CN104572461B - 一种文件自动检测方法和装置 - Google Patents

Abstract

本发明实施例提供了一种文件自动检测方法及装置。该文件自动检测方法包括：获得对比参量，所述对比参量包括第一待检测文件在进程中的第一标识信息及调用时间，以及第二待检测文件在存储介质中的第二标识信息及距离当前最近的第一更新时间；判断所述第一标识信息与所述第二标识信息是否相同；若相同，则判断所述第一更新时间是否晚于所述调用时间；若是，则确定所述第一待检测文件被改动。本发明实施例可以确定出待检测文件在进程启动后是否被改动，通过该文件的自动检测方法，增加了程序运行的稳定性和可靠性，减少了程序崩溃的概率。

Description

一种文件自动检测方法和装置

技术领域

本发明涉及数据处理技术领域，特别是涉及一种文件自动检测方法和一种文件自动检测装置。

背景技术

操作系统(Operating System，OS)是管理和控制计算机硬件与软件资源的计算机程序，是直接运行在“裸机”上的最基本的系统软件，任何其他软件都必须在操作系统的支持下才能运行。例如，Linux是一套类Unix操作系统，是一个基于可移植操作系统接口(Portable Operating System Interface，POSIX)和UNIX的多用户、多任务、支持多线程和多CPU的操作系统。

以Linux下的进程为例，在进程启动后，对于进程中调用的某一文件，如动态链接库(Dynamic Link Library，DLL)文件，如果该文件在进程启动后被修改或被覆盖却未被检测出来，则可能会造成程序运行不稳定等情况，甚至引起系统崩溃。

因此，本领域亟需一种文件自动检测的方法和装置，能够在进程中自动检测文件，以增加程序运行的稳定性和可靠性，减少程序崩溃的概率。

发明内容

鉴于上述技术问题，本发明的实施例提出了一种文件自动检测方法和装置，以便克服上述问题或者至少部分地解决上述问题。

本发明的实施例公开了一种文件自动检测方法，所述方法包括：

获得对比参量，所述对比参量包括第一待检测文件在进程中的第一标识信息及调用时间，以及第二待检测文件在存储介质中的第二标识信息及距离当前最近的第一更新时间；

判断所述第一标识信息与所述第二标识信息是否相同；

若相同，则判断所述第一更新时间是否晚于所述调用时间；以及

若是，则确定所述第一待检测文件被改动。

进一步，所述第一待检测文件在进程中的调用时间为所述进程的启动时间。

进一步，所述获得所述第一待检测文件在进程中的第一标识信息及调用时间的步骤进一步包括：

获取所述进程的内存映射信息，在所述进程的内存映射信息中查找获得所述第一待检测文件的第一标识信息；以及

获取所述进程的运行信息，根据所述进程的运行信息获得所述第一待检测文件的调用时间。

进一步，所述获得所述第二待检测文件在存储介质中的第二标识信息及距离当前最近的第一更新时间的步骤进一步包括：

在文件系统中查找以获得所述第二待检测文件的所述第二标识信息及所述第一更新时间。

进一步，所述方法还包括：

若所述第一更新时间早于或等于所述调用时间，则再次获取所述第二待检测文件在所述存储介质中距离当前最近的第二更新时间；以及

若所述第二更新时间与所述第一更新时间不同，则确定所述第一待检测文件被改动。

进一步，所述第一待检测文件和所述第二待检测文件为动态链接库文件。

本发明的实施例还公开了一种文件自动检测装置，所述装置包括：

参量获取单元，用于获得对比参量，所述对比参量包括第一待检测文件在进程中的第一标识信息及调用时间，以及第二待检测文件在存储介质中的第二标识信息及距离当前最近的第一更新时间；

第一判定单元，用于判断所述第一标识信息与所述第二标识信息是否相同；

第二判定单元，用于在所述第一判定单元判定所述第一标识信息与所述第二标识信息相同时，判断所述第一更新时间是否晚于所述调用时间；

以及，

检测单元，用于在所述第二判定单元判定所述第一更新时间晚于所述调用时间时，确定所述第一待检测文件被改动。

进一步，所述第一待检测文件在进程中的调用时间为所述进程的启动时间。

进一步，所述参量获取单元，进一步用于获取所述进程的内存映射信息，以在所述进程的内存映射信息中查找获得所述第一待检测文件的第一标识信息；以及获取所述进程的运行信息，以根据所述进程的运行信息获得所述第一待检测文件的调用时间；

