CN109582387B - 服务类基线项目的识别方法和装置 - Google Patents

Abstract

本发明公开了一种服务类基线项目的识别方法和装置。所述方法包括：获取注册表型基线项目中keyPath字段的属性值，其中所述属性值包括前缀和/或服务信息；按照预设的验证条件，对所述属性值中的信息进行验证，得到验证结果；根据所述验证结果，确定所述注册表型基线项目是否为服务类基线项目。

Description

服务类基线项目的识别方法和装置

技术领域

本发明涉及信息处理领域，尤指一种服务类基线项目的识别方法和装置。

背景技术

在微软官方发布的安全基线知识库中，注册表型基线项目数量最大且内部分类也最为复杂。其中，服务类基线项目是注册表型基线项目范畴内的特殊分类，该类型的特殊之处表现为：

1)不可修复。安全基线的修复，指的是安全基线软件根据知识库中记载的目标值等信息，对系统中的配置项进行修改，一般情况下即修改、增加、删除三种情况。然而，服务类基线项目对应于系统中的服务，无论是增加还是删除，由程序自动完成难度较大。因此，服务类基线项目往往归类为“不可修复”的基线项目。

2)需要选择性展示。Windows系统中的服务，往往会因为用户的使用习惯、安装参数的不同而产生变化，或增或减不一而同。因此，对于存在于知识库而不在当前系统中的服务，所对应的服务类基线项目也应当予以屏蔽，以避免不必要的操作与麻烦。

3)建议值可能需要自动定制。对于应用场景不同，或者安装配置不同的用户操作系统，可能需要定制不同的建议值，以避免不必要的冲突与麻烦。

鉴于上述特点，对于Windows系统的知识库，需要对其中的服务类基线项目进行单独处理。然而，该知识库中并没有用以标示项目是否为服务类基线项目的字段，因此需要进行判断。目前还没有确定服务类基线项目的方法。

