CN106934288B - 一种root病毒清理方法、装置及电子设备 - Google Patents

一种root病毒清理方法、装置及电子设备 Download PDF

Info

Publication number
CN106934288B
CN106934288B CN201511031245.1A CN201511031245A CN106934288B CN 106934288 B CN106934288 B CN 106934288B CN 201511031245 A CN201511031245 A CN 201511031245A CN 106934288 B CN106934288 B CN 106934288B
Authority
CN
China
Prior art keywords
file
root authority
virus
root
authority
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201511031245.1A
Other languages
English (en)
Other versions
CN106934288A (zh
Inventor
袁国庆
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Kingsoft Internet Security Software Co Ltd
Original Assignee
Beijing Kingsoft Internet Security Software Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Kingsoft Internet Security Software Co Ltd filed Critical Beijing Kingsoft Internet Security Software Co Ltd
Priority to CN201511031245.1A priority Critical patent/CN106934288B/zh
Priority to US16/066,040 priority patent/US10878094B2/en
Priority to PCT/CN2016/112036 priority patent/WO2017114341A1/zh
Publication of CN106934288A publication Critical patent/CN106934288A/zh
Application granted granted Critical
Publication of CN106934288B publication Critical patent/CN106934288B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/568—Computer malware detection or handling, e.g. anti-virus arrangements eliminating virus, restoring damaged files
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/562—Static detection
    • G06F21/563—Static detection by source code analysis
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/562—Static detection
    • G06F21/564—Static detection by virus signature recognition
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G06F21/577—Assessing vulnerabilities and evaluating computer system security
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/46—Multiprogramming arrangements
    • G06F9/54—Interprogram communication
    • G06F9/545—Interprogram communication where tasks reside in different layers, e.g. user- and kernel-space
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2113—Multi-level security, e.g. mandatory access control

Abstract

本发明实施例公开了一种root病毒清理方法及装置，应用于智能设备，所述智能设备根据预设的病毒库，检测所述智能设备中是否有具有root权限病毒特征的文件；当检测到具有root权限病毒特征的文件时，获取系统root权限；关闭所有检测到的具有root权限病毒特征的文件所对应的所有进程；将系统启动项恢复为具有root权限病毒入侵前的状态；删除所述检测到的所有具有root权限病毒特征的文件。相对现有技术，本发明实施例对具有root权限病毒进行的查杀更彻底。

