CN104598821A - 一种用于计算机病毒、木马、黑客通用防控方法及装置 - Google Patents

Abstract

本发明涉及计算机病毒、木马、黑客防控技术领域，公开一种用于计算机病毒、木马、黑客通用防控方法及装置。所述通用的计算机病毒、木马、黑客防控装置包括：机体、主板、单片机、存储器、键盘输入接口、键盘输出接口、鼠标输入接口、鼠标输出接口、USB接口、监控软件。本发明能够通过对比存储的键盘鼠标数据来判断软件操作不是用户的真实合法操作，从而达到防控计算机病毒、木马、黑客的目的。

Description

一种用于计算机病毒、木马、黑客通用防控方法及装置

技术领域

本发明涉及计算机病毒、木马、黑客防控技术领域，尤其涉及一种用于计算机病毒、木马、黑客通用防控方法及装置。

背景技术

    计算机已成为现代人类生产生活娱乐等方面不可或缺的设备，因此，很多人用病毒、木马或黑客攻击来破坏计算机或窃取信息来获得非法利益，全球每年由于病毒、木马或黑客的破坏造成的损失以数十亿美元计，全球每年用于计算机安全的软件或硬件层出不穷，现在广泛使用的防控方法是在出现新的病毒、木马后，获取它们的特征码，加入防毒数据库中后，针对这种新病毒进行查杀、针对已发现的漏洞打系统补丁或相应的安全策略来防止黑客攻击，所以总是在新病毒、新木马或新漏洞造成巨大破坏之后再来收拾残局。

专利内容

为了克服背景技术中的不足，本发明提供一种用于计算机病毒、木马、黑客的通用防控方法及装置。病毒、木马虽然千变万化，但其多样化只是为了改变特征码以躲避安全软件的查杀，不管再怎么变，最后的攻击方式都脱离不开利用系统命令进行破坏或偷窃，例如病毒用copy命令来复制自身，用ren命令把自己的文件命改成类似系统文件来隐藏自身，用del或format命令来搞破坏，木马把偷窃到的信息通过电子邮件发送给主人，黑客入侵成功后建立新用户并提升用户权限，这些命令虽然会被病毒、木马、黑客所利用，但正常用户也需要用到，所以不可能单纯的禁止掉以达到防黑防毒的作用，所以判断这些命令是用被病毒、木马、黑客用的，还是被本机用户用的就成了防黑防毒的关键问题，例如木马要用电子邮件把偷到的东西发给主人，本机用户也经常要发电子邮件，只要能识别出一个电子邮件是不是用户发的，就可以把不是用户所发的邮件拦截，如果木马不能发送邮件，即使存在于本机也不会造成任何破坏。而用户和木马发送邮件最基本的区别是：用户是用键盘输入关键字“”加鼠标点击来发送，会有真实的鼠标键盘产生的点击数据，而木马是用程序发送邮件，不会有真实的鼠标键盘产生的点击数据，本方法及装置就是是针对这种原理来设计的。

为了实现上述专利目的，本发明采用技术方案如下：

一种用于计算机病毒、木马、黑客通用防控方法的装置，其包括：机体、主板、单片机、存储器、键盘输入接口、键盘输出接口、鼠标输入接口、鼠标输出接口、USB接口；所述的单片机、存储器设置在机体内的主板上；所述的键盘输入接口、键盘输出接口、鼠标输入接口、鼠标输出接口、USB接口固定在机体外侧；所述的键盘输入接口、鼠标输入接口通过导线分别与单片机输入端P1、P2接口相连；单片机输出端接口P3、P4通过导线分别与连接电脑主机的键盘输出接口、鼠标输出接口相连；单片机数据端接口通过导线与连接电脑主机的 USB接口相连。

 一种用于计算机病毒、木马、黑客通用的防控装置，所述单片机数据端接口、输出端接口P3、P4与连接电脑主机的 USB接口之间设置有USB 集线器，所述USB 集线器输入端接口通过导线分别与单片机数据端接口、输出端接口P3、P4相连；USB 集线器输出端接口通过导线与连接电脑主机的 USB接口相连。

 一种用于计算机病毒、木马、黑客通用的防控装置，所述单片机数据端接口、输出端接口P3、P4设置为USB公共数据端接口；USB公共数据端接口通过导线与连接电脑主机的 USB接口相连。