发明内容

为了解决上述技术问题，本发明提供了一种服务类基线项目的识别方法和装置，能够识别注册表型基线项目是否为服务类基线项目。

为了达到本发明目的，本发明提供了一种服务类基线项目的识别方法，包括：

获取注册表型基线项目中keyPath字段的属性值，其中所述属性值包括前缀和/或服务信息；

按照预设的验证条件，对所述属性值中的信息进行验证，得到验证结果；

根据所述验证结果，确定所述注册表型基线项目是否为服务类基线项目。

在一个示例性实施例中，所述按照预设的验证条件，对所述属性值中的信息进行验证，得到验证结果，包括：

将所述属性值的前缀信息与预先设置的服务类基线项目的注册表路径进行比较，得到比较结果；

如果所述比较结果为所述属性值的前缀信息与所述服务类基线项目的注册表路径不一致，则确定验证结果为不通过。

在一个示例性实施例中，所述按照预设的验证条件，对所述属性值中的信息进行验证，得到验证结果，包括：

根据所述属性值的服务信息，查询所述服务信息对应的服务状态，得到查询结果；

如果所述查询结果为未查找所述服务信息对应的服务状态，则确定验证结果为不通过。

在一个示例性实施例中，所述按照预设的验证条件，对所述属性值中的信息进行验证，得到验证结果，包括：

如果所述查询结果为查找所述服务信息对应的服务状态，则根据所述属性值的服务信息，对所述服务信息对应的服务执行调用操作，得到服务调用结果；

如果所述服务调用结果为服务调用成功，则确定验证结果为通过；否则，确定验证结果为不通过。

在一个示例性实施例中，所述根据所述属性值的服务信息，对所述服务信息对应的服务执行调用操作，得到调用结果，包括：

使用服务调用函数OpenService函数，将所述属性值的服务信息作为所述服务调用函数的调用对象，执行服务调用操作；

接收服务调用操作的返回结果；

如果返回结果为预设的服务句柄，则确定服务调用结果为服务调用成功；否则，确定服务调用结果为服务调用失败。

为了达到本发明目的，本发明提供了一种服务类基线项目的识别装置，包括：

获取模块，用于获取注册表型基线项目中keyPath字段的属性值，其中所述属性值包括前缀和/或服务信息；

验证模块，用于按照预设的验证条件，对所述属性值中的信息进行验证，得到验证结果；

确定模块，用于根据所述验证结果，确定所述注册表型基线项目是否为服务类基线项目。

在一个示例性实施例中，所述验证模块包括：

比较单元，用于将所述属性值的前缀信息与预先设置的服务类基线项目的注册表路径进行比较，得到比较结果；

第一确定单元，用于如果所述比较结果为所述属性值的前缀信息与所述服务类基线项目的注册表路径不一致，则确定验证结果为不通过。

在一个示例性实施例中，所述验证模块包括：

查询单元，用于根据所述属性值的服务信息，查询所述服务信息对应的服务状态，得到查询结果；

第二确定单元，用于如果所述查询结果为未查找所述服务信息对应的服务状态，则确定验证结果为不通过。

在一个示例性实施例中，所述验证模块还包括：

调用单元，用于如果所述查询结果为查找所述服务信息对应的服务状态，则根据所述属性值的服务信息，对所述服务信息对应的服务执行调用操作，得到服务调用结果；

第三确定单元，用于如果所述服务调用结果为服务调用成功，则确定验证结果为通过；否则，确定验证结果为不通过。

在一个示例性实施例中，所述调用单元包括：

调用子单元，用于使用服务调用函数OpenService函数，将所述属性值的服务信息作为所述服务调用函数的调用对象，执行服务调用操作；

接收子单元，用于接收服务调用操作的返回结果；

确定子单元，用于如果返回结果为预设的服务句柄，则确定服务调用结果为服务调用成功；否则，确定服务调用结果为服务调用失败。

本发明提供的实施例，获取注册表型基线项目中keyPath字段的属性值，其中所述属性值包括前缀和/或服务信息，按照预设的验证条件，对所述属性值中的信息进行验证，得到验证结果；根据所述验证结果，确定所述注册表型基线项目是否为服务类基线项目，通过对keyPath字段的属性值中的信息进行验证，实现识别注册表型基线项目是否为服务类基线项目的目的。

本发明的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点可通过在说明书、权利要求书以及附图中所特别指出的结构来实现和获得。

附图说明

附图用来提供对本发明技术方案的进一步理解，并且构成说明书的一部分，与本申请的实施例一起用于解释本发明的技术方案，并不构成对本发明技术方案的限制。

图1为本发明提供的服务类基线项目的识别方法的流程图；

图2为本发明实施例提供的服务类基线项目的识别方法的流程图；

图3为本发明提供的服务类基线项目的识别装置的结构图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚明白，下文中将结合附图对本发明的实施例进行详细说明。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互任意组合。

在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行。并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

图1为本发明提供的服务类基线项目的识别方法的流程图。图1所示方法包括：

步骤101、获取注册表型基线项目中keyPath字段的属性值，其中所述属性值包括前缀和/或服务信息；

其中，keyPath字段的内容在注册表信息中<mssasc-core:KeyPath>开头，以</mssasc-core:KeyPath>为结束的内容；

步骤102、按照预设的验证条件，对所述属性值中的信息进行验证，得到验证结果；

分别对前缀和/或服务信息进行分别验证，包括：

通过该前缀信息可以判断该注册信息是否属于服务类的注册信息；

通过该服务信息可以判断该服务是否存在，和/或，该服务是否可用；

步骤103、根据所述验证结果，确定所述注册表型基线项目是否为服务类基线项目。

如果验证通过，则确定所述注册表型基线项目为服务类基线项目；否则，确定所述注册表型基线项目不是服务类基线项目。

本发明提供的方法实施例，获取注册表型基线项目中keyPath字段的属性值，其中所述属性值包括前缀和/或服务信息，按照预设的验证条件，对所述属性值中的信息进行验证，得到验证结果；根据所述验证结果，确定所述注册表型基线项目是否为服务类基线项目，通过对keyPath字段的属性值中的信息进行验证，实现识别注册表型基线项目是否为服务类基线项目的目的。

