CN105653937B - 一种文件防护方法和装置 - Google Patents

Abstract

本发明公开了一种文件防护方法和装置。该方法应用于Xen半虚拟化环境系统中，包括：驱动程序初始化时，定位系统调用表；将所述系统调用表映射到所述Xen半虚拟化环境系统中可写的内存分页；修改所述系统调用表中的函数指针，修改后的函数指针指向预先设置的规则检查函数；通过所述规则检查函数，判断所述内核级文件操作是否符合预设防护规则，如果是，则阻止所述内核级文件操作，如果否，则完成所述内核级文件操作。该方法能够通过对Xen半虚拟化环境系统中系统调用表的修改，实现对内核级文件的防护。

Description

一种文件防护方法和装置

技术领域

本发明涉及系统安全技术领域，尤其涉及一种文件防护方法和装置。

背景技术

在桌面安全软件和网站防篡改领域，文件防篡改技术扮演着十分重要的角色。利用文件防篡改技术，可控制进程启动、文件修改授权和文件访问监控等功能。现有的文件防篡改技术有：应用层轮询、应用层挂钩(hook)和系统服务hook等。其中系统服务hook是Linux平台上最有效和稳定的实现方式之一，其防护机制是劫持与文件操作相关的系统调用，在自定义的系统调用实现函数中进行合法性检查。

第一种常规方法流程如下：

a)通过SIDT指令获取中断向量表首地址；

b)通过中断向量(0x80)获取系统调用入口函数地址；

c)从入口函数地址开始搜索系统调用表特征码，从而确定系统调用表的首地址；

d)去除系统调用表的写保护；

e)根据系统调用号从系统调用表中替换相关系统调用指针。

第二种常规方法流程如下：

a)通过RDMSRL指令获取MSR_LSTAR寄存器的内容，其值为系统调用入口函数地址；

b)从入口函数地址搜索系统调用表特征码，从而确定系统调用表的首地址；

c)去除系统调用表写保护；

d)根据系统调用号从系统调用表中替换相关系统调用指针。

由于Linux平台中的系统调用从应用层陷入Ring0层的内核，而Xen半虚拟化环境下的系统调用是从应用层到Ring1层的内核。因此，上述这两种常规方法在Xen半虚拟化环境系统下不再奏效。

发明内容

本发明实施例提供一种文件防护方法和装置，通过对Xen半虚拟化环境系统中系统调用表的修改，实现对内核级文件的防护。

本发明实施例采用以下技术方案：

第一方面，提供了一种文件防护方法，应用于Xen半虚拟化环境系统中，所述方法包括：

驱动程序初始化时，定位系统调用表；

将所述系统调用表映射到所述Xen半虚拟化环境系统中可写的内存分页；

修改所述系统调用表中的函数指针，修改后的函数指针指向预先设置的规则检查函数；

通过所述规则检查函数，判断内核级文件操作是否符合预设防护规则，如果是，则阻止所述内核级文件操作，如果否，则完成所述内核级文件操作。

其中，定位系统调用表，具体包括：

从所述Xen半虚拟化环境系统Ring3层以Root权限加载所述驱动程序；

所述驱动程序通过超级调用获取所述Xen半虚拟化环境系统中位于Ring1层的客户机内核中的系统调用函数入口；

从所述系统调用函数入口查找特征码，确定系统调用表的首地址。

其中，将所述系统调用表映射到所述Xen半虚拟化环境系统中可写的内存分页，具体包括：

将所述系统调用表的首地址转换为物理地址；并

将所述物理地址所在页框映射到所述Xen半虚拟化环境系统Ring1层内核地址。

其中，修改所述系统调用表中的函数指针之后，所述方法还包括：

将所述系统调用表到所述Xen半虚拟化环境系统中可写的内存分页的映射删除。

其中，通过所述规则检查函数，判断内核级文件操作是否符合预设防护规则，如果是，则阻止所述内核级文件操作，如果否，则完成所述内核级文件操作，具体包括：

通过所述规则检查函数，判断所述内核级文件操作是否有禁止进程对所述内核级文件进行更改，和/或禁止用户对所述内核级文件进行更改的操作，如果是，则阻止所述内核级文件操作，如果否，则完成所述内核级文件操作。

