终端设备系统防护方法及装置
技术领域
本发明涉及安全技术领域,特别是涉及一种终端设备系统防护方法及装置。
背景技术
随着互联网技术的高速发展,为了方便用户的生活和工作,越来越多的应用程序出现并被广泛应用到终端设备上。因此,为了避免终端设备数据泄露,造成用户财产损失,终端设备数据安全变防护变得越来越重要。
目前,在进行终端设备的系统安全防护时,通常以应用程序的操作行为作为系统安全防护的依据,同时为了解决检测误报的问题,引入了白名单机制,即在应用程序进程属于白名单进程时,确定应用程序为安全的。在实际应用场景中,当攻击者发现应用程序进程漏洞后,通常会构造恶意代码触发漏洞并执行相应的恶意代码,发动对终端设备应用程序进程的攻击。然而,若应用程序进程隶属于白名单进程,采用上述方式无法判定应用程序进程被攻击的情况,造成无法防护应用程序进程的漏洞,导致终端设备的安全性较低。因此,提出一种新的终端设备系统安全防护方式已成为终端设备安全领域亟待解决的技术问题。
发明内容
有鉴于此,本发明提供一种终端设备系统防护方法及装置,主要目的在于能够实现判定应用程序进程被攻击的情况,实现应用程序进程漏洞防护,从而能够提升终端设备的安全性。
依据本发明第一方面,提供了一种终端设备系统防护方法,包括:
在终端设备本地捕获已知应用程序对所述终端设备的操作行为对应的调用栈特征;
利用所述调用栈特征检测所述应用程序是否加载所述终端设备的非系统动态链接库;
若是,则判断加载的非系统动态链接库是否为所述应用程序对应目录内的动态链接库;
若否,则确定所述操作行为为危险行为;
若是,则确定所述操作行为为安全行为。
依据本发明第二方面,提供了一种终端设备系统防护装置,包括:
捕获单元,用于在终端设备本地捕获已知应用程序对所述终端设备的操作行为对应的调用栈特征;
检测单元,用于利用所述调用栈特征检测所述应用程序是否加载所述终端设备的非系统动态链接库;
判断单元,用于若所述检测单元检测所述应用程序加载所述终端设备的非系统动态链接库,则判断加载的非系统动态链接库是否为所述应用程序对应目录内的动态链接库;
确定单元,用于若所判断单元判断加载的非系统动态链接库为所述应用程序对应目录内的动态链接库,则确定所述操作行为为危险行为;
所述确定单元,还用于若所判断单元判断加载的非系统动态链接库并非所述应用程序对应目录内的动态链接库,则确定所述操作行为为安全行为。
依据本发明第三方面,提供了一种计算机可读存储介质,其上存储有计算机程序,该程序被处理器执行时实现以下步骤:
在终端设备本地捕获已知应用程序对所述终端设备的操作行为对应的调用栈特征;
利用所述调用栈特征检测所述应用程序是否加载所述终端设备的非系统动态链接库;
若是,则判断加载的非系统动态链接库是否为所述应用程序对应目录内的动态链接库;
若否,则确定所述操作行为为危险行为;
若是,则确定所述操作行为为安全行为。
依据本发明第四方面,提供了一种终端设备系统防护装置,包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序,所述处理器执行所述程序时实现以下步骤:
在终端设备本地捕获已知应用程序对所述终端设备的操作行为对应的调用栈特征;
利用所述调用栈特征检测所述应用程序是否加载所述终端设备的非系统动态链接库;
若是,则判断加载的非系统动态链接库是否为所述应用程序对应目录内的动态链接库;
若否,则确定所述操作行为为危险行为;
若是,则确定所述操作行为为安全行为。
本发明提供一种终端设备系统防护方法及装置,能够在终端设备本地捕获已知应用程序对所述终端设备的操作行为对应的调用栈特征。并能够利用所述调用栈特征检测所述应用程序是否加载所述终端设备的非系统动态链接库;若是,则判断加载的非系统动态链接库是否为所述应用程序对应目录内的动态链接库;若否,则确定所述操作行为为危险行为;若是,则确定所述操作行为为安全行为,从而能够实现判定应用程序进程被攻击的情况,实现应用程序进程漏洞防护,进而能够提升终端设备的安全性。
上述说明仅是本发明技术方案的概述,为了能够更清楚了解本发明的技术手段,而可依照说明书的内容予以实施,并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂,以下特举本发明的具体实施方式。
附图说明
通过阅读下文优选实施方式的详细描述,各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的,而并不认为是对本发明的限制。而且在整个附图中,用相同的参考符号表示相同的部件。在附图中:
