CN106096402A

CN106096402A - 一种信息拦截方法及装置

Info

Publication number: CN106096402A
Application number: CN201610458108.4A
Authority: CN
Inventors: 杨峰
Original assignee: Beijing Kingsoft Internet Security Software Co Ltd
Current assignee: Zhuhai Baoqu Technology Co Ltd
Priority date: 2016-06-22
Filing date: 2016-06-22
Publication date: 2016-11-09

Abstract

本发明实施例提供了一种信息拦截方法及装置。所述方法包括：检测是否接收到针对第一函数的调用请求，其中，第一函数为用于修改窗口位置和窗口大小的系统内核层函数；若接收到，判断生成所述调用请求的第一程序是否属于恶意程序；如果是，则拦截所述调用请求，进而拒绝改变窗口位置和窗口大小。应用本实施例，能够拦截恶意程序对客户端的窗口位置和大小的修改。

Description

一种信息拦截方法及装置

技术领域

本发明涉及计算机技术领域，特别涉及一种信息拦截方法及装置。

背景技术

终端系统运行一个客户端时，通常将该客户端的窗口显示在终端屏幕上。用户可以改变该客户端的窗口位置和大小。随着计算机技术的发展，木马、病毒等恶意程序层出不穷。一些恶意程序通常会利用系统提供的函数恶意修改客户端的窗口位置和大小，例如将客户端的窗口位置修改为终端屏幕之外，或者将窗口大小修改为0等，使客户端窗口无法正常显示在终端屏幕上，从而破坏用户的终端系统环境。

