CN109766700A - 访问文件的控制方法及装置、存储介质、电子装置 - Google Patents

Abstract

本发明提供了一种访问文件的控制方法及装置、存储介质、电子装置，其中，该方法包括：检测访问目标文件的操作行为；在服务器本地识别所述操作行为的操作主体，其中，所述操作主体为触发所述操作行为的进程；在所述操作主体不具备对所述目标文件的访问权限时，拦截所述操作行为。通过本发明，解决了相关技术中文件的安全性低的技术问题，提高了文件的安全性。

Description

访问文件的控制方法及装置、存储介质、电子装置

技术领域

本发明涉及计算机领域，具体而言，涉及一种访问文件的控制方法及装置、存储介质、电子装置。

背景技术

文件是设备中存储信息数据的常见形式，由于其使用和传输的广泛性，通常情况下，文件可以被任何操作主体访问，甚至编辑。

相关技术中，对文件的操作权限，通过设置登录用户的权限来做控制，或者是设置隐藏空间来保护文件，如一般用户账号可以访问用户文件，管理员账号可以访问系统文件等，而未对进程的访问控制做任何限制，所以无法防护利用可信进程对文件的恶意操作，隐藏空间也只能被动保护文件，影响用户的正常使用。

针对相关技术中存在的上述问题，目前尚未发现有效的解决方案。

发明内容

本发明实施例提供了一种访问文件的控制方法及装置、存储介质、电子装置。

根据本发明的一个实施例，提供了一种访问文件的控制方法，包括：检测访问目标文件的操作行为；在服务器本地识别所述操作行为的操作主体，其中，所述操作主体为触发所述操作行为的进程；在所述操作主体不具备对所述目标文件的访问权限时，拦截所述操作行为。

可选的，识别所述操作行为的操作主体包括：在服务器本地识别所述操作行为的操作主体包括：在服务器本地从客户端采集所述操作行为的内存序列，其中，所述目标文件运行在所述客户端上；解析所述内存序列中的进程标识，得到所述操作行为对应进程的父进程；将所述父进程确定为所述操作行为的操作主体。

可选的，在拦截所述操作行为之前，所述方法还包括：判断所述操作主体的操作权限范围是否包括对所述目标文件的访问权限；在所述操作主体的操作权限范围包括对所述目标文件的访问权限，确定所述操作主体具备对所述目标文件的访问权限；在所述操作主体的操作权限范围不包括对所述目标文件的访问权限时，确定所述操作主体不具备对所述目标文件的访问权限。

可选的，判断所述操作主体的操作权限范围是否包括对所述目标文件的访问权限包括：获取所述操作主体的文件权限库，其中，所述文件权限库包括允许所述操作主体合法访问的文件的文件标识；判断所述文件权限库是否包括所述目标文件的文件标识；在所述文件权限库包括所述目标文件的文件标识时，确定所述操作主体的操作权限范围包括对所述目标文件的访问权限；在所述文件权限库不包括所述目标文件的文件标识时，确定所述操作主体的操作权限范围不包括对所述目标文件的访问权限。

可选的，在拦截所述操作行为之前，所述方法还包括：判断所述目标文件的合法访问对象是否包括所述操作主体；在所述目标文件的合法访问对象包括所述操作主体时，确定所述操作主体具备对所述目标文件的访问权限；在所述目标文件的合法访问对象不包括所述操作主体时，确定所述操作主体不具备对所述目标文件的访问权限。

可选的，在判断所述目标文件的合法访问对象是否包括所述操作主体之前，所述方法还包括：通过指定渠道收集多个软件包，其中，所述软件包包括所述目标文件；对所述软件包进行安装和解压，得到多个关联文件，其中，所述关联文件包括软件包自己创建的文件，以及与自己一起由同一软件包直接或间接创建的文件；获取所述多个关联文件的哈希信息，其中，所述哈希信息用于指示关联文件的身份；将所述哈希信息对应的关联文件确定为所述合法访问对象的成员，并建立所述哈希信息与所述目标文件之间的关联关系。