Description

一种root病毒清理方法、装置及电子设备
技术领域
本发明涉及系统安全领域，特别涉及一种root病毒清理方法、装置及电子设备。
背景技术
随着计算机病毒的不断升级换代，出现了具有系统超级用户root权限的病毒，此类病毒会使用系统的root权限，更改系统设置和自身的属性，使得病毒自身很难被彻底清除。
现有技术中，若要对具有root权限病毒进行查杀，需要杀毒软件先获取所述root权限，再对系统中存在的具有root权限病毒的安装文件进行查杀。但对于并没有对第三方软件开放root权限的智能设备，对其root权限的获取比较困难；病毒会通过释放特定的进程阻止杀毒软件对病毒的删除，还会修改系统的自启动项使病毒自身具有自启动能力，以至于现有技术无法彻底对具有root权限病毒进行彻底的查杀。
发明内容
本发明实施例公开了一种root病毒清理方法、装置及电子设备，使得对具有超级用户权限病毒进行的清理更彻底。
为达到上述目的，本发明实施例公开了一种root病毒清理方法，应用于智能设备，所述方法包括步骤：
根据预设的病毒库，检测所述智能设备中是否有具有root权限病毒特征的文件；
当检测到具有root权限病毒特征的文件时，获取系统root权限；
关闭所有检测到的具有root权限病毒特征的文件所对应的所有进程；
将系统启动项恢复为具有root权限病毒入侵前的状态；
删除所述检测到的所有具有root权限病毒特征的文件。
较佳的，所述获取系统root权限，包括：
向系统请求所述系统root权限，或者
运行预设的用于获取root权限的程序，获取系统root权限，或者
下载并运行预设的用于获取root权限的程序，获取系统root权限。
较佳的，所述获取系统root权限，包括：
从预设病毒库中获得所述具有root权限病毒的入侵特征文件的存储路径信息；
根据获得的所述入侵特征文件的存储路径信息，查找到智能设备中的所述入侵特征文件；
根据查找到的入侵特征文件，获得具有系统root权限的进程。
较佳的，所述根据查找到的入侵特征文件，获得具有系统root权限的进程，包括：
若所述入侵特征文件为记录有获取root权限的方案可执行文件，则执行所述入侵特征文件，得到获取root权限的方案，根据所述获取root权限的方案，获得具有root权限的进程；若所述入侵特征文件为切换超级用户文件，则执行所述切换超级用户文件，获得具有root权限的进程。
较佳的，所述执行所述入侵特征文件，得到获取root权限的方案，根据所述获取root权限的方案，获得具有root权限的进程，包括：
执行所述入侵特征文件，得到入侵进程，以使所述入侵进程自动触发与所述具有root权限病毒对应的系统漏洞，利用所述系统漏洞将所述入侵进程在系统内核中的进程用户身份标识位置零，得到具有root权限的进程；
所述执行所述切换超级用户文件，获得具有root权限的进程，包括：
执行所述入侵特征文件，生成具有root权限的切换超级用户进程，以使使用当前智能设备的用户具有与所述具有root权限病毒相同的root权限。
较佳的，所述关闭所有检测到的具有root权限病毒特征的文件所对应的所有进程，包括：
根据所述检测到的具有root权限病毒特征的文件的文件名，确定每个所述具有root权限病毒特征的文件所对应的进程标识；
调用进程关闭指令，关闭每个所述进程标识所对应的进程。
较佳的，所述将系统启动项恢复为具有root权限病毒入侵前的状态，包括：
确定所述所有具有root权限病毒特征的文件的存储路径，并在系统中的恢复安装列表文件中查找是否存在所述具有root权限病毒特征的文件的存储路径信息，若是，则调用预设的路径删除指令，将所述具有root权限病毒特征的文件的存储路径信息从所述恢复安装列表中删除，或者
判断系统中的每个系统启动时默认执行的可执行文件中，是否有具有root权限病毒特征的文件，若有，则删除该文件，并恢复与被删除文件对应的原始文件。
较佳的，所述删除所述检测到的所有具有root权限病毒特征的文件，包括：
在所述具有root权限病毒特征的文件的属性信息表中查找到拒绝删除的属性信息，并删除所述属性信息；
调用文件删除指令，删除所述具有root权限病毒特征的文件。
本发明实施例还公开了一种root病毒清理装置，应用于智能设备，所述装置包括：
文件判断模块，用于根据预设的病毒库，检测所述智能设备中是否有具有root权限病毒特征的文件；
权限获取模块，用于当所述文件判断模块检测到具有root权限病毒特征的文件时，获取系统root权限；
进程关闭模块，用于关闭所有检测到的具有root权限病毒特征的文件所对应的所有进程；
启动恢复模块，用于将系统启动项恢复为具有root权限病毒入侵前的状态；
删除模块，用于删除所述检测到的所有具有root权限病毒特征的文件。
较佳的，所述权限获取模块，具体用于：
向系统请求所述系统root权限，或者
运行预设的用于获取root权限的程序，获取系统root权限，或者
下载并运行预设的用于获取root权限的程序，获取系统root权限。
较佳的，所述权限获取模块，包括：
路径获取子模块，用于从预设病毒库中获得所述具有root权限病毒的入侵特征文件的存储路径信息；
查找子模块，用于根据获得的所述入侵特征文件的存储路径信息，查找到智能设备中的所述入侵特征文件；
获取子模块，用于根据查找到的入侵特征文件，获得具有系统root权限的进程。
较佳的，所述获取子模块，具体用于：
若所述入侵特征文件为记录有所述具有root权限病毒获取root权限的方案的可执行文件，则执行所述入侵特征文件，得到获取root权限的方案，根据所述获取root权限的方案，获得具有root权限的进程；若所述入侵特征文件为切换超级用户文件，则执行所述切换超级用户文件，获得具有root权限的进程。
较佳的，所述获取子模块，具体用于：
执行所述入侵特征文件，得到入侵进程，以使所述入侵进程自动触发与所述具有root权限病毒对应的系统漏洞，利用所述系统漏洞将所述入侵进程在系统内核中的进程用户身份标识位置零，得到具有root权限的进程；或者
执行所述入侵特征文件，生成具有root权限的切换超级用户进程，以使使用当前智能设备的用户具有与所述具有root权限病毒相同的root权限。
较佳的，所述进程关闭模块，包括：
标识确定子模块，用于根据所述具有root权限病毒的特征量的文件的文件名，确定每个所述具有root权限病毒的特征量的文件所对应的进程标识；