下面对本发明提供的方法作进一步说明：

在一个示例性实施例中，所述按照预设的验证条件，对所述属性值中的信息进行验证，得到验证结果，包括：

将所述属性值的前缀信息与预先设置的服务类基线项目的注册表路径进行比较，得到比较结果；

如果所述比较结果为所述属性值的前缀信息与所述服务类基线项目的注册表路径不一致，则确定验证结果为不通过。

在本示例性实施例中，所述服务类的注册表的路径如下：

SYSTEM\CurrentControlSet\services；

通过判断属性值信息中的前缀信息是否与该路径一致，可以判断该注册表型基线项目是否为服务类的注册基线项目。

通过上述方式对基线项目进行判断，性能开销低且可以有效过滤掉绝大多数的注册表型基线项目。

在一个示例性实施例中，所述按照预设的验证条件，对所述属性值中的信息进行验证，得到验证结果，包括：

根据所述属性值的服务信息，查询所述服务信息对应的服务状态，得到查询结果；

如果所述查询结果为未查找所述服务信息对应的服务状态，则确定验证结果为不通过。

在一个示例性实施例中，可以调用sc query命令队服务状态进行查询，其中scquery命令用于询问一个服务的状态，或者，列举服务的状态类型。

在本示例性实施例中，将KeyPath字段中的最后一部分作为服务名，拼接于scquery命令之后，完成对该服务状态的查询；另外，在获取查询结果时，通过popen命令进行结果的读取，可以得到查询操作的返回结果。

在一个示例性实施例中，所述按照预设的验证条件，对所述属性值中的信息进行验证，得到验证结果，包括：

如果所述查询结果为查找所述服务信息对应的服务状态，则根据所述属性值的服务信息，对所述服务信息对应的服务执行调用操作，得到服务调用结果；

如果所述服务调用结果为服务调用成功，则确定验证结果为通过；否则，确定验证结果为不通过。

在本示例性实施例中，由于sc query命令能够查询到的范围较广，其中的许多隐藏服务实际上并不在安全基线范畴内，因此如果将其归于服务类基线项目，容易造成结果误判。因此，通过调用系统API进行最终的确认，提高识别的精准度。

在一个示例性实施例中，所述根据所述属性值的服务信息，对所述服务信息对应的服务执行调用操作，得到调用结果，包括：

使用服务调用函数OpenService函数，将所述属性值的服务信息作为所述服务调用函数的调用对象，执行服务调用操作；

接收服务调用操作的返回结果；

如果返回结果为预设的服务句柄，则确定服务调用结果为服务调用成功；否则，确定服务调用结果为服务调用失败。

在本示例性实施例中，利用系统自带的服务调用函数，实现对服务的调用操作，利用函数的信息返回规则来判断调用是否成功；如果该函数调用成功，即返回了正确的服务句柄，则确定服务调用结果为服务调用成功；否则，确定服务调用结果为服务调用失败。

图2为本发明实施例提供的服务类基线项目的识别方法的流程图。图2所示方法包括：

步骤201、获取注册表型基线项目中keyPath字段的属性值；

以服务类项目的DiscoveryInfo内容为例进行说明：

在上述实施例中，keyPath字段的属性值内容如下：

SYSTEM\CurrentControlSet\services\ComSysApp。

步骤202、判断所述属性值的前缀是否为服务类的注册表的路径信息；

其中，所述服务类的注册表的路径为SYSTEM\CurrentControlSet\services；

由于服务类的注册表都会位于SYSTEM\CurrentControlSet\services路径下，但这仅是必要条件而非充分条件，因为该路径下可能会有服务参数键值，可能会对结果产生干扰。

如果是，则执行步骤203，否则，确定所述注册表型基线项目不是服务类基线项目；

步骤203、根据所述keyPath字段的属性值中最后一段数据，判断所述最后一段数据对应的服务是否处于服务状态；

调用系统的sc query命令，其中sc query命令用于询问一个服务的状态，或者，列举服务的状态类型。

在本示例性实施例中，将KeyPath字段中的最后一部分作为服务名，拼接于scquery命令之后，并通过popen命令进行查询，即可得到命令返回结果。

以上述例子说明，KeyPath字段中的最后一部分内容为ComSysApp；在利用scquery命令时，执行sc query ComSysApp命令，通过popen读取返回结果；

