CN106127046A - 一种信息拦截方法及装置 - Google Patents

Abstract

本发明实施例提供了一种信息拦截方法及装置。所述方法包括：检测是否接收到针对第一函数的调用请求；其中，所述第一函数为用于修改屏幕分辨率的系统内核层函数；若接收到，判断生成所述调用请求的第一程序是否属于恶意程序；如果是，则拦截所述调用请求，进而拒绝修改屏幕分辨率。应用本实施例提高的信息拦截方法，能够拦截恶意程序对用户屏幕分辨率的修改。

Description

一种信息拦截方法及装置

技术领域

本发明涉及计算机技术领域，特别涉及一种信息拦截方法及装置。

背景技术

终端系统提供了便于用户修改系统屏幕分辨率的函数，用户可以根据自己的需要设置函数参数，以便将屏幕分辨率设置成目标样式。随着计算机技术的发展，木马、病毒等恶意程序层出不穷。一些恶意程序通常会利用系统提供的函数恶意修改用户的屏幕分辨率，破坏用户的终端系统环境。

现有技术中，常常无法拦截这些恶意程序对用户屏幕分辨率的修改。

发明内容

本发明实施例的目的在于提供了一种信息拦截方法及装置，能够拦截恶意程序对用户屏幕分辨率的修改。

为了达到上述目的，本发明公开了一种信息拦截方法，所述方法包括：

检测是否接收到针对第一函数的调用请求；其中，所述第一函数为用于修改屏幕分辨率的系统内核层函数；

若接收到，判断生成所述调用请求的第一程序是否属于恶意程序；

如果是，则拦截所述调用请求，进而拒绝修改屏幕分辨率。

较佳的，所述方法还包括：

当判断出所述第一程序不属于恶意程序时，响应所述调用请求。

较佳的，所述判断生成所述调用请求的第一程序是否属于恶意程序，包括：

获得生成所述调用请求的第一程序的进程信息；

判断所述进程信息是否与预设的恶意进程特征库相匹配，其中，所述恶意进程特征库用于存储恶意进程的信息；

若匹配，则判定所述第一程序属于恶意程序。

较佳的，所述判断生成所述调用请求的第一程序是否属于恶意程序，包括：

获得生成所述调用请求的第一程序的路径信息；

根据所述路径信息，获得所述第一程序的程序文件；

根据所述程序文件，生成所述第一程序的特征值；

判断所述特征值是否与预先存储的恶意程序特征值匹配；

若匹配，判定所述第一程序属于恶意程序。

较佳的，所述特征值包括消息摘要算法值MD5值和/或哈希值。

较佳的，所述检测是否接收到针对第一函数的调用请求，包括：

通过设置钩子函数的方式，检测是否接收到针对第一函数的调用请求。

为了达到上述目的，本发明公开了一种信息拦截装置，所述装置包括：

检测模块，用于检测是否接收到针对第一函数的调用请求；其中，所述第一函数为用于修改屏幕分辨率的系统内核层函数；

判断模块，用于当接收到所述调用请求时，判断生成所述调用请求的第一程序是否属于恶意程序；

拦截模块，用于当判断出第一程序属于恶意程序时，拦截所述调用请求，进而拒绝修改屏幕分辨率。

较佳的，所述装置还包括响应模块，用于：

当判断出所述第一程序不属于恶意程序时，响应所述调用请求。

较佳的，所述判断模块包括：

第一获得子模块，用于获得生成所述调用请求的第一程序的进程信息；

第一判断子模块，用于判断所述进程信息是否与预设的恶意进程特征库相匹配，其中，所述恶意进程特征库用于存储恶意进程的信息；

第一判定子模块，用于当所述进程信息与预设的恶意进程特征库相匹配时，判定所述第一程序属于恶意程序。

较佳的，所述判断模块具体包括：

第二获得子模块，用于获得生成所述调用请求的第一程序的路径信息；

第三获得子模块，用于根据所述路径信息，获得所述第一程序的程序文件；

生成子模块，用于根据所述程序文件，生成所述第一程序的特征值；

第二判断子模块，用于判断所述特征值是否与预先存储的恶意程序特征值匹配；

第二判定子模块，用于当所述特征值与预先存储的恶意程序特征值匹配时，判定所述第一程序属于恶意程序。

较佳的，所述检测模块具体用于：

通过设置钩子函数的方式，检测是否接收到针对第一函数的调用请求。

由上述技术方案可见，本发明实施例中，当接收到针对第一函数的调用请求时，判断生成该调用请求的第一程序是否属于恶意程序，如果是，则拦截该调用请求，进而拒绝修改屏幕分辨率。其中，第一函数为用于修改屏幕分辨率的系统内核层函数。也就是说，本实施例中，根据针对用于修改屏幕分辨率的系统内核层函数的调用请求，拦截生成该调用请求的恶意程序，因此能够拦截恶意程序对用户屏幕分辨率的修改。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单的介绍。显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例提供的信息拦截方法的一种流程示意图；