指令调用子模块，用于调用进程关闭指令，关闭每个所述进程标识所对应的进程。
较佳的，所述启动恢复模块，包括：
路径删除子模块，用于确定所述所有具有root权限病毒的特征量的文件的存储路径，并在系统中的恢复安装列表文件中查找是否存在所述具有root权限病毒的特征量的文件的存储路径信息，若是，则调用预设的路径删除指令，将所述具有root权限病毒的特征量的文件的存储路径信息从所述恢复安装列表中删除；
启动项删除子模块，用于判断系统中的每个系统启动时默认执行的可执行文件中，是否有具有root权限病毒的特征量的文件，若有，则删除该文件，并恢复与被删除文件对应的原始文件。
较佳的，所述删除模块，包括：
属性删除子模块，用于在所述具有root权限病毒的特征量的文件的属性信息表中查找到拒绝删除的属性信息，并删除所述属性信息；
文件删除子模块，用于调用文件删除指令，删除所述具有root权限病毒的特征量的文件。
本发明实施例还公开了一种电子设备，所述电子设备包括：
处理器、存储器、通信接口和总线；
所述处理器、所述存储器和所述通信接口通过所述总线连接并完成相互间的通信；
所述存储器存储可执行程序代码；
所述处理器通过读取所述存储器中存储的可执行程序代码来运行与所述可执行程序代码对应的程序，以用于：
根据预设的病毒库，检测所述智能设备中是否有具有root权限病毒特征的文件；
当检测到具有root权限病毒特征的文件时，获取系统root权限；
关闭所有检测到的具有root权限病毒特征的文件所对应的所有进程；
将系统启动项恢复为具有root权限病毒入侵前的状态；
删除所述检测到的所有具有root权限病毒特征的文件。
由上述的技术方案可见，本发明实施例提供了一种root病毒清理方法，应用于智能设备，所述智能设备根据预设的病毒库，检测所述智能设备中是否有具有root权限病毒特征的文件；当检测到具有root权限病毒特征的文件时，获取系统root权限；关闭所有检测到的具有root权限病毒特征的文件所对应的所有进程；将系统启动项恢复为具有root权限病毒入侵前的状态；删除所述检测到的所有具有root权限病毒特征的文件。由于本发明实施例中，所述智能设备对具有root权限病毒的特征量的文件启动的进程进行关闭，去除了所述具有root权限病毒的特征量的文件的自启动能力，因此，相对现有技术，本发明实施例对具有root权限病毒进行的查杀更彻底。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为本发明实施例一提供的一种root病毒清理方法的流程示意图；
图2为本发明实施例二提供的一种root病毒清理方法的流程示意图；
图3为本发明实施例三提供的一种root病毒清理方法的流程示意图；
图4为本发明实施例一提供的一种root病毒清理装置的结构示意图；
图5为本发明实施例提供的一种电子设备的结构示意图。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
下面通过具体实施例，对本发明进行详细说明。
图1为本发明实施例一提供的一种root病毒清理方法的流程示意图，所述方法应用于智能设备，该方法可以包括步骤：
S101：根据预设的病毒库，检测所述智能设备中是否有具有root权限病毒特征的文件。
根据在预设的病毒库中保存的具有root权限病毒的特征量，遍历所述智能设备所有文件，确定所有所述具有root权限病毒的特征量的文件，所述文件包含所述具有root权限病毒的可执行文件。
所述具有root权限病毒的特征量可以是一段特定的文件名中的字符串或文件代码中的字符串，所述智能设备可以遍历本地所有位置或关键位置的所有文件，所述文件包含所述具有root权限病毒的可执行文件。则将所查找到的具有所述字符串的文件确定为所述具有root权限病毒的文件。可以通过启发式病毒检测方法，根据所述字符串遍历本地所有位置或关键位置的所有文件，查找到具有所述字符串的文件。启发式病毒检测方法为现有技术，本发明不再赘述。
S102：当检测到具有root权限病毒特征的文件时，获取系统root权限。
所述智能设备首先检测是否能够直接获取系统root权限，若能，则直接向系统请求所述系统root权限，具体获得的方式可以与现有技术完全相同，这里不再赘述。若不能获取，则可以运行预设的用于获取root权限的程序，获取系统root权限，或者引导用户下载并运行预设的用于获取root权限的程序，获取系统root权限。
S103：关闭所有检测到的具有root权限病毒特征的文件所对应的所有进程。
具有root权限病毒的特征量的文件所启动的进程具有保护该病毒的作用，所以还应该将该进程关闭。具体的，可以根据所述具有root权限病毒的特征量的文件的文件名，确定每个所述具有root权限病毒的特征量的文件所对应的进程标识。
例如，根据指令ps|grep filename，获得所述具有root权限病毒的特征量的文件所对应的进程标识。
调用进程关闭指令，关闭每个所述进程标识所对应的进程。
例如，调用指令kill-9pid，关闭每个所述进程标识所对应的进程，其中pid为所述进程标识。
S104：将系统启动项恢复为具有root权限病毒入侵前的状态。
具有root权限病毒的特征量的文件可能通过修改系统启动项而具有开机重启的能力，所述应该将该具有root权限病毒的特征量的文件的开机重启能力去除，以防止病毒文件复活。具体的，可以确定所述所有具有root权限病毒的特征量的文件的存储路径，并在系统中的恢复安装列表文件中查找是否存在所述具有root权限病毒的特征量的文件的存储路径信息，若是，则调用预设的路径删除指令，将所述具有root权限病毒的特征量的文件的存储路径信息从所述恢复安装列表中删除。
所述恢复安装列表是现有技术中记载有开机启动项的列表，凡是在所述恢复安装列表中记录的地址下的文件，都会在系统重启时自启动，所以在该表中删除了所述具有root权限病毒的特征量的文件的地址，就能够阻止该文件的开机自启动。
之后，还应判断系统中的每个系统启动时默认执行的可执行文件中，是否有具有所述具有root权限病毒的特征量的文件，若有，则删除该文件，并恢复与被删除文件对应的原始文件。