图1示出了本发明实施例提供的一种终端设备系统防护方法的流程示意图;
图2示出了本发明实施例提供的另一种终端设备系统防护方法的流程示意图;
图3示出了本发明实施例提供的一种终端设备系统防护装置的结构示意图;
图4示出了本发明实施例提供的另一种终端设备系统防护装置的结构示意图;
图5示出了本发明实施例提供的一种计算机设备的实体结构示意图。
具体实施方式
下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例,然而应当理解,可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反,提供这些实施例是为了能够更透彻地理解本公开,并且能够将本公开的范围完整的传达给本领域的技术人员。
如背景技术所述,目前,在进行终端设备的系统安全防护时,通常以应用程序的操作行为作为系统安全防护的依据,同时为了解决检测误报的问题,引入了白名单机制,即在应用程序进程属于白名单进程时,确定应用程序为安全的。在实际应用场景中,当攻击者发现应用程序进程漏洞后,通常会构造恶意代码触发漏洞并执行相应的恶意代码,发动对终端设备应用程序进程的攻击。然而,若应用程序进程隶属于白名单进程,采用上述方式无法判定应用程序进程被攻击的情况,造成无法防护应用程序进程的漏洞,导致终端设备的安全性较低。因此,提出一种新的终端设备系统安全防护方式已成为终端设备安全领域亟待解决的技术问题。
为了解决上述技术问题,本发明实施例提供了一种终端设备系统防护方法,如图1所示,所述方法包括:
101、在终端设备本地捕获已知应用程序对所述终端设备的操作行为对应的调用栈特征。
其中,所述已知应用程序可以为预设程序白名单中的应用程序,具体地,所述已知应用程序可以为浏览器、PDF阅读器、办公应用程序等。所述终端设备可以为电脑,笔记本,或者手机等。所述调用栈特征可以为所述应用程序执行所述操作行为时调用的系统功能函数接口序列,属于动态内存数据。对于终端设备不同的操作行为对应的调用栈特征不同,同一操作行为在不同场景下对应的调用栈特征也不同。
对于本发明实施例,可以通过进程注入技术把预设捕获模块注入到所述应用程序的进程空间中,然后通过挂钩技术挂钩所述操作行为的系统调用,最后再利用回溯技术对所述系统调用进行回溯的方式,获取所述操作行为对应的调用栈特征。
102、利用所述调用栈特征检测所述应用程序是否加载所述终端设备的非系统动态链接库。若是,则执行步骤103。
对于本发明实施例,在终端设备中动态链接库可以分为非系统动态链接库和系统动态链接库,系统动态链接库可以为系统进程或者应用程序进程正常运行加载的动态链接库,若已知应用程序加载了系统动态链接库,则说明已知应用程序属于正常操作终端设备,可以确定所述操作行为为安全行为;若已知应用程序加载了非系统动态链接库,则存在两种可能,第一种可能:应用程序加载了对应目录内的动态链接库;第二种可能:应用程序进程的漏洞被利用,即恶意代码利用应用程序进程的漏洞加载非系统动态链接库,对终端设备系统进行攻击。因此,确定所述应用程序加载了非系统动态链接库后,通过执行步骤103能够防护应用程序进程的漏洞。
103、判断加载的非系统动态链接库是否为所述应用程序对应目录内的动态链接库。若否,则执行步骤104;若是,则执行步骤105。
对于本发明实施例,在确定加载非系统动态链接库之后,可以通过将加载的非系统动态链接库与所述应用程序对应目录进行匹配的方式,确定所述加载的非系统动态链接库是否为所述应用程序对应目录内的动态链接库;若加载的非系统动态链接库与所述应用程序对应目录内的动态链接库匹配,则确定加载的非系统动态链接库为所述应用程序对应目录内的动态链接库。否则,确定加载的非系统动态链接库为恶意代码利用应用程序进程的漏洞,攻击终端设备系统而加载的非系统动态链接库。
104、确定所述操作行为为危险行为。
对于本发明实施例,为了保证终端设备的安全性,在确定所述操作行为为危险行为后,可以对所述危险行为进行阻止或者拦截处理。例如,终端设备系统设定启动系统菜单时加载的动态链接库为系统动态链接库,应用程序对终端设备进行操作时,加载了针对系统菜单启动的非系统动态链接库,且这个非系统动态链接库也不是应用程序对应目录内的动态链接库,则确定已知应用程序进程的漏洞被利用,确定启动系统菜单的操作行为为危险行为,此时阻止系统菜单启动。
105、确定所述操作行为为安全行为。
需要说明的是,为了保证用户正常使用终端设备,在确定所述操作行为为安全行为后,可以对所述操作行为进行放行处理。例如,某已知应用程序欲获取终端设备的文件信息,若通过获取文件信息对应的调用栈特征,检测到已知应用程序加载的非系统动态链接库为对应目录内的动态链接库,则确定获取文件信息的操作行为为安全行为,并将欲获取的文件信息反馈给用户。
通过本发明实施例提供的一种终端设备系统防护方法,能够在终端设备本地捕获已知应用程序对所述终端设备的操作行为对应的调用栈特征。并能够利用所述调用栈特征检测所述应用程序是否加载所述终端设备的非系统动态链接库;若是,则判断加载的非系统动态链接库是否为所述应用程序对应目录内的动态链接库;若否,则确定所述操作行为为危险行为;若是,则确定所述操作行为为安全行为,从而能够实现判定应用程序进程被攻击的情况,实现应用程序进程漏洞防护,进而能够提升终端设备的安全性。
进一步的,为了更好的说明上述终端设备系统防护的过程,作为对上述实施例的细化和扩展,本发明实施例提供了另一种终端设备系统防护方法,如图2所示,但不限于此,具体如下所示:
201、在终端设备本地捕获已知应用程序对所述终端设备的操作行为对应的调用栈特征。
对于本发明实施例,为了捕获所述调用栈特征,所述步骤201具体可以包括:将预设捕获模块注入到所述已知应用程序的进程中,监控所述操作行为;利用预设挂钩函数对所述终端设备的系统应用层的功能函数进行挂钩,以拦截所述操作行为对应的系统调用;利用预设栈信息回溯函数对所述系统调用进行栈信息回溯,得到所述操作行为对应的调用栈特征。
其中,所述预设捕获模块可以为技术人员根据进程注入技术设置的,所述预设挂钩函数可以为技术人员根据挂钩技术编写的,所述挂钩技术所述预设栈信息回溯函数可以为技术人员根据回溯技术编写的。针对不同的操作行为可以设置不同的捕获模块,所述捕获模块可以为对应的功能动态链接库,或者编写不同的预设挂钩函数,不同的预设栈信息回溯函数,例如,针对打开文件的操作行为,所述预设挂钩函数可以为hook NtCreateFile函数,所述预设栈信息回溯函数可以为RtlCaptureStackBackTrace函数。
202、利用所述调用栈特征检测所述应用程序是否加载所述终端设备的非系统动态链接库。若是,则执行步骤203。
对于本发明实施例,终端设备系统的开发商在开发系统时,通常会设定一些系统动态链接库并设定系统动态链接库对应的加载路径,因此,所述步骤202具体可以包括:检测所述调用栈特征中的动态链接库对应的加载路径是否符合预设加载路径。若不符合,则确定所述应用程序加载所述终端设备的非系统动态链接库;若符合,则确定所述应用程序并未加载所述终端设备的非系统动态链接库。其中,所述调用栈特征中的动态链接库及其对应的加载路径可以为根据重要程序、功能从所述调用堆栈特征中解析出的,所述预设加载路径可以保存在终端设备本地,可以为系统动态链接库对应的加载路径,如系统动态链接库对应的加载路径可以为:C:\Windows\System32\xx.dll。若所述调用栈特征中存在如下信息“A.dll!SHCreateStreamFileW+0x38e(C:\Windows\Syst\A.dll)”,从所述调用栈特征中解析出的动态链接库为A.dll,A.dll对应的加载路径为C:\Windows\Syst\A.dll,并非为C:\Windows\System32\A.dll,则说明系统进程的漏洞被利用,所述应用程序利用漏洞加载所述终端设备的非系统动态链接库A.dll,终端设备系统进行攻击。
需要说明的是,为了提升所述操作行为检测的精确度,在确定所述调用栈特征中的动态链接库对应的加载路径符合预设加载路径之后,所述方法还可以继续检测所述调用栈特征中的动态链接库对应的签名是否符合预设签名;若符合,则确定所述应用程序并未加载所述终端设备的非系统动态链接库;若不符合,则确定所述应用程序加载所述终端设备的非系统动态链接库。为了保证终端设备的安全性,终端设备系统开发商会对动态链接库进行签名,当动态链接库经过系统签名时,说明加载动态链接库的行为是允许的,所述预设签名可以为终端设备开发商提供的签名列表中的签名,所述签名列表可以保存在终端设备本地,所述签名列表可以保存有不同动态链接库以及其分别对应的签名。具体地,所述预设签名可以为预设有效签名,即可以检测所述调用栈特征中的动态链接库对应的签名是否符合预设有效签名,若所述调用栈特征中的动态链接库对应的签名符合预设有效签名,则确定所述应用程序并未加载所述终端设备的非系统动态链接库。
203、判断加载的非系统动态链接库是否为已注册的非系统动态链接库。若是,则执行步骤204;若否,则执行步骤206。
