CN106022105B - 一种指令处理方法及装置 - Google Patents

Abstract

本发明实施例公开一种指令处理方法及装置，用于解决安全客户端无法拦截非法客户端非常规操作的问题，该方法包括：当检测到客户端的进程向该客户端的驱动程序发送的指令时，获取该指令包括的第一控制码和第一控制码对应的驱动设备的第一名称，第一控制码用于标识该指令所需操作数据；根据第一控制码第一名称以及配置文件存储的控制码和驱动程序的名称，判断该指令是否为合法指令；当该指令为合法指令时，允许该指令执行；当该指令为非法指令时，禁止该指令执行。实施本发明实施例，可以拦截非法客户端的非常规操作。

Description

一种指令处理方法及装置

技术领域

本发明涉及计算机技术领域，尤其涉及一种指令处理方法及装置。

背景技术

用户可以在手机、平板电脑、笔记本电脑等用户设备上安装安全客户端，用于提高用户设备的安全性。目前，安全客户端能够拦截非法客户端常规操作，如采用系统导出的函数进行恶意操作、结束进程、修改注册表等。但当非法客户端采用非常规操作进行恶意行为时，如采用系统未导出的函数进行恶意操作等，安全客户端将无法拦截这些操作。

发明内容

本发明实施例公开了一种指令处理方法及装置，用于解决安全客户端无法拦截非法客户端非常规操作的问题。

第一方面公开一种指令处理方法，包括：

当检测到客户端的进程向所述客户端的驱动程序发送的指令时，获取所述指令包括的第一控制码和所述第一控制码对应的驱动设备的第一名称，所述第一控制码用于标识所述指令所需操作数据；

根据所述第一控制码、所述第一名称以及配置文件存储的控制码和驱动设备的名称，判断所述指令是否为合法指令；

当所述指令为合法指令时，允许所述指令执行；

当所述指令为非法指令时，禁止所述指令执行。

在一个实施例中，所述根据所述第一控制码、所述第一名称以及配置文件存储的控制码和驱动程序的名称，判断所述指令是否为合法指令包括：

判断配置文件中是否存在与所述第一控制码相同的第二控制码；

当不存在时，确定所述指令为合法指令；

当存在时，判断所述第二控制码对应的驱动设备的第二名称是否与所述第一名称相同；

当相同时，确定所述指令为非法指令；

当不相同时，确定所述指令为合法指令。

在一个实施例中，所述方法还包括：

建立配置文件；

获取非法客户端所需操作数据的第三控制码以及所述第三控制码对应的驱动设备的第三名称；

将所述第二控制码和所述第三名称存储在所述配置文件中。

在一个实施例中，所述禁止所述指令执行包括：

中断所述进程向所述驱动程序发送所述第一控制码。

第二方面公开一种指令处理装置，包括：

获取单元，用于当检测到客户端的进程向所述客户端的驱动程序发送的指令时，获取所述指令包括的第一控制码和所述第一控制码对应的驱动设备的第一名称，所述第一控制码用于标识所述指令所需操作数据；

判断单元，用于根据所述获取单元获取的第一控制码、所述获取单元获取的第一名称以及配置文件存储的控制码和驱动设备的名称，判断所述指令是否为合法指令；

允许单元，用于当所述判断单元的判断结果为是时，允许所述指令执行；

禁止单元，用于当所述判断单元的判断结果为否时，禁止所述指令执行。

在一个实施例中，所述判断单元包括：

第一判断子单元，用于判断配置文件中是否存在与所述第一控制码相同的第二控制码；

确定子单元，用于当所述第一判断子单元的判断结果为否时，确定所述指令为合法指令；

第二判断子单元，用于当所述第一判断子单元的判断结果为是时，判断所述第二控制码对应的驱动设备的第二名称是否与所述获取单元获取的第一名称相同；

所述确定子单元，还用于当所述第二判断子单元的判断结果为是时，确定所述指令为非法指令；

所述确定子单元，还用于当所述第二判断子单元的判断结果为否时，确定所述指令为合法指令。

在一个实施例中，所述装置还包括：

建立单元，用于建立配置文件；

所述获取单元，还用于获取非法客户端所需操作数据的第三控制码以及所述第三控制码对应的驱动设备的第三名称；

所述装置还包括：

存储单元，用于将所述获取单元获取的第二控制码和所述获取单元获取的第三名称存储在所述建立单元建立的配置文件中。

在一个实施例中，所述禁止单元，具体用于中断所述进程向所述驱动程序发送所述第一控制码。

本发明实施例中，当检测到客户端的进程向该客户端的驱动程序发送的包括控制码的指令时，获取指令包括的第一控制码和第一控制码对应的驱动设备的第一名称，根据第一控制码、第一名称以及配置文件存储的控制码和驱动设备的名称判断该指令是否为合法指令，当该指令为合法指令时，允许该指令执行，当该指令为非法指令时，禁止该指令执行，可以拦截非法客户端的非常规操作。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例公开的一种指令处理方法的流程示意图；

