CN104573422A - 一种基于虚拟机的应用进程运行方法及装置 - Google Patents

Abstract

本发明提供一种基于虚拟机的应用进程运行方法及装置，其中方法包括：宿主机的操作系统在宿主机中创建虚拟机；将宿主机中操作系统的内核拷贝到虚拟机中；获取目标应用进程，将获取的目标应用进程装载到虚拟机的内核中，以使目标应用进程在虚拟机的内核中运行。根据本方案，通过在宿主机中创建虚拟机，将应用进程装载到虚拟机的内核环境中运行，保证了宿主机的操作系统的安全。另外，只将宿主机操作系统的内核拷贝到虚拟机中，无需拷贝整个操作系统，从而降低了资源的消耗。

Description

一种基于虚拟机的应用进程运行方法及装置

技术领域

本发明涉及安全技术领域，特别涉及一种基于虚拟机的应用进程运行方法及装置。

背景技术

随着互联网技术的迅速发展，各类应用也越来越广泛，这些应用遍布在整个社会的各个行业。目前，各种恶意程序泛滥，造成大量的数据泄露与网络欺诈，因此，数据安全问题十分重要。

目前，可以采用沙盒系统保证操作系统中应用进程的安全运行：确定恶意程序可能对应用进程进行攻击的途径，在操作系统的较高权限模式中对其途径进行拦截。

然而如今的部分恶意程序，其技术已经可以越过操作系统权限保护机制，得到较高的执行权限，从而绕过沙盒系统所设置的拦截机制，从而影响操作系统的安全。

发明内容

本发明提供一种基于虚拟机的应用进程运行方法及装置，以解决现有技术方案中影响操作系统的安全的问题。

本发明实施例提供了一种基于虚拟机的应用进程运行方法，包括：

宿主机的操作系统在宿主机中创建虚拟机；

将宿主机中操作系统的内核拷贝到虚拟机中；

获取目标应用进程，将获取的目标应用进程装载到虚拟机的内核中，以使目标应用进程在虚拟机的内核中运行。

优选地，

在所述在宿主机中创建虚拟机之后，进一步包括：在自身保存的系统服务描述表中增加一项功能参数的栈：sysenter指令的调用函数及调用函数对应的虚拟地址；

进一步包括：在宿主机操作系统的内核获取到sysenter指令时，对sysenter指令进行拦截，并根据sysenter指令查找自身保存的系统服务描述表中sysenter指令的调用函数所对应的虚拟地址，以将sysenter指令映射到虚拟机的内核中。

优选地，进一步包括：宿主机的操作系统将虚拟机的端口与中断向量挂接，以通过虚拟机的端口将拦截的sysenter指令发送给虚拟机的内核。

优选地，在sysenter指令为写操作指令时，所述根据sysenter指令查找自身保存的系统服务描述表中sysenter指令的调用函数所对应的虚拟地址，以将sysenter指令映射到虚拟机的内核中，包括：

宿主机的操作系统根据系统服务描述表查找到所述写操作指令的调用函数所对应的虚拟地址，根据虚拟机的端口将所述写操作指令携带的数据写入到虚拟机的虚拟磁盘中。

优选地，

进一步包括：记录写入到虚拟磁盘的数据与虚拟磁盘扇区位置的对应关系；

在sysenter指令为读操作指令时，所述根据sysenter指令查找自身保存的系统服务描述表中sysenter指令的调用函数所对应的虚拟地址，以将sysenter指令映射到虚拟机的内核中，包括：宿主机的操作系统根据系统服务描述表查找到所述读操作指令的调用函数所对应的虚拟地址，并根据记录的所述对应关系通过虚拟机的端口在所述读操作指令对应的虚拟磁盘扇区位置，读取数据。

本发明实施例还提供了一种基于虚拟机的应用进程运行装置，包括：

创建单元，用于宿主机的操作系统在宿主机中创建虚拟机；

拷贝单元，用于将宿主机中操作系统的内核拷贝到虚拟机中；

获取装载单元，用于获取目标应用进程，将获取的目标应用进程装载到虚拟机的内核中，以使目标应用进程在虚拟机的内核中运行。

优选地，进一步包括：

更新单元，用于在自身保存的系统服务描述表中增加一项功能参数的栈：sysenter指令的调用函数及调用函数对应的虚拟地址；

查找单元，用于在宿主机操作系统的内核获取到sysenter指令时，对sysenter指令进行拦截，并根据sysenter指令查找自身保存的系统服务描述表中sysenter指令的调用函数所对应的虚拟地址，以将sysenter指令映射到虚拟机的内核中。

优选地，进一步包括：

挂接单元，用于将虚拟机的端口与中断向量挂接，以通过虚拟机的端口将拦截的sysenter指令发送给虚拟机的内核。

优选地，进一步包括：

写操作单元，用于在sysenter指令为写操作指令时，根据系统服务描述表查找到所述写操作指令的调用函数所对应的虚拟地址，根据虚拟机的端口将所述写操作指令携带的数据写入到虚拟机的虚拟磁盘中。

优选地，进一步包括：

记录单元，用于记录写入到虚拟磁盘的数据与虚拟磁盘扇区位置的对应关系；

读操作单元，用于在sysenter指令为读操作指令时，根据系统服务描述表查找到所述读操作指令的调用函数所对应的虚拟地址，并根据记录的所述对应关系通过虚拟机的端口在所述读操作指令对应的虚拟磁盘扇区位置，读取数据。

本发明实施例提供了一种基于虚拟机的应用进程运行方法及装置，通过在宿主机中创建虚拟机，将应用进程装载到虚拟机的内核环境中运行，保证了宿主机的操作系统的安全。另外，只将宿主机操作系统的内核拷贝到虚拟机中，无需拷贝整个操作系统，从而降低了资源的消耗。

附图说明

图1是本发明实施例提供的方法流程图；

图2是本发明另一实施例提供的方法流程图；

图3是本发明实施例提供的装置所在设备的硬件架构图；

图4是本发明实施例提供的装置结构示意图；

图5是本发明另一实施例提供的装置结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述。显然，所描述的实施例仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

如图1所示，本发明实施例提供了一种基于虚拟机的应用进程运行方法，该方法可以包括以下步骤：

步骤101：宿主机的操作系统在宿主机中创建虚拟机。

步骤102：将宿主机中操作系统的内核拷贝到虚拟机中。

步骤103：获取目标应用进程，将获取的目标应用进程装载到虚拟机的内核中，以使目标应用进程在虚拟机的内核中运行。

根据上述方案，通过在宿主机中创建虚拟机，将待保护的目标应用进程装载到虚拟机的内核环境中运行，保证了宿主机的操作系统的安全。另外，只将宿主机操作系统的内核拷贝到虚拟机中，无需拷贝整个操作系统，从而降低了资源的消耗。

为使本发明的目的、技术方案和优点更加清楚，下面结合附图及具体实施例对本发明作进一步地详细描述。

如图2所示，本发明实施例提供了一种基于虚拟机的应用进程运行方法，该方法可以包括以下步骤：

步骤201：在宿主机中创建虚拟机。

其中，宿主机是用于安装各种虚拟软件的物理机。虚拟机是独立于宿主机的操作系统。在宿主机上可以创建一个以上的虚拟机。

在本实施例中，采用CPU虚拟化技术，将单CPU模拟多CPU并行，从而提高计算机的工作效率。另外，允许一个平台同时运行多个操作系统，例如，intel、amd或arm64等，并且应用程序都可以在相互独立的空间内运行而互不影响。

步骤202：将宿主机中操作系统的内核拷贝到虚拟机中。

由于在宿主机上创建的虚拟机是独立于宿主机的，因此，虚拟机需要有独立运行的环境。考虑到资源的消耗，可以不需要将宿主机的操作系统全部拷贝到虚拟机中，只需将宿主机操作系统的内核作为拷贝到虚拟机中即可，使得虚拟机提供一个与宿主机相同的内核环境，以保证应用进程的运行。通过将该内核拷贝到虚拟机中，使得虚拟机的运行环境处于较高稳定性下，从而避免了虚拟机与宿主机共用一个内核的情况，以及避免了多类应用软件的兼容性问题。其中，将控制虚拟机的服务模块和实现虚拟环境的模块工作与操作系统的内核层中。

另外，由于虚拟机能够独立运行各个应用进程，从而将虚拟机运行的应用进程与宿主机之间进行隔离，从而使得虚拟机中应用进程附带的恶意程序无法对宿主机操作系统进行攻击，保证了宿主机操作系统的安全。

进一步的，各个应用进程的运行采用x86/64或arm64汇编语言、C语言等计算机语言进行编写。

步骤203：宿主机的操作系统在自身保存的系统服务描述表中增加一项功能参数的栈：sysenter指令的调用函数及调用函数对应的虚拟地。

其中，系统服务描述表(SSDT，System Service Descriptor Table)用于保存宿主机内各个子系统的调用函数和地址索引。系统服务描述表中保存的功能参数是通过栈的形式保存的。

由于对内核无法对接收到的sysenter指令进行拦截，因此可以通过下述方式进行解决：由于在宿主机内创建了虚拟机，需要判断sysenter指令的调用函数对应的地址是在宿主机中还是在虚拟机中，因此，在自身保存的系统服务描述表中增加一项功能参数的栈：sysenter指令的调用函数及调用函数对应的虚拟地，以便后续在宿主机操作系统的内核获取到sysenter指令时，对sysenter指令进行拦截，并根据sysenter指令查找自身保存的系统服务描述表中sysenter指令的调用函数所对应的虚拟地址，以将sysenter指令映射到虚拟机的内核中。

步骤204：获取目标应用进程，将获取的目标应用进程装载到虚拟机的内核中，以使目标应用进程在虚拟机的内核中运行。

确定需要保护的目标应用进程，可以将目标应用进程装载到虚拟机内核中运行。

步骤205：宿主机的操作系统将虚拟机的端口与中断向量挂接，以通过虚拟机的端口将拦截的sysenter指令发送给虚拟机的内核。

步骤206：在sysenter指令为写操作指令时，宿主机的操作系统根据系统服务描述表查找到写操作指令的调用函数所对应的虚拟地址，根据虚拟机的端口将写操作指令携带的数据写入到虚拟机的虚拟磁盘中，并记录写入到虚拟磁盘的数据与虚拟磁盘扇区位置的对应关系。

例如，宿主机上创建虚拟机1和虚拟机2，那么将数据a、数据b、数据c写入的对应关系如下表1所示：

表1：

数据	位置
		数据a	虚拟机1中虚拟磁盘的扇区a
数据b	虚拟机1中虚拟磁盘的扇区b
		数据c	虚拟机2中虚拟磁盘的扇区a

步骤207：在sysenter指令为读操作指令时，宿主机的操作系统根据系统服务描述表查找到所述读操作指令的调用函数所对应的虚拟地址，并根据记录的所述对应关系通过虚拟机的端口在所述读操作指令对应的虚拟磁盘扇区位置，读取数据。

在本实施例中，例如，获取的读数据操作指令用于读取数据a，因此根据上述表1可知，数据a存储位置是：虚拟机1中虚拟磁盘的扇区a。利用系统服务描述表获取虚拟机1对应的端口，从该虚拟机1对应的端口，向虚拟机1的虚拟磁盘的扇区a读取数据a。

根据上述方案，通过在宿主机中创建虚拟机，将应用进程装载到虚拟机的内核环境中运行，保证了宿主机的操作系统的安全。另外，只将宿主机操作系统的内核拷贝到虚拟机中，无需拷贝整个操作系统，从而降低了资源的消耗。

如图3、图4所示，本发明实施例提供了一种基于虚拟机的应用进程运行装置。装置实施例可以通过软件实现，也可以通过硬件或者软硬件结合的方式实现。从硬件层面而言，如图3所示，为本发明实施例基于虚拟机的应用进程运行装置所在设备的一种硬件结构图，除了图3所示的处理器、内存、网络接口、以及非易失性存储器之外，实施例中装置所在的设备通常还可以包括其他硬件，如负责处理报文的转发芯片等等。以软件实现为例，如图4所示，作为一个逻辑意义上的装置，是通过其所在设备的CPU将非易失性存储器中对应的计算机程序指令读取到内存中运行形成的。本实施例提供的基于虚拟机的应用进程运行装置40包括：

创建单元401，用于宿主机的操作系统在宿主机中创建虚拟机；

拷贝单元402，用于将宿主机中操作系统的内核拷贝到虚拟机中；

获取装载单元403，用于获取目标应用进程，将获取的目标应用进程装载到虚拟机的内核中，以使目标应用进程在虚拟机的内核中运行。

在本发明一个实施例中，如图5所示，计算装置可以进一步包括：

更新单元501，用于在自身保存的系统服务描述表中增加一项功能参数的栈：sysenter指令的调用函数及调用函数对应的虚拟地址；

查找单元502，用于在宿主机操作系统的内核获取到sysenter指令时，对sysenter指令进行拦截，并根据sysenter指令查找自身保存的系统服务描述表中sysenter指令的调用函数所对应的虚拟地址，以将sysenter指令映射到虚拟机的内核中。

可选的，进一步包括：

挂接单元503，用于将虚拟机的端口与中断向量挂接，以通过虚拟机的端口将拦截的sysenter指令发送给虚拟机的内核。

可选的，进一步包括：

写操作单元504，用于在sysenter指令为写操作指令时，根据系统服务描述表查找到所述写操作指令的调用函数所对应的虚拟地址，根据虚拟机的端口将所述写操作指令携带的数据写入到虚拟机的虚拟磁盘中。

可选的，进一步包括：

记录单元505，用于记录写入到虚拟磁盘的数据与虚拟磁盘扇区位置的对应关系；

读操作单元506，用于在sysenter指令为读操作指令时，根据系统服务描述表查找到所述读操作指令的调用函数所对应的虚拟地址，并根据记录的所述对应关系通过虚拟机的端口在所述读操作指令对应的虚拟磁盘扇区位置，读取数据。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims (10)

1.一种基于虚拟机的应用进程运行方法，其特征在于，包括：

宿主机的操作系统在宿主机中创建虚拟机；

将宿主机中操作系统的内核拷贝到虚拟机中；

获取目标应用进程，将获取的目标应用进程装载到虚拟机的内核中，以使目标应用进程在虚拟机的内核中运行。

2.根据权利要求1所述的方法，其特征在于，

在所述在宿主机中创建虚拟机之后，进一步包括：在自身保存的系统服务描述表中增加一项功能参数的栈：sysenter指令的调用函数及调用函数对应的虚拟地址；

进一步包括：在宿主机操作系统的内核获取到sysenter指令时，对sysenter指令进行拦截，并根据sysenter指令查找自身保存的系统服务描述表中sysenter指令的调用函数所对应的虚拟地址，以将sysenter指令映射到虚拟机的内核中。

3.根据权利要求2所述的方法，其特征在于，进一步包括：宿主机的操作系统将虚拟机的端口与中断向量挂接，以通过虚拟机的端口将拦截的sysenter指令发送给虚拟机的内核。

4.根据权利要求3所述的方法，其特征在于，在sysenter指令为写操作指令时，所述根据sysenter指令查找自身保存的系统服务描述表中sysenter指令的调用函数所对应的虚拟地址，以将sysenter指令映射到虚拟机的内核中，包括：

宿主机的操作系统根据系统服务描述表查找到所述写操作指令的调用函数所对应的虚拟地址，根据虚拟机的端口将所述写操作指令携带的数据写入到虚拟机的虚拟磁盘中。

5.根据权利要求4所述的方法，其特征在于，

进一步包括：记录写入到虚拟磁盘的数据与虚拟磁盘扇区位置的对应关系；

在sysenter指令为读操作指令时，所述根据sysenter指令查找自身保存的系统服务描述表中sysenter指令的调用函数所对应的虚拟地址，以将sysenter指令映射到虚拟机的内核中，包括：宿主机的操作系统根据系统服务描述表查找到所述读操作指令的调用函数所对应的虚拟地址，并根据记录的所述对应关系通过虚拟机的端口在所述读操作指令对应的虚拟磁盘扇区位置，读取数据。

6.一种基于虚拟机的应用进程运行装置，其特征在于，包括：

创建单元，用于宿主机的操作系统在宿主机中创建虚拟机；

拷贝单元，用于将宿主机中操作系统的内核拷贝到虚拟机中；

获取装载单元，用于获取目标应用进程，将获取的目标应用进程装载到虚拟机的内核中，以使目标应用进程在虚拟机的内核中运行。

7.根据权利要求6所述的基于虚拟机的应用进程运行装置，其特征在于，进一步包括：

更新单元，用于在自身保存的系统服务描述表中增加一项功能参数的栈：sysenter指令的调用函数及调用函数对应的虚拟地址；

查找单元，用于在宿主机操作系统的内核获取到sysenter指令时，对sysenter指令进行拦截，并根据sysenter指令查找自身保存的系统服务描述表中sysenter指令的调用函数所对应的虚拟地址，以将sysenter指令映射到虚拟机的内核中。

8.根据权利要求7所述的基于虚拟机的应用进程运行装置，其特征在于，进一步包括：

挂接单元，用于将虚拟机的端口与中断向量挂接，以通过虚拟机的端口将拦截的sysenter指令发送给虚拟机的内核。

9.根据权利要求8所述的基于虚拟机的应用进程运行装置，其特征在于，进一步包括：

写操作单元，用于在sysenter指令为写操作指令时，根据系统服务描述表查找到所述写操作指令的调用函数所对应的虚拟地址，根据虚拟机的端口将所述写操作指令携带的数据写入到虚拟机的虚拟磁盘中。

10.根据权利要求9所述的基于虚拟机的应用进程运行装置，其特征在于，进一步包括：

记录单元，用于记录写入到虚拟磁盘的数据与虚拟磁盘扇区位置的对应关系；

读操作单元，用于在sysenter指令为读操作指令时，根据系统服务描述表查找到所述读操作指令的调用函数所对应的虚拟地址，并根据记录的所述对应关系通过虚拟机的端口在所述读操作指令对应的虚拟磁盘扇区位置，读取数据。