系统在每次启动时会默认启动一些可执行文件，病毒会将自身释放的具有root权限病毒的特征量的文件伪装成所述系统默认启动的可执行文件，如路径/system/bin/下的文件debuggerd是系统在每次启动时会默认启动的可执行文件，则病毒会将自身释放的某具有root权限病毒的特征量的文件的也命名为debuggerd，并也存储在路径/system/bin/下，而该病毒将所述路径下的原始的文件debuggerd更名为debuggerd_xxx，当系统启动时，系统仍然会默认启动路径/system/bin/下名称为debuggerd的文件，即默认启动了该具有root权限病毒的特征量的文件。对于相同的病毒，其更改默认执行的可执行文件文件名的规则是特定的，例如，在默认执行的可执行文件文件名后添加后缀“_xxx”。
为了应对具有root权限病毒的特征量的文件的这个自启策略，可以判断系统中的每个系统启动时默认执行的文件中是否有具有所述具有root权限病毒的特征量的文件，若有，则将该文件删除，并根据病毒更改默认执行文件的文件名规则，恢复与被删除文件对应的原始文件，进而排除了病毒开机启动的一种途径。
S105：删除所述检测到的所有具有root权限病毒特征的文件。
由于本发明实施例中，所述智能设备对具有root权限病毒的特征量的文件启动的进程进行关闭，并且去除了所述具有root权限病毒的特征量的文件的自启动能力，对具有root权限病毒进行的查杀更彻底。
所述具有root权限病毒的特征量的文件中可能有拒绝自身文件被删除的属性，针对这种情况，可以调用预设的获取文件属性表的指令，获得该文件的文件属性表，并检查该文件属性表中是否存在拒绝自身文件被删除的属性信息，若存在，则调用预设的属性删除指令删除该属性信息。基于图1所示的方法，步骤S105可以包括：
在所述具有root权限病毒的特征量的文件的属性信息表中查找到拒绝删除的属性信息，并删除所述属性信息；
调用文件删除指令，删除所述具有root权限病毒的特征量的文件。
图2为本发明实施例二提供的一种root病毒清理方法的流程示意图，所述方法应用于智能设备，该方法可以包括步骤：
S201：根据预设的病毒库，检测所述智能设备中是否有具有root权限病毒特征的文件。
S202：当检测到具有root权限病毒特征的文件时，获取系统root权限。
S203：关闭所有检测到的具有root权限病毒特征的文件所对应的所有进程。
S204：将系统启动项恢复为具有root权限病毒入侵前的状态。
S205：在所述具有root权限病毒的特征量的文件的属性信息表中查找到拒绝删除的属性信息，并删除所述属性信息。
例如：对得到的具有root权限病毒的特征量的文件使用指令lsattr filename获得该文件属性信息表，检查所述属性信息表中的每条所述属性信息中是否包含“-ia”字段，若包含，则说明该可执行文件不可以被删除，则可以使用chattr–ia filename指令删除该条属性信息，进而使得所述具有root权限病毒的特征量的文件能够被删除。
S206：调用文件删除指令，删除所述具有root权限病毒的特征量的文件。
当所述具有root权限病毒的特征量的文件中的拒绝自身文件被删除的属性被删除之后，就可以使用现有技术的文件删除指令，对该文件进行删除，也可以对该文件所在的目录进行删除。例如使用rm filename[文件名]对该文件进行删除，使用rm–rf dir[文件所在的目录]对该文件所在的目录进行删除。
本发明实施例中，所述智能设备在所述具有root权限病毒的特征量的文件的属性信息表中查找到拒绝删除的属性信息，并删除该属性信息，使得所述智能设备可以调用文件删除指令，删除所述具有root权限病毒的特征量的文件。
在本发明提供的另一种实施例中，可以利用所述具有root权限病毒获取系统root权限的方法，获取系统root权限，基于图1所示的方法，步骤S102可以包括：
当检测到具有root权限病毒特征的文件时，从预设病毒库中获得所述具有root权限病毒的入侵特征文件的存储路径信息；
根据获得的所述入侵特征文件的存储路径信息，查找到智能设备中的所述入侵特征文件；
根据查找到的入侵特征文件，获得具有系统root权限的进程。
图3为本发明实施例三提供的一种root病毒清理方法的流程示意图，所述方法应用于智能设备，该方法可以包括步骤：
S301：根据预设的病毒库，检测所述智能设备中是否有具有root权限病毒特征的文件。
S302：当检测到具有root权限病毒特征的文件时，从预设病毒库中获得所述具有root权限病毒的入侵特征文件的存储路径信息。
S303：根据获得的所述入侵特征文件的存储路径信息，查找到智能设备中的所述入侵特征文件。
S304：根据查找到的入侵特征文件，获得具有系统root权限的进程。
所述入侵特征文件可能有两种，第一种为保存了所述超级用户权限病毒获取当前智能设备超级用户root权限方案的可执行文件，其中记载着该病毒是如何获取当前智能设备超级用户root权限方案；第二种为所述具有root权限病毒生成的切换用户(SwitchUser，SU)文件。
因此，本步骤可以有两种实现方式：
若所述入侵特征文件为保存了所述超级用户权限病毒获取当前智能设备超级用户权限方案的可执行文件，则执行该文件，这相当于执行了一个预先编辑好的脚本文件，能够重复之前该病毒获取root权限的步骤，得到入侵进程，所述入侵进程可以按照所述具有root权限病毒获取root权限的方法，触发对应的系统漏洞，利用所述系统漏洞将所述入侵进程在系统内核中的进程用户身份标识GIU和UID进行置零，GIU和UID被置零的进程在计算机操作系统中就是具有了root权限的进程。
若所述入侵特征文件为所述具有root权限病毒生成的SU文件，则执行所述SU文件，得到具有root权限的进程。
在现有技术中，SU文件的作用为：任何执行SU文件的用户都可以拥有生成该SU文件的用户的权限，这是因为执行SU文件时，会生成具有生成所述SU文件的用户的权限的进程，执行所述SU文件的用户可通过该进程执行生成所述SU文件的用户才有权限执行的命令，即可以认为执行所述SU文件的用户拥有了生成该SU文件的用户的权限。SU文件的生成和SU文件作用的实施都为现有技术，本发明不再赘述。
S305：关闭所有检测到的具有root权限病毒特征的文件所对应的所有进程。
S306：将系统启动项恢复为具有root权限病毒入侵前的状态。
S307：删除所述检测到的所有具有root权限病毒特征的文件。
在本发明实施例利用所述具有root权限病毒获取系统root权限的方法，获取系统root权限，提高了获取root权限的速度和成功率。