第二方面，提供了一种文件防护装置，应用于Xen半虚拟化环境系统中，所述装置包括：

定位单元，用于驱动程序初始化时，定位系统调用表；

映射单元，用于将所述定位单元定位的系统调用表映射到所述Xen半虚拟化环境系统中可写的内存分页；

修改单元，用于修改所述系统调用表中的函数指针，修改后的函数指针指向预先设置的规则检查函数；

判断单元，用于通过所述规则检查函数，判断内核级文件操作是否符合预设防护规则，如果是，则阻止所述内核级文件操作，如果否，则完成所述内核级文件操作。

其中，所述定位单元，具体用于：

从所述Xen半虚拟化环境系统Ring3层以Root权限加载所述驱动程序；

所述驱动程序通过超级调用获取所述Xen半虚拟化环境系统中位于Ring1层的客户机内核中的系统调用函数入口；

从所述系统调用函数入口查找特征码，确定系统调用表的首地址。

其中，所述映射单元，具体用于：

将所述系统调用表的首地址转换为物理地址；并将所述物理地址所在页框映射到所述Xen半虚拟化环境系统Ring1层内核地址。

其中，所述装置还包括：

删除单元，用于将所述系统调用表到所述Xen半虚拟化环境系统中可写的内存分页的映射删除。

其中，所述判断单元，具体用于：

通过所述规则检查函数，判断所述内核级文件操作是否有禁止进程对所述内核级文件进行更改，和/或禁止用户对所述内核级文件进行更改的操作，如果是，则阻止所述内核级文件操作，如果否，则完成所述内核级文件操作。

本发明实施例的有益效果如下：

驱动程序初始化时，定位系统调用表，将系统调用表映射到Xen半虚拟化环境系统中可写的内存分页，以便去除系统调用表的写保护，然后修改系统调用表中的函数指针，使修改后的函数指针指向预先设置的规则检查函数，并通过该规则检查函数，判断内核级文件操作是否符合预设防护规则，如果是，则阻止内核级文件操作，如果否，则完成内核级文件操作。该方法通过对Xen半虚拟化环境系统中系统调用表的修改，实现对内核级文件的防护。

附图说明

图1为物理环境和Xen半虚拟化环境中系统调用流程对比图；

图2为本发明实施例提供的一种文件防护方法的实现流程图；

图3为本发明实施例提供的一种文件防护装置的结构示意图。

具体实施方式

首先需要说明的是，Intel的处理器是通过Ring级别来进行访问控制的，级别共分4层：Ring0层、Ring1层、Ring2层、Ring3层。Ring0层拥有最高的权限，Ring3层拥有最低的权限。按照Intel原有的构想，应用程序工作在Ring3层，只能访问Ring3层的数据；操作系统工作在Ring0层，可以访问所有层的数据；而其他驱动程序位于Ring1、Ring2层，每一层只能访问本层以及权限更低层的数据。但现在的操作系统(OS)，包括Windows和Linux只是使用2层——Ring0层和Ring3层，分别来存放操作系统数据和应用程序数据，驱动程序(包括设备驱动和非设备驱动)都运行在Ring0级，且内核(Kernel)所处位置也在Ring0层。而在Xen半虚拟化环境系统中，Hypervisor所处位置是Ring0层，客户机的内核所处位置则在Ring1层。

本发明实施例中，为了实现对Xen半虚拟化环境系统中的内核级文件的防护，对物理环境和Xen半虚拟化环境中系统调用流程进行了对比。

如图1所示，为物理环境和Xen半虚拟化环境中系统调用流程对比图。图1左侧流程为物理环境下的系统调用流程，从应用层陷入Ring0层的内核，图1右侧流程为Xen半虚拟化环境下的系统调用流程，是从应用层到Ring1层的内核，其中，超级调用是Hypervisor对外提供的接口。

参考图1，在半虚拟化环境下，从应用层加载驱动程序(HookDriver)只能加载到Ring1层，即半虚拟化客户机内核所处位置。而处于Ring1层的HookDriver通过调用SIDT指令或RDMSRL指令获取的值均指向Ring0层的内存位置。因此，当通过修改HookDriver来修改这些内存时，会引发异常，导致Ring1层的内核崩溃。

基于上述分析，本发明实施例提出了一种文件防护方案。该技术方案中，驱动程序初始化时，定位系统调用表，将系统调用表映射到Xen半虚拟化环境系统中可写的内存分页，以便去除系统调用表的写保护，然后修改系统调用表中的函数指针，使修改后的函数指针指向预先设置的规则检查函数，并通过该规则检查函数，判断内核级文件操作是否符合预设防护规则，如果是，则阻止内核级文件操作，如果否，则完成内核级文件操作。该方法通过对Xen半虚拟化环境系统中系统调用表的修改，实现对内核级文件的防护。

以下结合说明书附图对本发明的实施例进行说明，应当理解，此处所描述的实施例仅用于说明和解释本发明，并不用于限制本发明。并且在不冲突的情况下，本发明中的实施例及实施例的特征可以互相结合。

本发明实施例中提供了一种文件防护方法，如图2所示，为该方法的实现流程图，该方法具体包括下述步骤：

步骤21，驱动程序初始化时，定位系统调用表。

具体的，可以从Xen半虚拟化环境系统Ring3层以Root权限加载驱动程序，该驱动程序获取Xen半虚拟化环境系统Ring1层内核中的系统调用函数入口，再从系统调用函数入口查找特征码，确定系统调用表的首地址。

步骤22，将系统调用表映射到Xen半虚拟化环境系统中可写的内存分页，以便去除系统调用表的写保护。

本发明实施例中，可以先将系统调用表的首地址转换为物理地址，再将该物理地址所在页框映射到Xen半虚拟化环境系统Ring1层内核地址，从而实现去除系统调用表的写保护。

步骤23，修改系统调用表中的函数指针，修改后的函数指针指向预先设置的规则检查函数。

可选的，在执行完步骤23之后，本发明实施例还可以包括下述步骤：

将系统调用表到Xen半虚拟化环境系统中可写的内存分页的映射删除。

步骤24，通过规则检查函数，判断内核级文件操作是否符合预设防护规则，如果是，则阻止内核级文件操作，如果否，则完成内核级文件操作。

具体的，步骤24可以按照如下方式实现：

通过规则检查函数，判断内核级文件操作是否有禁止进程对内核级文件进行更改，和/或禁止用户对内核级文件进行更改的操作，如果是，则阻止内核级文件操作，如果否，则完成内核级文件操作。

本发明实施例中，驱动程序初始化时，定位系统调用表，将系统调用表映射到Xen半虚拟化环境系统中可写的内存分页，以便去除系统调用表的写保护，然后修改系统调用表中的函数指针，使修改后的函数指针指向预先设置的规则检查函数，并通过该规则检查函数，判断内核级文件操作是否符合预设防护规则，如果是，则阻止内核级文件操作，如果否，则完成内核级文件操作。该方法通过对Xen半虚拟化环境系统中系统调用表的修改，实现对内核级文件的防护。

为了更好的理解本发明实施例，以下结合具体的实例对本发明实施例上述步骤21-步骤23的具体实施过程进行说明。

具体实施过程如下：

a)在半虚拟化的客户机中，从Ring3层以Root权限加载驱动程序，即HookDriver，此时HookDriver进入Ring1层的内核。

b)HookDriver调用Xen Hypervisor提供的HyperCall do_domctl获取Ring1层内核的系统调用函数入口。

c)在入口地址开始的内存查找特征码，找到系统调用表的首地址。因为有写保护，所以此地址不可写。

d)将系统调用表的首地址转换为物理地址。

e)计算出此物理地址所在页框，并将此页框映射到Ring1层的内核地址，此地址即是Ring1层内核可写的系统调用表地址。

f)根据系统调用号从系统调用表中替换相关系统调用指针，即完成hook操作。

g)删除之前的物理地址到Ring1层的内核地址的映射。

本发明实施例中，驱动程序初始化时，定位系统调用表，将系统调用表映射到Xen半虚拟化环境系统中可写的内存分页，以便去除系统调用表的写保护，然后修改系统调用表中的函数指针，使修改后的函数指针指向预先设置的规则检查函数，并通过该规则检查函数，判断内核级文件操作是否符合预设防护规则，如果是，则阻止内核级文件操作，如果否，则完成内核级文件操作。该方法通过对Xen半虚拟化环境系统中系统调用表的修改，实现对内核级文件的防护。

基于同一发明构思，本发明实施例中还提供了一种文件防护装置，由于上述装置解决问题的原理与文件防护方法相似，因此上述装置的实施可以参见方法的实施，重复之处不再赘述。

如图3所示，为本发明实施例提供的一种文件防护装置的结构示意图，包括：

定位单元31，用于驱动程序初始化时，定位系统调用表；

映射单元32，用于将所述定位单元31定位的系统调用表映射到所述Xen半虚拟化环境系统中可写的内存分页；

修改单元33，用于修改所述系统调用表中的函数指针，修改后的函数指针指向预先设置的规则检查函数；

判断单元34，用于通过所述规则检查函数，判断内核级文件操作是否符合预设防护规则，如果是，则阻止所述内核级文件操作，如果否，则完成所述内核级文件操作。

其中，所述定位单元31，具体用于：

从所述Xen半虚拟化环境系统Ring3层以Root权限加载所述驱动程序；

所述驱动程序通过超级调用获取所述Xen半虚拟化环境系统中位于Ring1层的客户机内核中的系统调用函数入口；

从所述系统调用函数入口查找特征码，确定系统调用表的首地址。

其中，所述映射单元32，具体用于：

将所述系统调用表的首地址转换为物理地址；并将所述物理地址所在页框映射到所述Xen半虚拟化环境系统Ring1层内核地址。

可选的，所述装置还包括：

删除单元35，用于将所述系统调用表到所述Xen半虚拟化环境系统中可写的内存分页的映射删除。

其中，所述判断单元34，具体用于：

通过所述规则检查函数，判断所述内核级文件操作是否有禁止进程对所述内核级文件进行更改，和/或禁止用户对所述内核级文件进行更改的操作，如果是，则阻止所述内核级文件操作，如果否，则完成所述内核级文件操作。

为了描述的方便，以上各部分按照功能划分为各模块(或单元)分别描述。当然，在实施本发明时可以把各模块(或单元)的功能在同一个或多个软件或硬件中实现。

本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

尽管已描述了本发明的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例作出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本发明范围的所有变更和修改。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (8)

1.一种文件防护方法，其特征在于，应用于Xen半虚拟化环境系统中，所述方法包括：

驱动程序初始化时，定位系统调用表；

将所述系统调用表映射到所述Xen半虚拟化环境系统中可写的内存分页；

修改所述系统调用表中的函数指针，修改后的函数指针指向预先设置的规则检查函数；

通过所述规则检查函数，判断内核级文件操作是否符合预设防护规则，如果是，则阻止所述内核级文件操作，如果否，则完成所述内核级文件操作；

定位系统调用表，具体包括：

从所述Xen半虚拟化环境系统Ring3层以Root权限加载所述驱动程序；

所述驱动程序通过超级调用获取所述Xen半虚拟化环境系统中位于Ring1层的客户机内核中的系统调用函数入口；

从所述系统调用函数入口查找特征码，确定系统调用表的首地址。

2.如权利要求1所述的方法，其特征在于，将所述系统调用表映射到所述Xen半虚拟化环境系统中可写的内存分页，具体包括：

将所述系统调用表的首地址转换为物理地址；并

将所述物理地址所在页框映射到所述Xen半虚拟化环境系统Ring1层内核地址。

3.如权利要求1所述的方法，其特征在于，修改所述系统调用表中的函数指针之后，所述方法还包括：

将所述系统调用表到所述Xen半虚拟化环境系统中可写的内存分页的映射删除。

4.如权利要求1所述的方法，其特征在于，通过所述规则检查函数，判断内核级文件操作是否符合预设防护规则，如果是，则阻止所述内核级文件操作，如果否，则完成所述内核级文件操作，具体包括：

通过所述规则检查函数，判断所述内核级文件操作是否有禁止进程对所述内核级文件进行更改，和/或禁止用户对所述内核级文件进行更改的操作，如果是，则阻止所述内核级文件操作，如果否，则完成所述内核级文件操作。

5.一种文件防护装置，其特征在于，应用于Xen半虚拟化环境系统中，所述装置包括：

定位单元，用于驱动程序初始化时，定位系统调用表；

映射单元，用于将所述定位单元定位的系统调用表映射到所述Xen半虚拟化环境系统中可写的内存分页；

修改单元，用于修改所述系统调用表中的函数指针，修改后的函数指针指向预先设置的规则检查函数；

判断单元，用于通过所述规则检查函数，判断内核级文件操作是否符合预设防护规则，如果是，则阻止所述内核级文件操作，如果否，则完成所述内核级文件操作；

所述定位单元，具体用于：

从所述Xen半虚拟化环境系统Ring3层以Root权限加载所述驱动程序；

所述驱动程序通过超级调用获取所述Xen半虚拟化环境系统中位于Ring1层的客户机内核中的系统调用函数入口；

从所述系统调用函数入口查找特征码，确定系统调用表的首地址。

6.如权利要求5所述的装置，其特征在于，所述映射单元，具体用于：

将所述系统调用表的首地址转换为物理地址；并将所述物理地址所在页框映射到所述Xen半虚拟化环境系统Ring1层内核地址。

7.如权利要求5所述的装置，其特征在于，所述装置还包括：

删除单元，用于将所述系统调用表到所述Xen半虚拟化环境系统中可写的内存分页的映射删除。

8.如权利要求5所述的装置，其特征在于，所述判断单元，具体用于：

通过所述规则检查函数，判断所述内核级文件操作是否有禁止进程对所述内核级文件进行更改，和/或禁止用户对所述内核级文件进行更改的操作，如果是，则阻止所述内核级文件操作，如果否，则完成所述内核级文件操作。