可执行的CPU指令代码，在后续利用操作系统漏洞或应用程序软件漏洞成功实施缓冲区溢出攻击后，Shellcode将获得操作系统执行权限，从而可以执行其内存空间中的代码，造成应用程序执行流程跳转，从而使应用程序执行跳转到Shellcode所在的内存空间，并执行Shellcode中的代码，并通过执行Shellcode代码完成用户隐私信息的窃取。
实际应用中，一般的恶意代码shellcode都是被写入数据的内存页面，不具备可执行权限。因此，进一步地，可以通过检测API函数返回地址的内存页属性，来判断API函数调用是否合法，即利用VirtualQuery函数查看进程内存地址空间的页面分配情况(API函数的返回地址的内存页属性)，如果查询到API函数的返回地址的内存页属性为不可执行属性，则判定该API函数的调用不合法。
步骤204，进行调用空间检测，判断该返回地址是否处于预先设置的模块的加载地址范围内，如果否，执行步骤211，如果是，执行步骤205；
本步骤中，调用空间检测是指通过VirtualQuery函数，查询该返回地址处是否处于预先设置的某模块内，即检测待调用的API函数的返回地址是否在预设的所属模块的加载地址范围内，也就是该返回地址是否为堆空间地址或者栈空间地址。如果不是，则返回攻击提醒。如果处于预设的所属模块的加载地址范围内，则继续进行检测以确定是否为ROP攻击。具体来说，如果是正常的API函数调用，API函数的返回地址会在所属模块的加载地址范围内，否则，该API函数的调用应该属于非法调用，应当被禁止。
需要说明的是，本发明实施例中，预设的所属模块是指应用程序的进程所加载的系统动态链接库(DLL，Dynamic Link Library)模块，DLL模块由一组可供任何应用程序使用的独立函数组成，每一DLL模块包含一些可供应用程序或其他DLL模块调用的函数，每一函数对应有一加载地址，应用程序在启动运行过程中，会在用户的操作系统中对该DLL模块进行定位，并将该DLL模块映射到应用程序进程的地址空间中。操作系统将各应用程序所调用的相应DLL模块映射到对应进程的地址空间范围，形成所属模块的加载地址范围。
实际应用中，由于每一DLL模块都有自己的内存地址范围，正常的API函数调用的返回地址都是在进程加载的DLL模块的内存地址范围内；而恶意代码调用API函数的返回地址，一般都不会在进程加载的DLL模块的内存地址范围内。因此，如果是恶意代码shellcode调用的API函数，则其返回地址就会与预设的所属模块的加载地址范围不符的情形，因而，当出现调用的API函数的返回地址与所属模块的加载地址范围不符的情形时，可以判定出当前进程的调用可能是不合法的。
本步骤可通过如下的程序代码段实现：
MEMORY_BASIC_INFORMATION mbmemInfo；
VirtualQuery((PVOID)lpRetAddr，&mbiMemInfo，sizeof(MEMORY_BASIC_INFORMATION))；
KAE_Success_EXIT(mbMemInfo.TYpe＝＝MEM_IMAGE)；
Kstatus＝KAE_STATUS_FAILED；
KAE_EXIT；
Return kstatus；
步骤205，进行调用指令检测，判断该返回地址处的上一条指令是否为CALL指令，如果否，执行步骤211，如果是，执行步骤206；
本步骤中，调用指令检测用于检测暂缓调用的API函数的调用指令是否为CALL指令。具体为：获取返回地址处的上一条指令，判断该上一条指令是否为CALL指令：如果不是，则返回攻击提醒。如果是CALL指令，则继续进行检测。
本步骤可通过如下的程序代码段实现：
KAESTATUS KStatus＝KAE_STATUS_SUCCESS；
KAE_SUCCESS_EXIT(*((PBYTE)lpRetAddr-5)＝＝OXE8)；
KAE_SUCCESS_EXIT(*((PBYTE)lpRetAddr-3)＝＝OXE8)；
KAE_SUCCESS_EXIT(*((PBYTE)lpRetAddr-5)＝＝OX9A)；
KAE_SUCCESS_EXIT(*((PBYTE)lpRetAddr-7)＝＝OX9A)；
for(int i＝2；i＜8；i++)
{
KAE_SUCCESS_EXIT(*((PBYTE)lpRetAddr-i)＝＝OXFF)&&
(((*((PBYTE)lpRetAddr-i+1))&OX38)＝＝OX10))；
}
for(int i＝2；i＜10；i++)
{
KAE_SUCCESS_EXIT(*((PBYTE)lpRetAddr-i)＝＝OXFF)&&