需要说明的是,为了扩展终端设备的使用功能,终端设备系统通常会允许一些应用程序安装并注册,应用程序在安装并注册时,通常会注册一些非系统动态链接库。在实际应用中,终端设备系统会默认应用程序加载这些已注册的非系统动态链接库属于正常加载行为,因此,在判断应用程序加载的非系统动态链接库为已注册的非系统动态链接库时,确定所述应用程序的操作行为为安全行为。当应用程序加载未注册的非系统动态链接库时,说明应用程序进程的漏洞被利用,未注册的非系统动态链接库属于恶意代码利用漏洞加载的,用于对应用程序进程进行攻击。因此,在判断应用程序加载的非系统动态链接库并非已注册的非系统动态链接库时,确定所述应用程序的操作行为为危险行为。通过步骤203能够避免发生防护误报的情况,即避免将应用程序加载已注册的非系统动态链接库的情况,误报为恶意代码攻击应用程序进程的情况。
其中,所述已注册的非系统动态链接库可以为输入法动态链接库,或者注册的其他非系统动态链接库等。在具体应用场景中,在确定所述应用程序加载所述终端设备的非系统动态链接库之后,可以继续判断加载的非系统动态链接库是否为输入法动态链接库,若为输入法动态链接库,则确定应用程序加载动态链接库的行为为合法行为,确定所述操作行为为安全行为;若并非输入法动态链接库,则可以继续判断加载的非系统动态链接库是否为注册的其他非系统动态链接库,若为注册的其他非系统动态链接库,则确定应用程序加载动态链接库的行为为合法行为,否则,确定所述操作行为为危险行为。
在具体应用场景中,应用程序在申请注册的时候,终端设备系统若通过了应用程序申请注册的非系统动态链接库,可以将非系统动态链接库保存到预设已注册的非系统动态链接库列表中,所述步骤203具体可以包括:判断加载的非系统动态链接库是否为预设已注册的非系统动态链接库列表中的非系统动态链接库;若是,则确定加载的非系统动态链接库为已注册的非系统动态链接库。
204、判断所述加载的非系统动态链接库是否为所述应用程序对应目录内的动态链接库。若否,则执行步骤205;若是,则执行步骤206。
205、确定所述操作行为为危险行为。
在具体应用场景中,为了提升应用程序检测的准确性,还可以根据样本安全行为对应的安全调用栈特征构建预设调用栈特征库,然后根据预设调用栈特征库进一步检测所述操作行为是否为危险行为,具体可以包括:检测所述调用栈特征中的动态链接库是否与预设调用栈特征库中的安全动态链接库匹配,所述预设调用栈特征库为根据样本安全行为对应的安全调用栈特征构建的,所述安全动态链接库为所述安全调用栈特征中的动态链接库;若否,则确定所述操作行为为危险行为。
对于本发明实施例,为了进一步提升终端设备的安全性,在步骤205之后,所述方法还可以包括:对所述操作行为进行拦截处理,并将所述应用程序发送给预设杀毒引擎进行扫描。
206、确定所述操作行为为安全行为。
通过本发明实施例提供的另一种终端设备系统防护方法,能够在终端设备本地捕获已知应用程序对所述终端设备的操作行为对应的调用栈特征。并能够利用所述调用栈特征检测所述应用程序是否加载所述终端设备的非系统动态链接库;若是,则判断加载的非系统动态链接库是否为所述应用程序对应目录内的动态链接库;若否,则确定所述操作行为为危险行为;若是,则确定所述操作行为为安全行为,从而能够实现判定应用程序进程被攻击的情况,实现应用程序进程漏洞防护,进而能够提升终端设备的安全性。
进一步地,作为图1的具体实现,本发明实施例提供了一种终端设备系统防护装置,如图3所示,所述装置包括:捕获单元31、检测单元32、判断单元33和确定单元34。
所述捕获单元31,可以用于在终端设备本地捕获已知应用程序对所述终端设备的操作行为对应的调用栈特征。所述捕获单元31是本装置中在终端设备本地捕获已知应用程序对所述终端设备的操作行为对应的调用栈特征的功能模块。所述调用栈特征可以为所述已知应用程序执行所述操作行为时调用的系统功能函数接口序列,属于动态内存数据。对于终端设备不同的操作行为对应的调用栈特征不同,同一操作行为在不同场景下对应的调用栈特征也不同。
所述检测单元32,可以用于利用所述调用栈特征检测所述应用程序是否加载所述终端设备的非系统动态链接库。所述检测单元32是本装置中利用所述调用栈特征检测所述应用程序是否加载所述终端设备的非系统动态链接库的主要功能模块。
所述判断单元33,可以用于若所述检测单元32检测所述应用程序加载所述终端设备的非系统动态链接库,则判断加载的非系统动态链接库是否为所述应用程序对应目录内的动态链接库。所述判断单元33是本装置中若所述检测单元32检测所述应用程序加载所述终端设备的非系统动态链接库,则判断加载的非系统动态链接库是否为所述应用程序对应目录内的动态链接库的主要功能模块。