本发明实施例提供了一种root病毒清理方法，应用于智能设备，所述智能设备根据预设的病毒库，检测所述智能设备中是否有具有root权限病毒特征的文件；当检测到具有root权限病毒特征的文件时，获取系统root权限；关闭所有检测到的具有root权限病毒特征的文件所对应的所有进程；将系统启动项恢复为具有root权限病毒入侵前的状态；删除所述检测到的所有具有root权限病毒特征的文件。由于本发明实施例中，所述智能设备对具有root权限病毒的特征量的文件启动的进程进行关闭，去除了所述具有root权限病毒的特征量的文件的自启动能力，因此，相对现有技术，本发明实施例对具有root权限病毒进行的查杀更彻底。
图4为本发明实施例一提供的一种root病毒清理装置的结构示意图，应用于智能设备，该装置可以包括：
文件判断模块401，用于根据预设的病毒库，检测所述智能设备中是否有具有root权限病毒特征的文件；
权限获取模块402，用于当所述文件判断模块401检测到具有root权限病毒特征的文件时，获取系统root权限；
进程关闭模块403，用于关闭所有检测到的具有root权限病毒特征的文件所对应的所有进程；
启动恢复模块404，用于将系统启动项恢复为具有root权限病毒入侵前的状态；
删除模块405，用于删除所述检测到的所有具有root权限病毒特征的文件。
进一步地，所述权限获取模块402，具体用于：
向系统请求所述系统root权限，或者
运行预设的用于获取root权限的程序，获取系统root权限，或者
下载并运行预设的用于获取root权限的程序，获取系统root权限。
进一步地，所述权限获取模块402，可以包括：
路径获取子模块(图中未示出)，用于从预设病毒库中获得所述具有root权限病毒的入侵特征文件的存储路径信息；
查找子模块(图中未示出)，用于根据获得的所述入侵特征文件的存储路径信息，查找到智能设备中的所述入侵特征文件；
获取子模块(图中未示出)，用于根据查找到的入侵特征文件，获得具有系统root权限的进程。
进一步地，所述获取子模块，具体用于：
若所述入侵特征文件为记录有所述具有root权限病毒获取root权限的方案的可执行文件，则执行所述入侵特征文件，得到获取root权限的方案，根据所述获取root权限的方案，获得具有root权限的进程；若所述入侵特征文件为切换超级用户文件，则执行所述切换超级用户文件，获得具有root权限的进程。
进一步地，所述获取子模块，具体用于：
执行所述入侵特征文件，得到入侵进程，以使所述入侵进程自动触发与所述具有root权限病毒对应的系统漏洞，利用所述系统漏洞将所述入侵进程在系统内核中的进程用户身份标识位置零，得到具有root权限的进程；或者
执行所述入侵特征文件，生成具有root权限的切换超级用户进程，以使使用当前智能设备的用户具有与所述具有root权限病毒相同的root权限。
进一步地，所述进程关闭模块403，可以包括：
标识确定子模块(图中未示出)，用于根据所述具有root权限病毒的特征量的文件的文件名，确定每个所述具有root权限病毒的特征量的文件所对应的进程的进程标识；
指令调用子模块(图中未示出)，用于调用进程关闭指令，关闭每个所述进程标识所对应的进程。
进一步地，所述启动恢复模块404，包括：
路径删除子模块(图中未示出)，用于确定所述所有具有root权限病毒的特征量的文件的存储路径，并在系统中的恢复安装列表文件中查找是否存在所述具有root权限病毒的特征量的文件的存储路径信息，若是，则调用预设的路径删除指令，将所述具有root权限病毒的特征量的文件的存储路径信息从所述恢复安装列表中删除；
启动项删除子模块(图中未示出)，用于判断系统中的每个系统启动时默认执行的可执行文件中，是否有具有root权限病毒的特征量的文件，若有，则删除该文件，并恢复与被删除文件对应的原始文件。
进一步地，所述删除模块405，可以包括：
属性删除子模块(图中未示出)，用于在所述具有root权限病毒的特征量的文件的属性信息表中查找到拒绝删除的属性信息，并删除所述属性信息；
文件删除子模块(图中未示出)，用于调用文件删除指令，删除所述具有root权限病毒的特征量的文件。
图5为本发明实施例提供的一种电子设备的结构示意图，所述电子设备可以包括：
处理器501、存储器502、通信接口503和总线；
所述处理器501、所述存储器502和所述通信接口503通过所述总线连接并完成相互间的通信；
所述存储器502存储可执行程序代码；
所述处理器501通过读取所述存储器502中存储的可执行程序代码来运行与所述可执行程序代码对应的程序，以用于：
根据预设的病毒库，检测所述智能设备中是否有具有root权限病毒特征的文件；
当检测到具有root权限病毒特征的文件时，获取系统root权限；
关闭所有检测到的具有root权限病毒特征的文件所对应的所有进程；
将系统启动项恢复为具有root权限病毒入侵前的状态；
删除所述检测到的所有具有root权限病毒特征的文件。
本发明实施例提供了一种root病毒清理方法、装置及电子设备，应用于智能设备，所述智能设备根据预设的病毒库，检测所述智能设备中是否有具有root权限病毒特征的文件；当检测到具有root权限病毒特征的文件时，获取系统root权限；关闭所有检测到的具有root权限病毒特征的文件所对应的所有进程；将系统启动项恢复为具有root权限病毒入侵前的状态；删除所述检测到的所有具有root权限病毒特征的文件。由于本发明实施例中，所述智能设备对具有root权限病毒的特征量的文件启动的进程进行关闭，去除了所述具有root权限病毒的特征量的文件的自启动能力，因此，相对现有技术，本发明实施例对具有root权限病毒进行的查杀更彻底。
对于系统/装置实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。
需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。
本领域普通技术人员可以理解实现上述方法实施方式中的全部或部分步骤是可以通过程序来指令相关的硬件来完成，所述的程序可以存储于计算机可读取存储介质中，这里所称得的存储介质，如：ROM/RAM、磁碟、光盘等。
以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内所作的任何修改、等同替换、改进等，均包含在本发明的保护范围内。