(((*((PBYTE)lpRetAddr-i+1))&OX38)＝＝OX18))；
}
KStatus＝KAE_STATUS_FAILED；
KAE_EXIT；
Return KStatus；
步骤206，进行栈异常检测，判断该返回地址是否属于当前TEB中所描述的栈空间范围内，如果否，执行步骤211，如果是，执行步骤207；
本步骤中，进行栈异常检测，以检测栈空间地址是否正常：判断API函数的返回地址是否在当前线程环境块(TEB，Thread Environment Block)中所描述的栈空间范围内。如果不在该TEB中所描述的栈空间范围内，则返回攻击提醒。如果是，则继续进行检测。其中，TEB中保存有频繁使用的线程相关的数据，位于用户地址空间内。
步骤207，进行UNC路径检测，判断UNC路径是否为远程路径，如果是，执行步骤211，如果否，执行步骤208；
本步骤中，进行通用命名规则(UNC，Universal Naming Convention)路径检测，以检测LoadLibrary的路径是否为网络路径(远程路径)，即在函数LoadLibraryA或LoadLibraryW中，获取调用API函数的UNC路径，判断获取的UNC路径是否为远程路径，例如，是否为远程网络路径。如果是，则返回攻击提醒。如果不是，则继续进行检测。
步骤208，进行属性修改检测，判断属性修改是否为可执行属性，如果是，且修改目标为栈空间，执行步骤211，否则，结束检测流程。
本步骤中，进行属性修改检测：即在API函数NtProtectVirtualMemory中，判断是否可将API函数的属性修改为栈空间的可执行属性。如果是，则返回攻击提醒，否则，则结束检测。
步骤211，返回攻击提醒。
由上述可见，本发明实施例提供专门针对ROP攻击的检测方法，通过在待监测的应用程序的进程中注入应用编程接口函数监测程序，在监测到应用程序的进程调用API函数时，暂缓所述应用程序的进程对所述API函数的调用，并按照预先设置的ROP防护策略处理暂缓调用的所述API函数，以确定是否允许调用暂缓调用的所述API函数。通过注入程序的方法注入程序监测API函数的调用，可以不依赖系统版本、模块版本或软件版本，并能有效的防护ROP攻击，有效解决了早期Windows系统，或者早期PE文件的安全性防护技术问题。进一步地，还可以兼容现有Windows操作系统的安全机制，如DEP等技术，可大大提升用户电脑的安全保障性，极大地增加了漏洞攻击的难度，从而可大大降低漏洞攻击的成功率。而且，还可以通过组合的ROP防护策略，进行多重特征检测，极大地增加了构造ROP的难度，使得攻击者几乎很难再有机会完成ROP攻击。
图3为本发明实施例检测面向返程的编程攻击的装置结构示意图。参见图3，该装置包括：注入模块301、监测模块302以及处理模块303，其中，
注入模块301，用于分别在每一待监测的应用程序的进程中注入预先设置的应用编程接口函数监测程序；
本发明实施例中，作为可选实施例，注入模块301包括：注入单元以及同步单元(图中未示出)，其中，
注入单元，用于在待监测的应用程序中注入预先设置的应用编程接口函数监测程序的分析以及回调模块，利用所述注入的分析以及回调模块替换所述待监测的应用程序的调用管理模块；
本发明实施例中，利用所述注入的分析以及回调模块替换所述待监测的应用程序的调用管理模块包括：
查找所述待监测的应用程序的调用管理模块的内存变量；
将所述调用管理模块的内存变量替换为分析以及回调模块的内存变量。
其中，作为一可选实施例，将所述调用管理模块的内存变量替换为分析以及回调模块的内存变量包括：
将分析以及回调模块的内存变量对应的代码写入动态链接库中，利用操作系统中的windows钩子将写入动态链接库中的内存变量代码映射到所述调用管理模块。
作为另一可选实施例，将所述调用管理模块的内存变量替换为分析以及回调模块的内存变量包括：
将分析以及回调模块的内存变量对应的代码写入动态链接库中，利用操作系统中的远程注入以及动态加载将写入动态链接库中的内存变量代码映射到所述调用管理模块。
同步单元，用于在监测到所述待监测的应用程序启动后，同步启动注入在所述待监测的应用程序中的所述分析以及回调模块。
监测模块302，用于在监测到所述待监测的应用程序的进程调用预先设置的应用编程接口API函数库中的API函数后，暂缓所述待监测的应用程序的进程对所述API函数的调用；
处理模块303，用于按照预先设置的面向返程的编程ROP防护策略处理暂缓调用的所述API函数，以确定是否允许调用暂缓调用的所述API函数。