进一步，所述参量获取单元，进一步用于在文件系统中查找以获得所述第二待检测文件的所述第二标识信息及所述第一更新时间。

进一步，所述参量获取单元，进一步用于在所述第二判定单元判定所述第一更新时间早于或等于所述调用时间时，再次获取所述第二待检测文件在所述存储介质中距离当前最近的第二更新时间；

所述装置进一步包括：

核查单元，用于在所述第二更新时间与所述第一更新时间不同时，确定所述第一待检测文件被改动。

进一步，所述第一待检测文件和所述第二待检测文件为动态链接库文件。

与现有技术相比，本发明实施例包括以下优点：

本发明实施例的方法和装置，通过在进程启动后，比较进程中以及存储介质中待检测文件的标识信息及在进程中的调用时间和存储介质中的更新时间，可以确定出该待检测文件在进程启动后是否被改动，从而增加了程序运行的稳定性和可靠性，减少了程序崩溃的概率。

附图说明

图1是本发明的一种文件自动检测方法实施例的步骤流程示意图；

图2是本发明的另一种文件自动检测方法实施例的步骤流程示意图；

图3是本发明的另一种文件自动检测方法实施例的步骤流程示意图；

图4是本发明的一种文件自动检测装置实施例的结构示意图；

图5是本发明的另一种文件自动检测装置实施例的结构示意图。

具体实施方式

为使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图和具体实施方式对本发明作进一步详细的说明。

参照图1，示出了本发明的一种文件自动检测方法实施例的步骤流程图，具体可以包括如下步骤：

步骤101，获得对比参量，该对比参量包括第一待检测文件在进程中的第一标识信息及调用时间，以及第二待检测文件在存储介质中的第二标识信息及距离当前最近的第一更新时间。

本发明实施例中，该文件自动检测装置首先获得各对比参量，该对比参量包括第一待检测文件在进程中的标识信息，记为第一标识信息，以及第一待检测文件在进程中的调用时间，该调用时间可以用该进程的启动时间来代替，还包括第二待检测文件在存储介质如磁盘中的标识信息，记为第二标识信息，以及该第二待检测文件在该存储介质中记录的距离当前最近的更新时间，该更新时间也就是在获得该对比参量时存储介质中记录的该第二待检测文件的最后修改时间，记为第一更新时间。该第一待检测文件及第二待检测文件具体可以是动态链接库文件等。

本步骤中，可以是根据不同的命令查找获得上述对比参量，例如获取进程的内存映射信息，获得第一待检测文件的第一标识信息；获取进程的运行信息，获得第一待检测文件的调用时间；在文件系统中查找获得第二待检测文件的第二标识信息及第一更新时间。

步骤102，判断第一标识信息与第二标识信息是否相同。

该文件自动检测装置首先对比第一标识信息与第二标识信息是否相同，若第一标识信息与第二标识信息相同，则说明进程中的第一待检测文件与存储介质中的第二待检测文件是同一个文件，则可以进一步执行步骤103，若不相同，则说明不是同一文件，可以停止对该第一待检测文件的检测。

在具体实现时，还可以要求上述步骤102的执行时间与步骤101的执行时间之间的时间间隔小于一定时间阈值，如10ms，以预防在执行步骤102之前上述对比参量发生变化，尤其是第一更新时间，从而致使检测准确度降低。

步骤103，判断第一更新时间是否晚于调用时间。

在上步骤确定第一待检测文件与第二待检测文件是同一待检测文件后，在本步骤中，该文件自动检测装置进一步判断第二待检测文件在存储介质中的第一更新时间是否晚于或大于第一待检测文件在进程中的调用时间，若第一更新时间早于或等于调用时间，则基于第一待检测文件与第二待检测文件之间的动态映射关系，说明该第一待检测文件在进程中调用后没有被修改或覆盖，自动检测过程结束。若第一更新时间晚于调用时间，则执行步骤104。