Claims (13)

1.一种root病毒清理方法，其特征在于，应用于智能设备，所述方法包括步骤：
根据预设的病毒库，检测所述智能设备中是否有具有root权限病毒的特征量的文件，所述特征量是指文件名中的字符串或文件代码中的字符串；
当检测到具有root权限病毒的特征量的文件时，获取系统root权限；
关闭所有检测到的具有root权限病毒的特征量的文件所对应的所有进程；
将系统启动项恢复为具有root权限病毒入侵前的状态；
删除所述检测到的所有具有root权限病毒的特征量的文件，以去除所有具有root权限病毒的特征量文件的开机重启能力；
所述将系统启动项恢复为具有root权限病毒入侵前的状态，包括：
确定所述所有具有root权限病毒的特征量的文件的存储路径，并在系统中的恢复安装列表文件中查找是否存在所述具有root权限病毒的特征量的文件的存储路径信息，若是，则调用预设的路径删除指令，将所述具有root权限病毒的特征量的文件的存储路径信息从所述恢复安装列表中删除；
判断系统中的每个系统启动时默认执行的可执行文件中，是否有具有root权限病毒的特征量的文件，若有，则删除该文件，并恢复与被删除文件对应的原始文件；
所述删除所述检测到的所有具有root权限病毒的特征量的文件，包括：
在所述具有root权限病毒的特征量的文件的属性信息表中查找到拒绝删除的属性信息，并删除所述属性信息；
调用文件删除指令，删除所述具有root权限病毒的特征量的文件。
2.根据权利要求1所述的方法，其特征在于，所述获取系统root权限，包括：
向系统请求所述系统root权限，或者
运行预设的用于获取root权限的程序，获取系统root权限，或者
下载并运行预设的用于获取root权限的程序，获取系统root权限。
3.根据权利要求1所述的方法，其特征在于，所述获取系统root权限，包括：
从预设病毒库中获得所述具有root权限病毒的入侵特征文件的存储路径信息；
根据获得的所述入侵特征文件的存储路径信息，查找到智能设备中的所述入侵特征文件；
根据查找到的入侵特征文件，获得具有系统root权限的进程。
4.根据权利要求3所述的方法，其特征在于，所述根据查找到的入侵特征文件，获得具有系统root权限的进程，包括：
若所述入侵特征文件为记录有获取root权限的方案可执行文件，则执行所述入侵特征文件，得到获取root权限的方案，根据所述获取root权限的方案，获得具有root权限的进程；若所述入侵特征文件为切换超级用户文件，则执行所述切换超级用户文件，获得具有root权限的进程。
5.根据权利要求4所述的方法，其特征在于，所述执行所述入侵特征文件，得到获取root权限的方案，根据所述获取root权限的方案，获得具有root权限的进程，包括：
执行所述入侵特征文件，得到入侵进程，以使所述入侵进程自动触发与所述具有root权限病毒对应的系统漏洞，利用所述系统漏洞将所述入侵进程在系统内核中的进程用户身份标识位置零，得到具有root权限的进程；
所述执行所述切换超级用户文件，获得具有root权限的进程，包括：
执行所述入侵特征文件，生成具有root权限的切换超级用户进程，以使使用当前智能设备的用户具有与所述具有root权限病毒相同的root权限。
6.根据权利要求1所述的方法，其特征在于，所述关闭所有检测到的具有root权限病毒的特征量的文件所对应的所有进程，包括：
根据所述检测到的具有root权限病毒的特征量的文件的文件名，确定每个所述具有root权限病毒的特征量的文件所对应的进程标识；
调用进程关闭指令，关闭每个所述进程标识所对应的进程。
7.一种root病毒清理装置，其特征在于，应用于智能设备，所述装置包括：
文件判断模块，用于根据预设的病毒库，检测所述智能设备中是否有具有root权限病毒的特征量的文件，所述特征量是指文件名中的字符串或文件代码中的字符串；
权限获取模块，用于当所述文件判断模块检测到具有root权限病毒的特征量的文件时，获取系统root权限；
进程关闭模块，用于关闭所有检测到的具有root权限病毒特征的文件所对应的所有进程；
启动恢复模块，用于将系统启动项恢复为具有root权限病毒入侵前的状态；
删除模块，用于删除所述检测到的所有具有root权限病毒的特征量的文件，以去除所有具有root权限病毒的特征量文件的开机重启能力；
所述启动恢复模块，包括：
路径删除子模块，用于确定所述所有具有root权限病毒的特征量的文件的存储路径，并在系统中的恢复安装列表文件中查找是否存在所述具有root权限病毒的特征量的文件的存储路径信息，若是，则调用预设的路径删除指令，将所述具有root权限病毒的特征量的文件的存储路径信息从所述恢复安装列表中删除；
启动项删除子模块，用于判断系统中的每个系统启动时默认执行的可执行文件中，是否有具有root权限病毒的特征量的文件，若有，则删除该文件，并恢复与被删除文件对应的原始文件；
所述删除模块，包括：
属性删除子模块，用于在所述具有root权限病毒的特征量的文件的属性信息表中查找到拒绝删除的属性信息，并删除所述属性信息；
文件删除子模块，用于调用文件删除指令，删除所述具有root权限病毒的特征量的文件。
8.根据权利要求7所述的装置，其特征在于，所述权限获取模块，具体用于：
向系统请求所述系统root权限，或者
运行预设的用于获取root权限的程序，获取系统root权限，或者
下载并运行预设的用于获取root权限的程序，获取系统root权限。
9.根据权利要求7所述的装置，其特征在于，所述权限获取模块，包括：
路径获取子模块，用于从预设病毒库中获得所述具有root权限病毒的入侵特征文件的存储路径信息；
查找子模块，用于根据获得的所述入侵特征文件的存储路径信息，查找到智能设备中的所述入侵特征文件；
获取子模块，用于根据查找到的入侵特征文件，获得具有系统root权限的进程。
10.根据权利要求9所述的装置，其特征在于，所述获取子模块，具体用于：
若所述入侵特征文件为记录有所述具有root权限病毒获取root权限的方案的可执行文件，则执行所述入侵特征文件，得到获取root权限的方案，根据所述获取root权限的方案，获得具有root权限的进程；若所述入侵特征文件为切换超级用户文件，则执行所述切换超级用户文件，获得具有root权限的进程。
11.根据权利要求10所述的装置，其特征在于，所述获取子模块，具体用于：
执行所述入侵特征文件，得到入侵进程，以使所述入侵进程自动触发与所述具有root权限病毒对应的系统漏洞，利用所述系统漏洞将所述入侵进程在系统内核中的进程用户身份标识位置零，得到具有root权限的进程；或者
执行所述入侵特征文件，生成具有root权限的切换超级用户进程，以使使用当前智能设备的用户具有与所述具有root权限病毒相同的root权限。
12.根据权利要求7所述的装置，其特征在于，所述进程关闭模块，包括：
标识确定子模块，用于根据所述具有root权限病毒的特征量的文件的文件名，确定每个所述具有root权限病毒的特征量的文件所对应的进程标识；
指令调用子模块，用于调用进程关闭指令，关闭每个所述进程标识所对应的进程。
13.一种电子设备，其特征在于，所述电子设备包括：
处理器、存储器、通信接口和总线；
所述处理器、所述存储器和所述通信接口通过所述总线连接并完成相互间的通信；
所述存储器存储可执行程序代码；
所述处理器通过读取所述存储器中存储的可执行程序代码来运行与所述可执行程序代码对应的程序，以用于：
根据预设的病毒库，检测智能设备中是否有具有root权限病毒的特征量的文件，所述特征量是指文件名中的字符串或文件代码中的字符串；
当检测到具有root权限病毒的特征量的文件时，获取系统root权限；
关闭所有检测到的具有root权限病毒的特征量的文件所对应的所有进程；
将系统启动项恢复为具有root权限病毒入侵前的状态；
删除所述检测到的所有具有root权限病毒的特征量的文件，以去除所有具有root权限病毒的特征量文件的开机重启能力；
所述将系统启动项恢复为具有root权限病毒入侵前的状态，包括：
确定所述所有具有root权限病毒的特征量的文件的存储路径，并在系统中的恢复安装列表文件中查找是否存在所述具有root权限病毒的特征量的文件的存储路径信息，若是，则调用预设的路径删除指令，将所述具有root权限病毒的特征量的文件的存储路径信息从所述恢复安装列表中删除；
判断系统中的每个系统启动时默认执行的可执行文件中，是否有具有root权限病毒的特征量的文件，若有，则删除该文件，并恢复与被删除文件对应的原始文件；
所述删除所述检测到的所有具有root权限病毒的特征量的文件，包括：
在所述具有root权限病毒的特征量的文件的属性信息表中查找到拒绝删除的属性信息，并删除所述属性信息；
调用文件删除指令，删除所述具有root权限病毒的特征量的文件。
CN201511031245.1A 2015-12-31 2015-12-31 一种root病毒清理方法、装置及电子设备 Active CN106934288B (zh)