图2为本发明实施例提供的信息拦截方法的另一种流程示意图；

图3为本发明实施例提供的信息拦截方法的又一种流程示意图；

图4为本发明实施例提供的信息拦截装置的一种结构示意图。

图5为本发明实施例提供的信息拦截装置的另一种结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整的描述。显然，所描述的实施例仅仅是本发明的一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明实施例提供了一种信息拦截方法及装置，能够拦截恶意程序对用户屏幕分辨率的修改。

下面通过具体实施例，对本发明进行详细说明。

图1为本发明实施例提供的信息拦截方法的一种流程示意图，所述方法包括如下步骤：

步骤S101：检测是否接收到针对第一函数的调用请求，若接收到，则执行步骤S102。

其中，所述第一函数为用于修改屏幕分辨率的系统内核层函数。由于第一函数是公共可用的函数，因此非恶意程序和恶意程序都可以调用它，通过它来修改终端的屏幕分辨率。

举例来说，用于修改屏幕分辨率的系统内核层函数可以是NtUserChangeDisplaySettings等。在实际应用中，在修改屏幕分辨率时，可以先调用系统应用层函数，通过系统应用层函数来调用系统内核层函数，实现对屏幕分辨率的修改。例如，先调用系统应用层函数ChangeDisplaySettings，再调用系统内核层函数NtUserChangeDisplaySettings，通过对NtUserChangeDisplaySettings的调用实现对屏幕分辨率的修改。

值得一提的是，上述系统内核层函数和系统应用层函数并不仅限于此，基于不同的操作系统，上述系统内核层函数和系统应用层函数可能会有所不同，本申请并不对此进行限定。

需要说明的是，本实施例是应用于终端的，具体是由终端中的第一客户端执行的。其中，终端可以包括笔记本电脑、台式电脑、平板电脑、智能手机等电子设备。

在本实施例中，为了更准确地检测是否接收到上述调用请求，步骤S101的一种具体实施方式包括：通过设置钩子函数的方式，检测是否接收到针对第一函数的调用请求。

其中，钩子函数Hook是Windows消息处理机制的一个平台，钩子机制允许应用程序截获处理Window消息或特定事件。另外，Hook实际上是一个处理消息的程序段，通过系统调用，把它挂入系统。每当调用请求发出，在没有到达系统内核层函数之前，Hook就先捕获该调用请求，亦即Hook先得到控制权。这时Hook既可以对该调用请求进行加工处理，也可以不作处理而继续传递该调用请求，还可以强制结束即拦截该调用请求的传递。

鉴于上述情况，第一客户端可以通过设置钩子函数的方式监测针对第一函数的调用请求，当监测到调用请求时，在系统内核层函数响应该调用请求之前，第一客户端先处理该调用请求。

步骤S102：判断生成所述调用请求的第一程序是否属于恶意程序，如果是，则执行步骤S103。

在本实施例中，本步骤还可以包括：当判断出第一程序不属于恶意程序时，响应所述调用请求，即放行该调用请求，继续修改屏幕分辨率。

需要说明的是，所有生成所述调用请求的程序都是本实施例的监控对象，该程序可能是恶意程序，也可能不是恶意程序。

可以理解的是，当接收到所述调用请求时，根据所述调用请求，确定生成该调用请求的第一程序属于现有技术，其具体过程此处不再赘述。其中，确定第一程序可以是确定第一程序的程序名称和/或第一程序的程序标识等能够唯一标示该第一程序的信息。

在本步骤中，判断第一程序是否属于恶意程序可以包括多种实施方式，例如，可以根据第一程序的标识信息，将其与预先保存的恶意程序标识信息进行匹配，也可以根据第一程序的程序文件判断其是否属于恶意程序。当然，该判断过程可以通过其他实施方式来实现，本实施例对此不做具体限定。

步骤S103：拦截所述调用请求，进而拒绝修改屏幕分辨率。

由上述内容可知，在本实施例中，根据接收到的针对第一函数的调用请求，判断生成该调用请求的第一程序是否属于恶意程序，如果是，则拦截该调用请求，进而拒绝修改屏幕分辨率，其中，第一函数为用于修改屏幕分辨率的系统内核层函数，因此本实施例能够拦截恶意程序对用户屏幕分辨率的修改。并且，由于系统内核层函数是恶意程序在修改屏幕分辨率时必定会调用的函数，因此本实施例还能够提高拦截恶意程序对屏幕分辨率进行修改时的成功率。

在本发明的另一实施例中，在图1所示实施例的基础上，步骤S102，判断生成所述调用请求的第一程序是否属于恶意程序，可以按照图2所示流程示意图进行，具体可以包括步骤：