现有技术中，常常无法拦截这些恶意程序对客户端的窗口位置和大小的修改。

发明内容

本发明实施例的目的在于提供了一种信息拦截方法及装置，能够拦截恶意程序对客户端的窗口位置和大小的修改。

为了达到上述目的，本发明公开了一种信息拦截方法，所述方法包括：

检测是否接收到针对第一函数的调用请求，其中，所述第一函数为用于改变窗口位置和窗口大小的系统内核层函数；

若接收到，判断生成所述调用请求的第一程序是否属于恶意程序；

如果是，则拦截所述调用请求，进而拒绝修改窗口位置和窗口大小。

较佳的，所述方法还包括：

当判断出所述第一程序不属于恶意程序时，响应所述调用请求。

较佳的，所述调用请求携带目标窗口的信息；

在检测到所述调用请求后，还包括：

根据所述目标窗口的信息，获得所述目标窗口所属目标进程；

判断所述目标进程是否与所述第一程序对应的第一进程相同；

若不相同，则执行所述判断生成所述调用请求的第一程序是否属于恶意程序的步骤。

较佳的，所述判断生成所述调用请求的第一程序是否属于恶意程序，包括：

获得生成所述调用请求的第一程序的路径信息；

根据所述路径信息，获得所述第一程序的程序文件；

根据所述程序文件，生成所述第一程序的特征值；

判断所述特征值是否与预先存储的恶意程序特征值匹配；

若匹配，则确定所述第一程序为恶意程序。

较佳的，所述特征值包括消息摘要算法值MD5值和/或哈希值。

较佳的，所述检测是否接收到针对第一函数的调用请求，包括：

通过设置钩子函数的方式，检测是否接收到针对第一函数的调用请求。

为了达到上述目的，本发明公开了一种信息拦截装置，所述装置包括：

检测模块，用于检测是否接收到针对第一函数的调用请求，其中，所述第一函数为用于修改窗口位置和窗口大小的系统内核层函数；

第一判断模块，用于当接收到所述调用请求时，判断生成所述调用请求的第一程序是否属于恶意程序；

拦截模块，用于当判断出所述第一程序属于恶意程序时，拦截所述调用请求，进而拒绝修改窗口位置和窗口大小。

较佳的，所述装置还包括响应模块；

所述响应模块，用于当判断出所述第一程序不属于恶意程序时，响应所述调用请求。

较佳的，所述调用请求携带目标窗口的信息；

所述装置还包括第二判断模块，具体用于：

在检测到所述调用请求后，根据所述目标窗口的信息，获得所述目标窗口所属目标进程；

若不相同，则触发所述第一判断模块。

较佳的，所述第一判断模块包括：

第一获得子模块，用于获得生成所述调用请求的第一程序的路径信息；

第二获得子模块，用于根据所述路径信息，获得所述第一程序的程序文件；

生成子模块，用于根据所述程序文件，生成所述第一程序的特征值；

判断子模块，用于判断所述特征值是否与预先存储的恶意程序特征值匹配；

确定子模块，用于当所述特征值与预先存储的恶意程序特征值匹配时，确定所述第一程序为恶意程序。

较佳的，所述检测模块具体用于：

由上述技术方案可见，本发明实施例中，当接收到针对第一函数的调用请求时，判断生成该调用请求的第一程序是否属于恶意程序，如果是，则拦截该调用请求，进而拒绝修改窗口位置和窗口大小，其中，第一函数为用于修改窗口位置和窗口大小的系统内核层函数。也就是说，在本实施例中，根据接收到的针对用于修改窗口位置和窗口大小的系统内核层函数的调用请求，判断生成该调用请求的第一程序是否属于恶意程序，如果是，则拦截该调用请求。因此，本发明实施例能够拦截恶意程序对客户端的窗口位置和大小的修改。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单的介绍。显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例提供的信息拦截方法的一种流程示意图；

图2为本发明实施例提供的信息拦截方法的另一种流程示意图；

图3为本发明实施例提供的信息拦截装置的一种结构示意图；

图4为本发明实施例提供的信息拦截装置的另一种结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整的描述。显然，所描述的实施例仅仅是本发明的一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明实施例提供了一种信息拦截方法及装置，能够拦截恶意程序对客户端的窗口位置和大小的修改。

下面通过具体实施例，对本发明进行详细说明。

图1为本发明实施例提供的信息拦截方法的一种流程示意图，该方法包括如下步骤：

步骤S101：检测是否接收到针对第一函数的调用请求，若接收到，则执行步骤S102。

其中，所述第一函数为用于修改窗口位置和窗口大小的系统内核层函数。由于第一函数是公共可用的函数，所以非恶意程序和恶意程序都可以调用它。第一函数可以用来改变所有窗口的窗口位置和窗口大小。

具体的，用于修改窗口位置和窗口大小的系统内核层函数可以是NtUserSetWindowPos等。在实际应用中，在修改窗口位置和窗口大小时，可以先调用系统应用层函数，通过系统应用层函数来调用系统内核层函数，实现对窗口位置和窗口大小的修改。例如，先调用系统应用层函数SetWindowPos，SetWindowPos再调用系统内核层函数NtUserSetWindowPos，通过对NtUserSetWindowPos的调用实现对窗口位置和窗口大小的修改。

值得一提的是，上述系统内核层函数和系统应用层函数并不仅限于此，基于不同的操作系统，上述系统内核层函数和系统应用层函数可能会有所不同，本申请并不对此进行限定。

需要说明的是，本实施例具体是由终端中的第一客户端执行的。

在本实施例中，为了更准确地检测是否接收到上述调用请求，步骤S101的一种具体实施方式包括：通过设置钩子函数的方式，检测是否接收到针对第一函数的调用请求。

其中，钩子函数Hook是Windows消息处理机制的一个平台，钩子机制允许应用程序截获处理Window消息或特定事件。另外，Hook实际上是一个处理消息的程序段，通过系统调用，把它挂入系统。每当调用请求发出，在没有到达系统内核层函数之前，Hook就先捕获该调用请求，亦即Hook先得到控制权。这时Hook既可以对该调用请求进行加工处理，也可以不作处理而继续传递该调用请求，还可以强制结束即拦截该调用请求的传递。

鉴于上述情况，第一客户端可以通过设置钩子函数的方式监测针对第一函数的调用请求。当监测到调用请求时，在系统内核层函数响应该调用请求之前，第一客户端先处理该调用请求。

步骤S102：判断生成所述调用请求的第一程序是否属于恶意程序，如果是，则执行步骤S103。

当判断出所述第一程序不属于恶意程序时，响应所述调用请求，即放行该调用请求，继续修改窗口位置和窗口大小。

在本实施例中，所有生成所述调用请求的程序都是本实施例的监控对象，该程序可能是恶意程序，也可能不是恶意程序。

可以理解的是，当接收到所述调用请求时，根据所述调用请求，确定生成该调用请求的第一程序属于现有技术，其具体过程此处不再赘述。其中，确定第一程序可以是确定第一程序的程序名称和/或第一程序的程序标识等唯一标识该第一程序的信息。

在本步骤中，判断第一程序是否属于恶意程序可以包括多种实施方式，例如，可以根据第一程序的标识信息，将其与预先保存的恶意程序标识信息进行匹配，也可以根据第一程序的程序文件判断其是否属于恶意程序。当然，该判断过程可以通过其他实施方式来实现，本实施例对此不做具体限定。