Priority Applications (3)

Application Number Priority Date Filing Date Title
CN201511031245.1A CN106934288B (zh) 2015-12-31 2015-12-31 一种root病毒清理方法、装置及电子设备
US16/066,040 US10878094B2 (en) 2015-12-31 2016-12-26 Root virus removal method and apparatus, and electronic device
PCT/CN2016/112036 WO2017114341A1 (zh) 2015-12-31 2016-12-26 一种root病毒清理方法、装置及电子设备

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201511031245.1A CN106934288B (zh) 2015-12-31 2015-12-31 一种root病毒清理方法、装置及电子设备

Publications (2)

Publication Number Publication Date
CN106934288A CN106934288A (zh) 2017-07-07
CN106934288B true CN106934288B (zh) 2021-04-16

Family

ID=59225629

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201511031245.1A Active CN106934288B (zh) 2015-12-31 2015-12-31 一种root病毒清理方法、装置及电子设备

Country Status (3)

Country Link
US (1) US10878094B2 (zh)
CN (1) CN106934288B (zh)
WO (1) WO2017114341A1 (zh)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109947366B (zh) * 2019-03-15 2022-04-01 温州职业技术学院 一种电子信息安全粉碎装置
CN117131515B (zh) * 2023-10-25 2024-02-20 深圳市慧为智能科技股份有限公司 一种应用请求执行方法、装置、计算机设备和存储介质