步骤S102A：获得生成所述调用请求的第一程序的进程信息。

其中，获得的进程信息可以是进程名称，也可以是进程中包含的路径，当然，也可以是其他信息，只要是能够唯一标示该第一程序的进程的信息都是可行的。具体的，根据调用请求，获得生成该调用请求的第一程序的进程信息属于现有技术，其具体过程此处不再赘述。

步骤S102B：判断所述进程信息是否与预设的恶意进程特征库相匹配，若匹配，则执行步骤S102C。

其中，恶意进程特征库用于存储恶意进程的信息。下面以进程信息为进程名称为例举例说明。获取第一程序的进程名称，判断预设的恶意进程特征库中是否存在与该进程名称相匹配的名称，如果是，则判定第一程序属于恶意程序，否则，判定第一程序不属于恶意程序。

步骤S102C：判定第一程序属于恶意程序。

由上述内容可见，本实施例中，根据第一程序的进程信息判断第一程序是否属于恶意程序，由于进程是程序运行时终端系统进行资源分配和调度的基本单位，进程信息一般不容易被恶意修改，因此根据进程信息判断程序是否属于恶意程序，能够提高恶意程序的判断准确性。

在本发明的另一实施例中，在图1所示实施例的基础上，步骤S102，判断生成所述调用请求的第一程序是否属于恶意程序，可以按照图3所示流程示意图进行，具体可以包括步骤：

步骤S102D：获得生成所述调用请求的第一程序的路径信息。

在本步骤中，获得第一程序的路径信息的方式存在多种，其中一种方式可以包括：获得第一程序的进程信息，从所述进行信息中获取第一程序的路径信息。本实施例对获得第一程序的路径信息的方式不做具体限定。

步骤S102E：根据所述路径信息，获得第一程序的程序文件。

可以理解的是，根据路径信息，获得第一程序的程序文件属于现有技术，其具体过程此处不再赘述。

步骤S102F：根据所述程序文件，生成所述第一程序的特征值。

其中，所述特征值可以包括消息摘要算法值MD5值(Message-Digest Algorithm5)和/或哈希值。MD5算法可以把一个任意长度的字符串变换成一定长度的十六进制数字串。在本实施例中，MD5算法将整个程序文件当做一个字符串，通过对其进行不可逆的字符串变换操作，得到程序文件的MD5值。不同的程序文件对应不同的MD5值。哈希算法hash可以将任意长度的二进制值映射为较短的固定长度的二进制值，该二进制值称为哈希值。即便两个程序文件A和B中只有一个字母不同，通过哈希算法得到的A和B的哈希值也会不同。可以理解的是，MD5值和哈希值都可以唯一地表征该程序文件。

当然，本实施例中的特征值还可以是采用其他算法得到的，本实施例对此不做具体限定。

步骤S102G：判断所述特征值是否与预先存储的恶意程序特征值匹配，若匹配，则执行步骤S102H。

其中，特征值是用于唯一确定第一程序的标识。通过将第一程序的特征值与预先存储的恶意程序特征值相匹配，可以确定该第一程序是否为恶意程序。当从预先存储的恶意程序特征值中匹配上该特征值时，说明第一程序为恶意程序，当没有匹配上时，说明第一程序不是恶意程序。

需要说明的是，恶意程序特征值可以是从大量所确定的恶意程序中获得的，也可以是预先配置的。

步骤S102H：判定第一程序属于恶意程序。

由上述内容可见，在本实施例中，根据第一程序的程序文件生成第一程序的特征值，并与预先存储的恶意程序特征值匹配，当匹配成功时，判定第一程序属于恶意程序，这种确定过程简单，易实施。

图4为本发明实施例提供的信息拦截装置的一种结构示意图，与图1所示方法实施例相对应，所述装置包括检测模块401、判断模块402和拦截模块403。

其中，检测模块401，用于检测是否接收到针对第一函数的调用请求；其中，所述第一函数为用于修改屏幕分辨率的系统内核层函数；

判断模块402，用于当接收到所述调用请求时，判断生成所述调用请求的第一程序是否属于恶意程序；

拦截模块403，用于当判断出第一程序属于恶意程序时，拦截所述调用请求，进而拒绝修改屏幕分辨率。

在本发明的另一实施例中，在图2所示实施例的基础上，所述装置还可以包括响应模块(图中未示出)，用于：

当判断出所述第一程序不属于恶意程序时，响应所述调用请求。

在本发明的另一实施例中，图2所示实施例的检测模块401具体可以用于：

通过设置钩子函数的方式，检测是否接收到针对第一函数的调用请求。

在本发明的另一实施例中，在图2所示实施例的基础上，判断模块402可以包括第一获得子模块4021、第一判断子模块4022和第一判定子模块4023，这三个模块可以如图5所示。图5所示装置实施例与图2所示方法实施例相对应。