一种通用的计算机病毒、木马、黑客防控装置，所述键盘输入接口、键盘输出接口、鼠标输入接口、鼠标输出接口为PS2接口或置换为相应的键盘鼠标USB接口。

一种用于计算机病毒、木马、黑客通用防控装置，所述的用于计算机病毒、木马、黑客通用防控装置设置在键盘上，键盘上设置有连接鼠标的接口。

    一种用于计算机病毒、木马、黑客通用防控装置，所述的用于计算机病毒、木马、黑客通用防控装置设置在电脑主机的主板上。

所述键盘输入接口、键盘输出接口、鼠标输入接口、鼠标输出接口是PS2接口并可置换为USB接口，以适应相应接口的键盘鼠标。

所述单片机在键盘鼠标有操作时，记录操作时间、坐标信息并存放于存储器中，并在存储器存储容量不足时，清除以前的数据，为新数据留出空间，当单片机接收到监控软件的数据请求时，从存储器中提取数据，传输给监控软件。

所述USB接口用于本装置和电脑主机的通讯，并使用电脑主机的电源为本装置供电。

所述监控软件安装在电脑中，通过USB接口与本装置通讯，并监视、控制正在运行的软件，监控软件由数据库、监控程序组成，数据库包括三个库文件：规则库、黑名单、白名单，规则库中储存了关键字和行为规则，所述关键字是指例如copy、ren、del、format、、net、user、引导区、注册表、BIOS等有可能产生危险操作的命令、符号、单词、部位，所述行为规则是指涉及到关键字的各种行为判断规则数据，因为同样的关键字，在不同的编程语言或操作系统中表现形式是不一样的，比如病毒复制自身时，可以直接调用DOS命令中的“copy”，也可以用c++中的函数“copyfile”、甚至用WINDOWS里的组合键ctrl+c和鼠标右键菜单的复制粘贴，这些命令在内存中产生的数据也不相同，这些数据即为行为规则，大量的行为规则和关键字组合起来，即可做为判别软件的操作是否合法的依据，所述规则库就是这些关键字和行为规则的集合体。所述黑名单是用户存储被禁止执行的软件的库文件，所述白名单是用户存储被允许执行的软件的库文件。所述监控程序是可以监测并控制内存中运行的软件的程序，当内存中运行的程序没有产生符合行为规则的数据时不进行干预，当内存中的程序产生符合行为规则的数据时，监控程序会暂停此程序运行，并通过单片机提取存储器中的键盘、鼠标操作数据与当前操作数据做对比，若在此时间内存储器中有相应的记录，即认为是用户的真实操作，并予以放行，若在此时间内存储器中没有相应的记录，即认为是由病毒、木马、黑客产生的虚拟操作，则拦截此次操作，并自动把产生非法操作的软件提供给用户决定是否将其加入黑名单，监控程序会屏蔽黑名单中软件的所有操作，以节省系统资源；由用户设置可信任软件加入白名单，监控程序不针对白名单中的软件进行监控，以避免误拦截合法软件的操作。

 一种用于计算机病毒、木马、黑客通用防控方法，其步骤如下：

一、准备工作：

把键盘接入键盘输入接口、鼠标接入鼠标输入接口，把键盘输出接口接入电脑的键盘接口、鼠标输出接口接入电脑的鼠标接口、USB接口接入电脑的USB接口。

二、记录工作：

 当键盘、鼠标的任意一个键产生点击动作时产生的数据，先进入单片机，单片机把点击的键值和点击此键的时间记录在存储器中，然后再把数据通过本装置的键盘输出接口、鼠标输出接口输出到电脑的键盘、鼠标输入接口。

 三、监控工作：

a.  监控软件对所有运行在内存中的软件进行监控，并根据白名单和黑名单中的记录判断哪些软件在黑、白名单中有记录；

b.  允许执行白名单中软件的所有操作；

c.  禁止执行黑名单中软件的所有操作；

d.  对不存在于黑、白名单中的软件监控其是否产生符合行为规则的数据；

e.  若不产生符合行为规则的数据则允许执行；

f.  若产生了符合行为规则的数据则取其操作时间，并向单片机发送数据请求，调用此操作时间内存储器中存储的数据并做对比；

g.  若此时间内有键盘鼠标的相对应点击数据记录，则认为是本机用户的真实有效操作，并允许执行；

h.  若此时间内没有键盘鼠标的相对应点击数据记录，则认为此操作为是病毒、木马或黑客产生的操作，禁止执行并记录下来，提供给用户决定是否将其加入黑名单。

i.  重复以上工作直至本装置关闭。

由于采用如上所述的技术方案，本发明具有如下优越性：

 一种用于计算机病毒、木马、黑客通用防控方法及装置，适用于计算机病毒、木马、黑客的防控。虽然病毒、木马、黑客攻击方法非常多，但其只是隐藏自身的方法和破坏力度不一样，不管它们怎么变化，最终攻击手段都很相似，例如病毒会使用复制命令复制自身、用改名命令隐藏自身、用改写注册表来运行自身、用删除、格式化等命令对计算机进行破坏；木马会把窃取的信息通过电子邮件发送给主人；黑客会用建立用户、提升用户权限、打开摄像头等方法对计算机进行远程操作，这些操作与本机用户的操作都可以被软件执行，它们的区别是本机用户是通过键盘鼠标的真实点击来操作，而病毒、木马、黑客是通过软件的方式虚拟操作，由于这种虚拟操作不会被本装置记录下来，所以经监控软件从存储器中取得键鼠操作数据与其做对比后，判断出哪些是虚拟的非法操作，并禁止这些虚拟的非法操作，使病毒、木马、黑客的破坏手段无效化。这种方法的优点是：有多少种病毒就有多少种特征码，所以特征码是无穷无尽的，但行为规则是有限的，本装置和方法可以准确判断并拦截病毒、木马、黑客产生的非法操作，只要完善了行为规则即可防控所有的病毒、木马，改变了以前总是在新病毒、新木马、新漏洞造成巨大损失之后，在杀毒软件中增加其特征库和补丁后才能查杀的亡羊补牢式防御方法，可达到在个人计算机中对病毒、木马、黑客通用防控的目的。对服务器来说，由于很多操作必须是从网络来的远程操作，所以只能防御一部分，但是如果个人计算机大量使用本装置后，很难被黑客利用，能有效防止黑客通过远程控制大量个人计算机不断访问服务器，以造成服务器超负荷运行而崩溃的攻击方法，例如DDOS攻击和垃圾邮件攻击等。本装置如果能推广普及，将能取得巨大经济效益。

【附图说明】

图1是本专利计算机病毒、木马、黑客通用防控装置使用PS2接口时的结构示意图；

图2是本专利计算机病毒、木马、黑客通用防控装置使用USB接口时的结构示意图；

图3是本专利计算机病毒、木马、黑客通用防控装置使用PS2接口时的交联关系图；

图4是本专利计算机病毒、木马、黑客通用防控装置使用USB集线器接口时的交联关系图；

图5是本专利计算机病毒、木马、黑客通用防控装置使用USB接口时的交联关系图；

图6是本专利计算机病毒、木马、黑客通用防控装置的工作流程图。

图中：1、机体，2、主板，3、单片机，4、存储器，5、键盘输入接口，6、键盘输出接口，7、鼠标输入接口，8、鼠标输出接口，9、USB接口，10、电脑主机，11、USB集线器。

【具体实施方式】

如图1至图6所示，一种通用的计算机病毒、木马、黑客防控装置，其包括：机体1、主板2、单片机3、存储器4、键盘输入接口5、键盘输出接口6、鼠标输入接口7、鼠标输出接口8、USB接口9、监控软件，所述单片机3、存储器4安装在主板2上，主板2安装在机体1中，键盘输入接口5、键盘输出接口6、鼠标输入接口7、鼠标输出接口8、USB接口9安装在机体外侧，存储器4、键盘输入接口5、键盘输出接口6、鼠标输入接口7、鼠标输出接口8、USB接口9通过主板2与单片机3相连，键盘输出接口6通过导线连接到电脑主机10的键盘接口上，鼠标输出接口8通过导线连接到电脑主机10的鼠标接口上，监控软件安装在电脑主机10中，并通过USB接口9与单片机3通讯。

所述单片机3在键盘鼠标有操作时，记录操作时间和键值等数据存放于存储器4中，并在存储器4存储容量不足时，清除以前的数据，为新数据留出空间，当单片机3接收到监控软件的数据请求时，从存储器中提取数据，传输给监控软件。

所述的键盘输入接口5、键盘输出接口6、鼠标输入接口7、鼠标输出接口8为PS2接口或USB接口，以适应相应接口的键盘鼠标；所述的键盘输入接口5、鼠标输入接口7通过导线分别与单片机3输入端P1、P2接口相连；单片机3输出端接口P3、P4通过导线分别与连接电脑主机10的键盘输出接口6、鼠标输出接口8相连；单片机3数据端接口通过导线与连接电脑主机10的 USB接口9相连。如图1、3所示。