如果执行结果报错，或者，提示未查询到该服务，则认为查询失败，确定所述注册表型基线项目不是服务类基线项目；否则，执行步骤204；

步骤204、根据所述keyPath字段的属性值中最后一段数据，判断所述最后一段数据对应的服务是否能够被调用；

在本示例性实施例中，可以使用OpenService函数来调用服务，对上一部中的KeyPath字段中的最后一部分进行再次判断，如果该函数调用成功，即返回了正确的服务句柄，则确定该基线项目为服务类基线项目，否则，确定该基线项目不是服务类基线项目。

图3为本发明提供的服务类基线项目的识别装置的结构图。图3所示装置包括：

获取模块301，用于获取注册表型基线项目中keyPath字段的属性值，其中所述属性值包括前缀和/或服务信息；

验证模块302，用于按照预设的验证条件，对所述属性值中的信息进行验证，得到验证结果；

确定模块303，用于根据所述验证结果，确定所述注册表型基线项目是否为服务类基线项目。

在一个示例性实施例中，所述验证模块303包括：

比较单元，用于将所述属性值的前缀信息与预先设置的服务类基线项目的注册表路径进行比较，得到比较结果；

第一确定单元，用于如果所述比较结果为所述属性值的前缀信息与所述服务类基线项目的注册表路径不一致，则确定验证结果为不通过。

在一个示例性实施例中，所述验证模块303包括：

查询单元，用于根据所述属性值的服务信息，查询所述服务信息对应的服务状态，得到查询结果；

第二确定单元，用于如果所述查询结果为未查找所述服务信息对应的服务状态，则确定验证结果为不通过。

在一个示例性实施例中，所述验证模块303还包括：

调用单元，用于如果所述查询结果为查找所述服务信息对应的服务状态，则根据所述属性值的服务信息，对所述服务信息对应的服务执行调用操作，得到服务调用结果；

第三确定单元，用于如果所述服务调用结果为服务调用成功，则确定验证结果为通过；否则，确定验证结果为不通过。

在一个示例性实施例中，所述调用单元包括：

调用子单元，用于使用服务调用函数OpenService函数，将所述属性值的服务信息作为所述服务调用函数的调用对象，执行服务调用操作；

接收子单元，用于接收服务调用操作的返回结果；

确定子单元，用于如果返回结果为预设的服务句柄，则确定服务调用结果为服务调用成功；否则，确定服务调用结果为服务调用失败。

本发明提供的装置实施例，获取注册表型基线项目中keyPath字段的属性值，其中所述属性值包括前缀和/或服务信息，按照预设的验证条件，对所述属性值中的信息进行验证，得到验证结果；根据所述验证结果，确定所述注册表型基线项目是否为服务类基线项目，通过对keyPath字段的属性值中的信息进行验证，实现识别注册表型基线项目是否为服务类基线项目的目的。

本领域普通技术人员可以理解，上文中所公开方法中的全部或某些步骤、系统、装置中的功能模块/单元可以被实施为软件、固件、硬件及其适当的组合。在硬件实施方式中，在以上描述中提及的功能模块/单元之间的划分不一定对应于物理组件的划分；例如，一个物理组件可以具有多个功能，或者一个功能或步骤可以由若干物理组件合作执行。某些组件或所有组件可以被实施为由处理器，如数字信号处理器或微处理器执行的软件，或者被实施为硬件，或者被实施为集成电路，如专用集成电路。这样的软件可以分布在计算机可读介质上，计算机可读介质可以包括计算机存储介质(或非暂时性介质)和通信介质(或暂时性介质)。如本领域普通技术人员公知的，术语计算机存储介质包括在用于存储信息(诸如计算机可读指令、数据结构、程序模块或其他数据)的任何方法或技术中实施的易失性和非易失性、可移除和不可移除介质。计算机存储介质包括但不限于RAM、ROM、EEPROM、闪存或其他存储器技术、CD-ROM、数字多功能盘(DVD)或其他光盘存储、磁盒、磁带、磁盘存储或其他磁存储装置、或者可以用于存储期望的信息并且可以被计算机访问的任何其他的介质。此外，本领域普通技术人员公知的是，通信介质通常包含计算机可读指令、数据结构、程序模块或者诸如载波或其他传输机制之类的调制数据信号中的其他数据，并且可包括任何信息递送介质。

Claims (10)