本发明实施例中，作为一可选实施例，处理模块303包括：返回地址获取单元以及属性判断处理单元(图中未示出)，其中，
返回地址获取单元，用于获取暂缓调用的API函数的返回地址；
属性判断处理单元，用于判断返回地址获取单元获取的返回地址的属性是否具有可执行属性，如果是，不允许调用暂缓调用的所述API函数，如果否，允许调用暂缓调用的所述API函数。
作为另一可选实施例，处理模块303包括：返回地址获取单元以及加载地址判断处理单元(图中未示出)，其中，
返回地址获取单元，用于获取暂缓调用的API函数的返回地址；
加载地址判断处理单元，用于判断返回地址获取单元获取的返回地址是否在所述应用程序的进程所加载的系统动态链接库模块的加载地址范围内，如果是，允许调用暂缓调用的所述API函数，如果否，不允许调用暂缓调用的所述API函数。
作为再一可选实施例，处理模块303包括：返回地址获取单元以及指令判断处理单元(图中未示出)，其中，
返回地址获取单元，用于获取暂缓调用的API函数的返回地址；
指令判断处理单元，用于判断返回地址获取单元获取的返回地址处的上一条指令是否为CALL指令，如果是，允许调用暂缓调用的所述API函数，如果否，不允许调用暂缓调用的所述API函数。
作为再一可选实施例，处理模块303包括：返回地址获取单元以及栈空间判断处理单元(图中未示出)，其中，
返回地址获取单元，用于获取暂缓调用的API函数的返回地址；
栈空间判断处理单元，用于判断返回地址获取单元获取的返回地址是否在当前线程环境块中所描述的栈空间范围内，如果是，允许调用暂缓调用的所述API函数，如果否，不允许调用暂缓调用的所述API函数。
作为再一可选实施例，处理模块303包括：路径获取单元以及路径判断处理单元(图中未示出)，其中，
路径获取单元，用于获取暂缓调用API函数的通用命名规则路径；
路径判断处理单元，用于判断路径获取单元获取的通用命名规则路径是否为远程路径，如果是，不允许调用暂缓调用的所述API函数，如果否，允许调用暂缓调用的所述API函数。
作为再一可选实施例，处理模块303包括：函数获取单元以及属性修改处理单元(图中未示出)，其中，
函数获取单元，用于获取API函数NtProtectVirtualMemory；
属性修改处理单元，用于在函数获取单元获取的API函数NtProtectVirtualMemory中，判断是否可将暂缓调用的API函数的属性修改为栈空间的可执行属性，如果是，不允许调用暂缓调用的所述API函数，如果否，允许调用暂缓调用的所述API函数。
作为再一可选实施例，处理模块303包括：返回地址获取单元、属性判断处理单元以及加载地址判断处理单元(图中未示出)，其中，
返回地址获取单元，用于获取暂缓调用的API函数的返回地址；
属性判断处理单元，用于判断返回地址获取单元获取的返回地址的属性是否具有可执行属性，如果是，将所述返回地址输出至加载地址判断处理单元，如果否，允许调用暂缓调用的所述API函数；
加载地址判断处理单元，用于判断接收的所述返回地址的属性是否在所述应用程序的进程所加载的系统动态链接库模块的加载地址范围内，如果是，允许调用暂缓调用的所述API函数，如果否，不允许调用暂缓调用的所述API函数。
较佳地，处理模块303还可以进一步包括：
ROP攻击处理单元，用于在确定处理模块303不允许调用暂缓调用的所述API函数之后，发送消息提醒，以提醒用户进行处理；和/或，
对调用API函数的应用程序进行安全扫描，并对扫描结果为不安全的应用程序进行及时处理；和/或，
卸载调用API函数的应用程序；和/或，
为调用API函数的应用程序设置访问权限。
本发明实施例中，可以通过栈指针寄存器获取所述暂缓调用的API函数的返回地址，并通过VirtualQuery函数查询所述返回地址处是否具有可执行属性。
作为可选实施例，该装置还可以进一步包括：
注入设置模块304，用于调用Windows操作系统的SetWindowsHookEx接口，设置用于监测和处理进程调用的API函数的应用编程接口函数监测程序，并获取操作系统的根权限，以将所述应用编程接口函数监测程序注入到待监测的应用程序中。
本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体(Read-Only Memory，ROM)或随机存储记忆体(Random Access Memory，RAM)等。
以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利要求的保护范围为准。