其中，第一获得子模块4021，用于获得生成所述调用请求的第一程序的进程信息；

第一判断子模块4022，用于判断所述进程信息是否与预设的恶意进程特征库相匹配，其中，所述恶意进程特征库用于存储恶意进程的信息；

第一判定子模块4023，用于当所述进程信息与预设的恶意进程特征库相匹配时，判定所述第一程序属于恶意程序。

在本发明的另一实施例中，图2所示实施例的判断模块402可以包括：(图中未示出)

第二获得子模块，用于获得生成所述调用请求的第一程序的路径信息；

第三获得子模块，用于根据所述路径信息，获得所述第一程序的程序文件；

生成子模块，用于根据所述程序文件，生成所述第一程序的特征值；

第二判断子模块，用于判断所述特征值是否与预先存储的恶意程序特征值匹配；

第二判定子模块，用于当所述特征值与预先存储的恶意程序特征值匹配时，判定所述第一程序属于恶意程序。

由于上述装置实施例是基于方法实施例得到的，与该方法具有相同的技术效果，因此装置实施例的技术效果在此不再赘述。

对于装置实施例而言，由于其基本相似于方法实施例，所以描述得比较简单，相关之处参见方法实施例的部分说明即可。

需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

本领域普通技术人员可以理解，上述实施方式中的全部或部分步骤是能够通过程序指令相关的硬件来完成的，所述的程序可以存储于计算机可读取存储介质中。这里所称存储介质，是指ROM/RAM、磁碟、光盘等。

以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内所做的任何修改、等同替换、改进等，均包含在本发明的保护范围内。

Claims (10)

1.一种信息拦截方法，其特征在于，所述方法包括：

检测是否接收到针对第一函数的调用请求；其中，所述第一函数为用于修改屏幕分辨率的系统内核层函数；

若接收到，判断生成所述调用请求的第一程序是否属于恶意程序；

如果是，则拦截所述调用请求，进而拒绝修改屏幕分辨率。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

当判断出所述第一程序不属于恶意程序时，响应所述调用请求。

3.根据权利要求1或2所述的方法，其特征在于，所述判断生成所述调用请求的第一程序是否属于恶意程序，包括：

获得生成所述调用请求的第一程序的进程信息；

判断所述进程信息是否与预设的恶意进程特征库相匹配，其中，所述恶意进程特征库用于存储恶意进程的信息；

若匹配，则判定所述第一程序属于恶意程序。

4.根据权利要求1或2所述的方法，其特征在于，所述判断生成所述调用请求的第一程序是否属于恶意程序，包括：

获得生成所述调用请求的第一程序的路径信息；

根据所述路径信息，获得所述第一程序的程序文件；

根据所述程序文件，生成所述第一程序的特征值；

判断所述特征值是否与预先存储的恶意程序特征值匹配；

若匹配，判定所述第一程序属于恶意程序。

5.根据权利要求4所述的方法，其特征在于，所述特征值包括消息摘要算法值MD5值和/或哈希值。

6.根据权利要求1所述的方法，其特征在于，所述检测是否接收到针对第一函数的调用请求，包括：

通过设置钩子函数的方式，检测是否接收到针对第一函数的调用请求。

7.一种信息拦截装置，其特征在于，所述装置包括：

检测模块，用于检测是否接收到针对第一函数的调用请求；其中，所述第一函数为用于修改屏幕分辨率的系统内核层函数；

判断模块，用于当接收到所述调用请求时，判断生成所述调用请求的第一程序是否属于恶意程序；

拦截模块，用于当判断出第一程序属于恶意程序时，拦截所述调用请求，进而拒绝修改屏幕分辨率。

8.根据权利要求7所述的装置，其特征在于，所述装置还包括响应模块，用于：

当判断出所述第一程序不属于恶意程序时，响应所述调用请求。

9.根据权利要求7或8所述的装置，其特征在于，所述判断模块包括：

第一获得子模块，用于获得生成所述调用请求的第一程序的进程信息；

第一判断子模块，用于判断所述进程信息是否与预设的恶意进程特征库相匹配，其中，所述恶意进程特征库用于存储恶意进程的信息；

第一判定子模块，用于当所述进程信息与预设的恶意进程特征库相匹配时，判定所述第一程序属于恶意程序。

10.根据权利要求7或8所述的装置，其特征在于，所述判断模块具体包括：

第二获得子模块，用于获得生成所述调用请求的第一程序的路径信息；

第三获得子模块，用于根据所述路径信息，获得所述第一程序的程序文件；

生成子模块，用于根据所述程序文件，生成所述第一程序的特征值；

第二判断子模块，用于判断所述特征值是否与预先存储的恶意程序特征值匹配；

第二判定子模块，用于当所述特征值与预先存储的恶意程序特征值匹配时，判定所述第一程序属于恶意程序。