图2是本发明实施例公开的一种指令处理装置的结构示意图；

图3是本发明实施例公开的另一种指令处理装置的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明实施例公开了一种指令处理方法及装置，用于解决安全客户端无法拦截非法客户端非常规操作的问题。以下分别进行详细说明。

为了更好地理解本发明实施例公开的一种指令处理方法及装置，下面先对本发明实施例的应用场景进行描述。非法客户端，即恶意软件，可以采用非常规操作进行恶意行为，这种非常规操作的前提是非法客户端的进程会把用于标识所需操作数据的控制码传递给非法客户端的驱动程序，非法客户端的驱动程序接收到控制码时，将对控制码所标识的数据进行非法操作。因此，拦截这种非法操作就是拦截控制码的传递，目前，常规的做法就是把需要拦截的控制码写入到安全客户端(即安全软件，如金山毒霸等)的防御驱动中，当安全客户端检测到包括控制码的指令时，将该控制码、该控制码对应的驱动设备的名称与防御驱动中存储的控制码和驱动设备的名称进行匹配，如果匹配，将中断此控制码的传递。然而，由于要拦截的控制码和控制码对应的驱动设备的名称存储在安全客户端的防御驱动中，即内核层中，如果要新增一个控制码的拦截就必须修改安全客户端的防御驱动程序，以致风险较高、周期较长。

请参阅图1，图1是本发明实施例公开的一种指令处理方法的流程示意图。其中，该指令处理方法是从安全客户端的角度描述的。如图1所示，该指令处理方法可以包括以下步骤。

101、当检测到客户端的进程向该客户端的驱动程序发送的指令时，获取该指令包括的第一控制码和第一控制码对应的驱动设备的第一名称。

本实施例中，当安全客户端检测到一个客户端的进程向这个客户端的驱动程序发送的包括第一控制码的指令，即检测到用户层向内核层发送的包括第一控制码的指令时，安全客户端将获取(即解析出)该指令包括的第一控制码，以及第一控制码对应的驱动设备的第一名称。其中，驱动设备是驱动程序创建的，用于与其它进程进行交互的，一个驱动程序可以创建至少一个驱动设备，一个控制码可以对应至少一个驱动设备，第一控制码用于标识该指令所需操作数据。其中，客户端的进程处于用户层，客户端的驱动程序处于内核层。

102、根据第一控制码、第一名称以及配置文件存储的控制码和驱动设备的名称，判断该指令是否为合法指令，当该指令是合法指令时，执行步骤103，当该指令为非法指令时，执行步骤104。

本实施例中，获取到第一控制码和第一名称之后，将判断配置文件中是否存在与第一控制码相同的第二控制码，当配置文件中不存在与第一控制码相同的第二控制码时，表明该指令为合法指令，也表明这个客户端为合法客户端，将执行步骤103。当配置文件中存在与第一控制码相同的第二控制码时，将继续判断第二控制码对应的驱动设备的第二名称是否与第一名称相同，当第二控制码对应的驱动设备的第二名称与第一名称相同时，表明该指令为非法指令，也表明这个客户端为非法客户端，将执行步骤104。当第二控制码对应的驱动设备的第二名称与第一名称不同时，表明该指令为合法指令，也表明这个客户端为合法客户端，将执行步骤103。

在一个实施例中，可以预先在内存中建立一个配置文件，在后续获取到非法客户端所需操作数据的第三控制码以及第三控制码对应的驱动设备的第三名称之后，可以将第二控制码和第三名称存储在配置文件中，以便安全客户端后续调用。