当键盘输出接口6、鼠标输出接口8为USB接口时，在主板2上增加一个USB 集线器11，把键盘输出接口6、鼠标输出接口8、USB接口9连接到USB 集线器11上合并为一个USB接口9。即包括：机体1、主板2、单片机3、存储器4、键盘输入接口5、鼠标输入接口7、USB 集线器11、USB接口9，所述单片机3、存储器4、USB 集线器11安装在主板2上，主板2安装在机体1中，键盘输入接口5、鼠标输入接口7、USB接口9安装在机体外侧；所述USB接口9用于本装置和电脑主机10的通讯，并使用电脑主机10的电源为本装置供电。

所述单片机3数据端接口、输出端接口P3、P4通过导线分别与USB 集线器11输入端接口相连；USB 集线器11输出端接口与连接电脑主机10的 USB接口9相连。如图2、4所示。

当单片机3数据端接口、输出端接口P3、P4设置为USB公共数据端接口；USB公共数据端接口通过导线与连接电脑主机10的 USB接口9相连。如图5所示。

上述的所述键盘输入接口（5）、键盘输出接口（6）、鼠标输入接口（7）、鼠标输出接口（8）为PS2接口或置换为相应的键盘鼠标USB接口。

上述的所述用于计算机病毒、木马、黑客通用防控装置设置在键盘上，键盘上设置有连接鼠标的接口。

    上述的所述用于计算机病毒、木马、黑客通用防控装置设置在电脑主机10的主板上。

一种用于计算机病毒、木马、黑客通用防控方法，采用键盘、鼠标产生的操作数据要先记录到存储器4中之后再输入到电脑主机10；其步骤如下：

一、准备工作：

把键盘接入键盘输入接口5、鼠标接入鼠标输入接口7，把键盘输出接口6接入电脑的键盘接口、鼠标输出接口8接入电脑的鼠标接口、USB接口9接入电脑的USB口。

二、记录工作：

 当键盘、鼠标的任意一个键产生点击动作时产生的数据，先进入单片机3，单片机3把点击的键值和点击此键的时间记录在存储器4中，然后再把数据通过本装置的键盘输出接口6、鼠标输出接口8输出到电脑的键盘、鼠标输入接口。

 三、监控工作：

a.  监控软件对所有运行在内存中的软件进行监控，并根据白名单和黑名单中的记录判断哪些软件在黑、白名单中有记录；

b.  允许执行白名单中软件的所有操作；

c.  禁止执行黑名单中软件的所有操作；

d.  对不存在于黑、白名单中的软件监控其是否产生符合行为规则的数据；

e.  若不产生符合行为规则的数据则允许执行；

f.  若产生了符合行为规则的数据则取其操作时间，并向单片机3发送数据请求，调用此操作时间内存储器4中存储的数据并做对比；

g.  若此时间内有键盘鼠标的相对应点击数据记录，则认为是本机用户的真实有效操作，并允许执行；

h.  若此时间内没有键盘鼠标的相对应点击数据记录，则认为此操作为是病毒、木马或黑客产生的操作，禁止执行并记录下来，提供给用户决定是否将其加入黑名单。

i.  重复以上工作直至本装置关闭。

上述的用于计算机病毒、木马、黑客通用防控方法的监控流程如图6所示。所述监控软件安装在电脑中，由数据库、监控程序组成，数据库包括三个库文件：规则库、黑名单、白名单；规则库中储存了关键字和行为规则，所述关键字是指例如copy、ren、del、format、、net、user、引导区、注册表、BIOS等有可能产生危险操作的命令、符号、单词、部位；所述行为规则是指涉及到关键字的各种数据，因为同样的关键字，在不同的编程语言或操作系统中表现形式是不一样的，例如病毒复制自身时，可以直接调用DOS命令中的“copy”，也可以用c++中的函数“copyfile” 、甚至用WINDOWS里的组合键ctrl+c和鼠标右键菜单的复制，这些命令在内存中产生的数据也不相同，这些数据即为行为规则，大量的行为规则和关键字的组合起来，即可做为判别软件的操作是否合法的依据，所述规则库就是这些关键字和行为规则的集合体。所述黑名单是用户存储被禁止执行的软件的库文件，所述白名单是用户存储被允许执行的软件的库文件。所述监控程序是可以监测并控制内存中运行的软件的程序，当内存中运行的程序没有产生与行为规则相符的数据时不进行干预，当内存中的程序出现符合行为规则的关键字时，监控程序会暂停此程序运行，并通过单片机提取存储器中的键鼠操作数据与当前操作数据做对比，若在此时间内存储器中有相应的数据记录，可认为是用户的真实操作，并予以放行，若在此时间内存储器中没有相应的数据记录，可认为是由病毒、木马、黑客产生的虚拟操作，则拦截此次操作，并自动把多次产生非法操作的软件提供给用户决定是否将其加入黑名单，监控程序会屏蔽黑名单中软件的所有操作，以节省系统资源；由用户设置可信任软件加入白名单，监控程序不针对白名单中的软件进行监控，以避免误拦截合法操作。