步骤S103：拦截所述调用请求，进而拒绝修改窗口位置和窗口大小。

由上述内容可知，在本实施例中，根据接收到的针对用于修改窗口位置和窗口大小的系统内核层函数的调用请求，判断生成该调用请求的第一程序是否属于恶意程序，如果是，则拦截该调用请求。因此，应用本发明实施例，能够拦截恶意程序对客户端的窗口位置和大小的修改。并且，由于系统内核层函数是恶意程序在修改窗口位置和窗口大小时必定会调用的函数，因此本实施例还能够提高拦截恶意程序对修改窗口位置和窗口大小进行修改时的成功率。

在本发明的另一实施例中，在图1所示实施例的基础上，步骤S102，即判断生成所述调用请求的第一程序是否属于恶意程序，可以包括：

步骤1：获得生成所述调用请求的第一程序的路径信息。

在本步骤中，获得第一程序的路径信息的方式存在多种，其中一种方式可以包括：获得第一程序的进程信息，从所述进行信息中获取第一程序的路径信息。本实施例对获得第一程序的路径信息的方式不做具体限定。

步骤2：根据所述路径信息，获得所述第一程序的程序文件。

可以理解的是，根据路径信息，获得第一程序的程序文件属于现有技术，其具体过程此处不再赘述。

步骤3：根据所述程序文件，生成所述第一程序的特征值。

其中，所述特征值可以包括消息摘要算法值MD5值(Message-Digest Algorithm5)和/或哈希值。MD5算法可以把一个任意长度的字符串变换成一定长度的十六进制数字串。在本实施例中，MD5算法将整个程序文件当做一个字符串，通过对其进行不可逆的字符串变换操作，得到程序文件的MD5值。不同的程序文件对应不同的MD5值。哈希算法hash可以将任意长度的二进制值映射为较短的固定长度的二进制值，该二进制值称为哈希值。即便两个程序文件A和B中只有一个字母不同，通过哈希算法得到的A和B的哈希值也会不同。可以理解的是，MD5值和哈希值都可以唯一地表征该程序文件。

当然，本实施例中的特征值还可以是采用其他算法得到的，本实施例对此不做具体限定。

步骤4：判断所述特征值是否与预先存储的恶意程序特征值匹配，若匹配，则执行步骤5。

特征值是用于唯一确定第一程序的标识。通过将第一程序的特征值与预先存储的恶意程序特征值相匹配，可以确定该第一程序是否为恶意程序。当从预先存储的恶意程序特征值中匹配上该特征值时，说明第一程序为恶意程序，当没有匹配上时，说明第一程序不是恶意程序。

步骤5：确定所述第一程序为恶意程序。

由上述内容可见，在本实施例中，根据第一程序的程序文件生成第一程序的特征值，并与预先存储的恶意程序特征值匹配，当匹配成功时，确定第一程序为恶意程序，这种确定过程简单，易实施。

在本发明的另一实施例中，在图1所示实施例的基础上，所述调用请求可以携带目标窗口的信息。在检测到所述调用请求后，即在步骤S101之后，步骤S102之前，所示方法还可以包括以下步骤，这些步骤如图2的流程示意图所示：

步骤S104：根据所述目标窗口的信息，获得所述目标窗口所属目标进程。

在本实施例中，调用请求携带目标窗口的信息，目标窗口的信息可以为目标窗口的窗口句柄，因此，步骤S104的具体实施方式可以包括：根据目标窗口的窗口句柄，获得目标窗口所属目标进程。

其中，获得的目标进程，可以是目标进程的进程名称，也可以是目标进程包含的路径信息，只要是能够唯一标示该目标进程的信息都是可行的。

步骤S105：判断所述目标进程是否与所述第一程序对应的第一进程相同，若不相同，则执行步骤S102。

若目标进程与第一进程相同，说明第一程序在修改自身的窗口位置和窗口大小，进而说明第一程序不是恶意程序，则响应所述调用请求，进而修改窗口位置和窗口大小。

其中，所述第一程序为生成所述调用请求的程序。

具体的，本步骤中，可以首先根据第一程序确定第一程序对应的第一进程，然后判断目标进程是否与第一进程相同，如果不相同，则执行步骤S102。其中，根据第一程序确定第一程序的第一进程，可以包括：根据第一程序的程序名称，从系统进程列表中确定第一进程。当然，根据第一程序确定第一进程还可以包括其他实施方式，本实施例对此不做具体限定。