在具体实现时，还可以要求上述步骤103的执行时间与步骤101的执行时间之间的时间间隔小于一定时间阈值，如10ms，以预防在执行该步骤之前对比参量发生变化，尤其是第一更新时间。

步骤104，确定第一待检测文件被改动。

若第一更新时间晚于调用时间，则说明在进程调用该第一待检测文件后，该第一待检测文件又被修改或覆盖，则确定该第一待检测文件已经被改动，所述自动检测过程结束。

上述步骤102和步骤103之间的顺序可以根据需要进行调整，也可以同时进行，只有当第一标识信息与第二标识信息相同，且第一更新时间晚于调用时间时才确定第一待检测文件被改动。

本发明实施例通过在进程启动后，比较进程中以及存储介质中待检测文件的标识信息及在进程中的调用时间和存储介质中的更新时间，可以确定出该待检测文件在进程启动后是否被改动，通过该文件的自动检测方法，增加了程序运行的稳定性和可靠性，减少了程序崩溃的概率。

参见图2，示出了本发明的另一种文件自动检测方法实施例的步骤流程图，本实施例以Linux进程启动后动态链接库文件的自动检测为例进行说明，该方法具体可以包括如下步骤：

步骤201，获取进程的内存映射信息，在进程的内存映射信息中查找获得第一动态链接库文件的第一标识信息。

本步骤具体可以根据/proc/PID/maps文件获取进程的内存映射信息，进而在进程的内存映射信息中查找获得第一动态链接库文件(即第一待检测文件)的第一标识信息。该第一动态链接库文件的第一标识信息可以是进程中动态链接库的inode。

步骤202，获取进程的运行信息，根据进程的运行信息获得动态链接库文件的调用时间。

本步骤中，可以获取进程的运行信息，进而根据该进程的运行信息获得进程的启动时间，将进程的启动时间作为该进程中第一动态链接库文件的调用时间。

其中，可以根据/proc/stat，/proc/PID/stat两个文件的数据计算得出进程的启动时间，具体计算方法如下：

从/proc/stat获取系统启动时间btime；

从/proc/PID/stat获取进程消耗的系统滴答数delta；

用getconf CLK_TCK获取系统时钟频率freq；

则进程启动时间＝btime+delta/freq

步骤203，在文件系统中查找获得第二动态链接库文件的第二标识信息及第一更新时间。

本步骤中可以根据stat命令在文件系统中查找获得第二动态链接库文件(即第二待检测文件)的第二标识信息及第一更新时间。该第二动态链接库文件的第二标识信息可以是文件系统中第二动态链接库的inode。

上述步骤201、步骤202及步骤203可以同时进行，也可以按一定顺序依次执行。其中，在步骤203中，通过stat命令可以在文件系统中同时查找获得第二动态链接库文件的第二标识信息和第一更新时间。在获得上述参量后，执行步骤204。

步骤204，判断第一标识信息与第二标识信息是否相同。

本实施例中可以对比第一动态链接库文件的inode与第二动态链接库的inode是否相同，若相同，则说明进程中的第一动态链接库文件与文件系统中的第二动态链接库文件是同一文件，此时执行步骤205。

步骤205，判断第一更新时间是否晚于调用时间。

若是，则执行步骤206。

步骤206，确定第一动态链接库文件被改动。

上述步骤204～206与前述实施例中的步骤102～104类似，此处不再赘述。

参照图3，示出了本发明的另一种文件自动检测方法实施例的步骤流程图，具体可以包括如下步骤：

步骤301，获得对比参量，该对比参量包括第一待检测文件在进程中的第一标识信息及调用时间，以及第二待检测文件在存储介质中的第二标识信息及距离当前最近的第一更新时间。

步骤302，判断第一标识信息与第二标识信息是否相同。

如相同，则执行步骤303。

步骤303，判断第一更新时间是否晚于调用时间。

步骤301～303与前述实施例中的步骤101～103类似，此处不再赘述。

若第一更新时间晚于调用时间，则可确定该第一待检测文件已被改动。若第一更新时间早于或等于调用时间，为了进一步确定该第一待检测文件是否在上述检测过程执行期间被改动，则可以进一步执行步骤304。