Claims (26)

1.一种检测面向返程的编程攻击的方法，其特征在于，分别在每一待监测的应用程序的进程中注入预先设置的应用编程接口函数监测程序；该方法还包括：
监测到所述待监测的应用程序的进程调用预先设置的应用编程接口API函数库中的API函数时，暂缓所述待监测的应用程序的进程对所述API函数的调用；
按照预先设置的面向返程的编程ROP防护策略处理暂缓调用的所述API函数，以确定是否允许调用暂缓调用的所述API函数。
2.根据权利要求1所述的方法，其特征在于，所述按照预先设置的ROP防护策略处理暂缓调用的所述API函数，以确定是否允许调用暂缓调用的所述API函数包括：
获取暂缓调用的API函数的返回地址，判断所述返回地址的属性是否具有可执行属性，如果是，不允许调用暂缓调用的所述API函数，如果否，允许调用暂缓调用的所述API函数。
3.根据权利要求1所述的方法，其特征在于，所述按照预先设置的ROP防护策略处理暂缓调用的所述API函数，以确定是否允许调用暂缓调用的所述API函数包括：
获取暂缓调用的API函数的返回地址，判断所述返回地址是否在所述应用程序的进程所加载的系统动态链接库模块的加载地址范围内，如果是，允许调用暂缓调用的所述API函数，如果否，不允许调用暂缓调用的所述API函数。
4.根据权利要求1所述的方法，其特征在于，所述按照预先设置的ROP防护策略处理暂缓调用的所述API函数，以确定是否允许调用暂缓调用的所述API函数包括：
获取暂缓调用的API函数的返回地址，判断所述返回地址处的上一条指令是否为CALL指令，如果是，允许调用暂缓调用的所述API函数，如果否，不允许调用暂缓调用的所述API函数。
5.根据权利要求1所述的方法，其特征在于，所述按照预先设置的ROP防护策略处理暂缓调用的所述API函数，以确定是否允许调用暂缓调用的所述API函数包括：
获取暂缓调用的API函数的返回地址，判断所述返回地址是否在当前线程环境块中所描述的栈空间范围内，如果是，允许调用暂缓调用的所述API函数，如果否，不允许调用暂缓调用的所述API函数。
6.根据权利要求1所述的方法，其特征在于，所述按照预先设置的ROP防护策略处理暂缓调用的所述API函数，以确定是否允许调用暂缓调用的所述API函数包括：
获取暂缓调用API函数的通用命名规则路径，判断获取的通用命名规则路径是否为远程路径，如果是，不允许调用暂缓调用的所述API函数，如果否，允许调用暂缓调用的所述API函数。
7.根据权利要求1所述的方法，其特征在于，所述按照预先设置的ROP防护策略处理暂缓调用的所述API函数，以确定是否允许调用暂缓调用的所述API函数包括：
在API函数NtProtectVirtualMemory中，判断是否可将暂缓调用的API函数的属性修改为栈空间的可执行属性，如果是，不允许调用暂缓调用的所述API函数，如果否，允许调用暂缓调用的所述API函数。
8.根据权利要求1所述的方法，其特征在于，所述按照预先设置的ROP防护策略处理暂缓调用的所述API函数，以确定是否允许调用暂缓调用的所述API函数包括：
A1，获取暂缓调用的API函数的返回地址，判断所述返回地址的属性是否具有可执行属性，如果是，执行步骤A2，如果否，允许调用暂缓调用的所述API函数；
A2，获取暂缓调用的API函数的返回地址，判断所述返回地址的属性是否在所述应用程序的进程所加载的系统动态链接库模块的加载地址范围内，如果是，允许调用暂缓调用的所述API函数，如果否，不允许调用暂缓调用的所述API函数。
9.根据权利要求2至8任一项所述的方法，其特征在于，在确定不允许调用暂缓调用的所述API函数之后，所述方法进一步包括：
发送消息提醒，以提醒用户进行处理；和/或，
对调用API函数的应用程序进行安全扫描，并对扫描结果为不安全的应用程序进行及时处理；和/或，
卸载调用API函数的应用程序；和/或，