可选的，所述方法还包括：在所述操作主体具备对所述目标文件的访问权限时，放行所述操作行为；或，在拦截所述操作行为之后，定位所述操作主体，封堵所述操作主体与所述目标文件之间的调用通道。

根据本发明的另一个实施例，提供了一种访问文件的控制装置，包括：检测模块，用于检测访问目标文件的操作行为；识别模块，用于在服务器本地识别所述操作行为的操作主体，其中，所述操作主体为触发所述操作行为的进程；拦截模块，用于在所述操作主体不具备对所述目标文件的访问权限时，拦截所述操作行为。

可选的，所述识别模块包括：读取单元，用于在服务器本地从客户端采集所述操作行为的内存序列，其中，所述目标文件运行在所述客户端上；解析单元，用于解析所述内存序列中的进程标识，得到所述操作行为对应进程的父进程；确定单元，用于将所述父进程确定为所述操作行为的操作主体。

可选的，所述装置还包括：判断模块，用于在所述拦截模块拦截所述操作行为之前，判断所述操作主体的操作权限范围是否包括对所述目标文件的访问权限；确定模块，用于在所述操作主体的操作权限范围包括对所述目标文件的访问权限时，确定所述操作主体具备对所述目标文件的访问权限；在所述操作主体的操作权限范围不包括对所述目标文件的访问权限时，确定所述操作主体不具备对所述目标文件的访问权限。

可选的，所述装置还包括：第一判断模块，用于在所述拦截模块拦截所述操作行为之前，判断所述操作主体的操作权限范围是否包括对所述目标文件的访问权限；第一确定模块，用于在所述操作主体的操作权限范围包括对所述目标文件的访问权限时，确定所述操作主体具备对所述目标文件的访问权限；在所述操作主体的操作权限范围不包括对所述目标文件的访问权限时，确定所述操作主体不具备对所述目标文件的访问权限。

可选的，所述第一判断模块包括：获取单元，用于获取所述操作主体的文件权限库，其中，所述文件权限库包括允许所述操作主体合法访问的文件的文件标识；判断单元，用于判断所述文件权限库是否包括所述目标文件的文件标识；确定单元，用于在所述文件权限库包括所述目标文件的文件标识时，确定所述操作主体的操作权限范围包括对所述目标文件的访问权限；在所述文件权限库不包括所述目标文件的文件标识时，确定所述操作主体的操作权限范围不包括对所述目标文件的访问权限。

可选的，所述装置还包括：第二判断模块，用于在所述拦截模块拦截所述操作行为之前，判断所述目标文件的合法访问对象是否包括所述操作主体；第二确定模块，用于在所述目标文件的合法访问对象包括所述操作主体时，确定所述操作主体具备对所述目标文件的访问权限；在所述目标文件的合法访问对象不包括所述操作主体时，确定所述操作主体不具备对所述目标文件的访问权限。

可选的，所述装置还包括：设置模块，用于在判断所述目标文件的合法访问对象是否包括所述操作主体之前，设置所述合法访问对象的集合。

可选的，所述设置模块包括：收集单元，用于通过指定渠道收集多个软件包，其中，所述软件包包括所述目标文件；处理单元，用于对所述软件包进行安装和解压，得到多个关联文件，其中，所述关联文件包括软件包自己创建的文件，以及与自己一起由同一软件包直接或间接创建的文件；获取单元，用于获取所述多个关联文件的哈希信息，其中，所述哈希信息用于指示关联文件的身份；建立单元，用于将所述哈希信息对应的关联文件确定为所述合法访问对象的成员，并建立所述哈希信息与所述目标文件之间的关联关系。

可选的，所述装置还包括：放行模块，用于在所述操作主体具备对所述目标文件的访问权限时，放行所述操作行为。

可选的，所述装置还包括：追溯模块，用于在所述拦截模块拦截所述操作行为之后，定位所述操作主体，封堵所述操作主体与所述目标文件之间的调用通道。

根据本发明的又一个实施例，还提供了一种存储介质，所述存储介质中存储有计算机程序，其中，所述计算机程序被设置为运行时执行上述任一项装置实施例中的步骤。

根据本发明的又一个实施例，还提供了一种电子装置，包括存储器和处理器，所述存储器中存储有计算机程序，所述处理器被设置为运行所述计算机程序以执行上述任一项方法实施例中的步骤。