在一个例子中，获得的目标进程为d:\windows\system32\QQ.exe，如果第一进程为d:\windows\system32\sooddl.exe，则可以确定目标进程与第一进程不相同；如果第一进程为d:\windows\system32\QQ.exe，则可以确定目标进程与第一进程相同。

由上述内容可见，本实施例中，在判断第一程序是否属于恶意程序之前，首先判断目标进程与第一进程是否相同，如果相同，说明目标窗口所属第二客户端在修改自身窗口位置和窗口大小，即能够确定第一程序不是恶意程序，此时不需要执行判断第一程序是否属于恶意程序的步骤；如果不相同，则执行判断第一程序是否属于恶意程序的步骤。也就是说，本实施例中，在判断出目标进程与第一进程不相同时，才执行判断第一程序是否属于恶意程序的步骤，因此能够提高拦截效率。

图3为本发明实施例提供的信息拦截装置的一种结构示意图，与图1所示方法实施例相对应，所述装置包括检测模块301、第一判断模块302和拦截模块303。

其中，检测模块301，用于检测是否接收到针对第一函数的调用请求，其中，所述第一函数为用于修改窗口位置和窗口大小的系统内核层函数；

第一判断模块302，用于当接收到所述调用请求时，判断生成所述调用请求的第一程序是否属于恶意程序；

拦截模块303，用于当判断出所述第一程序属于恶意程序时，拦截所述调用请求，进而拒绝修改窗口位置和窗口大小。

在本发明的另一实施例中，在图3所述实施例的基础上，所述检测模块301具体可以用于：

在本发明的另一实施例中，在图3所述实施例的基础上，所述装置还可以包括响应模块(图中未示出)；

在本发明的另一实施例中，在图3所述实施例的基础上，所述第一判断模块具体包括：(图中未示出)

在本发明的另一实施例中，在图3所述实施例的基础上，调用请求携带目标窗口的信息，所述装置还可以包括第二判断模块304，该模块可以如图4所示。图4所示装置实施例与图2所示方法实施例相对应。

其中，第二判断模块304，用于在检测到所述调用请求后，根据所述目标窗口的信息，获得所述目标窗口所属目标进程；判断所述目标进程是否与所述第一程序对应的第一进程相同，若不相同，则触发第一判断模块302。

由于上述装置实施例是基于方法实施例得到的，与该方法具有相同的技术效果，因此装置实施例的技术效果在此不再赘述。

对于装置实施例而言，由于其基本相似于方法实施例，所以描述得比较简单，相关之处参见方法实施例的部分说明即可。

需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

本领域普通技术人员可以理解，上述实施方式中的全部或部分步骤是能够通过程序指令相关的硬件来完成的，所述的程序可以存储于计算机可读取存储介质中。这里所称存储介质，是指ROM/RAM、磁碟、光盘等。

以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内所做的任何修改、等同替换、改进等，均包含在本发明的保护范围内。

Claims

1.一种信息拦截方法，其特征在于，所述方法包括：

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

3.根据权利要求1所述的方法，其特征在于，所述调用请求携带目标窗口的信息；

在检测到所述调用请求后，还包括：

4.根据权利要求1-3中任一项所述的方法，其特征在于，所述判断生成所述调用请求的第一程序是否属于恶意程序，包括：

获得生成所述调用请求的第一程序的路径信息；

根据所述路径信息，获得所述第一程序的程序文件；

根据所述程序文件，生成所述第一程序的特征值；

判断所述特征值是否与预先存储的恶意程序特征值匹配；

若匹配，则确定所述第一程序为恶意程序。

5.根据权利要求4所述的方法，其特征在于，所述特征值包括消息摘要算法值MD5值和/或哈希值。

6.根据权利要求1所述的方法，其特征在于，所述检测是否接收到针对第一函数的调用请求，包括：

7.一种信息拦截装置，其特征在于，所述装置包括：

8.根据权利要求7所述的装置，其特征在于，所述装置还包括响应模块；

9.根据权利要求7所述的装置，其特征在于，所述调用请求携带目标窗口的信息；

所述装置还包括第二判断模块，具体用于：

若不相同，则触发所述第一判断模块。

10.根据权利要求7-9中任一项所述的装置，其特征在于，所述第一判断模块包括：