Claims (7)

1.一种用于计算机病毒、木马、黑客通用防控方法，其特征在于：键盘、鼠标产生的操作数据要先记录到存储器（4）中，之后再输入到电脑主机（10）；其步骤如下：

一、准备工作：

把键盘接入键盘输入接口（5）、鼠标接入鼠标输入接口（7），把键盘输出接口（6）接入电脑的键盘接口、鼠标输出接口（8）接入电脑的鼠标接口、USB接口（9）接入电脑的USB口；

二、记录工作：

 当键盘、鼠标的任意一个键产生点击动作时产生的数据，先进入单片机（3），单片机（3）把点击的键值和点击此键的时间记录在存储器（4）中，然后再把数据通过本装置的键盘输出接口（6）、鼠标输出接口（8）输出到电脑的键盘、鼠标输入接口；

 三、监控工作：

监控软件对所有运行在内存中的软件进行监控，并根据白名单和黑名单中的记录判断哪些软件在黑、白名单中有记录；

允许执行白名单中软件的所有操作；

禁止执行黑名单中软件的所有操作；

对不存在于黑、白名单中的软件监控其是否产生符合行为规则的数据；

若不产生符合行为规则的数据则允许执行；

若产生了符合行为规则的数据则取其操作时间，并向单片机（3）发送数据请求，调用此操作时间内存储器（4）中存储的数据并做对比；

若此时间内有键盘鼠标的相对应点击数据记录，则认为是本机用户的真实有效操作，并允许执行；

若此时间内没有键盘鼠标的相对应点击数据记录，则认为此操作为是病毒、木马或黑客产生的操作，禁止执行并记录下来，提供给用户决定是否将其加入黑名单；

重复以上工作直至本装置关闭。

2.如权利要求1所述一种用于计算机病毒、木马、黑客通用防控方法的装置，其包括：机体（1）、主板（2）、单片机（3）、存储器（4）、键盘输入接口（5）、键盘输出接口（6）、鼠标输入接口（7）、鼠标输出接口（8）、USB接口（9）；

所述的单片机（3）、存储器（4）设置在机体（1）内的主板（2）上；所述的键盘输入接口（5）、键盘输出接口（6）、鼠标输入接口（7）、鼠标输出接口（8）、USB接口（9）固定在机体外侧（1）；

所述的键盘输入接口（5）、鼠标输入接口（7）通过导线分别与单片机（3）输入端P1、P2接口相连；单片机（3）输出端接口P3、P4通过导线分别与连接电脑主机（10）的键盘输出接口（6）、鼠标输出接口（8）相连；单片机（3）数据端接口通过导线与连接电脑主机（10）的 USB接口（9）相连。

3. 根据权利要求2所述的一种用于计算机病毒、木马、黑客通用的防控装置，其特征在于：所述单片机（3）数据端接口、输出端接口P3、P4与连接电脑主机（10）的 USB接口（9）之间设置有USB 集线器（11），所述USB 集线器（11）输入端接口通过导线分别与单片机（3）数据端接口、输出端接口P3、P4相连；USB 集线器（11）输出端接口通过导线与连接电脑主机（10）的 USB接口（9）相连。

4. 根据权利要求2所述的一种用于计算机病毒、木马、黑客通用的防控装置，其特征在于：所述单片机（3）数据端接口、输出端接口P3、P4设置为USB公共数据端接口；USB公共数据端接口通过导线与连接电脑主机（10）的 USB接口（9）相连。

5.根据权利要求2所述的一种通用的计算机病毒、木马、黑客防控装置，其特征在于：所述键盘输入接口（5）、键盘输出接口（6）、鼠标输入接口（7）、鼠标输出接口（8）为PS2接口或置换为相应的键盘鼠标USB接口。

6.根据权利要求2所述的一种用于计算机病毒、木马、黑客通用防控装置，其特征在于：所述的用于计算机病毒、木马、黑客通用防控装置设置在键盘上，键盘上设置有连接鼠标的接口。

7.根据权利要求2所述的一种用于计算机病毒、木马、黑客通用防控装置，其特征在于：所述的用于计算机病毒、木马、黑客通用防控装置设置在电脑主机（10）的主板上。