通过本发明，检测访问目标文件的操作行为，并识别所述操作行为的操作主体，在所述操作主体不具备对所述目标文件的访问权限时，拦截所述操作行为，通过将文件的被访问权限控制在预设权限范围内，只有目标文件的归属主体才能访问目标文件，可以防止通过控制第三方可信进程对文件进行非法操作，避免和减少因攻击可信软件来操作文件而产生的损失，解决了相关技术中文件的安全性低的技术问题，提高了文件的安全性。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1是本发明实施例的一种访问文件的控制服务器的硬件结构框图；

图2是根据本发明实施例的一种访问文件的控制方法的流程图；

图3是本发明实施例的应用场景图；

图4是根据本发明实施例的访问文件的控制装置的结构框图。

具体实施方式

为了使本技术领域的人员更好地理解本申请方案，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分的实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本申请保护的范围。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。

需要说明的是，本申请的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本申请的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

实施例1

本申请实施例一所提供的方法实施例可以在移动终端、计算机终端、服务器或者类似的运算装置中执行。以运行在服务器上为例，图1是本发明实施例的一种访问文件的控制服务器的硬件结构框图。如图1所示，服务器10可以包括一个或多个(图1中仅示出一个)处理器102(处理器102可以包括但不限于微处理器MCU或可编程逻辑器件FPGA等的处理装置)和用于存储数据的存储器104，可选地，上述服务器还可以包括用于通信功能的传输设备106以及输入输出设备108。本领域普通技术人员可以理解，图1所示的结构仅为示意，其并不对上述服务器的结构造成限定。例如，服务器10还可包括比图1中所示更多或者更少的组件，或者具有与图1所示不同的配置。

存储器104可用于存储计算机程序，例如，应用软件的软件程序以及模块，如本发明实施例中的一种访问文件的控制方法对应的计算机程序，处理器102通过运行存储在存储器104内的计算机程序，从而执行各种功能应用以及数据处理，即实现上述的方法。存储器104可包括高速随机存储器，还可包括非易失性存储器，如一个或者多个磁性存储装置、闪存、或者其他非易失性固态存储器。在一些实例中，存储器104可进一步包括相对于处理器102远程设置的存储器，这些远程存储器可以通过网络连接至服务器10。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

传输装置106用于经由一个网络接收或者发送数据。上述的网络具体实例可包括服务器10的通信供应商提供的无线网络。在一个实例中，传输装置106包括一个网络适配器(Network Interface Controller，简称为NIC)，其可通过基站与其他网络设备相连从而可与互联网进行通讯。在一个实例中，传输装置106可以为射频(Radio Frequency，简称为RF)模块，其用于通过无线方式与互联网进行通讯。

在本实施例中提供了一种访问文件的控制方法，图2是根据本发明实施例的一种访问文件的控制方法的流程图，如图2所示，该流程包括如下步骤：

步骤S202，检测访问目标文件的操作行为；

本实施例检测的目标文件可以存储在各种设备中，如台式电脑，笔记本，手机，平板电脑，U盘、服务器等可以接入网络或者是可以被控制的电子设备，本实施例的操作行为用于访问目标文件，如读取目标文件，修改、删除、复制、启动目标文件等。

步骤S204，在服务器本地识别所述操作行为的操作主体，其中，所述操作主体为触发所述操作行为的进程；动态的应用程序为进程，在本实施例中，进程和应用程序为等同的概率；

步骤S206，在所述操作主体不具备对所述目标文件的访问权限时，拦截所述操作行为。进一步的，在拦截所述行为动作后，还可以生成提示信息或告警消息，告知用户或者设备的安全软件，目标文件存在安全风险，用户或者安全软件可以对其进行深入检查或处理，如在拦截所述操作行为之后，定位所述操作主体，封堵所述操作主体与所述目标文件之间的调用通道，防止该操作主体后续发起的操作行为。在另一方面，在所述操作主体具备对所述目标文件的访问权限时，放行所述操作行为。