所述确定单元34,可以用于若所判断单元33判断加载的非系统动态链接库为所述应用程序对应目录内的动态链接库,则确定所述操作行为为危险行为。所述确定单元34是本装置中若所判断单元33判断加载的非系统动态链接库为所述应用程序对应目录内的动态链接库,则确定所述操作行为为危险行为的功能模块。
所述确定单元34,还可以用于若所判断单元33判断加载的非系统动态链接库并非所述应用程序对应目录内的动态链接库,则确定所述操作行为为安全行为。所述确定单元34是本装置若所判断单元33判断加载的非系统动态链接库并非所述应用程序对应目录内的动态链接库,则确定所述操作行为为安全行为的功能模块。
在具体应用场景中,为了确定所述应用程序是否加载所述终端设备的非系统动态链接库,所述检测单元32包括:检测模块321和确定模块322,如图4所示。
所述检测模块321,可以用于检测所述调用栈特征中的动态链接库对应的加载路径是否符合预设加载路径。
所述确定模块322,可以用于若所述检测模块检测所述调用栈特征中的动态链接库对应的加载路径不符合预设加载路径,则确定所述应用程序加载所述终端设备的非系统动态链接库。
所述确定模块322,具体可以用于若所述检测模块检测所述调用栈特征中的动态链接库对应的加载路径符合预设加载路径,则确定所述应用程序并未加载所述终端设备的非系统动态链接库。
所述检测模块321,还用于检测所述调用栈特征中的动态链接库对应的签名是否符合预设签名;
所述确定模块322,还用于若所述检测模块321检测所述调用栈特征中的动态链接库对应的签名符合预设签名,则确定所述应用程序并未加载所述终端设备的非系统动态链接库;
所述确定模块322,具体可以用于若所述检测模块321检测所述调用栈特征中的动态链接库对应的签名不符合预设签名,则确定所述应用程序加载所述终端设备的非系统动态链接库。
所述检测模块321,还可以用于检测所述调用栈特征中的动态链接库对应的签名是否符合预设签名;
所述确定模块322,还可以用于若所述检测模块检测所述调用栈特征中的动态链接库对应的签名符合预设签名,则确定所述应用程序并未加载所述终端设备的非系统动态链接库;
所述确定模块322,具体可以用于若所述检测模块检测所述调用栈特征中的动态链接库对应的签名不符合预设签名,则确定所述应用程序加载所述终端设备的非系统动态链接库。
对于本发明实施例,为了避免发生防护误报的情况,即避免将应用程序加载已注册的非系统动态链接库的情况,误报为恶意代码攻击应用程序进程的情况,所述判断单元33,还可以用于检测加载的非系统动态链接库是否为已注册的非系统动态链接库;
所述确定单元34,还可以用于若所述判断单元33判断加载的非系统动态链接库为已注册的非系统动态链接库,则确定所述操作行为为危险行为;
所述判断单元33,具体可以用于若判断加载的非系统动态链接库并非已注册的非系统动态链接库,则判断所述加载的非系统动态链接库是否为所述应用程序对应目录内的动态链接库。
所述判断单元33,具体可以用于判断加载的非系统动态链接库是否为预设已注册的非系统动态链接库列表中的非系统动态链接库;若判断加载的非系统动态链接库为预设已注册的非系统动态链接库列表中的非系统动态链接库,则确定加载的非系统动态链接库为已注册的非系统动态链接库。
所述确定单元34,还用于若所述判断单元33判断所述应用程序并未加载所述终端设备的非系统动态链接库,则确定所述操作行为为安全行为。
所述检测单元32,还可以用于检测所述调用栈特征中的动态链接库是否与预设调用栈特征库中的安全动态链接库匹配,所述预设调用栈特征库为根据样本安全行为对应的安全调用栈特征构建的,所述安全动态链接库为所述安全调用栈特征中的动态链接库;
所述确定单元34,具体还用于若检测所述调用栈特征中的动态链接库与预设调用栈特征库中的安全动态链接库不匹配,则确定所述操作行为为危险行为。
在具体应用场景中,为了在终端设备本地捕获已知应用程序对所述终端设备的操作行为对应的调用栈特征,所述捕获单元31可以包括:监控模块311、挂钩模块312和回溯模块313。
所述监控模块311,可以用于将预设捕获模块注入到所述已知应用程序的进程中,监控所述操作行为。
所述挂钩模块312,可以用于利用预设挂钩函数对所述终端设备的系统应用层的功能函数进行挂钩,以拦截所述操作行为对应的系统调用;
所述回溯模块313,可以用于利用预设栈信息回溯函数对所述系统调用进行栈信息回溯,得到所述操作行为对应的调用栈特征。
对于本发明实施例,为了保证终端设备数据的安全性,所述装置还可以包括:处理单元35。
所述处理单元35,可以用于对所述操作行为进行拦截处理,并将所述已知应用程序添加到预设程序黑名单中。所述处理单元35是本装置中对所述操作行为进行拦截处理,并将所述已知应用程序添加到预设程序黑名单中的功能模块。
需要说明的是,本发明实施例提供的一种终端设备系统防护装置所涉及各功能模块的其他相应描述,可以参考图1所示方法的对应描述,在此不再赘述。
基于上述如图1所示方法,相应的,本发明实施例还提供了一种计算机可读存储介质,其上存储有计算机程序,该程序被处理器执行时实现以下步骤:在终端设备本地捕获已知应用程序对所述终端设备的操作行为对应的调用栈特征;利用所述调用栈特征检测所述应用程序是否加载所述终端设备的非系统动态链接库;若是,则判断加载的非系统动态链接库是否为所述应用程序对应目录内的动态链接库;若否,则确定所述操作行为为危险行为;若是,则确定所述操作行为为安全行为。
基于上述如图1所示方法和如图3所示终端设备系统防护装置的实施例,本发明实施例还提供了一种计算机设备的实体结构图,如图5所示,该装置包括:处理器41、存储器42、及存储在存储器42上并可在处理器上运行的计算机程序,其中存储器42和处理器41均设置在总线43上所述处理器41执行所述程序时实现以下步骤:在终端设备本地捕获已知应用程序对所述终端设备的操作行为对应的调用栈特征;利用所述调用栈特征检测所述应用程序是否加载所述终端设备的非系统动态链接库;若是,则判断加载的非系统动态链接库是否为所述应用程序对应目录内的动态链接库;若否,则确定所述操作行为为危险行为;若是,则确定所述操作行为为安全行为。该设备还包括:总线43,被配置为耦接处理器41及存储器42。
通过本发明的技术方案,能够在终端设备本地捕获已知应用程序对所述终端设备的操作行为对应的调用栈特征。并能够利用所述调用栈特征检测所述应用程序是否加载所述终端设备的非系统动态链接库;若是,则判断加载的非系统动态链接库是否为所述应用程序对应目录内的动态链接库;若否,则确定所述操作行为为危险行为;若是,则确定所述操作行为为安全行为,从而能够实现判定应用程序进程被攻击的情况,实现应用程序进程漏洞防护,进而能够提升终端设备的安全性。
本发明实施例还提供如下技术方案:
A1、一种终端设备系统防护方法,包括:
在终端设备本地捕获已知应用程序对所述终端设备的操作行为对应的调用栈特征;
利用所述调用栈特征检测所述应用程序是否加载所述终端设备的非系统动态链接库;
若是,则判断加载的非系统动态链接库是否为所述应用程序对应目录内的动态链接库;
若否,则确定所述操作行为为危险行为;
若是,则确定所述操作行为为安全行为。
A2、如A1所述的方法,所述利用所述调用栈特征检测所述应用程序是否加载所述终端设备的非系统动态链接库,包括:
检测所述调用栈特征中的动态链接库对应的加载路径是否符合预设加载路径;
若不符合,则确定所述应用程序加载所述终端设备的非系统动态链接库;
若符合,则确定述应用程序并未加载所述终端设备的非系统动态链接库。
A3、如A2所述的方法,所述确定所述应用程序是否加载所述终端设备的非系统动态链接库之前,所述方法还包括:
检测所述调用栈特征中的动态链接库对应的签名是否符合预设签名;
若符合,则确定所述应用程序并未加载所述终端设备的非系统动态链接库;
所述确定所述应用程序加载所述终端设备的非系统动态链接库,包括:
若不符合,则确定所述应用程序加载所述终端设备的非系统动态链接库。
A4、如A1-A3任一项所述的方法,所述判断所述加载的非系统动态链接库是否为所述应用程序对应目录内的动态链接库之前,所述方法还包括:
判断加载的非系统动态链接库是否为已注册的非系统动态链接库;
若否,则确定所述操作行为为危险行为;
所述判断所述加载的非系统动态链接库是否为所述应用程序对应目录内的动态链接库,包括:
若是,则判断所述加载的非系统动态链接库是否为所述应用程序对应目录内的动态链接库。
A5、如A4所述的方法,所述判断加载的非系统动态链接库是否为已注册的非系统动态链接库,包括:
判断加载的非系统动态链接库是否为预设已注册的非系统动态链接库列表中的非系统动态链接库;
若是,则确定加载的非系统动态链接库为已注册的非系统动态链接库。
A6、如A1所述的方法,所述利用所述调用栈特征检测所述应用程序是否加载所述终端设备的非系统动态链接库之后,所述方法还包括:
若否,则确定所述操作行为为安全行为。
A7、如A1所述的方法,所述确定所述操作行为为危险行为之前,所述方法还包括:
检测所述调用栈特征中的动态链接库是否与预设调用栈特征库中的安全动态链接库匹配,所述预设调用栈特征库为根据样本安全行为对应的安全调用栈特征构建的,所述安全动态链接库为所述安全调用栈特征中的动态链接库;
所述确定所述操作行为为危险行为,包括:
若否,则确定所述操作行为为危险行为。
A8、如A1所述的方法,所述在终端设备本地捕获已知应用程序对所述终端设备的操作行为对应的调用栈特征,包括:
将预设捕获模块注入到所述应用程序的进程中,监控所述操作行为;
利用预设挂钩函数对所述终端设备的系统应用层的功能函数进行挂钩,以拦截所述操作行为对应的系统调用;
利用预设栈信息回溯函数对所述系统调用进行栈信息回溯,得到所述操作行为对应的调用栈特征。
A9、如A1所述的方法,所述确定所述操作行为为危险行为之后,所述方法还包括:
对所述危险操作行为进行拦截处理,并将所述应用程序发送给预设杀毒引擎进行扫描。
B10、一种终端设备系统防护装置,包括:
捕获单元,用于在终端设备本地捕获已知应用程序对所述终端设备的操作行为对应的调用栈特征;
检测单元,用于利用所述调用栈特征检测所述应用程序是否加载所述终端设备的非系统动态链接库;
判断单元,用于若所述检测单元检测所述应用程序加载所述终端设备的非系统动态链接库,则判断加载的非系统动态链接库是否为所述应用程序对应目录内的动态链接库;
确定单元,用于若所判断单元判断加载的非系统动态链接库为所述应用程序对应目录内的动态链接库,则确定所述操作行为为危险行为;
所述确定单元,还用于若所判断单元判断加载的非系统动态链接库并非所述应用程序对应目录内的动态链接库,则确定所述操作行为为安全行为。
B11、如B10所述的装置,所述检测单元包括:
检测模块,用于检测所述调用栈特征中的动态链接库对应的加载路径是否符合预设加载路径;
确定模块,用于若所述检测模块检测所述调用栈特征中的动态链接库对应的加载路径不符合预设加载路径,则确定所述应用程序加载所述终端设备的非系统动态链接库;
所述确定模块,具体用于若所述检测模块检测所述调用栈特征中的动态链接库对应的加载路径符合预设加载路径,则确定所述应用程序并未加载所述终端设备的非系统动态链接库。
B12、如B11所述的装置,
所述检测模块,还用于检测所述调用栈特征中的动态链接库对应的签名是否符合预设签名;
所述确定模块,还用于若所述检测模块检测所述调用栈特征中的动态链接库对应的签名符合预设签名,则确定所述应用程序并未加载所述终端设备的非系统动态链接库;
所述确定模块,具体用于若所述检测模块检测所述调用栈特征中的动态链接库对应的签名不符合预设签名,则确定所述应用程序加载所述终端设备的非系统动态链接库。
B13、如B10-B12任一项所述的装置,
所述判断单元,还用于判断加载的非系统动态链接库是否为已注册的非系统动态链接库;
所述确定单元,还用于若所述判断单元判断加载的非系统动态链接库为已注册的非系统动态链接库,则确定所述操作行为为危险行为;
所述判断单元,具体用于若判断加载的非系统动态链接库并非已注册的非系统动态链接库,则判断所述加载的非系统动态链接库是否为所述应用程序对应目录内的动态链接库。
B14、如B13所述的装置,
所述判断单元,具体用于判断加载的非系统动态链接库是否为预设已注册的非系统动态链接库列表中的非系统动态链接库;若判断加载的非系统动态链接库为预设已注册的非系统动态链接库列表中的非系统动态链接库,则确定加载的非系统动态链接库为已注册的非系统动态链接库。
B15、如B10所述的装置,
所述确定单元,还用于若所述检测单元检测所述应用程序并未加载所述终端设备的非系统动态链接库,则确定所述操作行为为安全行为。
B16、如B11所述的装置,
所述检测单元,还用于检测所述调用栈特征中的动态链接库是否与预设调用栈特征库中的安全动态链接库匹配,所述预设调用栈特征库为根据样本安全行为对应的安全调用栈特征构建的,所述安全动态链接库为所述安全调用栈特征中的动态链接库;
所述确定单元,具体还用于若检测所述调用栈特征中的动态链接库与预设调用栈特征库中的安全动态链接库不匹配,则确定所述操作行为为危险行为。
B17、如B10所述的装置,所述捕获单元包括:
监控模块,用于将预设捕获模块注入到所述应用程序的进程中,监控所述操作行为;
挂钩模块,用于利用预设挂钩函数对所述终端设备的系统应用层的功能函数进行挂钩,以拦截所述操作行为对应的系统调用;
回溯模块,用于利用预设栈信息回溯函数对所述系统调用进行栈信息回溯,得到所述操作行为对应的调用栈特征。
B18、如B10所述的装置,所述装置还包括:
处理单元,用于对所述危险操作行为进行拦截处理,并将所述应用程序添加到预设程序黑名单中。
C19、一种计算机可读存储介质,其上存储有计算机程序,所述计算机程序被处理器执行时实现如A1至A9中任一项所述的方法的步骤。
D20、一种计算机设备,包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序,所述处理器执行所述计算机程序时实现如A1至A9中任一项所述方法的步骤。
在上述实施例中,对各个实施例的描述都各有侧重,某个实施例中没有详述的部分,可以参见其他实施例的相关描述。
可以理解的是,上述方法及装置中的相关特征可以相互参考。另外,上述实施例中的“第一”、“第二”等是用于区分各实施例,而并不代表各实施例的优劣。
所属领域的技术人员可以清楚地了解到,为描述的方便和简洁,上述描述的系统,装置和单元的具体工作过程,可以参考前述方法实施例中的对应过程,在此不再赘述。
在此提供的算法和显示不与任何特定计算机、虚拟系统或者其它设备固有相关。各种通用系统也可以与基于在此的示教一起使用。根据上面的描述,构造这类系统所要求的结构是显而易见的。此外,本发明也不针对任何特定编程语言。应当明白,可以利用各种编程语言实现在此描述的本发明的内容,并且上面对特定语言所做的描述是为了披露本发明的最佳实施方式。
在此处所提供的说明书中,说明了大量具体细节。然而,能够理解,本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中,并未详细示出公知的方法、结构和技术,以便不模糊对本说明书的理解。
类似地,应当理解,为了精简本公开并帮助理解各个发明方面中的一个或多个,在上面对本发明的示例性实施例的描述中,本发明的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而,并不应将该公开的方法解释成反映如下意图:即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说,如下面的权利要求书所反映的那样,发明方面在于少于前面公开的单个实施例的所有特征。因此,遵循具体实施方式的权利要求书由此明确地并入该具体实施方式,其中每个权利要求本身都作为本发明的单独实施例。
本领域那些技术人员可以理解,可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件,以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外,可以采用任何组合对本说明书(包括伴随的权利要求、摘要和附图)中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述,本说明书(包括伴随的权利要求、摘要和附图)中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。
此外,本领域的技术人员能够理解,尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征,但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如,在下面的权利要求书中,所要求保护的实施例的任意之一都可以以任意的组合方式来使用。
本发明的各个部件实施例可以以硬件实现,或者以在一个或者多个处理器上运行的软件模块实现,或者以它们的组合实现。本领域的技术人员应当理解,可以在实践中使用微处理器或者数字信号处理器(DSP)来实现根据本发明实施例的终端设备系统防护装置中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序(例如,计算机程序和计算机程序产品)。这样的实现本发明的程序可以存储在计算机可读介质上,或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到,或者在载体信号上提供,或者以任何其他形式提供。
应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制,并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中,不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中,这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。