为调用API函数的应用程序设置访问权限。
10.根据权利要求2至8任一项所述的方法，其特征在于，通过栈指针寄存器获取所述暂缓调用的API函数的返回地址，并通过VirtualQuery函数查询所述返回地址处是否具有可执行属性。
11.根据权利要求1至8任一项所述的方法，其特征在于，所述在待监测的应用程序的进程中注入预先设置的应用编程接口函数监测程序包括：
在待监测的应用程序中注入预先设置的应用编程接口函数监测程序的分析以及回调模块，利用所述注入的分析以及回调模块替换所述待监测的应用程序的调用管理模块；
监测到所述待监测的应用程序启动，同步启动注入在所述待监测的应用程序中的所述分析以及回调模块。
12.根据权利要求11所述的方法，其特征在于，所述利用所述注入的分析以及回调模块替换所述待监测的应用程序的调用管理模块包括：
查找所述待监测的应用程序的调用管理模块的内存变量；
将所述调用管理模块的内存变量替换为分析以及回调模块的内存变量。
13.根据权利要求12所述的方法，其特征在于，所述将所述调用管理模块的内存变量替换为分析以及回调模块的内存变量包括：
将分析以及回调模块的内存变量对应的代码写入动态链接库中，利用操作系统中的windows钩子将写入动态链接库中的内存变量代码映射到所述调用管理模块。
14.根据权利要求12所述的方法，其特征在于，所述将所述调用管理模块的内存变量替换为分析以及回调模块的内存变量包括：
将分析以及回调模块的内存变量对应的代码写入动态链接库中，利用操作系统中的远程注入以及动态加载将写入动态链接库中的内存变量代码映射到所述调用管理模块。
15.根据权利要求1所述的方法，其特征在于，在注入预先设置的应用编程接口函数监测程序之前，所述方法进一步包括：
调用Windows操作系统的SetWindowsHookEx接口，设置用于监测和处理进程调用的API函数的应用编程接口函数监测程序，并获取操作系统的根权限。
16.一种检测面向返程的编程攻击的装置，其特征在于，该装置包括：注入模块、监测模块以及处理模块，其中，
注入模块，用于分别在每一待监测的应用程序的进程中注入预先设置的应用编程接口函数监测程序；
监测模块，用于在监测到所述待监测的应用程序的进程调用预先设置的应用编程接口API函数库中的API函数后，暂缓所述待监测的应用程序的进程对所述API函数的调用；
处理模块，用于按照预先设置的面向返程的编程ROP防护策略处理暂缓调用的所述API函数，以确定是否允许调用暂缓调用的所述API函数。
17.根据权利要求16所述的装置，其特征在于，所述处理模块包括：返回地址获取单元以及属性判断处理单元，其中，
返回地址获取单元，用于获取暂缓调用的API函数的返回地址；
属性判断处理单元，用于判断返回地址获取单元获取的返回地址的属性是否具有可执行属性，如果是，不允许调用暂缓调用的所述API函数，如果否，允许调用暂缓调用的所述API函数。
18.根据权利要求16所述的装置，其特征在于，所述处理模块包括：返回地址获取单元以及加载地址判断处理单元，其中，
返回地址获取单元，用于获取暂缓调用的API函数的返回地址；
加载地址判断处理单元，用于判断返回地址获取单元获取的返回地址是否在所述应用程序的进程所加载的系统动态链接库模块的加载地址范围内，如果是，允许调用暂缓调用的所述API函数，如果否，不允许调用暂缓调用的所述API函数。
19.根据权利要求16所述的装置，其特征在于，所述处理模块包括：返回地址获取单元以及指令判断处理单元，其中，
返回地址获取单元，用于获取暂缓调用的API函数的返回地址；
指令判断处理单元，用于判断返回地址获取单元获取的返回地址处的上一条指令是否为CALL指令，如果是，允许调用暂缓调用的所述API函数，如果否，不允许调用暂缓调用的所述API函数。
20.根据权利要求16所述的装置，其特征在于，所述处理模块包括：返回地址获取单元以及栈空间判断处理单元，其中，