步骤304，再次获取第二待检测文件在存储介质中距离当前最近的第二更新时间。

文件自动检测装置重复获取第二待检测文件在存储介质中的距离当前最近的更新时间，记为第二更新时间。

步骤305，若第二更新时间与第一更新时间不同，则确定第一待检测文件被改动。

若该第二更新时间与第一次获取的存储介质中的第二待检测文件的第一更新时间相同，则说明在执行上述步骤期间，存储介质中的第二待检测文件没有被修改或覆盖，基于第一待检测文件与第二待检测文件之间的动态映射关系，因此可以确定该第一待检测文件没有被改动；若第二更新时间与第一更新时间不同，则可以认为该第一待检测文件被改动。

本实施例增加了核查步骤以排除在执行自动检测期间待检测文件被改动的情况。

需要说明的是，对于方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本发明实施例并不受所描述的动作顺序的限制，因为依据本发明实施例，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作并不一定是本发明实施例所必须的。

参照图4，示出了本发明一种文件自动检测装置实施例的结构框图，具体可以包括如下单元：

参量获取单元401，用于获得对比参量，所述对比参量包括第一待检测文件在进程中的第一标识信息及调用时间，以及第二待检测文件在存储介质中的第二标识信息及距离当前最近的第一更新时间。该第一待检测文件在进程中的调用时间可以为所述进程的启动时间。

第一判定单元402，用于判断所述第一标识信息与所述第二标识信息是否相同。

第二判定单元403，用于在所述第一判定单元402判定所述第一标识信息与所述第二标识信息相同时，判断所述第一更新时间是否晚于所述调用时间。

检测单元404，用于在所述第二判定单元403判定所述第一更新时间晚于所述调用时间时，确定所述第一待检测文件被改动。

本发明实施例通过上述单元在进程启动后，比较进程中以及存储介质中待检测文件的标识信息及在进程中的调用时间和存储介质中的更新时间，可以确定出该待检测文件在进程启动后是否被改动，通过该文件的自动检测装置，增加了程序运行的稳定性和可靠性，减少了程序崩溃的概率。

在本发明的另一实施例中，该参量获取单元401，具体可以用于获取所述进程的内存映射信息，以在所述进程的内存映射信息中查找获得所述第一待检测文件的第一标识信息；以及，获取所述进程的运行状态信息，以根据所述进程的运行信息获得所述第一待检测文件的调用时间；在文件系统中查找获得所述第二待检测文件的所述第二标识信息及所述第一更新时间。

参照图5，示出了本发明另一种文件自动检测装置实施例的结构框图。该装置除了包括参量获取单元401，第一判定单元402，第二判定单元403，检测单元404之外，还可以包括核查单元501。

其中，参量获取单元401，还可以用于在所述第二判定单元403判定所述第一更新时间早于或等于所述调用时间时，再次获取所述第二待检测文件在所述存储介质中距离当前最近的第二更新时间。

核查单元501，用于在所述第二更新时间与所述第一更新时间不同时，确定所述第一待检测文件被改动。

上述第一待检测文件可以为动态链接库文件。上述装置可以用于在linux下进程启动后动态链接库文件的自动检测。

本发明实施例还提供了一种电子设备，该电子设备包括数据总线，存储器和处理器，其中，存储器中存储有一段运行程序代码，处理器通过数据总线获取存储器中的程序代码，并执行以下步骤：

获得待对比参量，所述对比参量包括第一待检测文件在进程中的第一标识信息及调用时间，以及第二待检测文件在存储介质中的第二标识信息及距离当前最近的第一更新时间；

判断所述第一标识信息与所述第二标识信息是否相同；

若相同，则判断所述第一更新时间是否晚于所述调用时间；

若是，则确定所述第一待检测文件被改动。

对于装置实施例而言，由于其与方法实施例基本相似，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。

本领域内的技术人员应明白，本发明实施例的实施例可提供为方法、装置、或计算机程序产品。因此，本发明实施例可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明实施例可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明实施例是参照根据本发明实施例的方法、终端设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理终端设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理终端设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理终端设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理终端设备上，使得在计算机或其他可编程终端设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程终端设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