103、允许该指令执行。

104、禁止该指令执行。

其中，禁止该指令执行，即中断这个客户端的进行将第一控制码发送给这个客户端的驱动程序。

在图1所描述的指令处理方法中，当检测到客户端的进程向该客户端的驱动程序发送的包括控制码的指令时，获取指令包括的第一控制码和第一控制码对应的驱动设备的第一名称，根据第一控制码、第一名称以及配置文件存储的控制码和驱动设备的名称判断该指令是否为合法指令，当该指令为合法指令时，允许该指令执行，当该指令为非法指令时，禁止该指令执行，可以拦截非法客户端的非常规操作。

请参阅图2，图2是本发明实施例公开的一种指令处理装置的结构图示意图。其中，该指令处理装置可以为安全客户端。如图2所示，该指令处理装置可以包括：

获取单元201，用于当检测到客户端的进程向该客户端的驱动程序发送的指令时，获取该指令包括的第一控制码和第一控制码对应的驱动设备的第一名称，第一控制码用于标识该指令所需操作数据；

判断单元202，用于根据获取单元201获取的第一控制码、获取单元201获取的第一名称以及配置文件存储的控制码和驱动设备的名称，判断该指令是否为合法指令；

允许单元203，用于当判断单元202的判断结果为是时，允许该指令执行；

禁止单元204，用于当判断单元202的判断结果为否时，禁止该指令执行。

作为一种可能的实施方式，判断单元202可以包括：

第一判断子单元2021，用于判断配置文件中是否存在与获取单元201第一控制码相同的第二控制码；

确定子单元2022，用于当第一判断子单元2021的判断结果为否时，确定该指令为合法指令；

第二判断子单元2023，用于当第一判断子单元2021的判断结果为是时，判断第二控制码对应的驱动设备的第二名称是否与获取单元201获取的第一名称相同；

确定子单元2022，还用于当第二判断子单元2023的判断结果为是时，确定该指令为非法指令；

确定子单元2022，还用于当第二判断子单元2023的判断结果为否时，确定该指令为合法指令。

作为一种可能的实施方式，该指令处理装置还可以包括：

建立单元205，用于建立配置文件；

获取单元201，还用于获取非法客户端所需操作数据的第三控制码以及第三控制码对应的驱动设备的第三名称；

该指令处理装置还可以包括：

存储单元206，用于将获取单元201获取的第二控制码和获取单元201获取的第三名称存储在建立单元205建立的配置文件中。

具体地，判断单元202根据获取单元201获取的第一控制码、获取单元201获取的第一名称以及建立单元205建立的配置文件存储的控制码和驱动设备的名称，判断该指令是否为合法指令；

作为一种可能的实施方式，禁止单元204，具体用于中断该客户端的进程向该客户端的驱动程序发送第一控制码。

在图2所描述的指令处理装置中，当检测到客户端的进程向该客户端的驱动程序发送的包括控制码的指令时，获取指令包括的第一控制码和第一控制码对应的驱动设备的第一名称，根据第一控制码、第一名称以及配置文件存储的控制码和驱动设备的名称判断该指令是否为合法指令，当该指令为合法指令时，允许该指令执行，当该指令为非法指令时，禁止该指令执行，可以拦截非法客户端的非常规操作。

请参阅图3，图3是本发明实施例公开的另一种指令处理装置的结构示意图。其中，该指令处理装置可以为安全客户端。如图3所示，该指令处理装置包括处理器301和存储器302，其中：