返回地址获取单元，用于获取暂缓调用的API函数的返回地址；
栈空间判断处理单元，用于判断返回地址获取单元获取的返回地址是否在当前线程环境块中所描述的栈空间范围内，如果是，允许调用暂缓调用的所述API函数，如果否，不允许调用暂缓调用的所述API函数。
21.根据权利要求16所述的装置，其特征在于，所述处理模块包括：路径获取单元以及路径判断处理单元，其中，
路径获取单元，用于获取暂缓调用API函数的通用命名规则路径；
路径判断处理单元，用于判断路径获取单元获取的通用命名规则路径是否为远程路径，如果是，不允许调用暂缓调用的所述API函数，如果否，允许调用暂缓调用的所述API函数。
22.根据权利要求16所述的装置，其特征在于，所述处理模块包括：函数获取单元以及属性修改处理单元，其中，
函数获取单元，用于获取API函数NtProtectVirtualMemory；
属性修改处理单元，用于在函数获取单元获取的API函数NtProtectVirtualMemory中，判断是否可将暂缓调用的API函数的属性修改为栈空间的可执行属性，如果是，不允许调用暂缓调用的所述API函数，如果否，允许调用暂缓调用的所述API函数。
23.根据权利要求16所述的装置，其特征在于，所述处理模块包括：返回地址获取单元、属性判断处理单元以及加载地址判断处理单元，其中，
返回地址获取单元，用于获取暂缓调用的API函数的返回地址；
属性判断处理单元，用于判断返回地址获取单元获取的返回地址的属性是否具有可执行属性，如果是，将所述返回地址输出至加载地址判断处理单元，如果否，允许调用暂缓调用的所述API函数；
加载地址判断处理单元，用于判断接收的所述返回地址的属性是否在所述应用程序的进程所加载的系统动态链接库模块的加载地址范围内，如果是，允许调用暂缓调用的所述API函数，如果否，不允许调用暂缓调用的所述API函数。
24.根据权利要求17至23任一项所述的装置，其特征在于，所述处理模块进一步包括：
ROP攻击处理单元，用于在确定处理模块不允许调用暂缓调用的所述API函数之后，发送消息提醒，以提醒用户进行处理；和/或，
对调用API函数的应用程序进行安全扫描，并对扫描结果为不安全的应用程序进行及时处理；和/或，
卸载调用API函数的应用程序；和/或，
为调用API函数的应用程序设置访问权限。
25.根据权利要求16至23任一项所述的装置，其特征在于，所述注入模块包括：注入单元以及同步单元，其中，
注入单元，用于在待监测的应用程序中注入预先设置的应用编程接口函数监测程序的分析以及回调模块，利用所述注入的分析以及回调模块替换所述待监测的应用程序的调用管理模块；
同步单元，用于在监测到所述待监测的应用程序启动后，同步启动注入在所述待监测的应用程序中的所述分析以及回调模块。
26.根据权利要求16至23任一项所述的装置，其特征在于，进一步包括：
注入设置模块，用于调用Windows操作系统的SetWindowsHookEx接口，设置用于监测和处理进程调用的API函数的应用编程接口函数监测程序，并获取操作系统的根权限。
CN201410459638.1A 2014-09-10 2014-09-10 一种检测面向返程的编程攻击的方法及装置 Active CN104268471B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201410459638.1A CN104268471B (zh) 2014-09-10 2014-09-10 一种检测面向返程的编程攻击的方法及装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201410459638.1A CN104268471B (zh) 2014-09-10 2014-09-10 一种检测面向返程的编程攻击的方法及装置