通过上述步骤，检测访问目标文件的操作行为，并识别所述操作行为的操作主体，在所述操作主体不具备对所述目标文件的访问权限时，拦截所述操作行为，通过将文件的被访问权限控制在预设权限范围内，只有目标文件的归属主体才能访问目标文件，可以防止通过控制第三方可信进程对文件进行非法操作，避免和减少因攻击可信软件来操作文件而产生的损失，解决了相关技术中文件的安全性低的技术问题，提高了文件的安全性。

可选的，在服务器本地识别所述操作行为的操作主体包括：在服务器本地从客户端采集所述操作行为的内存序列，其中，所述目标文件运行在所述客户端上；解析所述内存序列中的进程标识，得到所述操作行为对应进程的父进程；将所述父进程确定为所述操作行为的操作主体。每个操作行为在触发时，都会在内存生成对应的内存序列，如触发的操作行为为访问系统盘中的目标文件时，在内存会生成特定的内存序列，进而解析所述内存序列的进程标识，并得到所述操作行为的操作主体。该进程标识中存储的是哈希信息，即哈希值，用于指示操作行为对应进程的父进程的身份信息，可选的，还可以对哈希值做进一步的校验，如采用HashTab工具校验哈希，或者采用PowerShell校验哈希，确定哈希值是正确的，没有被篡改过，以防止操作主体的身份信息被伪造。

在一个示例中，在预先部署期间，收集正在运行的应用程序所在的工作目录，并标识该应用程序为该工作目录中各个文件的归属主体。

在本实施例中，在拦截所述操作行为之前，还包括：设置该目标文件的合法访问对象的集合，本实施例中的合法访问对象是指允许合法访问目标文件的主体。或者是设置该操作主体的操作权限范围。

在本实施例的一个可选实施方式中，设置该目标文件的合法访问对象的集合包括：

S11，通过指定渠道收集多个软件包，其中，所述软件包包括所述目标文件；指定渠道是指合法渠道，正规渠道，如官网，认证平台，软件包包括多种，只要是包含该目标文件，或者是在正常工作是需要调用该目标文件。

S12，对所述软件包进行安装和解压，得到多个关联文件，其中，所述关联文件包括软件包自己创建的文件，以及与自己一起由同一软件包直接或间接创建的文件；软件包是一个待安装的压缩包，通过安装和解压，可以得到解压缩文件，即一个软件包下面的多个关联文件；如收集了两个软件包，其关联文件分别为：{a，b，c}，{a，b，e}，其中，b，c，b，e均是目标文件a的合法访问对象；

例如，应用程序只可以全权操作(读、写、打开、删除等)自己创建的或与自己一起由同一安装包直接或间接创建的文件，不可以操作(读、写、打开、删除等)除自己创建的或与自己一起由同一安装包直接或间接创建的文件外的，任何非系统的文件。例如，应用程序m自己创建了文件n和文件k，则应用程序m可以操作文件n和文件k，应用程序m为文件n和文件k的合法访问对象，文件n和文件k之间可以相互操作，互为合法访问对象。

S13，获取所述多个关联文件的哈希信息，其中，所述哈希信息用于指示关联文件的身份；

S14，将所述哈希信息对应的关联文件确定为所述合法访问对象的成员，并建立所述哈希信息与所述目标文件之间的关联关系。即关联文件中，除了自己可以访问自己外，b，c，e也是合法访问对象的成员，如果操作主体是b,c，e中的其中一个，则认为是合法的。

在本实施例的中，在拦截所述操作行为之前，还包括：判断所述操作主体的操作权限范围是否包括对所述目标文件的访问权限，和/或，判断所述目标文件的合法访问对象是否包括所述操作主体；在所述操作主体的操作权限范围包括对所述目标文件的访问权限，和/或，所述目标文件的合法访问对象包括所述操作主体时，确定所述操作主体具备对所述目标文件的访问权限；在所述操作主体的操作权限范围不包括对所述目标文件的访问权限，和/或，所述目标文件的合法访问对象不包括所述操作主体时，确定所述操作主体不具备对所述目标文件的访问权限。除了限定目标文件的合法访问对象之外，还可以使用限定操作主体的操作权限，不同的操作主体的操作权限可能会不同，如第一类型的操作主体可以访问目标文件，第二类型的操作主体不可以访问目标文件。

