CN105590060A

CN105590060A - 一种目标应用程序的保护方法及装置

Info

Publication number: CN105590060A
Application number: CN201510965067.3A
Authority: CN
Inventors: 李文靖
Original assignee: Beijing Kingsoft Internet Security Software Co Ltd
Current assignee: Zhuhai Baoqu Technology Co Ltd
Priority date: 2015-12-21
Filing date: 2015-12-21
Publication date: 2016-05-18

Abstract

本发明实施例提供了一种目标应用程序的保护方法及装置，应用于终端设备，该方法当检测到第一应用程序调用目标函数时，获取所述第一应用程序向其驱动程序发送的控制码和该控制码将要进行控制的第二应用程序的信息；判断所述控制码是否为结束应用程序的进程的控制码，若是，判断所述控制码将要进行控制的第二应用程序是否为目标应用程序；若是，拦截所述控制码。本发明实施例实现了对目标应用程序的保护，并且由于该过程相对于现有技术中在底层对函数进行挂钩的方式，容易实现，且不影响系统的稳定性。

Description

一种目标应用程序的保护方法及装置

技术领域

本发明涉及终端技术领域，特别是涉及一种目标应用程序的保护方法及装置。

背景技术

随着互联网技术的快速发展，终端设备中可能存在各种各样的不安全因素，如病毒木马等。为了保护终端设备的安全，可以在终端设备中安装杀毒应用程序。但是，病毒木马为了不被杀毒应用程序发现有可能会先把杀毒应用程序的进程结束，来达到存活的目的。因此，为了保护终端设备的安全，需要保证杀毒应用程序的进程可以一直在终端设备中运行。

病毒木马等在结束杀毒应用程序时，向病毒木马驱动程序发送控制码，当其控制码为结束杀毒应用程序时，其驱动程序调用一些函数，并将待结束进程的杀毒应用程序的进程标识(PID)提供给这些函数，来结束杀毒应用程序的进程。这些函数例如可以是NtTerminateProcess函数、PspTerminateThreadByPointer函数、NtAssignProcessToJobObject函数或KiInsertQueueApc函数等。

因此，现有技术的在对杀毒应用程序进行保护时，可以通过挂钩用于结束杀毒应用程序的进程的这些函数来实现。挂钩这些函数后，任意其他应用程序在结束杀毒应用程序的进程时，杀毒应用程序就会检测到，并向相应的函数返回STATUS_ACCESS_DENIED，让该函数退出，意为结束进程时拒绝访问，结束杀毒应用程序进程的操作就会失败，这样就可以达到拦截结束杀毒应用程序的进程的目的。

然而，在挂钩用于结束杀毒应用程序的进程的这些函数来保护杀毒应用程序时，由于这些函数均比较底层，对这些函数做挂钩过程比较复杂，不容易实现，并且，可能导致系统不稳定，因此现有技术中对杀毒应用程序进行保护的措施并不理想。

发明内容

本发明实施例的目的在于提供一种目标应用程序的保护方法及装置，用以有效的实现对目标应用程序的保护。具体技术方案如下：

第一方面，本发明提供了一种目标应用程序的保护方法，应用于终端设备，所述方法包括：

当检测到第一应用程序调用目标函数时，获取所述第一应用程序向其驱动程序发送的控制码和该控制码将要进行控制的第二应用程序的信息；

判断所述控制码是否为结束应用程序的进程的控制码，若是，判断所述控制码将要进行控制的第二应用程序是否为目标应用程序；

若是，拦截所述控制码。

进一步地，通过挂钩所述目标函数，检测所述第一应用程序对所述目标函数的调用。

进一步地，所述获取所述第一应用程序向其驱动程序发送的控制码包括：

根据操作系统提供的调试工具，在所述目标函数下进行断点调试，获取所述第一应用程序向其驱动程序发送的控制码。

进一步地，所述调试工具为：windbg调试工具。

进一步地，所述目标函数为：NtDeviceIoControlFile函数。

进一步地，所述第二应用程序的信息包括以下至少一项：第二应用程序的进程对应的标识信息和路径信息。

进一步地，所述方法还包括：

当判断所述控制码非结束应用程序的进程的控制码，或，判断所述控制码将要进行控制的第二应用程序非目标应用程序时，对该控制码进行放行，使其发送到第一应用程序对应的驱动程序。

第二方面，本发明提供了一种目标应用程序的保护装置，应用于终端设备，所述装置包括：

获取模块，用于当检测到第一应用程序调用目标函数时，获取所述第一应用程序向其驱动程序发送的控制码和该控制码将要进行控制的第二应用程序的信息；

判断模块，用于判断所述控制码是否为结束应用程序的进程的控制码，若是，判断所述控制码将要进行控制的第二应用程序是否为目标应用程序；

拦截模块，用于当所述判断模块判断结果为是时，拦截所述控制码。

进一步地，所述获取模块，具体用于通过挂钩所述目标函数，检测所述第一应用程序对所述目标函数的调用。

进一步地，所述获取模块，具体用于根据操作系统提供的调试工具，在所述目标函数下进行断点调试，获取所述第一应用程序向其驱动程序发送的控制码。

进一步地，所述调试工具为：windbg调试工具。

进一步地，所述目标函数为：NtDeviceIoControlFile函数。

进一步地，所述装置还包括：

放行模块，用于当判断模块判断所述控制码非结束应用程序的进程的控制码，或，判断所述控制码将要进行控制的第二应用程序非目标应用程序时，对该控制码进行放行，使其发送到第一应用程序对应的驱动程序。

本发明实施例提供的一种目标应用程序的保护方法及装置，当检测到第一应用程序调用目标函数时，可以获取该第一应用程序向其驱动程序发送的控制码和该控制码将要进行控制的第二应用程序的信息，然后判断该控制码是否为结束应用程序的进程的控制码，若是，判断该控制码将要进行控制的第二应用程序是否为目标应用程序，若是，拦截所述控制码，从而导致第一应用程序结束目标应用程序的进程失败。本发明实施例中在第一应用程序调用目标函数向其驱动程序发送控制码之前，获取向其驱动程序发送的控制码，并在确定该控制码是结束目标应用程序的控制码时，对该控制码进行拦截，实现了对目标应用程序的保护，并且由于该过程相对于现有技术中在底层对函数进行挂钩的方式，容易实现，且不影响系统的稳定性。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例提供的一种目标应用程序的保护方法的流程图；

图2为本发明实施例提供的一种目标应用程序的保护装置的结构示意图。

具体实施方式

为了有效的实现对目标应用程序的保护，本发明实施例提供了一种目标应用程序的保护方法及装置。

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

需要说明的是，在不冲突的情况下，本发明中的实施例及实施例中的特征可以相互组合。下面将参考附图并结合实施例来详细说明本发明。

为了实现便捷有效的保护目标应用程序的运行，且不影响系统稳定性的目的，本发明实施例提供了一种目标应用程序的保护方法过程，如图1所示，该过程包括以下步骤：

S101，当检测到第一应用程序调用目标函数时，获取所述第一应用程序向其驱动程序发送的控制码和该控制码将要进行控制的第二应用程序的信息。

该方法可以应用于终端设备，具体地，可以应用于安装于终端设备中的目标应用程序。上述目标应用程序可以是安装于终端设备中的任一应用程序，如杀毒应用程序、日历应用程序等，本发明对此不作限定。终端设备可以是手机、智能电话、笔记本电脑、数字广播接收机、个人数字助理(PDA)、平板电脑(PAD)、便携式多媒体播放器(PMP)、导航装置、台式机等等终端设备。

在实际应用中，安装于终端设备中的任一应用程序可以向其驱动程序发送控制码，以使得驱动程序根据控制码来执行相应的操作。例如，应用程序可以向其驱动程序发送结束自身当前运行的进程的控制码，以使得驱动程序根据该控制码结束其自身当前运行的进程。或者，应用程序也可以向其驱动程序发送控制码来控制其他应用程序执行相应的操作。

具体地，应用程序可以通过调用操作系统提供的相应的函数来向其驱动程序发送控制码，以控制自身或其他应用程序执行相应的操作。

因此，目标应用程序想要保护自身的进程不被其他应用程序结束，可以通过检测其他应用程序是否调用目标函数来实现。

具体地，目标应用程序可以通过挂钩目标函数，来检测是否存在第一应用程序对目标函数进行了调用。上述目标函数可以为NtDeviceIoControlFile函数，通过调用该函数，应用程序可以向其驱动程序发送控制码。

当检测到第一应用程序调用目标函数时，表明第一应用程序想要通过其驱动程序控制其自身或其他应用程序执行相应的操作，此时第一应用程序会向其驱动程序发送控制码和该控制码将要进行控制的第二应用程序的信息，目标应用程序可以获取第一应用程序向其驱动程序发送的控制码和该控制码将要进行控制的第二应用程序的信息，以进一步确定第一应用程序想要其驱动程序执行的操作的类型以及该操作对应的控制对象。

其中，本发明实施例为了清楚，将第一应用程序向其驱动程序发送的，该控制码进行控制的应用程序的信息称为第二应用程序，但实际上第二应用程序与第一应用程序可以是相同的，也可以是不同的。

S102，判断所述控制码是否为结束应用程序的进程的控制码，若是，判断所述控制码将要进行控制的第二应用程序是否为目标应用程序。

当目标应用程序获取到第一应用程序向其驱动程序发送的控制码和该控制码将要进行控制的第二应用程序的信息后，目标应用程序可以进一步判断该控制码是否为结束应用程序的进程的控制码，以确定第一应用程序想要其驱动程序执行的操作是否为结束应用程序的操作。

在一种实现方式中，目标应用程序可以预先获得所有的结束应用程序的进程的控制码并保存，并针对每个应用程序保存其结束进程的控制码。当然可能不同的应用程序其结束进程的控制码都是相同的，则可以在进行保存时，针对该不同的应用程序保存相同的控制码。当判断获取的第一应用程序向其驱动程序发送的控制码是否为结束进程的控制码时，判断该控制码是否与保存的对应该第一应用程序的控制码相同，来确定所获取的控制码是否为结束应用程序的进程的控制码。例如，控制码0x123为结束进程的控制码，目标应用程序在获取的控制码为0x123时，可以确定该控制码为结束应用程序的进程的控制码。

需要说明的是，由于第一应用程序可以通过其驱动程序控制其自身或其他应用程序执行相应的操作，因此，上述为了清楚使用了第二应用程序的描述，但实际上第一应用程序和第二应用程序可以不同，也可以相同。

当确定获取的控制码为结束应用程序的进程的控制码时，目标应用程序可以进一步判断该控制码将要进行控制的第二应用程序是否为目标应用程序。由于该第一应用程序在向其驱动程序发送的信息中，包含该控制码将要进行控制的第二应用程序的信息，因此终端设备可以判断该第二应用程序的信息是否与目标应用程序的信息相同，从而确定是否拦截该控制码。

S103，若所述控制码将要进行控制的第二应用程序为目标应用程序，则拦截所述控制码。

当确定获取的控制码将要进行控制的第二应用程序为目标应用程序时，表明第一应用程序想要结束目标应用程序的进程。这种情况下，目标应用程序为了保护自身的进程不被结束，可以拦截该控制码，以使得第一应用程序的驱动程序不能接收到该控制码，进而第一应用程序不能结束目标应用程序的进程，从而保证目标应用程序的进程可以继续运行。

本实施例提供的目标应用程序的保护方法，当检测到第一应用程序调用目标函数时，可以获取该第一应用程序向其驱动程序发送的控制码和该控制码将要进行控制的第二应用程序的信息，然后判断该控制码是否为结束应用程序的进程的控制码，若是，判断该控制码将要进行控制的第二应用程序是否为目标应用程序，若是，拦截所述控制码，从而导致第一应用程序结束目标应用程序的进程失败。本发明实施例中在第一应用程序调用目标函数向其驱动程序发送控制码之前，获取向其驱动程序发送的控制码，并在确定该控制码是结束目标应用程序的控制码时，对该控制码进行拦截，实现了对目标应用程序的保护，并且由于该过程相对于现有技术中在底层对函数进行挂钩的方式，容易实现，且不影响系统的稳定性。

具体地，第一应用程序在调用目标函数时，会向其驱动程序发送控制码，并且通过应用层向其驱动程序发送该控制码将要进行控制的第二应用程序的信息。该第二应用程序的信息具体可以包括以下至少一项：第二应用程序的进程对应的标识信息和进程路径信息。

为了准确的获取第一应用程序向其驱动程序发送的控制码，目标应用程序可以根据操作系统提供的调试工具，在目标函数下进行断点调试，获取第一应用程序向其驱动程序发送的控制码。上述调试工具例如可以为：windbg调试工具。

为了判断第一应用程序将要进行控制的第二应用程序是否为目标应用程序，可以判断该第二应用程序的信息与目标应用程序对应的信息是否相同，如果相同，则确定该控制码将要进行控制的第二应用程序为目标应用程序。因为该具体的保护过程是终端设备中的目标应用程序执行的，因此在进行判断时，目标应用程序判断该第二应用程序的信息与自身对应的信息是否相同。

具体地，可以将获取的第二应用程序的信息，如第二应用程序的进程对应的标识信息，和/或第二应用程序的进程的路径信息，与自身对应的信息进行对比，来确定获取的控制码进行控制的第二应用程序是否为目标应用程序。

例如当该第二应用程序的信息为第二应用程序的进程的标识信息时，则判断该第二应用程序的进程的标识信息是否与自身的进程标识信息相同。

在本发明图1所示实施例的基础上，当判断获取的控制码不是结束应用程序的进程的控制码时，目标应用程序对该控制码进行放行，使其发送到第一应用程序对应的驱动程序；第一应用程序的驱动程序接收到该控制码，根据该控制码的具体内容，对第二应用程序执行相应的操作。

或者，当判断第二应用程序不是目标应用程序时，目标应用程序对该控制码进行放行，使其发送到第一应用程序对应的驱动程序；第一应用程序的驱动程序接收到该控制码，根据该控制码的具体内容，对第二应用程序执行相应的操作。

图2为本发明实施例提供的一种目标应用程序的保护装置，应用于终端设备，可以包括：

获取模块210，用于当检测到第一应用程序调用目标函数时，获取所述第一应用程序向其驱动程序发送的控制码和该控制码将要进行控制的第二应用程序的信息；

判断模块220，用于判断所述控制码是否为结束应用程序的进程的控制码，若是，判断所述控制码将要进行控制的第二应用程序是否为目标应用程序；

拦截模块230，用于当所述判断模块判断结果为是时，拦截所述控制码。

进一步地，所述获取模块210，具体用于通过挂钩所述目标函数，检测所述第一应用程序对所述目标函数的调用。

进一步地，所述获取模块210，具体用于根据操作系统提供的调试工具，在所述目标函数下进行断点调试，获取所述第一应用程序向其驱动程序发送的控制码。

进一步地，所述调试工具为：windbg调试工具。

进一步地，所述目标函数为：NtDeviceIoControlFile函数。

进一步地，所述装置还包括：

放行模块240，用于当判断模块判断所述控制码非结束应用程序的进程的控制码，或，判断所述控制码将要进行控制的第二应用程序非目标应用程序时，对该控制码进行放行，使其发送到第一应用程序对应的驱动程序。

本实施例提供的目标应用程序的保护装置，当检测到第一应用程序调用目标函数时，可以获取该第一应用程序向其驱动程序发送的控制码和该控制码将要进行控制的第二应用程序的信息，然后判断该控制码是否为结束应用程序的进程的控制码，若是，判断该控制码将要进行控制的第二应用程序是否为目标应用程序，若是，拦截所述控制码，从而导致第一应用程序结束目标应用程序的进程失败。本发明实施例中在第一应用程序调用目标函数向其驱动程序发送控制码之前，获取向其驱动程序发送的控制码，并在确定该控制码是结束目标应用程序的控制码时，对该控制码进行拦截，实现了对目标应用程序的保护，并且由于该过程相对于现有技术中在底层对函数进行挂钩的方式，容易实现，且不影响系统的稳定性。

对于系统/装置实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

本说明书中的各个实施例均采用相关的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于系统实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内所作的任何修改、等同替换、改进等，均包含在本发明的保护范围内。

Claims

1.一种目标应用程序的保护方法，其特征在于，应用于终端设备，所述方法包括：

若是，拦截所述控制码。

2.根据权利要求1所述的方法，其特征在于，通过挂钩所述目标函数，检测所述第一应用程序对所述目标函数的调用。

3.根据权利要求1所述的方法，其特征在于，所述获取所述第一应用程序向其驱动程序发送的控制码包括：

4.根据权利要求3所述的方法，其特征在于，所述调试工具为：windbg调试工具。

5.根据权利要求1-3任一所述的方法，其特征在于，所述目标函数为：NtDeviceIoControlFile函数。

6.根据权利要求5所述的方法，其特征在于，所述第二应用程序的信息包括以下至少一项：第二应用程序的进程对应的标识信息和路径信息。

7.根据权利要求1所述的方法，其特征在于，所述方法还包括：

8.一种目标应用程序的保护装置，其特征在于，应用于终端设备，所述装置包括：

9.根据权利要求8所述的装置，其特征在于，所述获取模块，具体用于通过挂钩所述目标函数，检测所述第一应用程序对所述目标函数的调用。

10.根据权利要求8所述的装置，其特征在于，所述获取模块，具体用于根据操作系统提供的调试工具，在所述目标函数下进行断点调试，获取所述第一应用程序向其驱动程序发送的控制码。