Publications (2)

Publication Number Publication Date
CN104268471A true CN104268471A (zh) 2015-01-07
CN104268471B CN104268471B (zh) 2017-04-26

Family

ID=52159992

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201410459638.1A Active CN104268471B (zh) 2014-09-10 2014-09-10 一种检测面向返程的编程攻击的方法及装置

Country Status (1)

Country Link
CN (1) CN104268471B (zh)

Cited By (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104699618A (zh) * 2015-03-31 2015-06-10 北京奇虎科技有限公司 指定用户对高权限进程自动化测试的方法及装置
CN105045605A (zh) * 2015-08-28 2015-11-11 成都卫士通信息产业股份有限公司 一种将dll注入目标进程的方法和系统
CN105488397A (zh) * 2015-12-02 2016-04-13 国网智能电网研究院 一种基于情境的rop攻击检测系统及方法
CN105574409A (zh) * 2015-12-10 2016-05-11 北京奇虎科技有限公司 一种注入代码提取方法及装置
CN105740697A (zh) * 2016-01-26 2016-07-06 国家信息技术安全研究中心 一种xp中地址空间布局随机化方法及装置
CN107608339A (zh) * 2017-09-30 2018-01-19 北京奇虎科技有限公司 汽车车机的接口防护方法及装置
CN108959918A (zh) * 2017-05-18 2018-12-07 北京搜狗科技发展有限公司 一种输入法文件的保护方法、装置和电子设备
US10223527B2 (en) 2016-09-20 2019-03-05 International Business Machines Corporation Protecting computer code against ROP attacks
CN109726560A (zh) * 2018-06-26 2019-05-07 360企业安全技术(珠海)有限公司 终端设备系统防护方法及装置
WO2021026938A1 (zh) * 2019-08-15 2021-02-18 奇安信安全技术(珠海)有限公司 shellcode的检测方法及装置
CN112395593A (zh) * 2019-08-15 2021-02-23 奇安信安全技术(珠海)有限公司 指令执行序列的监测方法及装置、存储介质、计算机设备
CN112528296A (zh) * 2021-02-10 2021-03-19 腾讯科技（深圳）有限公司 漏洞检测方法、装置和存储介质及电子设备
CN112685744A (zh) * 2020-12-28 2021-04-20 安芯网盾(北京)科技有限公司 一种利用栈相关寄存器检测软件漏洞的方法及装置

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102663312A (zh) * 2012-03-20 2012-09-12 中国科学院信息工程研究所 一种基于虚拟机的rop攻击检测方法及系统
CN102831339A (zh) * 2012-07-19 2012-12-19 北京奇虎科技有限公司 一种针对网页的恶意攻击进行防护的方法、装置和浏览器
US20130117843A1 (en) * 2011-11-07 2013-05-09 Qualcomm Incorporated Methods, Devices, And Systems For Detecting Return-Oriented Programming Exploits
CN103150513A (zh) * 2013-03-20 2013-06-12 北京奇虎科技有限公司 拦截应用程序中的植入信息的方法及装置

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20130117843A1 (en) * 2011-11-07 2013-05-09 Qualcomm Incorporated Methods, Devices, And Systems For Detecting Return-Oriented Programming Exploits
CN102663312A (zh) * 2012-03-20 2012-09-12 中国科学院信息工程研究所 一种基于虚拟机的rop攻击检测方法及系统
CN102831339A (zh) * 2012-07-19 2012-12-19 北京奇虎科技有限公司 一种针对网页的恶意攻击进行防护的方法、装置和浏览器
CN103150513A (zh) * 2013-03-20 2013-06-12 北京奇虎科技有限公司 拦截应用程序中的植入信息的方法及装置

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
刘智等: "一种有效的Ruturn-Oriented-Programming攻击检测方法", 《小型微型计算机系统》 *
肖亮: "一种针对ROP攻击的函数粒度随机化防御方法的设计与实现", 《中国优秀硕士学位论文全文数据库 信息科技辑》 *