可选的，判断所述操作主体的操作权限范围是否包括对所述目标文件的访问权限包括：

S21，获取所述操作主体的文件权限库，其中，所述文件权限库包括允许所述操作主体合法访问的文件的文件标识；

文件的归属主体，可以通过预先收集软件的行为来建立文件权限库，比如，软件在安全环境下产出的行为所对应的文件操作对象就视为该软件所能访问的文件(集合)，然后将这部分文件的归属主体标识成QQ进程(如QQ软件)；

S22，判断所述文件权限库是否包括所述目标文件的文件标识；

S23，在所述文件权限库包括所述目标文件的文件标识时，确定所述操作主体的操作权限范围包括对所述目标文件的访问权限；在所述文件权限库不包括所述目标文件的文件标识时，确定所述操作主体的操作权限范围不包括对所述目标文件的访问权限。

可选地，上述步骤的执行主体可以为连接一个或多个客户端或服务器等，客户端可以是移动终端，PC等，服务器可以是防火墙服务器，安全服务器等，但不限于此。在应用在服务器端时，服务器通过网络连接到多个运行目标文件的客户端，对其进行安全防护，图3是本发明实施例的应用场景图，服务器连接多个客户端，所述目标文件运行在所述客户端上，服务端检测访问目标文件的操作行为，在服务器本地识别所述操作行为的操作主体，在所述操作主体不具备对所述目标文件的访问权限时，拦截所述操作行为。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到根据上述实施例的方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端设备(可以是手机，计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。

实施例2

在本实施例中还提供了一种访问文件的控制装置，可以是终端或服务器，该装置用于实现上述实施例及优选实施方式，已经进行过说明的不再赘述。如以下所使用的，术语“模块”可以实现预定功能的软件和/或硬件的组合。尽管以下实施例所描述的装置较佳地以软件来实现，但是硬件，或者软件和硬件的组合的实现也是可能并被构想的。

图4是根据本发明实施例的访问文件的控制装置的结构框图，可以应用在客户端或服务器中，如图4所示，该装置包括：检测模块40，识别模块42，拦截模块44，其中，

检测模块40，用于检测访问目标文件的操作行为；

识别模块42，用于在服务器本地识别所述操作行为的操作主体，其中，所述操作主体为触发所述操作行为的进程；

拦截模块44，用于在所述操作主体不具备对所述目标文件的访问权限时，拦截所述操作行为。

可选的，所述识别模块包括：读取单元，用于在服务器本地从客户端采集所述操作行为的内存序列，其中，所述目标文件运行在所述客户端上；解析单元，用于解析所述内存序列中的进程标识，得到所述操作行为对应进程的父进程；确定单元，用于将所述父进程确定为所述操作行为的操作主体。

可选的，所述装置还包括：判断模块，用于在所述拦截模块拦截所述操作行为之前，判断所述操作主体的操作权限范围是否包括对所述目标文件的访问权限；确定模块，用于在所述操作主体的操作权限范围包括对所述目标文件的访问权限时，确定所述操作主体具备对所述目标文件的访问权限；在所述操作主体的操作权限范围不包括对所述目标文件的访问权限时，确定所述操作主体不具备对所述目标文件的访问权限。

可选的，所述装置还包括：第一判断模块，用于在所述拦截模块拦截所述操作行为之前，判断所述操作主体的操作权限范围是否包括对所述目标文件的访问权限；第一确定模块，用于在所述操作主体的操作权限范围包括对所述目标文件的访问权限时，确定所述操作主体具备对所述目标文件的访问权限；在所述操作主体的操作权限范围不包括对所述目标文件的访问权限时，确定所述操作主体不具备对所述目标文件的访问权限。