尽管已描述了本发明实施例的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例做出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本发明实施例范围的所有变更和修改。

最后，还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者终端设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者终端设备所固有的要素。在没有更多限制的情况下，由语句“包括一个......”限定的要素，并不排除在包括所述要素的过程、方法、物品或者终端设备中还存在另外的相同要素。

以上对本发明所提供的一种文件自动检测方法和一种文件自动检测装置，进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (10)

1.一种文件自动检测方法，其特征在于，包括：

获得对比参量，所述对比参量包括第一待检测文件在进程中的第一标识信息及调用时间，以及第二待检测文件在存储介质中的第二标识信息及距离当前最近的第一更新时间；

判断所述第一标识信息与所述第二标识信息是否相同；

若相同，则判断所述第一更新时间是否晚于所述调用时间；以及

若是，则确定所述第一待检测文件被改动；

所述获得所述第一待检测文件在进程中的第一标识信息及调用时间的步骤进一步包括：

获取所述进程的内存映射信息，在所述进程的内存映射信息中查找获得所述第一待检测文件的第一标识信息；以及

获取所述进程的运行信息，根据所述进程的运行信息获得进程的启动时间，将所述进程的启动时间作为所述第一待检测文件的调用时间。

2.根据权利要求1所述的方法，其特征在于，所述第一待检测文件在进程中的调用时间为所述进程的启动时间。

3.根据权利要求1所述的方法，其特征在于，所述获得所述第二待检测文件在存储介质中的第二标识信息及距离当前最近的第一更新时间的步骤进一步包括：

在文件系统中查找以获得所述第二待检测文件的所述第二标识信息及所述第一更新时间。

4.根据权利要求1至3中任意一项所述的方法，其特征在于，所述方法还包括：

若所述第一更新时间早于或等于所述调用时间，则再次获取所述第二待检测文件在所述存储介质中距离当前最近的第二更新时间；以及

若所述第二更新时间与所述第一更新时间不同，则确定所述第一待检测文件被改动。

5.根据权利要求1至3中任意一项所述的方法，其特征在于，所述第一待检测文件和所述第二待检测文件为动态链接库文件。

6.一种文件自动检测装置，其特征在于，包括：

参量获取单元，用于获得对比参量，所述对比参量包括第一待检测文件在进程中的第一标识信息及调用时间，以及第二待检测文件在存储介质中的第二标识信息及距离当前最近的第一更新时间；

第一判定单元，用于判断所述第一标识信息与所述第二标识信息是否相同；

第二判定单元，用于在所述第一判定单元判定所述第一标识信息与所述第二标识信息相同时，判断所述第一更新时间是否晚于所述调用时间；

以及，

检测单元，用于在所述第二判定单元判定所述第一更新时间晚于所述调用时间时，确定所述第一待检测文件被改动；

所述参量获取单元，进一步用于获取所述进程的内存映射信息，以在所述进程的内存映射信息中查找获得所述第一待检测文件的第一标识信息；以及获取所述进程的运行信息，以根据所述进程的运行信息获得进程的启动时间，将所述进程的启动时间作为所述第一待检测文件的调用时间。

7.根据权利要求6所述的装置，其特征在于，所述第一待检测文件在进程中的调用时间为所述进程的启动时间。

8.根据权利要求7所述的装置，其特征在于，

所述参量获取单元，进一步用于在文件系统中查找以获得所述第二待检测文件的所述第二标识信息及所述第一更新时间。

9.根据权利要求6至8中任意一项所述的装置，其特征在于，

所述参量获取单元，进一步用于在所述第二判定单元判定所述第一更新时间早于或等于所述调用时间时，再次获取所述第二待检测文件在所述存储介质中距离当前最近的第二更新时间；

所述装置还包括：

核查单元，用于在所述第二更新时间与所述第一更新时间不同时，确定所述第一待检测文件被改动。

10.根据权利要求6至8中任意一项所述的装置，其特征在于，所述第一待检测文件和所述第二待检测文件为动态链接库文件。