存储器302中存储有一组程序代码，处理器301用于调用存储器302存储的程序代码执行以下操作：

当检测到客户端的进程向该客户端的驱动程序发送的指令时，获取该指令包括的第一控制码和第一控制码对应的驱动设备的第一名称，第一控制码用于标识该指令所需操作数据；

根据第一控制码、第一名称以及配置文件存储的控制码和驱动设备的名称，判断该指令是否为合法指令；

当该指令为合法指令时，允许该指令执行；

当该指令为非法指令时，禁止该指令执行。

作为一种可能的实施方式，处理器301根据第一控制码、第一名称以及配置文件存储的控制码和驱动程序的名称，判断该指令是否为合法指令包括：

判断配置文件中是否存在与第一控制码相同的第二控制码；

当不存在时，确定该指令为合法指令；

当存在时，判断第二控制码对应的驱动设备的第二名称是否与第一名称相同；

当相同时，确定该指令为非法指令；

当不相同时，确定该指令为合法指令。

作为一种可能的实施方式，处理器301还用于调用存储器302存储的程序代码执行以下操作：

建立配置文件；

获取非法客户端所需操作数据的第三控制码以及第三控制码对应的驱动设备的第三名称；

将第二控制码和第三名称存储在配置文件中。

作为一种可能的实施方式，处理器301禁止该指令执行包括：

中断该客户端的进程向该客户端的驱动程序发送第一控制码。

在图3所描述的指令处理装置中，当检测到客户端的进程向该客户端的驱动程序发送的包括控制码的指令时，获取指令包括的第一控制码和第一控制码对应的驱动设备的第一名称，根据第一控制码、第一名称以及配置文件存储的控制码和驱动设备的名称判断该指令是否为合法指令，当该指令为合法指令时，允许该指令执行，当该指令为非法指令时，禁止该指令执行，可以拦截非法客户端的非常规操作。

本领域普通技术人员可以理解上述实施例的各种方法中的全部或部分步骤是可以通过程序来指令相关的硬件来完成，该程序可以存储于一计算机可读存储介质中，存储介质可以包括：闪存盘、只读存储器(read-only memory，ROM)、随机存取器(random accessmemory，RAM)、磁盘或光盘等。

以上对本发明实施例公开的分布式系统中软件加载方法及系统进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (6)

1.一种指令处理方法，其特征在于，包括：

当检测到客户端的进程向所述客户端的驱动程序发送的指令时，获取所述指令包括的第一控制码和所述第一控制码对应的驱动设备的第一名称，所述第一控制码用于标识所述指令所需操作数据；

根据所述第一控制码、所述第一名称以及配置文件存储的控制码和驱动设备的名称，判断所述指令是否为合法指令；

当所述指令为合法指令时，允许所述指令执行；

当所述指令为非法指令时，禁止所述指令执行；

所述根据所述第一控制码、所述第一名称以及配置文件存储的控制码和驱动程序的名称，判断所述指令是否为合法指令包括：

判断配置文件中是否存在与所述第一控制码相同的第二控制码；

当不存在时，确定所述指令为合法指令；

当存在时，判断所述第二控制码对应的驱动设备的第二名称是否与所述第一名称相同；

当相同时，确定所述指令为非法指令；

当不相同时，确定所述指令为合法指令。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

建立配置文件；

获取非法客户端所需操作数据的第三控制码以及所述第三控制码对应的驱动设备的第三名称；

将所述第二控制码和所述第三名称存储在所述配置文件中。

3.根据权利要求1所述的方法，其特征在于，所述禁止所述指令执行包括：

中断所述进程向所述驱动程序发送所述第一控制码。

4.一种指令处理装置，其特征在于，包括：

获取单元，用于当检测到客户端的进程向所述客户端的驱动程序发送的指令时，获取所述指令包括的第一控制码和所述第一控制码对应的驱动设备的第一名称，所述第一控制码用于标识所述指令所需操作数据；

判断单元，用于根据所述获取单元获取的第一控制码、所述获取单元获取的第一名称以及配置文件存储的控制码和驱动设备的名称，判断所述指令是否为合法指令；

允许单元，用于当所述判断单元的判断结果为是时，允许所述指令执行；

禁止单元，用于当所述判断单元的判断结果为否时，禁止所述指令执行；

所述判断单元包括：

第一判断子单元，用于判断配置文件中是否存在与所述第一控制码相同的第二控制码；

确定子单元，用于当所述第一判断子单元的判断结果为否时，确定所述指令为合法指令；

第二判断子单元，用于当所述第一判断子单元的判断结果为是时，判断所述第二控制码对应的驱动设备的第二名称是否与所述获取单元获取的第一名称相同；

所述确定子单元，还用于当所述第二判断子单元的判断结果为是时，确定所述指令为非法指令；

所述确定子单元，还用于当所述第二判断子单元的判断结果为否时，确定所述指令为合法指令。

5.根据权利要求4所述的装置，其特征在于，所述装置还包括：

建立单元，用于建立配置文件；

所述获取单元，还用于获取非法客户端所需操作数据的第三控制码以及所述第三控制码对应的驱动设备的第三名称；

所述装置还包括：

存储单元，用于将所述获取单元获取的第二控制码和所述获取单元获取的第三名称存储在所述建立单元建立的配置文件中。

6.根据权利要求4所述的装置，其特征在于，所述禁止单元，具体用于中断所述进程向所述驱动程序发送所述第一控制码。