可选的，所述第一判断模块包括：获取单元，用于获取所述操作主体的文件权限库，其中，所述文件权限库包括允许所述操作主体合法访问的文件的文件标识；判断单元，用于判断所述文件权限库是否包括所述目标文件的文件标识；确定单元，用于在所述文件权限库包括所述目标文件的文件标识时，确定所述操作主体的操作权限范围包括对所述目标文件的访问权限；在所述文件权限库不包括所述目标文件的文件标识时，确定所述操作主体的操作权限范围不包括对所述目标文件的访问权限。

可选的，所述装置还包括：第二判断模块，用于在所述拦截模块拦截所述操作行为之前，判断所述目标文件的合法访问对象是否包括所述操作主体；第二确定模块，用于在所述目标文件的合法访问对象包括所述操作主体时，确定所述操作主体具备对所述目标文件的访问权限；在所述目标文件的合法访问对象不包括所述操作主体时，确定所述操作主体不具备对所述目标文件的访问权限。

可选的，所述装置还包括：设置模块，用于在判断所述目标文件的合法访问对象是否包括所述操作主体之前，设置所述合法访问对象的集合。

可选的，所述设置模块包括：收集单元，用于通过指定渠道收集多个软件包，其中，所述软件包包括所述目标文件；处理单元，用于对所述软件包进行安装和解压，得到多个关联文件，其中，所述关联文件包括软件包自己创建的文件，以及与自己一起由同一软件包直接或间接创建的文件；获取单元，用于获取所述多个关联文件的哈希信息，其中，所述哈希信息用于指示关联文件的身份；建立单元，用于将所述哈希信息对应的关联文件确定为所述合法访问对象的成员，并建立所述哈希信息与所述目标文件之间的关联关系。

可选的，所述装置还包括：放行模块，用于在所述操作主体具备对所述目标文件的访问权限时，放行所述操作行为。

可选的，所述装置还包括：追溯模块，用于在所述拦截模块拦截所述操作行为之后，定位所述操作主体，封堵所述操作主体与所述目标文件之间的调用通道。

需要说明的是，终端和服务器仅是方案在执行主体上的差异，上述访问文件的控制装置中的各个示例和可选方案同样适应在服务器中，并产生相同的技术效果。

需要说明的是，上述各个模块是可以通过软件或硬件来实现的，对于后者，可以通过以下方式实现，但不限于此：上述模块均位于同一处理器中；或者，上述各个模块以任意组合的形式分别位于不同的处理器中。

实施例3

本发明的实施例还提供了一种存储介质，该存储介质中存储有计算机程序，其中，该计算机程序被设置为运行时执行上述任一项方法实施例中的步骤。

可选地，在本实施例中，上述存储介质可以被设置为存储用于执行以下步骤的计算机程序：

S1，检测访问目标文件的操作行为；

S2，在服务器本地识别所述操作行为的操作主体，其中，所述操作主体为触发所述操作行为的进程；

S3，在所述操作主体不具备对所述目标文件的访问权限时，拦截所述操作行为。

可选地，在本实施例中，上述存储介质可以包括但不限于：U盘、只读存储器(Read-Only Memory，简称为ROM)、随机存取存储器(Random Access Memory，简称为RAM)、移动硬盘、磁碟或者光盘等各种可以存储计算机程序的介质。

本发明的实施例还提供了一种电子装置，包括存储器和处理器，该存储器中存储有计算机程序，该处理器被设置为运行计算机程序以执行上述任一项方法实施例中的步骤。

可选地，上述电子装置还可以包括传输设备以及输入输出设备，其中，该传输设备和上述处理器连接，该输入输出设备和上述处理器连接。

可选地，在本实施例中，上述处理器可以被设置为通过计算机程序执行以下步骤：

S1，检测访问目标文件的操作行为；

S2，在服务器本地识别所述操作行为的操作主体，其中，所述操作主体为触发所述操作行为的进程；

S3，在所述操作主体不具备对所述目标文件的访问权限时，拦截所述操作行为。

可选地，本实施例中的具体示例可以参考上述实施例及可选实施方式中所描述的示例，本实施例在此不再赘述。

上述本申请实施例序号仅仅为了描述，不代表实施例的优劣。

在本申请的上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其他实施例的相关描述。

在本申请所提供的几个实施例中，应该理解到，所揭露的技术内容，可通过其它的方式实现。其中，以上所描述的装置实施例仅仅是示意性的，例如所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，单元或模块的间接耦合或通信连接，可以是电性或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可为个人计算机、服务器或者网络设备等)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、移动硬盘、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述仅是本申请的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本申请原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本申请的保护范围。