Cited By (23)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104699618A (zh) * 2015-03-31 2015-06-10 北京奇虎科技有限公司 指定用户对高权限进程自动化测试的方法及装置
CN104699618B (zh) * 2015-03-31 2017-04-26 北京奇虎科技有限公司 指定用户对高权限进程自动化测试的方法及装置
CN105045605A (zh) * 2015-08-28 2015-11-11 成都卫士通信息产业股份有限公司 一种将dll注入目标进程的方法和系统
CN105045605B (zh) * 2015-08-28 2019-05-24 成都卫士通信息产业股份有限公司 一种将dll注入目标进程的方法和系统
CN105488397A (zh) * 2015-12-02 2016-04-13 国网智能电网研究院 一种基于情境的rop攻击检测系统及方法
CN105488397B (zh) * 2015-12-02 2018-01-12 国网智能电网研究院 一种基于情境的rop攻击检测系统及方法
CN105574409A (zh) * 2015-12-10 2016-05-11 北京奇虎科技有限公司 一种注入代码提取方法及装置
CN105574409B (zh) * 2015-12-10 2018-09-04 北京奇虎科技有限公司 一种注入代码提取方法及装置
CN105740697A (zh) * 2016-01-26 2016-07-06 国家信息技术安全研究中心 一种xp中地址空间布局随机化方法及装置
US10223527B2 (en) 2016-09-20 2019-03-05 International Business Machines Corporation Protecting computer code against ROP attacks
CN108959918B (zh) * 2017-05-18 2021-09-03 北京搜狗科技发展有限公司 一种输入法文件的保护方法、装置和电子设备
CN108959918A (zh) * 2017-05-18 2018-12-07 北京搜狗科技发展有限公司 一种输入法文件的保护方法、装置和电子设备
CN107608339B (zh) * 2017-09-30 2020-02-25 北京奇虎科技有限公司 汽车车机的接口防护方法及装置
CN107608339A (zh) * 2017-09-30 2018-01-19 北京奇虎科技有限公司 汽车车机的接口防护方法及装置
CN109829309A (zh) * 2018-06-26 2019-05-31 360企业安全技术(珠海)有限公司 终端设备系统防护方法及装置
CN109726560A (zh) * 2018-06-26 2019-05-07 360企业安全技术(珠海)有限公司 终端设备系统防护方法及装置
WO2021026938A1 (zh) * 2019-08-15 2021-02-18 奇安信安全技术(珠海)有限公司 shellcode的检测方法及装置
CN112395593A (zh) * 2019-08-15 2021-02-23 奇安信安全技术(珠海)有限公司 指令执行序列的监测方法及装置、存储介质、计算机设备
CN113646763A (zh) * 2019-08-15 2021-11-12 奇安信安全技术(珠海)有限公司 shellcode的检测方法及装置
CN113646763B (zh) * 2019-08-15 2024-02-02 奇安信安全技术(珠海)有限公司 shellcode的检测方法及装置
CN112395593B (zh) * 2019-08-15 2024-03-29 奇安信安全技术(珠海)有限公司 指令执行序列的监测方法及装置、存储介质、计算机设备
CN112685744A (zh) * 2020-12-28 2021-04-20 安芯网盾(北京)科技有限公司 一种利用栈相关寄存器检测软件漏洞的方法及装置
CN112528296A (zh) * 2021-02-10 2021-03-19 腾讯科技（深圳）有限公司 漏洞检测方法、装置和存储介质及电子设备

Also Published As

Publication number Publication date
CN104268471B (zh) 2017-04-26

Similar Documents

Publication Publication Date Title
CN104268471A (zh) 一种检测面向返程的编程攻击的方法及装置
US11663323B2 (en) Process privilege escalation protection in a computing environment
EP3123311B1 (en) Malicious code protection for computer systems based on process modification
KR102307534B1 (ko) 다수 소프트웨어 개체들에 걸쳐서 악성 행동을 트래킹하기 위한 시스템들 및 방법들
JP6388485B2 (ja) マルウェア発見方法及びシステム
EP2946330B1 (en) Method and system for protecting computerized systems from malicious code
CN102651060B (zh) 一种漏洞检测的方法和系统
CN110851241A (zh) Docker容器环境的安全防护方法、装置及系统
US8590041B2 (en) Application sandboxing using a dynamic optimization framework
US11288090B1 (en) Methods, systems, and media for injecting code into embedded devices
KR100368947B1 (ko) 실행 모듈 및 이에 연관된 보호 서비스 제공자 모듈의 무결성 검사
EP3462358B1 (en) System and method for detection of malicious code in the address space of processes
CN102737188A (zh) 检测恶意网页的方法及装置
CN104217157B (zh) 一种漏洞防利用方法及系统
US9183377B1 (en) Unauthorized account monitoring system and method
CN103679032B (zh) 防御恶意软件的方法和装置
US11822654B2 (en) System and method for runtime detection, analysis and signature determination of obfuscated malicious code
US20100306851A1 (en) Method and apparatus for preventing a vulnerability of a web browser from being exploited
US20160232347A1 (en) Mitigating malware code injections using stack unwinding
US8495741B1 (en) Remediating malware infections through obfuscation
CN104217163B (zh) 一种检测结构化异常处理攻击的方法及装置
US11042633B2 (en) Methods for protecting software hooks, and related computer security systems and apparatus
CN104091125A (zh) 处理悬浮窗的方法及悬浮窗处理装置
CN105512548A (zh) 基于隐藏可执行镜像并注入dll保护镜像代码的方法
CN102004882A (zh) 远程线程注入型木马的检测和处理的方法和装置

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant
TR01 Transfer of patent right
TR01 Transfer of patent right

Effective date of registration: 20190107

Address after: 519031 Room 105-53811, No. 6 Baohua Road, Hengqin New District, Zhuhai City, Guangdong Province

Patentee after: Zhuhai Seal Interest Technology Co., Ltd.

Address before: 519070, six level 601F, 10 main building, science and technology road, Tangjia Bay Town, Zhuhai, Guangdong.

Patentee before: Zhuhai Juntian Electronic Technology Co.,Ltd.