1.一种服务类基线项目的识别方法，其特征在于，包括：

获取注册表型基线项目中keyPath字段的属性值，其中所述属性值包括前缀和/或服务信息，其中，keyPath字段的内容在注册表信息中<mssasc-core:KeyPath>开头，以</mssasc-core:KeyPath>为结束的内容；

按照预设的验证条件，对所述属性值中的信息进行验证，得到验证结果；

根据所述验证结果，确定所述注册表型基线项目是否为服务类基线项目。

2.根据权利要求1所述的方法，其特征在于，所述按照预设的验证条件，对所述属性值中的信息进行验证，得到验证结果，包括：

将所述属性值的前缀信息与预先设置的服务类基线项目的注册表路径进行比较，得到比较结果；

如果所述比较结果为所述属性值的前缀信息与所述服务类基线项目的注册表路径不一致，则确定验证结果为不通过。

3.根据权利要求1或2所述的方法，其特征在于，所述按照预设的验证条件，对所述属性值中的信息进行验证，得到验证结果，包括：

根据所述属性值的服务信息，查询所述服务信息对应的服务状态，得到查询结果；

如果所述查询结果为未查找所述服务信息对应的服务状态，则确定验证结果为不通过。

4.根据权利要求3所述的方法，其特征在于，所述按照预设的验证条件，对所述属性值中的信息进行验证，得到验证结果，包括：

如果所述查询结果为查找所述服务信息对应的服务状态，则根据所述属性值的服务信息，对所述服务信息对应的服务执行调用操作，得到服务调用结果；

如果所述服务调用结果为服务调用成功，则确定验证结果为通过；否则，确定验证结果为不通过。

5.根据权利要求4所述的方法，其特征在于，所述根据所述属性值的服务信息，对所述服务信息对应的服务执行调用操作，得到调用结果，包括：

使用服务调用函数OpenService函数，将所述属性值的服务信息作为所述服务调用函数的调用对象，执行服务调用操作；

接收服务调用操作的返回结果；

如果返回结果为预设的服务句柄，则确定服务调用结果为服务调用成功；否则，确定服务调用结果为服务调用失败。

6.一种服务类基线项目的识别装置，其特征在于，包括：

获取模块，用于获取注册表型基线项目中keyPath字段的属性值，其中所述属性值包括前缀和/或服务信息，其中，keyPath字段的内容在注册表信息中<mssasc-core:KeyPath>开头，以</mssasc-core:KeyPath>为结束的内容；

验证模块，用于按照预设的验证条件，对所述属性值中的信息进行验证，得到验证结果；

确定模块，用于根据所述验证结果，确定所述注册表型基线项目是否为服务类基线项目。

7.根据权利要求6所述的装置，其特征在于，所述验证模块包括：

比较单元，用于将所述属性值的前缀信息与预先设置的服务类基线项目的注册表路径进行比较，得到比较结果；

第一确定单元，用于如果所述比较结果为所述属性值的前缀信息与所述服务类基线项目的注册表路径不一致，则确定验证结果为不通过。

8.根据权利要求6或7所述的装置，其特征在于，所述验证模块包括：

查询单元，用于根据所述属性值的服务信息，查询所述服务信息对应的服务状态，得到查询结果；

第二确定单元，用于如果所述查询结果为未查找所述服务信息对应的服务状态，则确定验证结果为不通过。

9.根据权利要求8所述的装置，其特征在于，所述验证模块还包括：

调用单元，用于如果所述查询结果为查找所述服务信息对应的服务状态，则根据所述属性值的服务信息，对所述服务信息对应的服务执行调用操作，得到服务调用结果；

第三确定单元，用于如果所述服务调用结果为服务调用成功，则确定验证结果为通过；否则，确定验证结果为不通过。

10.根据权利要求9所述的装置，其特征在于，所述调用单元包括：

调用子单元，用于使用服务调用函数OpenService函数，将所述属性值的服务信息作为所述服务调用函数的调用对象，执行服务调用操作；

接收子单元，用于接收服务调用操作的返回结果；

确定子单元，用于如果返回结果为预设的服务句柄，则确定服务调用结果为服务调用成功；否则，确定服务调用结果为服务调用失败。

Images