Claims (10)

1.一种访问文件的控制方法，其特征在于，包括：

检测访问目标文件的操作行为；

在服务器本地识别所述操作行为的操作主体，其中，所述操作主体为触发所述操作行为的进程；

在所述操作主体不具备对所述目标文件的访问权限时，拦截所述操作行为。

2.根据权利要求1所述的方法，其特征在于，在服务器本地识别所述操作行为的操作主体包括：

在服务器本地从客户端采集所述操作行为的内存序列，其中，所述目标文件运行在所述客户端上；

解析所述内存序列中的进程标识，得到所述操作行为对应进程的父进程；

将所述父进程确定为所述操作行为的操作主体。

3.根据权利要求1所述的方法，其特征在于，在拦截所述操作行为之前，所述方法还包括：

判断所述操作主体的操作权限范围是否包括对所述目标文件的访问权限；

在所述操作主体的操作权限范围包括对所述目标文件的访问权限，确定所述操作主体具备对所述目标文件的访问权限；在所述操作主体的操作权限范围不包括对所述目标文件的访问权限时，确定所述操作主体不具备对所述目标文件的访问权限。

4.根据权利要求3所述的方法，其特征在于，判断所述操作主体的操作权限范围是否包括对所述目标文件的访问权限包括：

获取所述操作主体的文件权限库，其中，所述文件权限库包括允许所述操作主体合法访问的文件的文件标识；

判断所述文件权限库是否包括所述目标文件的文件标识；

在所述文件权限库包括所述目标文件的文件标识时，确定所述操作主体的操作权限范围包括对所述目标文件的访问权限；在所述文件权限库不包括所述目标文件的文件标识时，确定所述操作主体的操作权限范围不包括对所述目标文件的访问权限。

5.根据权利要求1所述的方法，其特征在于，在拦截所述操作行为之前，所述方法还包括：

判断所述目标文件的合法访问对象是否包括所述操作主体；

在所述目标文件的合法访问对象包括所述操作主体时，确定所述操作主体具备对所述目标文件的访问权限；在所述目标文件的合法访问对象不包括所述操作主体时，确定所述操作主体不具备对所述目标文件的访问权限。

6.根据权利要求5述的方法，其特征在于，在判断所述目标文件的合法访问对象是否包括所述操作主体之前，所述方法还包括：

通过指定渠道收集多个软件包，其中，所述软件包包括所述目标文件；

对所述软件包进行安装和解压，得到多个关联文件，其中，所述关联文件包括软件包自己创建的文件，以及与自己一起由同一软件包直接或间接创建的文件；

获取所述多个关联文件的哈希信息，其中，所述哈希信息用于指示关联文件的身份；

将所述哈希信息对应的关联文件确定为所述合法访问对象的成员，并建立所述哈希信息与所述目标文件之间的关联关系。

7.根据权利要求1述的方法，其特征在于，所述方法还包括：

在所述操作主体具备对所述目标文件的访问权限时，放行所述操作行为；或，

在拦截所述操作行为之后，定位所述操作主体，封堵所述操作主体与所述目标文件之间的调用通道。

8.一种访问文件的控制装置，其特征在于，包括：

检测模块，用于检测访问目标文件的操作行为；

识别模块，用于在服务器本地识别所述操作行为的操作主体，其中，所述操作主体为触发所述操作行为的进程；

拦截模块，用于在所述操作主体不具备对所述目标文件的访问权限时，拦截所述操作行为。

9.一种存储介质，其特征在于，所述存储介质中存储有计算机程序，其中，所述计算机程序被设置为运行时执行权利要求1至7任一项中所述的方法。

10.一种电子装置，包括存储器和处理器，其特征在于，所述存储器中存储有计算机程序，所述处理器被设置为运行所述计算机程序以执行权利要求1至7任一项中所述的方法。