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102663286A (zh) * 2012-03-21 2012-09-12 奇智软件（北京）有限公司 一种病毒apk的识别方法及装置
CN102663285A (zh) * 2012-03-21 2012-09-12 奇智软件（北京）有限公司 一种apk病毒特征码的提取方法及装置
CN102799801A (zh) * 2011-05-27 2012-11-28 网秦无限（北京）科技有限公司 利用移动存储器查杀移动设备病毒的方法和系统
CN104008340A (zh) * 2014-06-09 2014-08-27 北京奇虎科技有限公司 病毒查杀方法及装置
CN105095764A (zh) * 2015-09-17 2015-11-25 百度在线网络技术（北京）有限公司 病毒的查杀方法及装置

Family Cites Families (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20030159070A1 (en) * 2001-05-28 2003-08-21 Yaron Mayer System and method for comprehensive general generic protection for computers against malicious programs that may steal information and/or cause damages
US7707620B2 (en) * 2005-05-06 2010-04-27 Cisco Technology, Inc. Method to control and secure setuid/gid executables and processes
US7874001B2 (en) * 2005-07-15 2011-01-18 Microsoft Corporation Detecting user-mode rootkits
US8572371B2 (en) * 2005-10-05 2013-10-29 Ca, Inc. Discovery of kernel rootkits with memory scan
US8127316B1 (en) * 2006-11-30 2012-02-28 Quest Software, Inc. System and method for intercepting process creation events
US9088606B2 (en) * 2012-07-05 2015-07-21 Tenable Network Security, Inc. System and method for strategic anti-malware monitoring
WO2014087597A1 (ja) * 2012-12-07 2014-06-12 キヤノン電子株式会社 ウイルス侵入経路特定装置、ウイルス侵入経路特定方法およびプログラム
CN103530559A (zh) * 2013-09-27 2014-01-22 北京理工大学 一种Android系统的完整性保护系统
CN104573515A (zh) * 2014-12-19 2015-04-29 百度在线网络技术（北京）有限公司 一种病毒处理方法、装置和系统

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102799801A (zh) * 2011-05-27 2012-11-28 网秦无限（北京）科技有限公司 利用移动存储器查杀移动设备病毒的方法和系统
CN102663286A (zh) * 2012-03-21 2012-09-12 奇智软件（北京）有限公司 一种病毒apk的识别方法及装置
CN102663285A (zh) * 2012-03-21 2012-09-12 奇智软件（北京）有限公司 一种apk病毒特征码的提取方法及装置
CN104008340A (zh) * 2014-06-09 2014-08-27 北京奇虎科技有限公司 病毒查杀方法及装置
CN105095764A (zh) * 2015-09-17 2015-11-25 百度在线网络技术（北京）有限公司 病毒的查杀方法及装置

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
一步一步彻底清除幽灵推（Ghost Push）顽固病毒;dsb2468;《http://bbs.duba.net/forum.php?mod=viewthread&tid=23351627》;20150923;第1-13页 *
如何手动清除幽灵推病毒？手动删除幽灵推病毒的方法;脚本社区;《https://www.jb51.net/softjc/384029.html》;20150927;第1-5页 *

Also Published As

Publication number Publication date
US20190018963A1 (en) 2019-01-17
WO2017114341A1 (zh) 2017-07-06
CN106934288A (zh) 2017-07-07
US10878094B2 (en) 2020-12-29

Similar Documents

Publication Publication Date Title
KR101647487B1 (ko) 패치파일 분석시스템과 분석방법
US8397292B2 (en) Method and device for online secure logging-on
US7620990B2 (en) System and method for unpacking packed executables for malware evaluation
JP5963008B2 (ja) コンピュータシステムの分析方法および装置
US9542403B2 (en) Symbolic-link identifying
US20140053267A1 (en) Method for identifying malicious executables
US20100306851A1 (en) Method and apparatus for preventing a vulnerability of a web browser from being exploited
US20160164887A1 (en) Malicious Program Finding And Killing Device, Method And Server Based On Cloud Security
CN103473501B (zh) 一种基于云安全的恶意软件追踪方法
CN106934288B (zh) 一种root病毒清理方法、装置及电子设备
KR101974989B1 (ko) 위험 파일에 대응하는 행위 정보를 결정하는 방법 및 장치
CN102855435A (zh) 一种文件解锁、粉碎的方法及装置
KR100745639B1 (ko) 파일 시스템 및 레지스트리를 보호하는 방법 및 그 장치
CN106934287B (zh) 一种root病毒清理方法、装置及电子设备
KR20150017925A (ko) 절대 경로 관리를 통한 악성 프로그램 검사 시스템
US8938807B1 (en) Malware removal without virus pattern
CN110851840B (zh) 基于网站漏洞的web后门检测方法及装置
CN106843919B (zh) 一种dex文件的存储方法和装置
CN108304699B (zh) 一种对安全软件进行保护的方法及装置
KR102017016B1 (ko) 악성프로그램 처리장치 및 처리방법
CN113590264A (zh) 一种容器环境下的文件防篡改方法及装置
CN113315775A (zh) 恶意事件的定位方法、系统、存储介质和终端
CN106203090A (zh) 线程的保护方法、装置及电子设备
CN117473501A (zh) 基于eBPF的隐藏进程检测方法、装置、设备及介质
CN116566971A (zh) 基于客户端的第三方库下载方法、装置、介质及客户端

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant