CN109981580A - 一种防止cmsp被动态跟踪的安全方法和系统 - Google Patents

一种防止cmsp被动态跟踪的安全方法和系统 Download PDF

Info

Publication number
CN109981580A
CN109981580A CN201910138140.8A CN201910138140A CN109981580A CN 109981580 A CN109981580 A CN 109981580A CN 201910138140 A CN201910138140 A CN 201910138140A CN 109981580 A CN109981580 A CN 109981580A
Authority
CN
China
Prior art keywords
cmsp
ptrace
dynamically track
track
safety method
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201910138140.8A
Other languages
English (en)
Inventor
李朝铭
王建华
潘琪
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Shandong Health Medical Big Data Co ltd
Inspur Software Group Co Ltd
Original Assignee
Shandong Health Medical Big Data Co ltd
Inspur Software Group Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Shandong Health Medical Big Data Co ltd, Inspur Software Group Co Ltd filed Critical Shandong Health Medical Big Data Co ltd
Priority to CN201910138140.8A priority Critical patent/CN109981580A/zh
Publication of CN109981580A publication Critical patent/CN109981580A/zh
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Debugging And Monitoring (AREA)

Abstract

本发明公开了一种防止CMSP被动态跟踪的安全方法和系统，属于信息安全技术领域，该方法在CMSP主函数中插入ptrace(PTRACE_TRACEME,0,0,0)语句，如果语句执行结果返回负值则说明在被调试环境，则程序立即退出，使调试无法进行；CMSP主函数中还运行一个反跟踪线程，该线程跟踪主进程的内存映像文件Id，如果该文件被访问，则立即将CMSP进程关闭，内存映像消失。一种防止CMSP被动态跟踪的安全系统，通过ptrace调试程序进行用户空间进程运行状态的跟踪，CMSP主函数处于被调试环境时，程序立即退出，使调试无法进行。本发明法能够防止CMSP被动态跟踪，增加CMSP的安全性。

Description

一种防止CMSP被动态跟踪的安全方法和系统
技术领域
本发明涉及信息安全技术领域，具体涉及一种防止CMSP被动态跟踪的安全方法和系统。
背景技术
CMSP(Cloud Message Service Platform，云消息服务平台)是云和大数据时代的一种高性能消息中间件，以云服务和集群方式对外提供高性能和高可靠的消息队列服务，支撑大数据采集、传输、汇聚、交换和存储，大数据实时处理和微服务处理架构。CMSP是一种高效、可靠、安全、便捷、可弹性扩展的分布式消息服务系统，它的目标是高可靠地在一个云消息服务引擎上可以支持成千上万的应用7*24不间断并发访问，在廉价PC服务器集群上支持每秒上亿条的消息存取服务，支持随业务量需要动态增加或减少计算资源节点，同时要确保基于云消息服务平台的应用开发和管理简单易使用。
CMSP支持成千上万的用户并发通过网络访问CMSP，为了安全，用户登录信息在网络传输过程中是加密的，到达CMSP服务端后进行加密信息比对，在这个过程中CMSP服务端内存中会保存用户的密钥信息。如果运行CMSP的服务器操作系统被黑客攻破，则黑客有可能会利用调试工具运行CMSP从而在内存中获得用户的密钥数据，从而产生安全问题。
发明内容
本发明的技术任务是提供一种防止CMSP被动态跟踪的安全方法和系统，可以阻止黑客利用调试工具对CMSP调试，防止黑客从内存中获得用户密钥。
本发明解决其技术问题所采用的技术方案是：
一种防止CMSP被动态跟踪的安全方法，在CMSP主函数中插入ptrace(PTRACE_TRACEME,0,0,0)语句，如果语句执行结果返回负值则说明在被调试环境，则程序立即退出，使调试无法进行，从而阻止黑客利用调试工具对CMSP进行调试。
使用ptrace系统调用，可以实现用户空间进程对用于空间进程的运行状态的跟踪。在linux系统中，用户空间的进程是相互独立的，一个用户进程是不能够访问另外一个进程的地址空间的，而使用ptrace调试程序的时候，它充当了用户进程调试用户进程之间的桥梁，一个用户进程使用ptrace主动/被动方式被另外一个进程跟踪，则跟踪进程可以使用ptrace陷入内核空间，当处于内核态时，就可访问当一个进程的相关变量了，从而观察被跟踪进程的运行状态。
该方法中使用的ptrace调试程序为主动跟踪，被跟踪进程通过调用(PTRACE_TRACEME,0,0,0)/ptrace(PTRACE_TRACEME,0,NULL,NULL)主动要求被跟踪。
优选的，CMSP主函数在进行基本的初始化过程中，插入几段无用的迷惑性的干扰代码，以增加静态破译的难度，然后再插入所述ptrace语句，益于ptrace调试程序的跟踪。
进一步的，CMSP主函数中还运行一个反跟踪线程，该线程跟踪主进程的内存映像文件Id，如果该文件被访问，则立即将CMSP进程关闭，内存映像消失，这样就无法从内存中获得相关信息，从而防止黑客从内存中获得用户密钥。
优选的，所述反跟踪线程以触发方式跟踪主进程的内存印象文件Id。
优选的，使用Inotify监控文件系统操作。Inotify可以监控文件系统操作，比如读取、写入和创建，Inotify反应灵敏，用法简单，且比cron任务的繁忙轮询高效得多。
inotify机制满足各种各样的文件监控需要，不仅限于安全和性能。Inotify不需要对被监视的目标打开文件描述符，而且如果被监视目标在可移动介质上，那么在umount该介质上的文件系统后，被监视目标对应的watch将被自动删除，并且会产生一个umount事件；Inotify既可以监视文件，也可以监视目录；Inotify使用系统调用而非SIGIO来通知文件系统事件；Inotify使用文件描述符作为接口，因而可以使用通常的文件I/O操作select和poll来监视文件系统的变化。
进一步的，所述Inotify通过IN_ACCESS监视内存印象文件是否被访问。
优选的，使用/proc文件系统提供系统中的进程信息。proc文件系统与其它常见的文件系统不同的是/proc是一种伪文件系统(也即虚拟文件系统)，存储的是当前内核运行状态的一系列特殊文件，用户可以通过这些文件查看有关系统硬件及当前正在运行进程的信息，甚至可以通过更改其中某些文件来改变内核的运行状态。
基于/proc文件系统上述的特殊性，其内的文件也常被称作虚拟文件，并具有一些独特的特点。
进一步的，为了查看及使用上的方便，这些文件(虚拟文件)通常会按照相关性进行分类存储于不同的目录甚至子目录中。/proc/N中存储系统当前正在运行的进程的相关信息，其中N为正在运行的进程。可以想象得到，在某进程结束后其相关目录则会消失。
本发明还公开了一种防止CMSP被动态跟踪的安全系统，通过ptrace调试程序进行用户空间进程运行状态的跟踪，CMSP主函数处于被调试环境时，程序立即退出，使调试无法进行，以阻止黑客利用调试工具对CMSP进行调试。
CMSP主函数在进行基本的初始化过程中，插入几段无用的迷惑性的干扰代码，增加静态破译的难度；然后插入ptrace(PTRACE_TRACEME,0,0,0)语句，如果语句执行结果返回负值则说明在被调试环境，则程序立即退出，使调试无法进行。
进一步的，该系统还包括反跟踪线程，该线程跟踪主进程的内存印象文件Id，该文件被访问时将CMSP进程关闭，内存印象消失，无法获取内存中的相关信息，以防止黑客从内存中获得用户密钥。
CMSP主函数中还会运行一个反跟踪线程，该线程以触发方式跟踪主进程的内存印象文件Id，如果该文件被访问，立即将CMSP进程关闭，内存印象消失，这样就无法从内存中获得相关信息。
本发明的一种防止CMSP被动态跟踪的安全方法和系统与现有技术相比，具有以下有益效果：
使用ptrace这个系统调用，实现用户空间进程对用户空间进程的运行状态的跟踪，防止CMSP主函数被调试；进一步结合反跟踪线程跟踪主进程的内存印象文件Id，防止文件被访问。通过使用该方法一定程度上能够防止CMSP被动态跟踪，有效阻止黑客利用调试工具对CMSP进行调试，防止黑客从内存中获得用户密钥，增加了CMSP的安全性。
具体实施方式
下面结合具体实施例对本发明作进一步说明。
一种防止CMSP被动态跟踪的安全方法，CMSP主函数在进行基本的初始化过程中，插入几段无用的迷惑性的干扰代码，以增加静态破译的难度，然后再插入ptrace(PTRACE_TRACEME,0,0,0)语句，如果语句执行结果返回负值则说明在被调试环境，则程序立即退出，使调试无法进行，阻止黑客利用调试工具对CMSP进行调试。
使用ptrace系统调用，可以实现用户空间进程对用于空间进程的运行状态的跟踪。在linux系统中，用户空间的进程是相互独立的，一个用户进程是不能够访问另外一个进程的地址空间的，而使用ptrace调试程序的时候，它充当了用户进程调试用户进程之间的桥梁，一个用户进程使用ptrace主动/被动方式被另外一个进程跟踪，则跟踪进程可以使用ptrace陷入内核空间，当处于内核态时，就可访问当一个进程的相关变量了，从而观察被跟踪进程的运行状态。
该方法中使用的ptrace调试程序为主动跟踪，被跟踪进程通过调用(PTRACE_TRACEME,0,0,0)/ptrace(PTRACE_TRACEME,0,NULL,NULL)主动要求被跟踪。
CMSP主函数中还运行一个反跟踪线程，该线程以触发方式跟踪主进程的内存映像文件Id，如果该文件被访问，则立即将CMSP进程关闭，内存映像消失，这样就无法从内存中获得相关信息，防止黑客从内存中获得用户密钥。
使用Inotify监控文件系统操作。Inotify监控文件系统操作，比如读取、写入和创建，Inotify反应灵敏，用法简单，且比cron任务的繁忙轮询高效得多。
Inotify可监视的文件系统事件IN_ACCESS:即文件被访问，所述Inotify通过IN_ACCESS监视内存印象文件是否被访问。
另外，使用/proc文件系统提供系统中的进程信息。proc文件系统与其它常见的文件系统不同的是/proc是一种伪文件系统(也即虚拟文件系统)，存储的是当前内核运行状态的一系列特殊文件，用户可以通过这些文件查看有关系统硬件及当前正在运行进程的信息，甚至可以通过更改其中某些文件来改变内核的运行状态。
基于/proc文件系统上述的特殊性，其内的文件也常被称作虚拟文件，并具有一些独特的特点。为了查看及使用上的方便，这些文件(虚拟文件)通常会按照相关性进行分类存储于不同的目录甚至子目录中。/proc/N中存储系统当前正在运行的进程的相关信息，其中N为正在运行的进程。可以想象得到，在某进程结束后其相关目录则会消失。
一种防止CMSP被动态跟踪的安全系统，通过ptrace调试程序进行用户空间进程运行状态的跟踪，CMSP主函数处于被调试环境时，程序立即退出，使调试无法进行，从而阻止黑客利用调试工具对CMSP进行调试。
该系统还包括反跟踪线程，该线程跟踪主进程的内存印象文件Id，该文件被访问时将CMSP进程关闭，内存印象消失，无法获取内存中的相关信息，从而防止黑客从内存中获得用户密钥。
其中，使用Inotify监控文件系统操作，Inotify可监视的文件系统事件IN_ACCESS:即文件被访问，Inotify通过IN_ACCESS监视内存印象文件是否被访问。
使用/proc文件系统提供系统中的进程信息，proc文件系统存储当前内核运行状态的一系列特殊文件，用户可以通过这些文件查看有关系统硬件及当前正在运行进程的信息，其内的文件按照相关性进行分类存储于不同的目录甚至子目录中，/proc/N中存储系统当前正在运行的进程的相关信息，其中N为正在运行的进程，在某进程结束后其相关目录则会消失。
CMSP主函数在进行基本的初始化过程中，插入几段无用的迷惑性的干扰代码，增加静态破译的难度；然后插入ptrace(PTRACE_TRACEME,0,0,0)语句，如果语句执行结果返回负值则说明在被调试环境，则程序立即退出，使调试无法进行。
CMSP主函数中还会运行一个反跟踪线程，该线程以触发方式跟踪主进程的内存印象文件Id，如果该文件被访问，立即将CMSP进程关闭，内存印象消失，这样就无法从内存中获得相关信息。
通过上面具体实施方式，所述技术领域的技术人员可容易的实现本发明。但是应当理解，本发明并不限于上述的具体实施方式。在公开的实施方式的基础上，所述技术领域的技术人员可任意组合不同的技术特征，从而实现不同的技术方案。

Claims (10)

1.一种防止CMSP被动态跟踪的安全方法，其特征在于在CMSP主函数中插入ptrace(PTRACE_TRACEME,0,0,0)语句，如果语句执行结果返回负值则说明在被调试环境，则程序立即退出，使调试无法进行。
2.根据权利要求1所述的一种防止CMSP被动态跟踪的安全方法，其特征在于CMSP主函数在进行基本的初始化过程中，插入无用的迷惑性干扰代码，然后再插入所述ptrace语句。
3.根据权利要求1或2所述的一种防止CMSP被动态跟踪的安全方法，其特征在于CMSP主函数中还运行一个反跟踪线程，该线程跟踪主进程的内存映像文件Id，如果该文件被访问，则立即将CMSP进程关闭，内存映像消失。
4.根据权利要求3所述的一种防止CMSP被动态跟踪的安全方法，其特征在于所述反跟踪线程以触发方式跟踪主进程的内存印象文件Id。
5.根据权利要求3所述的一种防止CMSP被动态跟踪的安全方法，其特征在于使用Inotify监控文件系统操作。
6.根据权利要求5所述的一种防止CMSP被动态跟踪的安全方法，其特征在于所述Inotify通过IN_ACCESS监视内存印象文件是否被访问。
7.根据权利要求1所述的一种防止CMSP被动态跟踪的安全方法，其特征在于使用/proc文件系统提供系统中的进程信息。
8.根据权利要求7所述的一种防止CMSP被动态跟踪的安全方法，其特征在于/proc/N中存储系统当前正在运行的进程的相关信息，其中N为正在运行的进程。
9.一种防止CMSP被动态跟踪的安全系统，其特征在于通过ptrace调试程序进行用户空间进程运行状态的跟踪，当CMSP主函数处于被调试环境时，程序立即退出，使调试无法进行。
10.根据权利要求9所述的一种防止CMSP被动态跟踪的安全系统，其特征在于还包括反跟踪线程，该线程跟踪主进程的内存印象文件Id，该文件被访问时将CMSP进程关闭，内存印象消失，无法获取内存中的相关信息。
CN201910138140.8A 2019-02-25 2019-02-25 一种防止cmsp被动态跟踪的安全方法和系统 Pending CN109981580A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201910138140.8A CN109981580A (zh) 2019-02-25 2019-02-25 一种防止cmsp被动态跟踪的安全方法和系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201910138140.8A CN109981580A (zh) 2019-02-25 2019-02-25 一种防止cmsp被动态跟踪的安全方法和系统

Publications (1)

Publication Number Publication Date
CN109981580A true CN109981580A (zh) 2019-07-05

Family

ID=67077353

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201910138140.8A Pending CN109981580A (zh) 2019-02-25 2019-02-25 一种防止cmsp被动态跟踪的安全方法和系统

Country Status (1)

Country Link
CN (1) CN109981580A (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110413342A (zh) * 2019-07-15 2019-11-05 深圳市易汇软件有限公司 一种可以动态调整监控的android服务及进程并动态调整对应处理机制的方法
CN113297074A (zh) * 2021-05-21 2021-08-24 百果园技术(新加坡)有限公司 一种内存跟踪方法及装置

Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103425502A (zh) * 2012-05-15 2013-12-04 腾讯科技（深圳）有限公司 一种操作系统的预取启动方法和装置
CN103729288A (zh) * 2013-11-01 2014-04-16 华中科技大学 一种嵌入式多核环境下应用程序的调试方法
CN104932972A (zh) * 2014-03-19 2015-09-23 北京娜迦信息科技发展有限公司 一种反动态调试应用程序的方法及装置
CN105468989A (zh) * 2014-09-04 2016-04-06 中国石油化工股份有限公司 基于Linux内核监控的云存储配额管理方法
CN106055983A (zh) * 2016-07-27 2016-10-26 北京鼎源科技有限公司 一种基于IDA通信的Android应用反调试方法
CN106203006A (zh) * 2016-08-31 2016-12-07 北京鼎源科技有限公司 基于dex与so文件动态执行的Android应用加固方法
CN106845170A (zh) * 2017-01-20 2017-06-13 武汉斗鱼网络科技有限公司 一种反调试方法和系统
CN108897895A (zh) * 2018-07-12 2018-11-27 浪潮软件集团有限公司 基于云消息服务平台实现跨网闸Mysql数据库同步的装置及方法

Patent Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103425502A (zh) * 2012-05-15 2013-12-04 腾讯科技（深圳）有限公司 一种操作系统的预取启动方法和装置
CN103729288A (zh) * 2013-11-01 2014-04-16 华中科技大学 一种嵌入式多核环境下应用程序的调试方法
CN104932972A (zh) * 2014-03-19 2015-09-23 北京娜迦信息科技发展有限公司 一种反动态调试应用程序的方法及装置
CN105468989A (zh) * 2014-09-04 2016-04-06 中国石油化工股份有限公司 基于Linux内核监控的云存储配额管理方法
CN106055983A (zh) * 2016-07-27 2016-10-26 北京鼎源科技有限公司 一种基于IDA通信的Android应用反调试方法
CN106203006A (zh) * 2016-08-31 2016-12-07 北京鼎源科技有限公司 基于dex与so文件动态执行的Android应用加固方法
CN106845170A (zh) * 2017-01-20 2017-06-13 武汉斗鱼网络科技有限公司 一种反调试方法和系统
CN108897895A (zh) * 2018-07-12 2018-11-27 浪潮软件集团有限公司 基于云消息服务平台实现跨网闸Mysql数据库同步的装置及方法

Non-Patent Citations (4)

* Cited by examiner, † Cited by third party
Title
李克秋等: ""一种反动态调试和网络交互加密验证的Android软件保护策略"", 《北京理工大学学报》 *
燚杨: ""inotify -- Linux 2.6 内核中的文件系统变化通知机制"", 《 IBM； 原文链接：HTTPS://WWW.IBM.COM/DEVELOPERWORKS/CN/LINUX/L-INOTIFYNEW/INDEX.HTML?CA=DRS》 *
赵梦茹2012: ""linux ptrace"", 《51CTO； 原文链接：HTTPS://BLOG.51CTO.COM/4989715/1417237》 *
银河实验室: ""ELF反调试初探"", 《FREEBUF黑客与极客（FREEBUF.COM）；原文链接： HTTPS://WWW.FREEBUF.COM/SECTOOL/83509.HTML》 *

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110413342A (zh) * 2019-07-15 2019-11-05 深圳市易汇软件有限公司 一种可以动态调整监控的android服务及进程并动态调整对应处理机制的方法
CN110413342B (zh) * 2019-07-15 2022-12-16 深圳市易汇软件有限公司 一种可以动态调整监控的android服务及进程并动态调整对应处理机制的方法
CN113297074A (zh) * 2021-05-21 2021-08-24 百果园技术(新加坡)有限公司 一种内存跟踪方法及装置
CN113297074B (zh) * 2021-05-21 2023-12-22 百果园技术(新加坡)有限公司 一种内存跟踪方法及装置

Similar Documents

Publication Publication Date Title
US9787706B1 (en) Modular architecture for analysis database
CN103399812B (zh) 基于Xen硬件虚拟化的磁盘文件操作监控系统及监控方法
Xu et al. A sharper sense of self: Probabilistic reasoning of program behaviors for anomaly detection with context sensitivity
Ji et al. Enabling refinable {Cross-Host} attack investigation with efficient data flow tagging and tracking
CN110213207B (zh) 一种基于日志分析的网络安全防御方法及设备
CN111770002B (zh) 测试数据转发控制方法、装置、可读存储介质和电子设备
Pagani et al. Introducing the temporal dimension to memory forensics
CN113704097A (zh) 在处理器追踪日志中使用编译器类型信息进行数据流分析的方法和设备
CN109981580A (zh) 一种防止cmsp被动态跟踪的安全方法和系统
Agrawal et al. Adaptive real‐time anomaly detection in cloud infrastructures
CN110888972A (zh) 一种基于Spark Streaming的敏感内容识别方法及装置
CN112506954A (zh) 数据库审计方法和装置
CN107729747A (zh) 一种面向二进制程序的堆溢出检测方法
Daoud et al. Performance analysis of distributed storage clusters based on kernel and userspace traces
Totaro et al. ISODAC: A high performance solution for indexing and searching heterogeneous data
US7506319B2 (en) Generating a model of software in execution
Inam et al. FAuST: Striking a Bargain between Forensic Auditing’s Security and Throughput
US8819494B2 (en) Automatically changing parts in response to tests
US20150006498A1 (en) Dynamic search system
US11763014B2 (en) Production protection correlation engine
CN111045891B (zh) 基于java多线程的监控方法、装置、设备以及存储介质
KR20230156129A (ko) 블록체인 기반의 책임 있는 분산 컴퓨팅 시스템
Wu et al. A practical covert channel identification approach in source code based on directed information flow graph
US7925487B2 (en) Replaying distributed systems
CN113032468A (zh) 数据写入方法、装置和计算机可读存储介质

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
RJ01 Rejection of invention patent application after publication
RJ01 Rejection of invention patent application after publication

Application publication date: 20190705